Hilfestellung bei der Lösungsauswahl Was Sie zu Machine Learning und KI wissen sollten

Sicherheitsprodukte setzen verstärkt auf Künstliche Intelligenz und nutzen Machine Learning, um Bedrohungen zu erkennen. Allerdings drohen die sinnvollen Neuerungen in Marketing-Floskeln unterzugehen. Das Unternehmen Vectra gibt neun Tipps, wie sich Lösungen beurteilen lassen.

Anbieter zum Thema

Arvato Systems

SoSafe GmbH

Keeper Security EMEA Ltd.

Vectra Networks

Vielleicht erinnern Sie sich noch an das Aufkommen der „Advanced Persistant Threats“? Kurz nachdem diese publik wurden, gab es kaum einen Hersteller, der nicht „APT-Ready“ oder ähnliches auf seine Produkte pappte – auch wenn bei vielen Produkten nicht wirklich klar wurde, was genau sie jetzt gegen diese Art der Bedrohung unternehmen. Mit Künstlicher Intelligenz und Machine Learning sieht es ähnlich aus: Viele Produkte brüsten sich damit, wo genau die Technik aber dann zum Einsatz kommt, ist unklar.

Vectra, selbst ein Anbieter von KI-basierten Sicherheitslösungen, versucht Firmen eine Hilfestellung zu geben. Sie haben neun Punkte erstellt, um Lösungen objektiv bewerten und vergleichen zu können:

1) Welche Arten von Algorithmen nutzt das Produkt fürs maschinelle Lernen? Grundsätzlich sollte man sich als Unternehmen nicht auf einen Algorithmus verlassen. Ein vielseitiges KI-Toolkit, das Mechanismen sowohl des überwachten als auch des unüberwachten Lernens zusätzlich mit „Deep-Learning“-Techniken kombiniert, deckt deutlich mehr Arten von Sicherheitsvorfällen ab, weist eine höhere Erkennungsgeschwindigkeit auf und erledigt seine Security-Aufgaben effizienter.

2) Auf wie viele unterschiedliche Algorithmen für maschinelles Lernen greift das Produkt zu und welchen Kategorien gehören die Algorithmen an? Wie oft wird aktualisiert, und wie oft werden neue Algorithmen herausgebracht? Der KI-Anbieter sollte in der Lage sein, alle Facetten möglicher Verhaltensweisen von Angreifern abzudecken (z.B. Command and Control, Reconnaissance, Lateral Movement und Exfiltration). Ihre Tools sollten jede dieser Vorgehensweisen im Detail verstehen und wiedererkennen. Nur so entkommt man dem vielzitierten Angreifervorteil: Während die Security pausenlos fehlerfrei arbeiten muss, um ihren Zweck zu erfüllen, reicht es dem Angreifer schon, wenn er einen einzigen Erfolg erzielt. Eine KI, die mit gleich mehreren Algorithmen nach einer Vielzahl verräterischer Vorgehensweisen von Cyberkriminellen fahndet, zwingt den Angreifern hohe Investitionen an Energie und Zeit auf, um unentdeckt zu bleiben.Abgesehen davon sollten KI-Anbieter ihre Algorithmen für maschinelles Lernen permanent weiterentwickeln, damit die Systeme den kompletten Lebenszyklen komplexer Angriffe auf die Spur kommen.

3) Wie lange dauert es, bis die Algorithmen für maschinelles Lernen in einer neuen Umgebung zum ersten Mal schädliche Vorgänge erkennen und melden? Wie viele Algorithmen verlangen generell nach einer Trainingszeit, und wie lange dauert diese dann an? Ein KI-Anbieter sollte auf diese Frage sofort eine Antwort parat haben. Nicht jede Form des maschinellen Lernens benötigt eine lange Vorlaufzeit, um zunächst Wissen zu akkumulieren und erst danach Antworten zu liefern. Verlangen alle Algorithmen eines Produkts nach einer langen Lernphase, zeigt dies, dass ausschließlich Techniken unüberwachten Lernens implementiert wurden. Nutzt eine Lösung dagegen alle geeigneten Modelle maschinellen Lernens für die Aufdeckung von Angriffsvorgängen, kann sie sofort Resultate erbringen und überdies zuverlässiger wirklich verdächtiges Verhalten aus dem Grundrauschen der sonstigen Vorgänge im Netz herausfiltern.

