Sandboxes in Zeiten KI-basierter Cybersicherheit Warum Sandboxes zum Fundament der KI in der Cybersecurity gehören

Anbieter zum Thema

VMRay GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Künstliche Intelligenz (KI) kommt in SOCs (Security Operations Center) zum Einsatz, um die Erkennung und Abwehr von Cyberattacken zu optimieren. Entscheidend für den Erfolg sind aber die Quellen und die Qualität der Daten, die für das fortlaufende Training der KI-Modelle genutzt werden. Hierzu können Sandbox-Technologien einen entscheidenden Beitrag leisten.

Künstliche Intelligenz gilt als das Technologiefeld, das die Digitalisierung am stärksten beeinflussen wird. KI unterstützt die datenbasierte Entscheidungsfindung und ermöglicht Automatisierungen bei Prozessen und Ablaufen. Das gilt auch für die Cybersicherheit, in der man sich eine Entlastung der knappen Security-Fachkräfte erhofft.

„Cyberverteidiger profitieren von allgemeinen Produktivitätssteigerungen durch den Einsatz von KI, zum Beispiel bei der Codegenerierung, zur Analyse von Quellcode auf Schwachstellen, zur Detektion von Malware oder der Erstellung von Lagebildern“, erklärt zum Beispiel das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Bei der Bedrohungsanalyse können zum Beispiel LLMs (Large Language Models) durch Integrierung in Security Information and Event Management-Systeme (SIEM) bei der automatisierten Sichtung von Sicherheits- und Logdaten unterstützen, so das BSI. Ebenso ist ein Einsatz zur Detektion von bösartigem Netzwerk-Verkehr oder zur Erkennung von Anomalien in Systemlogs möglich.

Beratungshäuser wie KPMG berichten, dass die Mehrheit der IT-Sicherheitsverantwortlichen in KI einen „Game Changer“ für nahezu alle Funktionen der Cybersicherheit sehen. Zahlreiche Forschungspapiere betonen die Vorteile von KI für den Betrieb von SOCs (Security Operations Center), darunter Paper wie „Empowering Security Operation Center With Artificial Intelligence and Machine Learning - A Systematic Literature Review“ oder „AI and Machine Learning-Driven SOC Operations: Transforming Cyber Security Efficiency“.

Doch der Einsatz von KI in der Cybersicherheit kann auch Nachteile und Risiken mit sich bringen.

Mögliche Risiken von KI in der Cybersicherheit

Die Cybersicherheits-Forschung nennt Einschränkungen und unerwünschte Effekte, die die Nutzung von KI in der Security mit sich bringen kann: „Neben den Vorteilen bringt die KI-Integration jedoch auch Herausforderungen mit sich, wie etwa algorithmische Verzerrungen, Fehlalarme und die Notwendigkeit eines kontinuierlichen Modelltrainings“, so zum Beispiel der Bericht „Automating Security Operations Centers (SOCs) with AI: Benefits and Challenges“.

IT-Sicherheitsbehörden wie das Australian Cyber Security Centre warnen vor Fehlern und Halluzinationen, die durch den KI-Einsatz verursacht werden können. Die von einem KI-System generierten Ergebnisse sind demnach nicht immer genau oder sachlich korrekt. Generative KI-Systeme sind dafür bekannt, Informationen zu halluzinieren, die sachlich nicht korrekt sind. Wer also auf die Genauigkeit generativer KI-Ergebnisse angewiesen ist, könnte durch Halluzinationen negativ beeinflusst werden, sofern keine entsprechenden Gegenmaßnahmen ergriffen werden. Das trifft insbesondere auch auf SOC-Betreiber zu.

