Diese Experten glauben, dass KI uns dabei helfen kann, den Kampf um die Cybersicherheit zu gewinnen.

Laut Palo Alto Networks können aufkommende Technologien IT-Sicherheitsteams dabei helfen, ungewöhnliche Aktivitäten effektiver zu erkennen.

Laut einem Mitbegründer des renommierten Cybersicherheitsunternehmens Palo Alto Networks kann die Einführung von künstlicher Intelligenz (KI) in zahlreiche Cybersicherheitsprodukte nicht früh genug erfolgen. Er betrachtet die zunehmend komplexer werdende Bedrohungslandschaft als zu komplex, um sie allein durch menschliches Handeln zu bewältigen.

„Sie werden eine Million verschiedene Wege ausprobieren, um einzudringen“, sagte Nir Zuk, Mitbegründer und CTO von Palo Alto Networks, bezüglich böswilliger Akteure. Was die Threat Hunter angeht, so sagte er: „Man kann nicht in einer Million Fällen jeweils richtigliegen - das ist schlichtweg nicht machbar.“

Hier kommt die KI ins Spiel. Zuk und Lee Klarich, CPO bei Palo Alto, unterhielten sich mit Windows-Office.net darüber, wie KI die Cybersicherheit verändert.

Palo Alto wurde vor fast 18 Jahren als Anbieter für Netzwerksicherheit gegründet und konkurrierte dabei mit zahlreichen Spezialisten für Firewalls sowie Unternehmen im Bereich Intrusion Detection und -Prevention. Später expandierte das Unternehmen in die Bereiche Cloud-Sicherheit und Managed Services.

„Wenn ich Abweichungen innerhalb der Organisation erkennen kann - etwas, was Menschen nicht vermögen, aber KI in skalierbarer Weise kann -, dann verschafft mir das einen Vorteil“, sagte Zuk.

Zuk, ein ausgebildeter Mathematiker, verfügt über eine lange Erfahrung in der Leitung von Technologieabteilungen bei Unternehmen im Bereich Cybersicherheit. Zuvor war er CTO bei Juniper Networks. Davor gründete er das Cybersecurity-Startup OneSecure - dieses wurde später an NetScreen Technologies verkauft, welche ihrerseits an Juniper verkauft wurden.

Klarich war zuvor Direktor für Produktmanagement bei Juniper sowie zuvor Leiter der Firewall-Technologie bei NetScreen.

Laut Zuk ist der kritische Punkt für KI und Sicherheit das Security Operations Center, also das SOC, das beobachtet, was im Netzwerk vor sich geht, und versucht, böswilliges Verhalten zu erkennen und zu stoppen.

Der Chief Information Security Officer (CISO) und sein Team sind unterlegen. „Wenn man sich die Zahlen zu Reaktion, Wiederherstellung und Behebung ansieht - also die Hauptaufgaben eines CISO nach einem Sicherheitsvorfall - dann sind diese Zahlen katastrophal“, sagte Zuk.

„Als die SEC [US Securities and Exchange Commission] bekannt gab, dass börsennotierte Unternehmen innerhalb von vier Tagen über einen schweren Sicherheitsverstoß berichten müssen, hatten alle einen ‚Oh, verdammt‘-Moment“, sagte er. Er betonte, dass das Sicherheitsteam an diesem Tag nicht einmal die üblichen IT-Tickets abschließen könne: „Sie suchen nach der Nadel im Heuhaufen.“

Da es nicht genug Ingenieure gibt - oder einfach nicht genug Stunden am Tag -, „besteht die Idee hinter der KI im SOC darin, die Dinge zu erledigen, die Menschen tun“, allerdings „auf die skalierbarste und schnellste Weise“, so Zuk. Dadurch soll die „durchschnittliche Zeit bis zur Erkennung“ eines Sicherheitsvorfalls auf Minuten reduziert werden.

