Künstliche Intelligenz in der IT-Sicherheit
Chancen und Grenzen von KI und ML
Künstliche Intelligenz (KI) und Machine Learning (ML) durch-dringen mittlerweile die IT und sind in vielen Gebieten im Einsatz. Die aktuellen Fortschritte sind enorm und die Einsatzfelder vielseitig. Auch in der IT-Security finden sie Anwendung, so zum Beispiel bei der Klassifizierung von Malware. Doch es gibt Grenzen - insbesondere wenn der Kontext unberücksichtigt bleibt.
Um kaum ein Thema gab es in der Vergangenheit so viel Wirbel wie um KI und ML. In den vergangenen Jahren wurden riesige Datenmengen gesammelt und mithilfe neuer Methoden zur Big-Data-Analyse (Bilderkennung, Klanganalyse etc.) ausgewertet. Diese Entwicklungen haben die IT-Branche stark verändert.
Zugleich existieren auch Missverständnisse: Die Begriffe KI und ML werden oft gleichgesetzt oder verwechselt, sodass eine Abgrenzung notwendig ist. Zunächst muss man eine Abgrenzung zur statistischen Analyse ziehen. Bei der statistischen Analyse geht es um Quantifizierung: Untersucht man beispielsweise, wie ein DNS-Server im Netzwerk kommuniziert, werden statistische Eigenschaften berechnet, die das Verhalten dieses Servers charakterisieren.
Beim maschinellen Lernen unterscheidet man zwei Arten: überwacht und unüberwacht ("supervised"/"unsupervised"). Im Überwachungsfall füttert man einen maschinellen Lernalgorithmus mit sogenannten "markierten" Daten. Das bedeutet, es liegen bereits identifizierte Trainingsdaten vor. Ein Beispiel hierfür ist eine Reihe von Binärdateien, die mit "gut" und "schlecht" (also harmlos oder Malware) beschriftet sind. Der Algorithmus betrachtet dann diese Dateien und versucht zu lernen, was die Eigenschaften von Malware sind. Danach wird der Algorithmus mit unbekannten Binärdateien gefüttert und muss diese auf eigene Faust klassifizieren. In diesem Fall spricht man von "überwacht", weil das System zuvor trainiert wurde.
Im unüberwachten Fall liegen keine Trainingsdaten vor. Das System weiß also nicht, was gute oder schlechte Binärdateien sind. Der Algorithmus versucht dann herauszufinden, welche gemeinsamen Eigenschaften diese Binärdateien haben. Oft findet dazu Clustering Verwendung. Auch bei dieser Methode füttert man den Algorithmus mit Binärdateien, die zuvor auf Grundlage ihrer Ähnlichkeiten in verschieden Klassen eingeteilt sind. Ein Analytiker kann dann diese Klassen untersuchen, und wenn der Algorithmus gut entworfen ist, ergeben die Ergebnisse tatsächlich Sinn und setzen zum Beispiel schädliche Anwendungen in eine Klasse. Das ist jedoch unwahrscheinlich. Daher kommt für die binäre Klassifikation überwachtes Lernen zum Einsatz.
Künstliche Intelligenz liegt jenseits von statistischer Analyse und ML. Mit KI verfügt man über ein Programm, das nicht nur einfach Daten klassifiziert, sondern neues Wissen schafft, das für Security-Experten aufschlussreich ist. Dies ist zwar keine sehr enge Definition, sollte aber als Arbeitsdefinition reichen, denn wir verfügen bislang noch nicht über derartige Systeme in der Sicherheitstechnik: Unternehmen, die das behaupten, arbeiten bestenfalls mit ML-Methoden, nicht jedoch mit KI.
ML für Malware-Klassifizierung
Im Bereich der Malware-Klassifizierung nutzen Sicherheitsexperten ML bereits seit längerer Zeit erfolgreich. Dabei verwenden sie ML, um Millionen von Datei-Samples zu analysieren und die Eigenschaften von Malware genau zu identifizieren. Bei der Klassifizierung von Malware sind aktuelle Algorithmen sehr gut in der Lage, eine Datei oder Binärcode als Malware oder "gute" Datei einzuordnen.
Diese Klassifizierungsmethode funktioniert allerdings nur bei sehr spezifischen Problemen und Datensätzen. Sie lässt sich nicht ohne Weiteres auf andere Bereiche jenseits der Malware-Bestimmung anwenden. Grund dafür sind die fehlenden Trainingsdatensätze, die das System benötigt, um zu lernen. So ist es beispielsweise im Netzwerkbereich kaum möglich, einen sauberen Datensatz zu bekommen, der eindeutig zwischen "gutem" und "schlechtem" Netzwerkverkehr unterscheidet. Maschinen können zwar statistische Ausreißer ermitteln, aber ohne Domain-Wissen ist ein tatsächliches Sicherheitsrisiko nicht mit Bestimmtheit festzustellen.
