Kontextbasierte IT-Sicherheit Dynamisches Nutzerprofiling verändert die Verhaltensanalyse

KI und Machine Learning helfen, Gefahren proaktiv zu erkennen – liefern in der Praxis jedoch oft schwer verwertbare Ergebnisse. Zuverlässiger wird es durch automatisiertes Clustern von Nutzertypen und kontextbasierte Verhaltensanalysen, die Sicherheitsregeln dynamisch anpassen und Angriffsflächen reduzieren.

Angesichts der überwältigenden Flut an immer raffinierteren Cyberangriffen, denen Unternehmen ausgesetzt sind, haben sich auch die Ansprüche an die IT-Abwehr gewandelt. Es bedarf starker und zuverlässiger Präventionsmaßnahmen, die mehr leisten als nur Angriffe zu erkennen oder auf sie zu reagieren. Entscheidend für den Erfolg der Abwehr ist es, proaktiv Angriffsflächen zu reduzieren und IT-Umgebungen zu härten, bevor es zu einem Sicherheitsvorfall kommt.

Verschiedene Technologien haben für eine effektive Abwehr im Vorfeld vieles versprochen: Ein Weg, Erkennung und Reaktion durch Prävention zu verbessern, sollte das Machine Learning- und die Verhaltensanalyse durch KI sein. Jedoch konnten solche Verfahren – wie auch andere – ihr Versprechen bisher nicht einhalten.

User and Entity Behavior Analytics (UEBA) in der Praxis

Was bringt Verhaltensanalyse?

Die Schwächen klassischer Verhaltensanalyse

Eine ungefilterte Verhaltensanalyse auf Basis von Machine Learning und dem Erkennen von Verhalten liefert keine praktikable Handhabe für eine Abwehr, wenn sie jeden einzelnen Benutzer als isolierte Einheit ohne Kontext und Kontrolle betrachtet und eine Regelflut erzeugt. Ein weiteres Problem ist die hohe Varianz im legitimen Benutzerverhalten, wodurch das legitime Verhalten schwer zu definieren ist. In der Folge erzeugen legitime Besonderheiten im Nutzerverhalten unterschiedlicher Nutzer häufig Fehlalarme, was bei den Sicherheitsteams Alarmmüdigkeit und ein Zuviel an Arbeit verursacht.

Auch vernachlässigt die traditionellen Verhaltensanalyse branchen- und unternehmensspezifische Kontext, was allgemeine, generische Modelle zur Konsequenz hat, die besondere Arbeitsabläufe nicht berücksichtigen. Angreifer können eine darauf aufbauende Abwehr zudem umgehen, indem sie generische, vereinfachte Benutzermuster imitieren. Die dafür notwendige Mehrarbeit nehmen Cyberkriminelle gerne auf sich. Insbesondere bei gezielten Angriffen auf Unternehmen kundschaften sie zunächst die eingesetzte Sicherheitssoftware aus, um im nächsten Schritt die effktivsten Verhaltensmuster zu identifizieren, mit denen sie sich erfolgreich tarnen. Dank der so entstehenden Playbooks ist es ihnen häufig möglich, jedes Unternehmen, das die entsprechenden Sicherheitssoftware im Einsatz hat, einfach zu infiltrieren.

LotL-Angriffe erkennen und abwehren

So funktionieren Living-off-the-Land-Attacken

Aufgrund dieser Probleme ergibt sich die Notwendigkeit eines proaktiven Ansatzes, der:

• Hochrisikokonfigurationen vor dem Exploit identifiziert;

• die Angriffsfläche dynamisch auf der Grundlage von Rolle, Verhalten und unternehmensspezifischem Kontext reduziert;

• Fehlalarme minimiert, indem die Abwehr adaptive, auf jedes Benutzersegment zugeschnittene Schutzmaßnahmen anwendet; sowie

• ganze Angriffskategorien in Echtzeit blockiert, ohne darauf zu warten, ob eine Anomalie sichtbar wird.

Clustering von Benutzergruppen als Basis individualisierter Schutzmaßnahmen

Die Definition von typischen Nutzergruppen und ihres jeweiligen Verhaltens, die dabei individuell auf den Unternehmenskontext und die jeweiligen Nutzer zugeschnitten sind und sich dynamisch anpassen, verbessert die Möglichkeiten, legitimes von nicht legitimen Verhalten zu unterscheiden. Die Merkmale einer solchen Nutzerkategorie definieren sich dabei aus der Funktion und Tätigkeit einer Person oder Personengruppe im Unternehmen, aus seiner Region und aus seiner Branchenzugehörigkeit.