Datenquellen und Datenqualität sind entscheidend für KI-Erfolg

Auch das National Cyber Security Centre (NCSC) UK erklärt: „Generative KI (und insbesondere LLMs) ist zweifellos beeindruckend in ihrer Fähigkeit, eine große Bandbreite überzeugender Inhalte in unterschiedlichen Situationen zu generieren. Die von diesen Tools produzierten Inhalte sind jedoch nur so gut wie die Daten, mit denen sie trainiert werden.“

Ohne qualitativ hochwertige Daten sind KI-Projekte in Gefahr zu scheitern, warnt das Analystenhaus Gartner. Für SOCs gilt dies insbesondere: „Das Training von KI anhand hochwertiger Daten wird für ihren effektiven Einsatz bei Cyberoperationen weiterhin von entscheidender Bedeutung sein“, so das NCSC UK.

Die europäische KI-Verordnung (KI-VO, AI Act) nennt Qualitätsanforderungen an KI-Trainingsdaten, die Aspekte wie Relevanz, Fehlerfreiheit und Vollständigkeit abdecken. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat einen Katalog zur Qualitätssicherung von Trainingsdaten in KI-Anwendungen veröffentlicht. Dazu BSI-Präsidentin Claudia Plattner: „Wir müssen sicherstellen, dass Anwendungen mit Künstlicher Intelligenz hohen Qualitätsanforderungen entsprechen. Nur so können wir vertrauenswürdige KI herstellen und nutzen“.

Die Rolle von Sandboxes für die Datenqualität bei KI in SOCs

Wie aber erreicht ein KI-unterstütztes SOC die notwendige, hohe Datenqualität? Hier kommen Sandboxes ins Spiel.

Sandboxes werden bereits seit vielen Jahren zur Malware-Erkennung und forensischen Untersuchung von Dateien eingesetzt. Die steigende Nutzung von KI bei der Erkennung von Cyberattacken macht Sandbox-Technologien nicht etwa überflüssig, im Gegenteil, sie gehören weiterhin zum Stand der Technik in der Security.

Eine Sandbox ist eine virtuelle Umgebung, in der Dateien sicher ausgeführt und analysiert werden können, ohne einen möglichen Schaden verursachen zu können. Dazu ahmt die Sandbox ein reales Betriebssystem nach. Verdächtige Dateien und URLs werden in der virtuellen Umgebung ausgeführt und ihr Verhalten überwacht und analysiert. Die Sandbox erfasst dabei Daten wie Netzwerkverkehr, Systemaufrufe und Dateiänderungen. Anhand dieser Daten können mögliche Schadfunktionen aufgespürt werden.

Die Ausführung von Sandboxes ermöglicht die Extraktion relevanter Indikatoren (Dateien / Hashes, URLs, IP-Adressen, Registry-Aktivitäten etc.), die einem in der Untersuchung befindlichen Fall mehr Kontext und sogar die Attribution eines mutmaßlichen Angreifers ermöglicht. Von diesen relevanten Indikatoren können KI-basierte Lösungen profitieren und so die möglichen Risiken und Nebeneffekte bei der KI-Nutzung minimieren.

Sandbox-Lösungen können die Erfolgsraten der Erkennung und Abwehr in KI-unterstützen SOCs deutlich steigern, indem die Daten aus den Sandbox-Analysen sehr präzise und fundierte Bedrohungsinformationen liefern, für genaue, erklärbare und umsetzbare KI-Ergebnisse im SOC-Betrieb und hochwertige Daten für das fortlaufende Training der KI-Modelle im SOC.

Die Qualität der KI-Entscheidungen wird so verbessert, die SOC-Warnungen erhalten eine nachvollziehbare Grundlage, Risikobewertungen und Priorisierungen bekommen ein realitätsbasiertes Fundament. Im Ergebnis sinkt dadurch die Zahl der Fehlalarme, Entscheidungen im SOC können schneller und faktenbasiert erfolgen und die Effizienz im SOC steigt nachhaltig an. Dadurch kann KI dann die Vorteile für den SOC-Betrieb gewährleisten, die sich die IT-Sicherheitsverantwortlichen davon erhoffen, eine bessere und schnellere Erkennung von Cyberbedrohungen.

(ID:50594003)