Unorthodoxe Hackermethoden zeigen regelbasierter KI Grenzen auf

Zeit ist nicht alles, sagt Andreas Riesen von Vectra AI. Mit KI-Methoden geht das Unternehmen auf Hacker-Jagd. Im Unterschied zu anderen Anbietern, die meist auf regelbasierte KI setzen, analysiert die “Brain” von Vectra AI das Verhalten der Angreifer. 

Herr Riepen, Security-Anbieter sprießen wie Pilze aus dem Boden. Alle haben angeblich die goldene Lösung in der Tasche. Was macht Vectra AI?
Vectra ist nicht die Alarmanlage, das Vorhängeschloss oder der hohe Gartenzaun, der verhindert, das jemand reinkommt. Wir sind eher der Hund im Haus, der erkennt, wenn jemand im Haus ist, der da nicht reingehört, und dann direkt Alarm schlägt. Wir haben uns spezialisiert auf Angriffserkennung, ob OnPrem, in der Cloud, Multi Cloud, Private Cloud oder IoT. Wir machen also keine Perimeter-Security, sondern erkennen das Angriffsverhalten, können frühzeitig Alarm schlagen und ergreifen je nachdem, wie wir mit dem Kunden zusammenarbeiten, auch Maßnahmen, damit es nicht zu einem Schaden kommt. Dafür arbeiten wir technologisch mit vielen bekannten Anbietern zusammen. Unsere Systeme haben offene Schnittstellen, sind verzahnt und integriert, sodass man einen reibungslosen Übergang der Informationen und der Aktivitäten und Reaktionen gewährleisten kann. Das machen wir mittlerweile sehr erfolgreich. Mittlerweile sage ich deswegen, weil derzeit ein Umdenken stattfindet.

Was meinen Sie mit Umdenken?
Viele Unternehmen denken immer noch: Ich mach eine Firewall, ein bisschen Endpoint-Security, setze einen Virenscanner drauf. Dazu vielleicht noch Authentifizierung und ein RSA-Token. Dann ist doch alles gut. Die Realität zeigt aber, dass es nicht passt. Früher oder später kommt ein Hacker rein. Ich hatte neulich ein Gespräch mit dem neuen CISO eines großen deutschen Automobilzulieferers. Der sagte mir, 80 Prozent seiner Security-Kollegen wüssten gar nicht mehr, was heute alles möglich ist und was man tun sollte, um auch präventiv agieren zu können. Viele orientieren sich einfach daran, was die große Masse macht. Und das scheint offensichtlich nicht zu reichen.

Weniger zu tun, kann aber auch nicht die Alternative sein?
Das sagen wir auch nicht. Aber wir sagen, gebt nicht Geld für alles Mögliche aus, was euch am Ende des Tages aber nicht wirklich schützen kann. Macht Dinge, die effektiv sind, weniger Ressourcen binden, eine hohe Effizienz haben, die euch dann helfen, wenn es sein muss.

Das KI steckt schon in ihrem Unternehmensnamen. Mit KI gehen aber gefühlt inzwischen alle ins Rennen. Was ist an ihren Lösungen KI?
Unsere Lösung arbeitet basierend auf einer KI, die seit neun Jahren Angriffsverhalten lernt. Unsere KI erkennt Angriffe, aber nicht regelbasiert. Denn wir sehen, dass die regelbasierte KI oft schon veraltet ist, bis ein Unternehmen sie im System nutzt. Das hat den einfachen Grund, dass Hacker nicht doof sind und immer neue Methoden ausarbeiten. Zudem gibt es einen Trend, dass Hacker sich wieder vermehrt manuell einschalten. Mit diesen Hack-ups wollen sie die regelbasierte Erkennung aktiv umgehen. Wir brauchen also etwas, was sich nicht statisch abbildet und immer wieder upgedatet werden muss, sondern eine KI, die in der Lage ist, sich selbst weiterzuentwickeln.

Sie lösen also keine Alarme auf regelbasierter KI aus? Was steckt stattdessen genau dahinter?
80 Prozent der KI-Anbieter im Security-Umfeld machen heute regelbasierte KI. Daher sprechen die meisten auch von eine KI-gestützten Lösung. Wir arbeiten mit einem Machine Learning-Algorithmus, den wir „Brain“ nennen. Dieser Algorithmus macht Verhaltensanalysen. Bei uns lernt die KI also nicht basierend auf Regeln, sondern basierend auf Verhalten. Ich möchte unsere Wettbewerber deswegen nicht schlechtreden. Es ist einfach eine andere Herangehensweise an KI.

