KI verbessert Cybersicherheit, doch menschliche Aufsicht bleibt essenziell

Wenn es darum geht, Computer und Informationssysteme vor Cyberangriffen zu schützen, können künstliche Intelligenz und Machine Learning helfen – aber sie sind kein Allheilmittel für ein wachsendes Problem.

KI: Kein Zaubermittel

Ungeachtet der aktuellen Begeisterung für KI und ihrer zunehmenden Fähigkeit, Menschen auf zahlreichen Fronten zu übertreffen, ist sie kein Zauberschuss für die Stärkung der Cybersicherheit, sagt Randy Watkins, Chief Technology Officer bei Critical Start, Inc.

KI glänzt beim Verwalten massiver Datenmengen, einschließlich Alerts über mögliche Sicherheitsverletzungen. Das Problem liegt darin, wie sie diese Informationen interpretiert.

Alerts werden in der Reihenfolge ihres Eintreffens bearbeitet. Dann werden sie priorisiert und auf das angemessene Bedrohungslevel bewertet. Menschliche Analysten mit tiefem Wissen und Erfahrung des Business sind gut darin, jeden Alert in seinen richtigen Kontext zu setzen. Maschinen nicht so sehr. Ein KI-gesteuertes System kann anomale Benutzeraktivität erkennen, ist aber weniger effektiv darin, festzustellen, ob das Ereignis böswillige Absicht beinhaltet.

„Ich bin kein Naysayer von allem, was KI betrifft“, sagt Watkins, „aber KI und Machine Learning haben nicht die Fähigkeit, eine Fülle von Vernunft auf das anzuwenden, was sie tun.“

False Positives und Kontextverständnis

Maschinen sind nicht besonders gut darin, False Positives zu minimieren. Nehmen Sie Microsofts PowerShell, ein beliebtes Framework für Task-Automatisierung. Eine Maschine kann nicht genau bestimmen, ob ein gegebener Benutzer dieses Tools einen Befehl zu einem bestimmten Zeitpunkt ausführen sollte. Die Anomalie mag oder mag nicht das Ergebnis eines böswilligen Angriffs sein.

Der Begriff „Machine Learning“ impliziert, dass das System mit Erfahrung besser wird, aber Watkins sagt, diese Fähigkeit ist begrenzt. Das Training des Algorithmus, um angemessen zu reagieren, erfordert das Einspeisen großer Mengen vorheriger Beispiele, sowohl guter als auch schlechter. Und es löst immer noch nicht das Problem von False Negatives – tatsächlichen Angriffen, die das System verpasst. „Man muss in der Lage sein, die Ausreißer herauszufiltern, die Ihre Daten verzerren“, sagt Watkins.

Herauszufinden, ob ein Ereignis böswillig ist, ergibt nicht immer eine Ja-oder-Nein-Antwort. Zum einen müssen Unternehmen bestimmen, wie sensibel sie das System wollen. Soll es bei 100 % der scheinbar anomalen Events Alarm schlagen? Wie wäre es mit 80 %? Zu viel, und Sie werden mit Alerts und potenziellen Systemabschaltungen überschwemmt. Zu wenig, und Verstöße werden wahrscheinlich unentdeckt durchschlüpfen.

„Wenn Sie mehr Variablen einführen, benötigen Sie zusätzliche Datensätze, mehr Kontext über das Subjekt und das Verhalten [des Systems]“, bemerkt Watkins. „Sobald Sie anfangen, diese Fragen einzuführen, fällt die Maschine auseinander.“

Menschliche Stärke: Kumulatives Risikoscoring

Effektive Erkennung von Cyberangriffen hängt von kumulativem Risikoscoring ab, was Menschen gut können. „Jedes Mal, wenn wir ein Event ansehen, entscheiden wir, ob es verdächtig ist“, sagt Watkins. „Aber man kann auch Vernunft anwenden und Vorwissen über Sicherheit, das Algorithmen nicht haben.

„Eine Maschine kann gewaltige Datenmengen schnell durchkriechen“, fährt er fort. „Aber geben Sie ihr ein abstraktes Konzept wie Least Privilege und wenden Sie es auf den Alert-Satz an – wird es eine Privilege-Eskalation erkennen? Es gibt viele gutartige Aktivitäten, die böswillig aussehen.“

Zukunft: Mensch-Maschine-Kollaboration

Es besteht kein Zweifel, dass Machine Learning sich weiterentwickeln wird, selbst wenn Cyberdiebe neue Wege finden, der Entdeckung zu entgehen. Microsoft hat Fortschritte bei der Verbesserung der Raffinesse automatisierter Erkennungssysteme gemacht, ebenso wie Palo Alto Networks, ein globaler Cybersicherheitsführer. „Aber am Ende des Tages“, sagt Watkins, „brauchen Sie immer noch einen Menschen, der sagt: ‚Ja, schalt diesen Domain Controller offline.‘“ Unternehmen streben ständig danach, die Kosten von Systemausfallzeiten durch fehlerhafte Alerts zu minimieren.

Doch es gibt nicht genug menschliche Experten, um den Bedarf an Cybersicherheit über alle Sektoren zu decken. „Es gibt definitiv einen Mangel an Talent in der Branche“, sagt Watkins. Daher der Griff nach externer Unterstützung in Form von Managed Detection and Response.

Der Talentmangel ist nicht neu. „Er existiert, seit Sicherheit existiert“, sagt Watkins. Erst in den letzten 10 Jahren haben Unternehmen und Universitäten begonnen, aufzuwachen für die Notwendigkeit besserer Ausbildung und Bildung zukünftiger Cybersicherheitsexperten.

Sowohl Menschen als auch Maschinen haben noch einen Weg vor sich, wenn sie bei der Sicherung vitaler Systeme gegen die stetig wachsende Bedrohung durch Cyberangriffe kollaborieren sollen. „Wir starteten bei null, als wir bei 60 sein mussten“, sagt Watkins. „Jetzt müssen wir bei 90 sein, und wir sind bei 60.“