Geschrieben von Thomas Philipp Haas
Mitte der 1990er Jahre habe ich am französischen Laboratoire d'Intelligence Artificielle der Université de Savoie in Chambery studiert, das ist jetzt 25 Jahre her. Danach habe ich mich eine Weile nicht mehr mit KI beschäftigt, bis ich schließlich über Linux und das Internet zur IT-Security kam. Jetzt kommen KI und Sicherheit zusammen, der Kreis schließt sich.
Damals hat man in der KI vor allem über Expertensysteme geredet. Die heute dominierenden neuronalen Netze lagen noch in den Anfängen. Maschinelles Lernen, insbesondere sogenanntes Deep Learning, war damals noch kein Thema. Die Massendaten für das Training solcher Systeme waren in jener Zeit auch gar nicht vorhanden. Erst die weite Verbreitung des Internets zusammen mit dem Trend zur Digitalisierung sorgte dafür, dass die benötigten Beispieldaten vorhanden sind, die neuronale Netze zum Lernen benötigen. Im Sicherheitsbereich sind das etwa Samples von Malware.
Auch die Rechenleistung damaliger Systeme war noch nicht so ausgeprägt; heute fährt man schnell mal ein paar Hundert Amazon-Maschinen hoch und übertrifft dann locker die Leistung damaliger Supercomputer.
Außerdem waren in den 1990ern spezielle Programmierkenntnisse nötig, um KI-Anwendungen zu gestalten. Heute bekommt man bei Cloud-Anbietern gleich komplette Frameworks für verschiedene KI-Verfahren dazu. Wirklich programmieren muss man nicht mehr unbedingt. Das alles führt dazu, dass man heute KI-Projekte mit wenig Aufwand realisieren kann, die vor 25 Jahren als Utopie galten oder extrem teuer geworden wären. Das sind zugleich die Gründe, warum KI für die IT-Sicherheit noch kein Thema war.
KI kann effizient große Datenmengen nach verschiedenen Kategorien klassifizieren und beispielsweise in gefährlich und ungefährlich trennen. Das hat man früher regelbasiert versucht, was aber bei Weitem nicht so effektiv gelang. Denn regelbasierte Mechanismen haben unter anderem ein Skalierungsproblem und können mit den stetig zunehmenden Malware-Varianten nicht fertig werden. Aber grundsätzlich kommt es auf den Einsatzzweck an, denn bei KI ist aktuell viel Hype dabei.
Man darf nicht blind glauben, dass eine Lösung besser ist, nur weil sie auf künstlicher Intelligenz basiert. Ein erfolgreicher Einsatz hängt von der Auswahl des passenden Produktes ab, denn ich kann normalerweise nicht die Methodik wählen, sondern lediglich ein Produkt. Das muss zum Anwendungsfeld passen. Hersteller geben in der Regel keine tieferen Einblicke in die in ihrem Produkt verwendeten KI-Verfahren. Außerdem verstehen wahrscheinlich nur die wenigsten Anwender, welche KI-Methodik ein Produkt verwendet. Das ist aber auch gar nicht nötig, denn ein Produkt wird eingesetzt, um einen bestimmten Schutz zu realisieren. Wie das erreicht wird, ist eher nebensächlich.
Bestimmte Probleme, die bisher nicht gut lösbar waren, lassen sich mit KI gut angehen. Etwa SIEM (Security Information und Event Management): Hier mussten bisher aufwendig Regeln geschrieben werden, um Logfiles auszuwerten. Durch Machine Learning können die Systeme nun nahezu selbstständig solche Regeln herleiten. So kann man seine Abwehr auf einem relativ aktuellen Stand halten, während man mit manuellen Regeln immer hinterher läuft.
KI lässt sich also hervorragend einsetzen, um unbekannte Dinge zu erkennen oder für sich selbst anpassende Systeme in stark veränderlichen Einsatzbereichen, in denen man sonst manuell ständig Änderungen vornehmen müsste. Künstliche Intelligenz eignet sich aber ebenso gut für die Suche nach Schwachstellen in der Software-Entwicklung, etwa um typische Sicherheitsprobleme in Sourcecode aufzuspüren. Das wissen aber auch Angreifer und nutzen KI-Tools – allerdings, um neue Angriffe zu entwickeln.
KI wird in alle Teilgebiete vordringen, in denen Entscheidungen getroffen werden müssen. Wenn es dabei um Security geht, wird KI in Zukunft zur Standardkomponente entsprechender Produkte werden. Bei fast allen Endpoint-Produkten ist schon jetzt im Backend KI enthalten. Der Agent auf PCs und Servern fragt lediglich in der Cloud des Herstellers an, ob das untersuchte Fragment gut oder böse ist. Wenn gezielte Angriffe laufen, ist diese Vorgehensweise besonders sinnvoll, weil praktisch alle Endgeräte zusammenarbeiten. Dadurch kann neue Schad-Software schneller entdeckt und abgewehrt werden.
Autor: Uwe Sievers
