- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Maschinelles Lernen in der IT-Security


Die Macht der Algorithmen: So hilft Maschinelles Lernen in der modernen IT-Sicherheit
Um Algorithmen des Maschinellen Lernens so zu programmieren, dass sie beispielsweise gut und böse voneinander unterscheiden können, muss man zuerst einmal alles Mögliche über Gut und Böse lernen



Von Liviu Arsene, Leitender Bedrohungsanalyst, Bitdefender

Artificial Intelligence, zu Deutsch Künstliche Intelligenz (KI), hat sich zum Hypebegriff entwickelt und es scheint fast so, als wären alle IT-Lösungen über Nacht intelligent geworden. KI wird als Antriebsfeder der digitalen Transformation betrachtet, doch steckt sie in ihren Anwendungsbereichen noch in den Kinderschuhen. Im Prinzip geht es darum, menschliche Entscheidungsstrukturen mit Hilfe eines Computers nachzubauen, ihn sozusagen "intelligent" werden zu lassen.

Häufig wird die Begrifflichkeit verwendet und dabei absichtlich mit dem Maschinellen Lernen synonym verwendet. Doch Maschinelles Lernen ist eher ein Teilgebiet der KI. Maschinelles Lernen ist im Prinzip auf Algorithmen basierende Software, die darauf spezialisiert ist, sehr große Datenmengen anhand vordefinierter Parameter zu bearbeiten.

Da moderne Computernetzwerke auch sehr komplexe Algorithmen in kurzer Zeit auf eine sehr hohe Menge an sowohl strukturierter als auch unstrukturierter Daten anwenden können, übersteigen ihre Fähigkeiten Daten zu analysieren, die des Menschen um ein Vielfaches. Fortschrittliche Algorithmen können aus der Analyse großer Datenmengen in gewissem Maße Erkenntnisse ziehen und diese wiederum in den Algorithmus aufnehmen. Das macht sie noch nicht intelligent, aber dafür gewissermaßen lernend, was ihnen ihren Namen einbrachte.

Maschinelles Lernen in der IT-Security
Maschinelles Lernen findet heute in sehr vielen Bereichen Anwendung, insbesondere dort, wo große Datenmengen analysiert werden müssen - zum Beispiel in der IT-Security. Endpoint Security Hersteller haben schon vor rund zehn Jahren begonnen, ihre Lösungen mit Maschinellem Lernen zu verbessern. So aufgebohrt, wurde die Wirksamkeit verschiedener Sicherheitsmechanismen wie Anti-Malware, Anti-Spam, Anti-Fraud und Anti-Phishing enorm erhöht. Maschinelles Lernen verarbeitet die Daten von Millionen von Endgeräten, findet hier Korrelationen und erkennt selbständig neue Angriffsmuster.

So konnte die Erkennung von Malware in den letzten Jahren größtenteils automatisiert, beschleunigt und verbessert werden. Durch maschinelles Lernen erkennen einige Lösungen sogar komplett unbekannte Stämme von Malware und wehren sie ab.

Kleiner Platzbedarf, große Vorteile – Algorithmen sind praktische Helfer
Früher erkannten Sicherheitslösungen Malware anhand von Signaturen oder Hashes. Einer der großen Vorteile Algorithmen zu nutzen und nicht mehr die alten Signatur-Bibliotheken ist ihre geringe Größe. Ein Algorithmus ist in der Regel kleiner als 1 Kilobyte und beschreibt im Prinzip nur Merkmale, die häufig bei bösartigen Dateien festgestellt werden. Ein einziger Algorithmus kann eine sehr große Anzahl unbekannter Dateien bearbeiten und feststellen, welche davon bösartig oder sicher sind. Lange Listen von Hashes und Signaturen ständig zu aktualisieren ist somit unnötig geworden.

Algorithmen können sehr komplex sein. Ihre Entwickler verfeinern und ergänzen sie kontinuierlich über einen langen Zeitraum hinweg. Ein komplettes Modell besteht oft nicht nur aus einem Algorithmus, sondern kombiniert idealerweise verschiedene Arten von Algorithmen, da einige Algorithmen je nach Verwendungszweck bessere Ergebnisse liefern als andere. Beispiele für verschiedene Algorithmen sind: Perzeptrons, binäre Entscheidungsbäume, eingeschränkte Boltzmann-Maschinen, genetische Algorithmen, Support-Vektor-Maschinen und künstliche neuronale Netze. Moderne Sicherheitslösungen in der IT setzen diese Algorithmen sowohl einzeln als auch kombiniert ein, um bestimmte Arten von Malware oder Malware-Familien schneller und genauer zu identifizieren.