4) Wie priorisiert eine Lösung Hosts, die fürs Unternehmen kritisch sind und von denen ein hohes Risiko ausgeht, sodass sie im Falle eines Events die sofortige Aufmerksamkeit eines Analysten erfordern? Die Entscheidung darüber, wofür die Arbeitszeit eines Analysten verwendet werden sollte und welche Gegenmaßnahmen im Angriffsfall einzuleiten sind, verlangen nach einem guten Verständnis der betroffenen Assets und für das Risiko, das Ihrer Geschäftstätigkeit jeweils droht.

5) Integriert sich ein Produkt nahtlos in etablierte Incident-Response-Verfahren? Viele Unternehmen verfügen bereits über definierte Prozesse für Incident Response – mit festgelegten Arbeitsabläufen, zuständigen Mitarbeitern und technischen Lösungen. KI sollte sich in diese Prozesse einpassen und nicht als isolierte Silo-Lösung arbeiten. Ideal ist es, wenn die Erkenntnisse des KI-Produkts den Ausgangspunkt für tiefergehende Nachforschungen mit bereits vorhandenen Werkzeugen bilden.

6) Welche Integrationsmöglichkeiten bietet ein Produkt, um Firewalls, Endpoint-Security oder NAC zur Blockade oder Eindämmung erkannter Attacken heranzuziehen? Wie arbeitet das Produkt mit diesen Plattformen zusammen? Nicht alle Attacken sind gleich, deshalb sollten sich auch die Response-Maßnahmen unterscheiden. Eine KI-Plattform sollte ihre Erkenntnisse der existierenden Infrastruktur zur Verfügung stellen, damit weniger Zeit bis zum Start der Gegenwehr vergeht. Noch wichtiger ist, dass das Produkt dabei unterstützt, die jeweils richtigen Response-Aktionen zu wählen.

7) In welchem Maße reduziert das Produkt die Arbeitslast der Security-Analysten? In welcher Form sind Effizienzsteigerungen zu erwarten? KI sollte dazu dienen, die Tätigkeit menschlicher Analysten zu unterstützen, damit diese ihren Job smarter und effizienter erledigen können. In der Praxis bedeutet dies, die Arbeitslast zu reduzieren, damit sich die Analysten auf die wichtigsten Vorkommnisse konzentrieren können. Wenn der Output einer Lösung stattdessen eher komplex ist und die Arbeitslast für einen Analysten sogar erhöht, weil er die Ergebnisse erst einmal entschlüsseln und dann näher untersuchen muss, haben Nutzer es nicht wirklich mit künstlicher Intelligenz zu tun.

8) Unterstützt das Produkt Penetration-Tests durch unabhängige Spezialisten, die die Algorithmen für maschinelles Lernen und die KI-Leistung mit fingierten Angriffen auf die Probe stellen? Übernehmen Hersteller die Kosten für solche Tests, wenn das Produkt keine der Probe-Attacken erkennt? Jedes Produkt, das für die Aufdeckung von Cyber-Attacken gedacht ist, sollte alle Tricks der Angreifer kennen und verstehen, wie echte Angriffe ablaufen. Nutzer sollten Werkzeuge für die Angriffserkennung immer mittels realitätsnaher Szenarien testen, um sicherzustellen, dass sie bei einem echten Angriff tatsächlich funktionieren.

9) Empfehlen der Hersteller, während der Evaluierungsphase menschlichen Analysten Remote-Zugriff auf sein Produkt zu gewähren? Warum? Anbieter erheben gern Metadaten aus den Umgebungen ihrer Kunden, um ihre Technologie langfristig weiterzuentwickeln und die Leistung ihrer Systeme zu verbessern. Auf der Basis der Metadaten entsteht für den Hersteller eine hervorragende Feedback-Schleife. Von einigen Anbietern allerdings weiß man, dass sie während der Evaluierungsphase ihres Produkts menschliche Analysten zuschalten, die manuell nach Bedrohungen suchen und sie analysieren.

(ID:44931813)