KI als Softwarebestandteil in der IT-Sicherheit

Wie funktioniert KI in der IT-Sicherheit?

KI in der IT-Sicherheit analysiert Informationen wie zum Beispiel Netzwerkverkehr, Logdateien, Benutzeraktivitäten, E-Mails oder das Verhalten von Programmen. Es handelt sich also eher um eine KI aus dem Bereich Machine Learning und Anomalie-Erkennung. Die KI ist dabei fester Bestandteil verschiedenster Softwareprodukte und Werkzeuge (Beispiele sind im Absatz KI-Lösungen aufgeführt).

Der Ablauf ist meistens gleich: Zunächst werden Daten gesammelt und analysiert, um Muster zu erkennen. Auffälligkeiten werden identifiziert und Risiken bewertet. Wird etwas Verdächtiges gefunden, löst das System einen Alarm aus und kann, wenn entsprechend eingerichtet, auch Maßnahmen ergreifen. KI ist in der Lage, eine sehr große Datenmenge in wenigen Sekunden auszuwerten, was für Menschen unmöglich wäre. Daher kann KI eine riesige Hilfe für Unternehmen sein.

Erkennung von Angriffen durch KI

Zuerst lernt die KI, was normales Verhalten ist. Zum Beispiel meldet sich ein Mitarbeiter normalerweise tagsüber aus Deutschland an und arbeitet mit bestimmten Dateien. Wenn sich dieser Mitarbeiter plötzlich nachts aus einem anderen Land anmeldet und gleichzeitig viele Daten herunterlädt, erkennt die KI diese ungewöhnliche Aktivität. Dann bewertet sie das Risiko. Wenn die Gefahr hoch ist, wird ein Alarm ausgelöst. Dieses Verfahren nennt man Anomalie-Erkennung oder Verhaltensanalyse. Jedoch kann eine starke Einbindung von KI ohne entsprechende Schutzmechanismen in einem Unternehmensnetz auch zu ungewollten Aktionen der KI führen.

KI vs. Malware und Ransomware

Früher haben Antivirenprogramme nach bekannten Schadprogrammen gesucht. Heute analysieren moderne KI-Systeme das Verhalten von Programmen. Wenn ein Programm plötzlich Dateien verschlüsselt, Passwörter ausliest oder Systemeinstellungen verändert, erkennt die KI das als verdächtig. Häufig kommen dabei mehrstufige Ansätze zum Einsatz. Einfache, schnelle Modelle prüfen große Mengen an Aktivitäten und filtern auffällige Vorgänge heraus. Anschließend analysieren komplexere Modelle diese Verdachtsfälle genauer. Ebenso kommen komplexere Modelle ins Spiel, wenn die einfachen Modelle kein eindeutiges Ergebnis liefern. Dadurch können auch neue Schadprogramme erkannt werden, die bisher noch nicht bekannt waren.

KI vs. Phishing

Phishing-E-Mails gehören immer noch zu den häufigsten Cyberangriffen. Die KI untersucht dabei verschiedene Merkmale: Sprache und Formulierungen, auffällige Dringlichkeit, Links und Domains sowie Absenderinformationen.
Anschließend berechnet die KI das Risiko einer E-Mail und weist auf mögliche Gefahren hin. Eine automatische Blockierung ist zwar möglich, sollte jedoch mit Vorsicht eingesetzt werden. Besonders sinnvoll ist KI bei der Erkennung und Kennzeichnung verdächtiger Nachrichten, um Nutzer und Sicherheitsverantwortliche bei der Bewertung zu unterstützen.

KI im Security Operations Center (SOC)

Sicherheitsteams erhalten täglich viele Warnmeldungen. Es ist oft schwierig, alle Meldungen einzeln zu prüfen. KI kann dabei helfen, diese Warnmeldungen zu analysieren und Zusammenhänge zwischen verschiedenen Ereignissen zu erkennen. Dadurch können wichtige Vorfälle schneller identifiziert und die Anzahl von Fehlalarmen (False Positives) reduziert werden. Allerdings sind KI-Systeme, ähnlich wie beispielsweise Intrusion Detection Systeme (IDS), nicht in der Lage, alle Ereignisse zu 100 % korrekt zu erkennen und einzustufen. Es besteht weiterhin das Risiko, dass tatsächliche Bedrohungen übersehen werden (False Negatives). Daher dient KI vor allem als Unterstützung für die Mitarbeiter bei der Bewertung von Sicherheitsvorfällen und hilft ihnen, sich auf die wichtigsten Fälle zu konzentrieren.

