Wie KI Cybersicherheitsanalysten bei der Datenflut unterstützt

MÜNCHEN (IT BOLTWISE) – In einer zunehmend vernetzten Welt sind die Risiken von Datenschutzverletzungen und Sicherheitslücken größer denn je. Gleichzeitig nehmen die Häufigkeit und Raffinesse von Cyberangriffen zu, was die Notwendigkeit stärkt, Cybersicherheitsmaßnahmen zu verbessern.

Cybersecurity-Analysten stehen an vorderster Front in diesem Kampf und arbeiten rund um die Uhr in Security Operations Centers (SOCs) – den Einheiten, die Organisationen vor Cyberbedrohungen schützen. Dabei durchforsten sie riesige Datenmengen, um potenzielle Sicherheitsvorfälle zu überwachen.

Analysten sehen sich mit gewaltigen Informationsströmen aus verschiedenen Quellen konfrontiert, von Netzwerkprotokollen bis hin zu Bedrohungsinformationsfeeds, und versuchen, den nächsten Angriff zu verhindern. Diese Datenflut ist überwältigend, aber zu viele Daten sind für Künstliche Intelligenz kein Problem. Viele Experten setzen daher auf KI, um Cybersicherheitsstrategien zu stärken und die Belastung der Analysten zu verringern.

Stephen Schwab, Direktor der Strategieabteilung am Information Sciences Institute (ISI) der Universität von Südkalifornien, sieht ein symbiotisches Team aus Menschen und KIs, die zusammenarbeiten, um die Sicherheit zu verbessern, sodass KI den Analysten helfen kann, ihre Leistung in diesen hochriskanten Umgebungen zu steigern. Schwab und sein Team haben Testumgebungen und Modelle entwickelt, um KI-unterstützte Cybersicherheitsstrategien in kleineren Systemen zu erforschen, wie beispielsweise den Schutz eines sozialen Netzwerks.

„Wir wollen sicherstellen, dass maschinelle Lernprozesse die Sorgen der Analysten erleichtern, anstatt sie zu verstärken, und ihre Arbeitsbelastung verringern,“ sagte er.

David Balenson, stellvertretender Direktor der Netzwerk- und Cybersicherheitsabteilung am ISI, betont die entscheidende Rolle der Automatisierung bei der Entlastung von Cybersicherheitsanalysten. „SOCs sind mit Warnmeldungen überflutet, die Analysten in Echtzeit analysieren und entscheiden müssen, ob es sich um echte Vorfälle handelt. Hier kommen KI und Automatisierung ins Spiel, indem sie Trends oder Muster in den Warnmeldungen erkennen, die auf potenzielle Vorfälle hinweisen könnten,“ sagt Balenson.

Transparenz und Erklärbarkeit
Die Integration von KI in die Cybersicherheitsoperationen ist jedoch nicht ohne Herausforderungen. Eine der Hauptsorgen ist der Mangel an Transparenz und Erklärbarkeit in vielen KI-gesteuerten Systemen. „Maschinelles Lernen (ML) ist nützlich für die Überwachung von Netzwerken und Endsystemen, wenn menschliche Analysten überfordert sind,“ erklärt Schwab. „Aber sie sind eine Black Box – sie können Warnungen ausgeben, die unerklärlich erscheinen. Hier kommt die Erklärbarkeit ins Spiel, da der menschliche Analyst darauf vertrauen muss, dass das ML-System vernünftig arbeitet.“

Eine Lösung, die Schwab vorschlägt, besteht darin, Erklärer zu entwickeln, die die Aktionen des ML-Systems in computerisiertem Englisch, ähnlich der natürlichen Sprache, präsentieren, die der Analyst verstehen kann. Marjorie Freedman, eine Principal Scientist am ISI, forscht daran. „Ich beschäftige mich damit, was es bedeutet, Erklärungen zu generieren, und was man von der Erklärung erwartet. Wir untersuchen auch, wie eine Erklärung einer Person helfen kann, die Generierung eines Modells zu überprüfen,“ sagte sie.

Die Kunst des Markierens
Ein Beispiel für eine Erklärung einer KI-Entscheidung in der Cybersicherheit ist der Prozess der Online-Authentifizierung. Beim Authentifizieren in ein System geben Benutzer ein Passwort oder eine PIN ein. Verschiedene Menschen tippen jedoch die Daten in unterschiedlichen Mustern ein, die die KI möglicherweise markiert, selbst wenn der Code korrekt eingegeben wurde.

Diese „potenziell verdächtigen“ Muster sind möglicherweise keine Sicherheitsverletzungen, aber die KI berücksichtigt sie dennoch. Wenn neben der Markierung auch eine Erklärung für den menschlichen Analysten bereitgestellt wird, in der das Eingabemuster als einer der Gründe für die Markierung aufgeführt wird, kann der Analyst das Entscheidungsverhalten der KI besser nachvollziehen. Mit diesen zusätzlichen Informationen kann der Analyst fundiertere Entscheidungen treffen und geeignete Maßnahmen ergreifen (d. h. die Bestimmung der KI validieren oder überschreiben). Freedman ist der Meinung, dass Cybersicherheitsoperationen ihr bestes ML-Modell parallel zu Ansätzen laufen lassen sollten, die die Entscheidung den Experten effektiv erklären.

„Wenn jemand ein System abschaltet, das das Unternehmen viel Geld kostet, ist das eine hochriskante Situation, in der wir bestätigen müssen, dass es die richtige Entscheidung ist,“ sagte Freedman. „Der Erklärer ist möglicherweise nicht genau die Ableitung der KI, wie sie dorthin gelangt ist, aber es könnte das sein, was der menschliche Analyst wissen muss, um festzustellen, ob es korrekt ist oder nicht.“

Die Daten sicher und privat halten
Während das Vertrauen zwischen dem menschlichen Analysten und der Maschine eine Herausforderung bei der KI in der Cybersicherheit darstellt, ist ein weiteres Vertrauen, dass die sensiblen oder proprietären Informationen, auf denen KIs trainiert werden, privat bleiben. Zum Beispiel könnte eine Organisation, um ein maschinelles Lernmodell zu trainieren, um Daten sicher zu halten oder Systeme zu schützen, Betriebsdetails oder Sicherheitslücken verwenden.

Das mögliche Offenlegen dieser sensiblen Informationen über die Cyberlage einer Organisation ist ein Problem bei der Integration von KI in die Cybersicherheitsoperationen. „Sobald Sie Informationen in Systeme wie große Sprachmodelle eingegeben haben, gibt es keine Garantie dafür, dass Sie erfolgreich verhindert haben, dass es über diese Informationen spricht, selbst wenn Sie versuchen, sie zu entfernen. Wir müssen Wege finden, diesen Austauschraum für alle sicher zu machen,“ sagte Schwab.

Schwab, Freedman und das ISI-Team hoffen, dass ihre Arbeit zu neuen Wegen führt, die Stärken von Mensch und KI zu nutzen, um die Cyberabwehr zu stärken, den raffinierten Gegnern einen Schritt voraus zu sein und die Überforderung in den SOCs zu verringern.