Harmlose Software, schädliche Malware, ungewöhnliche Verhaltensmuster

Vectra, Anbieter von IT-Sicherheitslösungen auf Basis künstlicher Intelligenz, beurteilt die gegenwärtig als „Allheilmittel“ gegen Cyberattacken proklamierte Fokussierung auf Anomalie-Erkennung.

Das Unternehmen hält diesen Trend für hochgradig irreführend. Nach Meinung von Vectra liegt das zentrale Problem darin, dass Abnormitäten-Erkennung zu stark verallgemeinert: Jedes normale Verhalten gilt als gut, jedes unnormale als schlecht – Abstufungen und Kontext bleiben dabei unbeachtet. Wo pure Anomalie-Erkennung zum Zuge kommt, verschwimmen die Grenzen zwischen Anwenderverhalten und Angreiferverhalten, obwohl sich beide fundamental unterscheiden. Dies kann unerwünschte Folgen haben.

Gérard Bauer, VP EMEA bei Vectra, gibt zu bedenken: „Menschen tun doch alles Notwenige, um ihre Jobs erledigen zu können – und so lesen sie E-Mails auch dann, wenn sie im Ausland Urlaub machen, und sie loggen sich durchaus einmal morgens um drei Uhr ein und laden Dateien herunter, weil sie mit Ideen für ein neues Projekt aufgewacht sind. Solche gut gemeinten Aktivitäten können dann verdächtig erscheinen. Gleichzeitig gilt, dass ausgefuchste Cyber-Kriminelle besonders gut darin sind, akzeptierte Praktiken nachzuahmen und ihre Aktivitäten unter ganz normale Vorgänge zu mischen. Die Konsequenz: Anbieter von Anomalie-Erkennungslösungen picken mit größerer Wahrscheinlichkeit gute Mitarbeiter heraus, die bei ihrer Arbeit lediglich etwas unkonventionell vorgehen, als dass sie tatsächlich einen Angreifer identifizieren und bloßstellen.“

Zum besseren Verständnis liefert Vectra den folgenden Vergleich: Man kann Abnormitäten-Erkennung mit der Polizeipraxis anlassloser, blinder Durchsuchungen vergleichen. 2015 beispielsweise fand man in New York bei 99,5 Prozent aller entsprechenden Zugriffe auf verdächtig erscheinende Personen keinerlei Schusswaffen. Zehntausende von Durchsuchungen und nur eine Handvoll Waffen. Anders ausgedrückt: Um die geringe Zielsicherheit wahlloser Durchsuchungen wettzumachen, muss man hohen Personalaufwand und Ineffizienz akzeptieren. Stellt man aber diesem Vorgehen einmal Durchsuchungen gegenüber, bei denen ein Terahertz-Detektor (T-Ray) eingesetzt wird, der unaufdringlich und schnell ein Wärmebild einer Person liefert, dann ändert sich das Bild. Trägt jemand eine verborgene Waffe, hebt sich deren kaltes Abbild als Umriss vor dem warmen menschlichen Körper ab. Um die Analogie zu Ende zu führen: Der Erkennung von abnormalem Verhalten fußt auf dem Cybersecurity-Äquivalent des „Racial Profilings“, also jener Praxis, Menschen allein aufgrund äußerer Merkmale als verdächtig einzuschätzen – weil die Technik einfach auf alles reagiert, was grundsätzlich „anders“ ist.

„Der „T-Ray“-Methode aus dem Beispiel entspricht im Umfeld von Cybersicherheit die Nutzung künstlicher Intelligenz. Ich empfehle diese dazu einzusetzen, um zwischen den allzu allgemein gefassten und allzu leicht irreführenden „unnormalen Verhaltensweisen“ und den hervorstechenden, sehr spezifischen Identifikationsmerkmalen echten Angreiferverhaltens zu unterscheiden“, erklärt Gérard Bauer.

Die Hersteller Lösungen, die rein auf die Erkennung von Anomalien setzen, verlangen von Cybersecurity-Analysten, jedes einzelne verdächtige Event im Detail zu untersuchen, ob nun wirklich etwas dahintersteckt oder nicht – getreu der These: „Wo Rauch ist, ist auch Feuer“. Bei anomalem Verhalten hat man es aber mit Unmengen von Rauch zu tun, ohne dass es irgendwo brennt, während die Security-Analysten jedem noch so kleinen Rauchfähnchen hinterherjagen müssen, bei der Verfolgung falscher Fährten Zeit und Geld verbrennen und zugleich blind bleiben für die echten Bedrohungen.

Wer hat dafür Zeit und Geld? Und, was noch wichtiger ist, wer setzt schon gern sein intellektuelles Eigentum und den Ruf seines Unternehmens für einen Security-Ansatz aufs Spiel, der derartige Mängel hat?

Ein weitere Phänomen, das dieses „zu grobe“ Vorgehen fragwürdig macht, sind Insider-Attacken. Die Anzeichen für Bedrohungen von innen können ebenfalls in die Irre führen. „Es hat einige spektakuläre Hacks gegeben, bei denen anomales Verhalten eine Rolle spielte, wie etwa die Weitergabe klassifizierter Informationen durch Edward Snowden“, so Gérard Bauer. „Die eindeutige Überzahl der Angriffe von innen war aber deshalb erfolgreich, weil es gelang, das Vorgehen unter normalen Aktivitäten zu verbergen. Die Attacken wurden erst lange Zeit nach den umfangreichen Schäden entdeckt, die sie verursacht hatten.“

Beim Scheinkonten-Skandal bei Wells Fargo in den USA sah es so aus, als würden die Angestellten ganz einfach ihren Job machen – nur eben ein wenig „zu gut“, wie sich später herausstellte. Sie kannten und nutzten die Standard-Prozesse, und sie setzten ihre Anmeldedaten ordnungsgemäß ein. Sie überschritten weder ihre Zugangs- noch ihre Zugriffsberechtigungen.

„Ausgefeilte Cyberattacken zeigen meist das gleiche Verhalten. Sie mischen sich unters normale Geschehen – und wenn das Security-Team nicht gezielt nach Zeichen für Angriffsverhalten sucht statt nur auf bloße Abnormitäten zu achten, hat es keine wirkliche Chance, diesen Attacken Paroli zu bieten“, fasst Gérard Bauer abschließend zusammen. “Das ist die hässliche Wahrheit über den mäßigen Wert simpler Anomalie-Erkennung.“ 

www.vectranetworks.com