Neue Verfahren in der Schadcode-Erkennung
Schlau wie nie
Sind KI, Machine Learning und Co. neue Wunderwaffen im Kampf gegen Hacker oder handelt es sich dabei nur um ein vollmundiges Marketingversprechen? iX hat genauer hingeschaut.
Zahlreiche neue Hersteller von Produkten der IT-Sicherheit werben derzeit mit Buzzwords wie künstliche Intelligenz, maschinelles Lernen, Big Data oder Data Science. Sowohl beim Erkennen von Schadcode als auch von Einbrüchen im internen Netzwerk sind die etablierten Verfahren in den letzten Jahren an ihre Grenzen gekommen. Fast jeder Hersteller bemüht sich, darauf hinzuweisen, dass seine Lösungen nicht nur auf Signaturen basieren, sondern auch auf dem Erkennen von bösartigem Verhalten und inzwischen noch auf Verfahren der künstlichen Intelligenz und des maschinellen Lernens.
In vielen Fällen ist jedoch Skepsis angebracht. Begriffe wie „KI“ und oder „Machine Learning“ haben von sich aus schon eine breite Bedeutung und erlauben stark unterschiedliche Interpretationen, die kaum etwas miteinander zu tun haben. Zudem neigen die Vertriebs- und Marketingstrategen der Hersteller von Sicherheitsprodukten immer wieder dazu, alle verfügbaren Hype-Begriffe auch auf das eigene Produkt anzuwenden. So findet man Produkte auf dem Markt, die tatsächlich neuronale Netzwerke oder Deep Learning zur Erkennung von Malware verwenden, aber auch solche, die das Feststellen einer Abweichung von einem „gelernten“ statistischen Durchschnittswert als Machine Learning verkaufen. Der Kunde muss daher selbst tiefer einsteigen und die vom Hersteller verwendeten Verfahren sowie deren Sinnhaftigkeit hinterfragen.
Der IT-Sicherheitsmarkt bietet mehrere prominente Beispiele. Viel Aufsehen erregen Hersteller, die ihre Produkte als Antivirus (AV) der nächsten Generation gegen die etablierten Virenschutzlösungen positionieren. Sie versprechen meist bessere Erkennungsraten von Malware, insbesondere von Ransomware. Zahlreiche Anwender und Unternehmen sind trotz vorhandenem klassischem Virenschutz in den letzten Monaten Opfer solcher Angriffe geworden. Dabei wurden wichtige Daten verschlüsselt und ein Lösegeld für die Entschlüsselung gefordert.
Erkennen anhand eines mathematischen Modells
Das Produkt von Cylance beispielsweise klinkt sich genauso wie klassische AV-Produkte in die Windows-Schnittstelle für Virenschutz ein, erkennt Malware jedoch nicht an Signaturen, sondern mit einem mathematischen Modell beziehungsweise einem neuronalen Netzwerk, das im Labor des Herstellers mit Millionen von Malware-Objekten und ebenso vielen gutartigen Dateien trainiert wurde. Das Lernen findet damit nur beim Hersteller statt. Ein offensichtlicher Vorteil dieser Technik ist, dass neuer Schadcode in den meisten Fällen sofort erkannt wird und man nicht erst ein Signatur-Update des Herstellers benötigt. Der Kunde bekommt nur im Abstand von mehreren Monaten ein Update des mathematischen Modells.
Einige Hersteller klassischer Virenschutzprodukte setzen ebenfalls auf KI-Methoden, allerdings meist nicht innerhalb des Agenten, der auf dem PC des Kunden läuft, sondern in ihren Laboren zum schnelleren Erzeugen von Signaturen. Die Anwendung der künstlichen Intelligenz ist damit ein komplett anderes Szenario und der Endanwender ist nach wie vor auf laufend aktualisierte Signaturdateien angewiesen. Für die klassischen AV-Hersteller sind die KI-Methoden ein Versuch, die riesige Datenmenge zu bewältigen, denn auch die Heerscharen an Malware-Analysten bei solchen Firmen reichen schon heute nicht mehr aus, alle eingehenden Objekte manuell zu untersuchen und daraus Signaturen zu erstellen.
Es wäre jedoch falsch zu behaupten, dass die etablierten AV-Hersteller nach wie vor nur auf Signaturen setzen. Viele integrieren zusätzliche Erkennungs- und Schutzmechanismen, die beispielsweise auf Verhaltenserkennung, Host-Intrusion-Prevention-Methoden oder Exploit-Mitigation-Techniken basieren. Oft sind diese Zusatzfeatures jedoch in der Praxis deaktiviert oder müssen sogar mit einer Zusatzlizenz erworben werden.
