IT Security März/April

20 | IT SECURITY
Anomalieerkennung
KI-BASIERTE ANGRIFFSERKENNUNG:
MÖGLICHKEITEN UND GRENZEN
Anomalieerkennung gilt als eine Methode
der Angriffserkennung für die ITund
OT-Sicherheit. Cyberkriminelle
versuchen jedoch häufig,
unter dem Radar solcher Systeme
zu operieren. Was kann KI in
diesem Zusammenhang leisten?
Strom, Wasser, Lebensmittel oder Gesundheitsversorgung:
Selbst kritische
Infrastrukturen sind heute Bestandteil
digitaler Ökosysteme. Mit zunehmender
Digitalisierung und Vernetzung
wächst deren Komplexität und damit
die Verwundbarkeit gegenüber Cyberangriffen.
Gleichzeitig steigt unsere Abhängigkeit
von der Verfügbarkeit, Integrität
und Vertraulichkeit solcher Systemlandschaften.
Eine hohe Cyberresilienz
wird damit zunehmend zur
Grundlage einer stabilen Gesellschaft.
Wichtiger Bestandteil dieser Widerstandsfähigkeit
ist das Erkennen und die
Abwehr von Angriffen. Dem trägt auch
der Gesetzgeber immer mehr Rechnung
und verpflichtet Betreiber von KRI-
TIS-Anlagen mit dem IT-SIG 2.0 ab
dem 1. Mai 2023 zum Einsatz von
Systemen für die Angriffserkennung.
Angriffserkennung vs.
Anomalieerkennung
Im Zusammenhang mit der
Angriffserkennung wird oftmals
der Begriff der Anomalieerkennung
als Synonym verwendet. Allerdings
ist eine Anomalie nur eine Abweichung
von dem normal Erwarteten.
Dabei kann es sich um eine Störung
handeln, der kein Angriff zugrunde
liegt, sondern zum Beispiel eine Fehlfunktion
oder der Ausfall einer Komponente.
Zwar ist es unter dem Aspekt einer
hohen Verfügbarkeit und Integrität
wichtig, derartige betriebliche Probleme
frühzeitig zu erkennen und zu behandeln,
sie sind aber nicht Bestandteil
der Abwehr von Cyberangriffen.
Im Gegensatz zu solch sporadisch auftretenden
Fehlfunktionen mit klarem
Fehlerbild versuchen Angreifer gezielt,
ihre Cyberattacken unter
dem Radar klassischer
Anomalieerkennung
durchzuführen. Eine generische
Anomalieerkennung
ist damit als primäres Mittel
einer Angriffserkennung eher ungeeignet.
Stattdessen sind Systeme erforderlich,
die explizit auf die Erkennung
von Angriffen ausgelegt wurden.
Regelbasiert vs. KI-basiert
Ein klassischer Ansatz bei Angriffserkennungssystemen
ist die Nutzung manuell
bzw. semi-automatisch erstellter kuratierter
Regeln auf Basis von Expertenwissen
und Datenanalysen. Dazu gehören
die in Intrusion-Detection-Systemen
genutzten Signaturen bekannter Angriffspakete.
Aber auch Schwellwerte
für Paketgrößen oder Paketmengen,
deren Überschreiten einen Angriff nahelegt,
oder komplexere Heuristiken zur
Erkennung von Aufklärungstechniken
wie Portscanning, können mit geeigneten
Regelwerken abgebildet werden.
Derartige Regeln sind im Allgemeinen
auf klare Angriffsmuster fokussiert. Ihre
Bedeutung ist dadurch selbst für
Nicht-Experten zu verstehen und auf ein
durch die Regel gemeldetes Ereignis
kann entsprechend zügig und fokussiert
reagiert werden. Allerdings haben diese
aufwändig kuratierten Systeme Probleme
mit den zunehmend komplexen
Daten umzugehen und müssen bei Änderungen
der Umgebungen erneut manuell
angepasst werden. Auch lassen
März/April 2023 | www.it-daily.net