Bisweilen ist abweichendes Verhalten aufgrund der individuellen Jobbeschreibung gerechtfertigt. Ein Beispiel dafür ist etwa ein Tech-Marketing-Evangelist, der im ständigen Kontakt mit den Entwicklern Windows PowerShell verwendet. Dagegen benötigt kein Human-Ressource-Mitarbeiter dieses Framework, und eine IT-Abwehr kann es für die entsprechende Nutzergruppe global blockieren. Auf diese Weise können Sicherheitsverantwortliche Richtlinien für PowerShell und Skripte automatisch und effizient an das jeweilige Nutzerverhalten anpassen, um Angriffsflächen effektiv zu reduzieren, ohne Arbeitsabläufe zu behindern.

Risikobewertung für Bedrohungen aus nächster Nähe

Insider-Angriffe erkennen und abwehren

Wirksam und effizient steigt die Sicherheit, wenn eine Abwehrtechnologie Einzelbenutzer automatisiert in aussagekräftige Nutzerprofile zusammenfasst und dynamisch Schutzmaßnahmen auf Grundlage ihrer Bedürfnisse als individuelle Regeln definiert. Das Erstellen der Profile erfasst folgende Nutzertypen:

• Task User: Mitarbeiter mit vordefinierten Arbeitsabläufen, die Tools nur eingeschränkt oder kaum nutzen. Es gilt, strenge Ausführungsregeln durchzusetzen und unnötige Privilegien zu entfernen;

• Knowledge-User: Fachleute wie zum Beispiel Ingenieure, Analysten und Berater, die Flexibilität benötigen, aber Mustern folgen;

• C-Level: Entscheider, die umfassenden Zugriff haben, aber nur eine begrenzte Anzahl von Tools verwenden, benötigen eine präzise Verhaltensvorgabe. Hier gilt es sicherzustellen, dass privilegierte Aktionen mit dem erwarteten Verhalten übereinstimmen.

Sind die Benutzer in Gruppen segmentiert, können IT-Sicherheitsverantwortliche die Richtlinien individuell anpassen, anstatt pauschale Blockaden durchzusetzen. In der Praxis hat sich das manuelle Segmentieren als zu umständlich erwiesen und oft zu zusätzlichen Reibungsverlusten innerhalb des Unternehmens geführt. Durch den Einsatz eines adaptiven Sicherheitsmodells, welches das Verhalten jedes Einzelnen versteht und Benutzer automatisch auf der Grundlage ihres Verhaltens gruppiert, können Unternehmen bereits potenzielle Gefahren verhindern, ohne die Produktivität zu beeinträchtigen.

Darüber hinaus lassen sich auch für Angreifer Verhaltensmuster für legitimer Funktionalitäten zu definieren, um im Gegenschluss bösartige Unterschiede rasch zu erkennen. Hierzu zählen:

• Skript-Kiddies: Angreifer mit geringem Fachwissen, die automatisierte Tools verwenden und gängige Fehlkonfigurationen ausnutzen;

• Insider-Gefahren: Zugriff auf sensible Ressourcen mithilfe von der Eskalation von Privilegien durch böswillige Akteure;

• Advanced Persistent Threats (APTs): Angreifer, die Stealth-Taktiken einsetzen, um Sicherheitsmechanismen zu umgehen und über geraume Zeit unentdeckt im System zu verbleiben;

• Ransomware-Betreiber, die sich auf das Verschlüsseln von Daten oder die Blockade von Ressourcen spezialisiert haben, um Lösegelder zu erpressen.

• Credential-Stuffing-Angreifer, die Anmeldeinformationen für den unbefugten Zugriff verwenden.

Maximaler Schutz für das Active Directory

KI-basierte Bedrohungserkennung für Cloud und AD mit Defender for Identity

Nutzerprofiling zur präventiven Reduktion von Angriffsflächen

Klassische Verhaltensanalyse auf der Basis Künstlicher Intelligenz ohne Clustern von Nutzertypen liefert aufgrund einer mangelnden individualisierten und kontextbasierten Verhaltensanalyse häufig unzuverlässige Ergebnisse, was Fehlalarme und blinde Flecken in der Abwehr zur Folge hat. Darüber hinaus können daraus resultierende generischen Modelle für eine Verhaltensanalyse durch Angreifer leicht ausgehebelt werden. Jedoch kann ein neuer Ansatz, der Nutzergruppen segmentiert sowie Kontext und individuelle Benutzer­verhaltens­muster granular und dynamisch in die Sicherheitsmaßnahmen mit einbezieht, hier eine präzisere Erkennung bieten. Mit den sich daraus ergebenden individuellen Nutzerregeln lassen sich legitimes Verhalten trennscharf definieren, proaktiv Sicherheitslücken schließen sowie Aufwand und Folgen im Vergleich zu einem nur reaktiven Erkennen und Abwehren von Gefahren deutlich reduzieren.

Über den Autor: Daniel Daraban ist Senior Director of Product Management bei Bitdefender.

(ID:50428893)