„Ich denke, es besteht die Möglichkeit, dass KI den größten Teil der Implementierung, Konfiguration und Inbetriebnahme von Cybersicherheitsmaßnahmen automatisiert“, sagte Zuk. Denn „es ist für Menschen mittlerweile äußerst komplex geworden, das selbst zu erledigen.“

Automatisierung ist ein weiter gefasster, allgemeiner Begriff, der häufig verwendet wird. Ziel der Anwendung neuer Technologien im SOC ist es, dass das KI-Modell herausfindet, was „normal“ bedeutet. Laut Zuk verbringen der CISO und seine Teams viel Zeit damit, nach Anzeichen verdächtigen Verhaltens zu suchen. Dieser Aufwand dauert Stunden, Tage - manchmal sogar Wochen.

Es wäre besser, wenn die Maschine erkennen könnte, wie „normal“ in einem Unternehmen aussieht, sagte Zuk - damit alles Böswillige auffällt.

„Je mehr Datenquellen [KI] zur Verfügung hat, desto genauer wird das Bild von dem, was normal ist, sein“, sagte Klarich.

„Wir sollten KI nutzen, um herauszufinden, was in der Organisation nicht normal ist - unabhängig davon, welche Angriffstechnik verwendet wurde“, sagte Zuk. „Es ist mir egal, wie sie eingedrungen sind und wie sie sich im Netzwerk bewegen; wenn ich das Ungewöhnliche innerhalb der Organisation erkennen kann - etwas, was Menschen nicht können - und die KI dies in skalierbarer Weise leisten kann, dann habe ich einen Vorteil, den sie heute nicht haben.“

Zuk und Klarich sehen einen Vorteil darin, die Vielfalt der Software zu nutzen, um das Normale zu erkennen. Das Training sowie die Erstellung von Vorhersagen in der KI erfordern die Integration von Sensordaten aus vielen Quellen.

„Man kann keine Daten in isolierten Systemen sammeln und dann erwarten, dass man darauf KI anwenden kann. Es funktioniert viel besser, wenn die Sensoren und die KI vom selben Anbieter stammen“, sagte Klarich. „Je mehr Datenquellen es gibt, desto genauer wird das Bild von dem, was als „normal“ gilt, sein - und damit lässt sich auch erkennen, wie ungewöhnliche Aktivitäten aussehen.“

Die Konzentration der Daten bedeutet, dass Palo Alto der Ansicht ist, dass KI die Konsolidierung in der Cybersicherheitsbranche vorantreiben könnte - einer Branche, die traditionell in viele verschiedene Anbieter aufgeteilt ist.

„Im Bereich der Cybersicherheit gibt es zumeist eine Vielzahl kleiner Anbieter von Einzelprodukten“, sagte Klarich. „Es geht nicht darum, von hundert verschiedenen Sicherheitslösungen auf nur eine umzusteigen, sondern davon, die Anzahl der Lösungen deutlich zu reduzieren. Man kann nicht erwarten, Daten in isolierten Systemen zu sammeln und anschließend KI darauf anzuwenden.“

Die Komplexität nimmt natürlich zu, da die Angriffe durch böswillige Akteure automatisiert werden.

„Wir gehen davon aus - was unsere Technologien betrifft -, dass es neue Angriffstechniken geben wird, die entwickelt werden, sowie zunehmend automatisierte Angriffe“, sagte Zuk. „Das verändert das Ausmaß, in dem Angriffe durchgeführt werden können, drastisch: Sie sind künftig nicht mehr durch die Verfügbarkeit menschlicher Ressourcen begrenzt, sondern können auch KI nutzen, um Angriffe parallel auszuführen.“

Laut Zuk und Klarich erhöht die legitime Nutzung von KI auch die „Angriffsfläche“. Ein Programmierer, der einen programmiertechnischen „Co-Piloten“ zur Codeerstellung verwendet, gibt damit mehr Quellcode-Dateien seines Unternehmens an einen externen Dienst preis.

„Das ist geistiges Eigentum, das gerade den Kontrollbereich des Unternehmens verlassen hat, richtig?“, sagte Zuk. „Und das ist eine von Hunderten neuer KI-Anwendungen, die das gleiche Risiko bergen.“

Die gute Nachricht ist: Zuk sagte, er glaube, dass die Kräfte des Guten im Kampf um die KI siegen können.

„Persönlich glaube ich, dass KI den Verteidigern mehr helfen wird als den Angreifern“, sagte er.