Verschiedene Einsatzszenarien von KI
KI und maschinelles Lernen sind nicht auf Malware-Schutz begrenzt. Gerade das Erkennen von Einbrüchen wird derzeit viel mit solchen Schlagworten beworben. Die Technik, die dabei zum Einsatz kommt, ist jedoch wieder eine andere. Auf der Suche nach Malware teilt man Dateien in zwei Klassen auf: harmlose und (potenziell) schädliche. Beim Aufspüren von Sicherheitsvorfällen oder Einbrüchen soll das Verhalten eines Anwenders oder die Aktivität eines Endgeräts im Netzwerk als auffällig erkannt werden. Hier gibt es kein einfaches „Gut“ und „Böse“, denn ein bestimmtes Verhalten kann für einen Administrator üblich, für einen normalen Anwender aber verdächtig sein. Hier kommt deshalb maschinelles Lernen nicht im Labor von Produktherstellern zum Einsatz, sondern im Netzwerk des Kunden. Damit soll „normales“ Verhalten gelernt werden, sodass später signifikante Abweichungen davon als sicherheitsrelevante Anomalien erkannt werden können.
Bekannte Anbieter von Produkten für sogenannte User Behavior Analytics sind beispielsweise die Hersteller Exabeam oder Securonix. Beide analysieren vor allem Log-Daten, die das Verhalten der Anwender dokumentieren.
Dieser Ansatz birgt neben den offensichtlichen juristischen Problemen in einem deutschen Unternehmen auch zahlreiche technische Herausforderungen. Die Aufgaben und das normale Verhalten von Anwendern im Unternehmen unterscheiden sich von Gruppe zu Gruppe. Die Gruppenzugehörigkeiten selbst sollte das Produkt ebenfalls lernen können und auch diese ändern sich mit der Zeit oder sind von vornherein saisonabhängig. Zudem muss verhindert werden, dass bösartiges Verhalten als gutartiges Verhalten gelernt wird. Für maschinelles Lernen ist es wichtig, sowohl Ausgangsdaten für normales Verhalten zu besitzen als auch solche für Angriffe. Die verfügbaren Daten sind jedoch asymmetrisch, denn es fehlt die gewünschte Menge an aktuellen Angriffsdaten.
Unterstützung in speziellen Anwendungsfällen
Trotz aller Hürden sind solche Produkte eine spürbare Arbeitserleichterung und Qualitätsverbesserung für Firmen, die entsprechende Log-Daten schon in einem SIEM-System (Security Information and Event Management) sammeln und auswerten. Der Anwendungsrahmen ist auch in der Praxis relativ klar umrissen. Es geht um typische Betrugsfälle, Extraktion von Daten, Missbrauch von Zugangsrechten und Ähnliches. Für diese bekannten Anwendungsfälle ist der Lernbedarf im Netzwerk des Kunden eher gering und die gesuchten Verhaltensmuster sind zu einem nicht unerheblichen Teil bereits bekannt und in den Produkten implementiert.
Andere Anbieter konzentrieren sich auf die Analyse der Kommunikation im internen Netzwerk. Als Beispiel sei hier der Hersteller LightCyber genannt, der gerade von Palo Alto Networks übernommen wurde. Auch hier lernt das System das „normale“ Kommunikationsverhalten je Endgerät beziehungsweise Anwender, allerdings alarmiert das Produkt bei einer Anomalie nicht sofort, sondern automatisiert zunächst die Verifikation auf dem Endgerät. Dazu kann es sich mit Domänen-Credentials auf dem auffälligen Endgerät einloggen und dort die laufenden Prozesse, geöffnete Dateien et cetera in die Bewertung einbeziehen.
Ein generelles Problem haben alle Erkennungstechniken gemeinsam: In der IT-Sicherheit hat man es mit Gegnern zu tun, die nicht erkannt werden wollen. Bei der Erkennung von Sprache oder Schrift, bei der Diagnose von Krankheiten, bei der Entdeckung von Produktionsfehlern oder anderen industriellen Anwendungen kann man mit modernen Techniken beeindruckende Ergebnisse erzielen, aber die zu findenden Objekte wehren sich in den meisten Fällen nicht gegen die Erkennung.
Sicherheit duldet keine Fehlertoleranz
Die Paradedisziplin moderner Lernverfahren mit riesigen Datenmengen ist vermutlich die gezielte Werbung. Empfehlungen für Produkte, die den Kunden auch interessieren könnten, treffen zwar oft zu, aber für IT-Sicherheitsanwendungen ist „oft“ nicht oft genug. Fehlalarme beziehungsweise False Positives sind ebenso unerwünscht und mit hohen Betriebskosten verbunden wie False Negatives, also fehlende Alarme beziehungsweise übersehene Angriffe. Der Qualitätsanspruch ist deutlich höher als bei Werbung, die auch einmal unpassende Produkte anzeigen darf. Aber selbst bei der Werbung ist die vermeintliche Intelligenz der Technik bei Weitem nicht immun gegen gezielte Manipulationen.