So werden Algorithmen für moderne Lösungen in der IT-Security entwickelt
Um Algorithmen des Maschinellen Lernens so zu programmieren, dass sie beispielsweise gut und böse voneinander unterscheiden können, muss man zuerst einmal alles Mögliche über Gut und Böse lernen. Hierfür werden sehr große Datensätze benötigt, die idealerweise alle möglichen Attribute abdecken, an denen man gutartig von bösartig unterscheiden könnte. Aus den in beide Lager kategorisierten Dateien werden anschließend Schulungssets erstellt, auf deren Basis dann die Modelle entwickelt werden, die zukünftig neue, unbekannte Dateien auf ihre Gut- oder Bösartigkeit untersuchen können.

Das Ziel jedes Algorithmus ist es, eine Erkennungsgenauigkeit von 100 Prozent zu erreichen, um nicht korrekte Fehlerkennungen, sogenannte False Positives, zu vermeiden, die die Produktivität der IT beeinträchtigen. In der Praxis ist eine hundertprozentige Erkennung zwar unrealistisch, mittels der Kombination und ständiger Abstimmung verschiedener Algorithmen ist es je nach Aufgabe des Algorithmus jedoch möglich, sehr nah an 100 Prozent zu gelangen.

Um Malware zu entdecken, untersuchen Modelle Dateien anhand ausgefeilter Techniken und extrahieren bestimmte Merkmale. Dazu nutzen sie sorgsam definierte Entpackungsroutinen oder Emulationen vor der Ausführung oder sie identifizieren den Packer einer Datei, um anhand dessen Reputation Rückschlüsse zu ziehen. Ausgereifte Lösungen können pro Datei auf diese Weise Tausende von Merkmalen untersuchen, um schließlich zu entscheiden, ob eine untersuchte Datei gut oder bösartig ist. Beim Aufspüren von Malware können beispielsweise für das Aufspüren von Phishing spezialisierte Algorithmen zur Identifizierung von betrügerischen Command and Control (C&C)-Domänen genutzt werden.

Der Einsatz im Unternehmensalltag
Gerade große Unternehmen sind einer sehr hohen Anzahl an Bedrohungen ausgesetzt und benötigen daher Lösungen, die idealerweise komplett automatisch arbeiten. Das heißt, dass die Sicherheitslösung alle Fälle untersucht, nach Gut und Böse unterscheidet und die gefährlichen Fälle direkt entschärft, ohne dass manuelles Eingreifen notwendig ist. Bei einem solchen Ansatz erhöht sich leider auch die Anzahl von False Positives, da die Modelle nicht nur bekannte, sondern auch neue Bedrohungen identifizieren wollen.

Genau dies ist bei vielen Sicherheitslösungen, die auf Maschinelles Lernen setzen, eine Herausforderung für die IT-Verantwortlichen. Eine Möglichkeit, die negativen Auswirkungen durch mögliche Fehlalarme zu minimieren, ist das Tuning der Schwellwerte: IT-Administratoren können einstellen, wie aggressiv oder permissiv die Erkennung des maschinellen Lernens sein soll. Aggressive Erkennung bedeutet, dass man im Zweifelsfall lieber eine Datei zu viel blockt, permissive, dass man mehr Wert auf einen effizienten IT-Betrieb legt. Ebenso lässt sich im Idealfall einstellen, was genau mit bestimmten Arten von Vorgängen passieren soll: Zulassen, weiter beobachten oder Alarm schlagen.

Maschinelles Lernen in allen Sicherheitsschichten
Neue, immer komplexere Bedrohungen, die auf Verschlüsselung, Verschleierung und Polymorphismus beruhen, haben dazu geführt, dass einfache, eindimensionale Erkennungsmethoden bei der Bewältigung der riesigen Anzahl von Bedrohungen wirkungslos geworden sind. Algorithmen und Maschinelles Lernen sind hier kein Allheilmittel, das alle herkömmlichen Sicherheitsschichten ersetzen kann.

Die neuen Technologien schaffen es jedoch die Effektivität jeder einzelnen bestehenden Schicht zu verbessern, insofern diese mit den Algorithmen ausgestattet ist. In der Realität kommt man heute im Bereich IT-Security um Lösungen, die Maschinelles Lernen nutzen nicht mehr herum, will man hohen Erkennungsleistung und starken Schutz vor Angriffen bei niedrigem Verwaltungsaufwand erzielen.
(Bitdefender: ra)

eingetragen: 05.02.19
Newsletterlauf: 08.03.19

Bitdefender: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Zertifikat ist allerdings nicht gleich Zertifikat

    Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.

  • Datensicherheit und -kontrolle mit CASBs

    Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.

  • KI: Neue Spielregeln für IT-Sicherheit

    Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

  • DDoS-Angriffe nehmen weiter Fahrt auf

    DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

  • Fluch und Segen des Darkwebs

    Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.