Cyber Security der Zukunft Wie KI-Tools das SOC unterstützen

Anbieter zum Thema

Arvato Systems

SoSafe GmbH

Arctic Wolf Networks Germany GmbH

Axians Networks & Solutions GmbH

Ein Security Operations Center (SOC) schützt fortschrittlich vor Cyberbedrohungen. An der Seite der Analyst:innen stehen inzwischen intelligente Systeme, die Attacken auf Endgeräte und Netzwerke frühzeitig erkennen können. Der Einsatz von KI-Technologie ist dabei nur der erste Schritt zur Cyber Security der Zukunft.

Künstliche Intelligenz (KI) ist in vielen Bereichen auf dem Vormarsch – und hat sich in der Welt der Cyberkriminalität längst etabliert. Hacker:innen nutzen Algorithmen für umfangreiche Angriffe, die weit über den Einsatz von Trojanern und Malware hinausgehen. Unternehmen, die ihre Daten wirksam vor ausgeklügelten und langfristig ausgelegten Angriffen schützen wollen, sind daher auf umfangreiche Schutzkonzepte angewiesen. Ein Security Operations Center (SOC) bietet diesen umfassenden Schutz. Diese Cyber-Security-Leitstellen bündeln alle sicherheitsrelevanten Services, um die SOC-Analyst:innen im Kampf gegen Cyberangriffe zu unterstützen. Dafür setzen sie auf Zukunftstechnologien wie künstliche Intelligenz (KI), Machine Learning und Deep Learning. Selbstlernende Lösungen sind somit längst Grundbestandteil eines SOC – und ihr Potenzial ist noch lange nicht ausgeschöpft.

Unterstützung für die Security-Teams

Ein Security Operations Center (SOC) bietet rund um die Uhr Schutz vor Cyberbedrohungen. Dreh- und Angelpunkt in Sachen Analysekompetenz ist nach wie vor der Mensch – Cyber-Security-Expert:innen, die ihr umfassendes Know-how zu allen Aspekten der IT, zu Test- und Analysemethoden sowie zur Programmierung in einem Team vereinen. Um Erkennungs- und Reaktionsprozesse aktiv gestalten zu können, benötigen sie jedoch die Unterstützung durch ein Security Information and Event Management (SIEM) – und durch weitere KI-basierte Tools. Dazu gehören Analysekomponenten innerhalb des SIEM – etwa ein Modul für User and Entity Behavior Analytics (UEBA), neuronale Netzwerke (beispielsweise Watson) sowie Endpoint und Network Detection (EDR/NDR). Diese Tools spüren automatisiert Auffälligkeiten auf, analysieren und klassifizieren sie. Sie erkennen beispielsweise, in welcher Phase ein Angriff steht und finden Kill Chains. Auf diese Weise profitieren Anwender:innen sowohl von menschlichem Wissen als auch vom kombinierten Einsatz verschiedener Machine-Learning-Komponenten, die die Security-Analyse an unterschiedlichen Stellen unterstützen.

Neuronale Netzwerke sehen mehr

Mit der Einrichtung eines SOC geben Unternehmen die Abwehr von Bedrohungen in die erfahrenen Hände von Spezialist:innen. Diese stoßen jedoch bei komplexen Bedrohungslagen durchaus an ihre Grenzen. Ausgeklügelte Attacken können den geschulten Blicken der SOC-Mitarbeiter:innen entgehen, Schäden trotz aller Analysearbeit dennoch eintreten. Unterstützung erhalten die Analyst:innen beispielsweise durch neuronale Netzwerke. Diese cloudbasierten Anwendungen lassen sich mit dem SIEM, dem zentralen Element eines SOC, verbinden. Die neuronalen Netzwerke gleichen automatisiert verdächtige Datenpakete, die sie aus dem SIEM erhalten, gegen die innerhalb des Netzwerks zur Verfügung stehenden Informationen ab. Da ein solches Netzwerk einen viel größeren Bereich umspannt als nur das einzelne Unternehmen, können unternehmensexterne Aktionen in die Bewertung mit einbezogen werden. Außerdem wird die KI zum Threat Hunting genutzt, um zu sehen, ob die Bedrohung auf weiteren Servern oder Client Computern bekannt ist. Ein weiterer Vorteil: Indem das neuronale Netzwerk Parallelen prüft, lassen sich auch Bedrohungen aufspüren, zu denen bisher noch kein Alarm vorlag.

Abweichungen im Verhalten automatisch analysieren

Ein Security Information and Event Management (SIEM) nutzt unterschiedliche Log-Files, um Vorfälle zu identifizieren und liefert damit frühzeitig Informationen zu möglichen Bedrohungen. Die Regeln eines SIEM sind so konzipiert, dass es aktuelle Attacken in Echtzeit aufdeckt. Angriffe sind jedoch heute zunehmend über einen Zeitraum von mehreren Monaten angelegt. Einen verbesserten langfristigen Schutz bietet ein Modul für User and Entity Behavior Analytics (UEBA). Dessen großer Vorteil ist, dass es nicht auf Regeln basiert, die von Hacker:innen leicht zu umgehen sind. Stattdessen kommen hier Risikobewertungsverfahren und modernste Algorithmen zum Einsatz, mit denen sich Anomalien in der IT-Landschaft über einen längeren Zeitraum verfolgen lassen. Das UEBA-Modul deckt Anomalien im Verhalten der Anwender:innen auf, wenn diese sich über die Zeit anders verhalten als zuvor. Gleichzeitig wird das Anwenderverhalten auch mit dem Verhalten ihrer Peer Group verglichen. Das SOC-Team erhält so hilfreiche Informationen zu eventuell schadhaftem Verhalten der Anwender:innen und Maschinen. Dank Machine Learning kann es so nicht nur Wissen über ein Ereignis sammeln, sondern daraus auch ein Modell entwerfen, das sich für künftige ähnliche Fälle adaptieren lässt. Somit ergänzt es das SIEM bereits sehr umfassend. Der Einsatz von Endpoint Detection and Response (EDR) sowie Network Detection and Response (NDR) macht das SIEM komplett – in der sogenannten, von Gartner formulierten SOC-Sichtbarkeitstriade. Dieses Szenario ist derzeit die wohl beste Möglichkeit, um die volle Analyse- und Abwehr-Power eines SOC auszuschöpfen.