Wie lässt sich der Unterschied verständlich erklären?
Stellen Sie sich eine normale Fahrstrecke mit dem Auto zur Arbeit vor. Ich fahre die B1 runter, dann in die Fleckensteinallee und dann normalerweise die Dritte rechts ab. Es gibt aber auch alternative Wege. Wenn Stau ist, kann ich auch einen kleinen Umweg machen. Ein regelbasierendes oder KI-gestütztes System erkennt: Der fährt gerade rechts ab, was normalerweise nicht der Fall ist. Da stimmt was nicht, also muss ich einen Alert auslösen. Unsere KI dagegen schaut sich erst mal an, was der Fahrer normalerweise nicht macht. Darauf wirft die KI ein Auge drauf. Jetzt fährt er an der nächsten Ampel wieder links auf die Fleckensteinallee zurück. Scheint alles in Ordnung zu sein. Daraus lernt unsere KI, dass beim nächsten Stau der Fahrer wieder an der Ampel rechts abbiegen wird. Das muss ich mir also gar nicht angucken. Fährt der Fahrer aber nicht zurück auf die Fleckensteinallee, sondern auf die Autobahn, sagt die KI: Hier könnte was nicht stimmen. Ich schaue mir den Fall genauer an. Und so lernt unsere KI am Verhalten und in der Kombination von bestimmten Faktoren, ob etwas nicht stimmt.

Welchen Mehrwert hat das für die Security?
Das Problem ist, das mit einer regelbasierten KI viele falsche Alarmmeldungen ausgelöst werden, sogenannte False Positiv. Dadurch werden die ganzen SOCs förmlich zugespammt mit Alerts. Und das ist ein Riesenproblem, weil die Systeme nicht mehr in der Lage sind, wirklich zu differenzieren. Unsere KI produziert bis zu drei Viertel weniger False Positiv-Meldungen. Und zusätzlich bewerten wir die Alarme und geben sie nur weiter, wenn der Kunden sich das Problem anschauen sollte. Das stellen wir in einem Quadranten dar. Oben rechts bedeutet: unbedingt drauf schauen. Unten links: Hier solltest du ein Auge draufhaben, wenn du gerade nichts zu tun hast. Diese Vorselektion senkt die Arbeitslast der Security-Teams deutlich.

Wo sitzt die Lösung?
Klassisch nutzen wir Sensoren, die irgendwo beim Kunden im Netzwerk stecken. Und zwar meistens am Core-Router oder dort, wo der gesamte Verkehr drüber läuft. Diese Sensoren kopieren nichts, sondern schauen nur genau hin. Wir speichern also nichts irgendwo in der Cloud. Wir öffnen keine privaten Daten. Wir gucken nirgendwo rein. Die Brain selber, also die KI, kann dann entweder OnPrem im Unternehmen stehen oder auch in der Cloud.

Heute muss alles Echtzeit sein? Erkennen Sie das Verhalten auch in Echtzeit?
Das machen wir nicht. Das kann auch schon mal eine Stunde dauern, bis die KI wirklich etwas rausgekriegt hat. Das reicht aber immer noch deutlich aus, einen Hacker aufzuhalten, da eine durchschnittliche Attacke ein paar Stunden dauert. Der Hacker muss erst mal ins System, sich dann umschauen, was auch Tage dauern kann. Viele Hacker sind so clever, dass sie über Wochen oder Monate beobachten, wie ein Unternehmen funktioniert, wo die wichtigen Daten liegen. Was muss ich angreifen? Wo kann ich mich am besten nochmal verstecken, weil ich eine Nachfolgeattacke fahren will. Das heißt: Wir brauchen keine Echtzeit, was wir auch nicht von uns behaupten. Wir stellen fest, dass mittlerweile bei 95 Prozent aller erfolgreichen Angriffe, der Hacker mehrere Tage im Unternehmen unterwegs ist.

Diese Zeit muss aber genutzt werden, um einem Hacker auf die Spur zu kommen?
Was durch die Verhaltenserkennung ermöglicht wird und auch unbedingt notwendig ist. Wir hatten einen Kunden aus der Automobilzulieferindustrie, der gehackt worden ist. Wir haben dann festgestellt, die hatten seit einem Jahr einen Hacker im System, der alle Kundendaten, dann die ganzen Produktionspläne, und die Daten der Zulieferer abgezogen hat. Der chinesische Hacker hat diese Informationen in China an ein Unternehmen verkauft, das die Produkte nachgebaut und zu einem Zehntel des Preises verkauft hat. Dafür hat dieses Unternehmen alle Kunden des gehackten Zulieferers angeschrieben und das gehackte Unternehmen hat sich gewundert, warum sie ihre ganzen Kunden verlieren. Die wirklichen großen Schäden werden also nicht mehr durch die Verschlüsselung von Daten und Systeme verursacht, sondern durch das Abziehen des gesamten Know-hows.