Ein großer Teil der Unternehmen wählt für den Einsatz von ML-Methoden mehr oder weniger zufällig Techniken oder Algorithmen aus, um sie auf Sicherheitsprobleme anzuwenden. Allerdings kann man eine Anomalie auf diese Weise nicht gut einstufen, da keine Kenntnisse über den breiteren Kontext vorliegen. Sinnvoller ist es, von einem konkreten Problem auszugehen, um zu definieren, welche Daten für die Wahl des entsprechenden Lösungsalgorithmus erforderlich sind.
Statt sich auf vorliegende Daten und Algorithmen zu konzentrieren, sollten Unternehmen also den Kontext berücksichtigen und Expertenwissen sammeln und kodifizieren. Sie müssen Antworten auf Fragen nach der Art und Rolle der vorliegenden Maschinen und der Charakteristik der Benutzer bekommen, um eine Anomalie einstufen zu können. Nach wie vor bereitet es vielen Unternehmen aber Probleme, diese Daten zu sammeln und zu verstehen. So erhält man in den meisten Umgebungen keine brauchbare Antwort auf eine einfache Frage wie: "Welches sind die Computer, die im Netzwerk aktiv sind, und was sind ihre Rollen?" Ohne diese Informationen ist es jedoch meist nicht möglich, Sicherheitsprobleme zu identifizieren.
Eine gängige Methode in der IT-Sicherheit ist heute der Entweder/oder-Ansatz: Entweder ist etwas schlecht und man blockiert es, oder es ist in Ordnung und somit erlaubt. Dank KI und ML wird es zukünftig aber vermehrt feinere Abstufungen geben. Hierzu ist jedoch statt des Entweder/oder-Ansatzes eine risikoorientierte Betrachtung vorzunehmen. Dabei nutzt man Risikoprofile, die sich durch Beobachtung ungewöhnlichen Verhaltens einer Maschine oder eines Benutzers entwickeln. Die daraus resultierenden Risikoniveaus bilden eine Grundlage für dynamische, strategische Entscheidungen.
Ist beispielsweise das Risikoniveau eines Systems leicht erhöht, kann eine Firewall dem Nutzer Zugriff auf bestimmte Systeme (zum Beispiel geschäftskritische Daten) verweigern. Auf Basis des Risikoniveaus könnte die Firewall aber auch entscheiden, eine Deep Packet Inspection (DPI) durchzuführen, um so den Datenfluss abzusichern. Diese dynamischen Entscheidungen sind heute noch nicht möglich und eine Firewall ist statisch konfiguriert, um Verkehr entweder zu blockieren oder zuzulassen.
Auch die Alarmsichtung im Rahmen einer so genannten Level-1-Analyse, bei der Sicherheitsexperten einen Stream von Alarmen durchforsten und manuell Probleme identifizieren, wird künftig vereinfacht. So versuchen einige Startup-Unternehmen schon heute, diesen Prozess mit ML-Methoden zu automatisieren, damit das System selbstständig eine Entscheidung treffen kann. Sollte diese Entwicklung ähnlich schnell fortschreiten wie in den letzten Jahren, könnte eine manuelle Level-1-Analyse in einigen Jahren überflüssig sein: Maschinen übernehmen dann diese Prozesse, und Security-Experten haben mehr Zeit für anspruchsvollere Aufgaben.
Erst Grundlagen schaffen
In der Diskussion zum Einsatz von KI/ML in der IT-Security wird oft außer Acht gelassen, dass zunächst die Grundlagen zu schaffen und sichere Infrastrukturen aufzubauen sind. Damit müssen sich alle Unternehmen beschäftigen. Allerdings besteht derzeit ein Defizit an Sicherheitsfachleuten, die sichere Infrastrukturen erstellen können. Hier sind die Unternehmen gefordert, denn erst wenn die Grundlagen geschaffen sind, ist eine Integration von KI/ML sinnvoll. Zudem verfügen wir heute auch über wesentlich mehr Daten über Tausende von Nutzern, die umfassende und interessante Informationen liefern. Diese lassen sich nutzen, wenn man Sicherheit als gemeinsames Problem auffasst und nicht in Silos arbeitet. Deshalb sollten Unternehmen und Sicherheitsexperten über Unternehmensgrenzen hinweg stärker zusammenarbeiten. Nur so sind die Herausforderungen der kommenden Jahre zu meistern.
Lesen Sie mehr zum Thema