Endpoint Detection spürt Schwachstellen auf

Die Fähigkeit des SIEM, nach Auffälligkeiten in Logdaten und Datenflüssen auf Applikationsebene zu suchen, wird mit Mitteln der künstlichen Intelligenz erweitert, wenn Systeme für Endpoint Detection and Response (EDR) ins Spiel kommen. Eine Endpunkterkennung kombiniert Machine Learning, Sandboxing, Verhaltensanalyse und Big Data, um die Gefahrensuche zu automatisieren. Sie erfasst das Verhalten sämtlicher Endgeräte und ihrer Anwender:innen und führt die Daten über lokale Verbindungen, Prozesse, Speicheraktivitäten und andere Vorgänge in einer Datenbank zusammen. Dort lassen sie sich mit Hilfe von Threat Intelligence gegen mögliche Schwachstellen und Cybergefahren abgleichen. Zusätzlich nutzt das EDR die Verhaltensanalyse, um Anzeichen für ein Eindringen Unbefugter oder unzulässige interne Aktivitäten zu erkennen und entsprechende Gegenmaßnahmen einzuleiten. Sein Gegenpart und seine Ergänzung bilden Systeme der Network Detection and Response (NDR). Diese konzentrieren sich auf die Erfassung und Analyse von Auffälligkeiten im Netzwerkverkehr. Da sie cloudbasiert arbeiten, ist genügend Kapazität für eine umfangreiche Modellierung und eine automatisierte, kontinuierliche Aktualisierung der Erkennungsmodelle vorhanden. NDR und EDR spielen darüber hinaus sozusagen im Doppel: Wo Angreifer EDR-Komponenten umgehen können, greifen NDR-Tools ein. Beispielsweise sind sie in der Lage, einen Angreifer zu entdecken, sobald er mit einem Gerät im Netzwerk kommuniziert. In manchen Fällen können NDR-Produkte sogar die Informationen über Endpunkte für EDRs freigeben, so dass infizierte Geräte automatisch in Quarantäne gestellt werden.

Ausblick: Intelligente Lösungen für die komplexe IT der Zukunft

Das Zusammenspiel von SIEM, EDR, NDR und weiterer KI-basierter Tools entlastet die Analyst:innen von Routineaufgaben und sorgt für mehr Sicherheit. In Zukunft wäre es denkbar, dass alle Anwendungen für eine noch höhere Kontrolle auf einer Konsole in Echtzeit zusammenlaufen, sodass die Security-Expert:innen stets auf dem aktuellsten Stand sind. Eine solche Lösung könnte dann auch komplett mit KI-Anwendungen arbeiten und selbstständig Anfragen absenden, Analysen durchführen und Gegenmaßnahmen einleiten. Und sie könnte nicht nur auf einzelne Unternehmen, sondern auf verschiedene Branchen abgestimmt sein. Denn auch wenn die SOC-Sichtbarkeitstriade die Infrastruktur der Anwender:innen bereits sehr gut schützt: Die Komplexität in der IT nimmt zu und wird in Zukunft kaum mehr ohne schlagkräftige KI-Tools überwachbar sein – zumal auch Cyberkriminelle zunehmend auf KI-Anwendungen setzen. Es sind also immer intelligentere Lösungen nötig, um Bedrohungen zu bekämpfen. Expert:innen gehen davon aus, dass die SOC-Sichtbarkeitstriade, ergänzt durch intelligente Tools, erst der Beginn einer integrierten und automatisierten Abwehr von Cyberangriffen ist.

Angesichts dieser dynamischen Entwicklungen stellt sich für Unternehmen nicht mehr die Frage, ob sie ein Security Operations Center benötigen, sondern wie sie diese wichtige Instanz inklusive der stetig weiter entwickelten KI-Komponenten in ihre Cyber-Security-Strategie integrieren können. Eine Inhouse-Lösung ist für viele Unternehmen kein gangbarer Weg, da ein SOC eine 24/7 Betreuung erfordert und die dafür erforderlichen Fachkräfte nur schwer zu finden sind. Bei spezialisierten Anbietern wie beispielsweise Axians besteht daher die Möglichkeit, SOC-as-a-Service zu nutzen, um interne Ressourcen zu sparen und mittels externer Unterstützung zu jeder Zeit auf dem aktuellen Stand der Technik zu bleiben.

Über den Autor: Volker Scholz ist Diplom-Wirtschaftsingenieur mit den Schwerpunkten Systemtechnik und Betriebswirtschaftliche Planungssysteme. Seit 2008 arbeitet er im Bereich Cyber Security, davon 9 Jahre in einem Industrieunternehmen und seit September 2016 bei Axians. Er ist Senior Security Architect bei Axians IT Security mit den Schwerpunkten Security-Architekturen, organisatorische Cybersicherheit, Managed Security Services sowie Security as a Service.

(ID:47774666)