Braucht ein Unternehmen überhaupt noch die klassischen Security-Lösungen, wenn es ihre KI-Lösung nutzt?
Das wird alles noch gebraucht, also Firewalls, Virenscanner und so weiter. Das sollte aber effektiv eingesetzt werden. Als nicht nach dem Motto „Viel hilft Viel“ eine Lösung nach der anderen draufzusetzen. Wenn ich meinen Zaun vor dem Haus von 3 auf 6 Meter erhöhe, aber trotzdem immer noch eine Eingangstür mit Schlüssel im Zaun habe, den jeder nachmachen kann, dann reicht das immer noch nicht. Und das machen gerade viele. Trotzdem brauchen sie Perimeter-Security, Angriffserkennung und den forensischen Teil. Manche Unternehmen haben ein SIEM, weil sie es aus Compliance-Gründen brauchen. Weil Logs gespeichert und gegebenenfalls forensisch analysiert werden müssen. Aber nicht jeder braucht ein teures SIEM. Ich behaupte, im Mittelstand könnten wahrscheinlich 50 bis 60 Prozent der Unternehmen auf ein SIEM verzichten, wenn sie eine vernünftige Angriffserkennung hätten.

Wie sieht es mit der Sicherheit von Industrial IoT aus? Ist hier auch Verhaltensanalyse möglich und sinnvoll?
Viele Unternehmen kommen auf uns zu, weil sie in Bezug auf IoT und Sensorik viel veraltetes Zeug nutzen, das sie nicht managen können. Diese Unternehmen haben oft keine Ahnung, was diese Lösungen überhaupt machen. Unser Brain erkennt dagegen Unregelmäßigkeiten eines Senors und lernt über die Zeit, was normal bei IoT ist und was nicht. Die KI ist also in der Lage, das Verhalten der Sensoren einzuordnen, egal wie alt diese Sensoren sind.

Auch die Angreifer setzen angeblich immer mehr auf KI. Das klingt nach Wettrüsten. Wer gewinnt am Ende? Die Seite, die die beste KI einsetzt?
Das Hacker KI einsetzen, ist definitiv falsch. Die Hacker haben das Problem, dass viele Systeme mittlerweile gut geschützt sind. Aber sie müssen irgendwie reinkommen. Daher nutzen sie automatisierte Verfahren, um Schwachstellen zu finden. Dort steckt auch stückweit Intelligenz drin, aber KI- basiert ist das noch nicht. Einige Hacker kombinieren aber inzwischen automatisierte Methoden mit menschlicher Hackerintelligenz. Der Hacker folgt dann an gewissen Punkten unorthodoxe Wege. Durch diese zielgerichteten Hack-ups stößt regelbasierte KI an Grenzen.

Was würden Sie denn Unternehmen empfehlen, die immer mehr investieren, aber deren Erfolgsrate dadurch nicht unbedingt steigt?
Sie sollten ihren aktuellen Security-Aufwand analysieren lassen und herausfinden, was sie wirklich brauchen und welche Lösungen, was bringen. Wir stellen jedenfalls fest, dass viele Unternehmen einfach viel zu viel machen. Sie haben zum Beispiel ein riesiges SIEM laufen, machen aber zu wenig damit. Sie haben es eingeführt, damit sie sagen können, ich habe was gemacht, Haken dran. Und dann laufen ihnen die Kosten aus dem Ruder.

Sehen Sie im Moment einen besonderen Angriffstrend?
Wir hatten neulich einen Anruf eines verzweifelten Kunden, da hat sich ein Hacker durch eine Fehlkonfiguration des Admin-Account für Microsoft 365 den Hauptschlüssel gezogen. Wer den hat, kann alles dichtmachen und das Unternehmen kommt nie wieder an seine Daten, auch nicht bei Microsoft. Es gibt keinen Reset-Button. Wenn der Schlüssel weg ist, ist er weg. Auch Microsoft kann den nicht wiederherstellen. Und es scheint wohl in der klassischen Account-Konfiguration von Microsoft einige solcher Leaks zu geben. Mittlerweile werden diese wohl auch im Darknet gehandelt. Dann haben sie von heute auf morgen keinen Zugriff mehr auf irgendein Microsoft 365-Account oder irgendwelche Datenbestände, die in der Cloud liegen. Wir hatten einen Versicherer, der komplett abgeschottet von Microsoft 365 war. Also kein Excel, kein Word, kein Dokument, alles off. Und dieses Unternehmen musste dann einen siebenstelligen Betrag zahlen, damit die Hacker den Schlüssel wieder rausgerückt haben.

Andreas Riepen

ist Head of Central & Eastern Europe bei Vectra AI. Vor Vectra AI war er bei Riverbed, f5, Ruckus Networks, Alcatel Lucent Enterprise, Juniper Networks, Logicalis, Netsize sowie Ciso tätig.