Automatische Reaktion auf Angriffe

Moderne Sicherheitslösungen können nicht nur Angriffe erkennen, sondern in einigen Fällen auch automatisch darauf reagieren. Ein weit verbreitetes Beispiel ist ein Intrusion Detection and Prevention System (IDPS). Die integrierte KI kann dabei helfen, Benutzerkonten zu sperren, Geräte vom Netzwerk zu trennen, verdächtige Prozesse zu beenden, Administratoren zu informieren oder Untersuchungen einzuleiten. Alternativ kann die KI auch lediglich Vorschläge für mögliche Reaktionen liefern, die anschließend manuell geprüft und umgesetzt werden.

Solche Maßnahmen können dazu beitragen, Schäden schneller zu verhindern oder zu begrenzen. Allerdings besteht das Risiko, dass legitime Aktivitäten fälschlicherweise als Bedrohung erkannt werden. Beispielsweise könnte der Download eines Skripts für ein geplantes Software-Update als Angriff eingestuft und der Netzwerkverkehr blockiert werden. Dadurch können Geschäftsprozesse beeinträchtigt werden. Aus diesem Grund sollten automatische Reaktionen sorgfältig konfiguriert und überwacht werden.

KI-Lösungen

Folgende Lösungen nutzen KI als zentrale Komponente, wobei die Liste weder vollständig noch abschließend ist:

• CrowdStrike Falcon: schützt Computer und Server. Die KI erkennt verdächtige Aktivitäten und reagiert darauf.
• Microsoft Security Copilot: unterstützt Sicherheitsteams bei der Analyse von Vorfällen und gibt Empfehlungen.
• Darktrace: lernt das normale Verhalten eines Unternehmens und erkennt ungewöhnliche Aktivitäten im Netzwerk.
• SentinelOne: kann Angriffe automatisch erkennen und oft ohne menschliche Hilfe stoppen.
• Palo Alto Cortex XSIAM: hilft bei der Automatisierung von Sicherheitsaufgaben und der Bearbeitung von Vorfällen.
• Wiz: konzentriert sich auf Cloud-Sicherheit und erkennt Risiken in Cloud-Systemen wie AWS, Azure oder Google Cloud.

Risiken und Herausforderungen

KI ist nicht perfekt. Manchmal kann sie harmlose Aktivitäten als Angriff erkennen oder echte Angriffe übersehen. Abgesehen davon ist ihre Einbindung in die eigenen Systeme eher restriktiv zu halten, da tatsächlich ergriffene Maßnahmen einen Blackout zur Folge haben können. Um die Ausmaße der Folgen nachvollziehen zu können, lassen sich verschiedene Beispiele wie KI-Agent löscht Daten: Katastrophe für PocketOS finden.

Auch Cyberkriminelle nutzen KI, v.a. in der Form von Large Language Models (LLMs) und anderer, generativer KI. Sie setzen sie zum Beispiel für Phishing, Deepfakes oder automatisierte Angriffe ein. Deshalb bleibt die Kontrolle durch Menschen weiterhin wichtig.

Fazit

KI ist heute ein wichtiger Teil der IT-Sicherheit. Sie hilft dabei, Angriffe schneller zu erkennen, Daten zu analysieren und Sicherheitsprozesse zu verbessern.

Gleichzeitig gibt es auch Herausforderungen, da Angreifer ebenfalls KI nutzen. Deshalb stellt sich die Frage, ob Unternehmen auch diese Technologie einsetzen sollten, um sich besser vor solchen Angriffen zu schützen. Dabei müssen die Vorteile und Risiken sorgfältig abgewogen werden. KI kann bei der Abwehr von Cyberangriffen unterstützen, bringt jedoch auch neue Risiken mit sich. Daher wird sie in Zukunft wahrscheinlich eine immer wichtigere Rolle bei der Verteidigung gegen Cyberangriffe spielen.