Inhaltsverzeichnis
- KI braucht einen Angriffsweg
- Die eigene IT kennen
- Risiken richtig bewerten
- Angriffswege einschränken
- SIEM als Baustein
- Log-Rauschen vermeiden
- KI-Angriffe und Zero-Days
- Produkte auf dem Prüfstand
- Kompetenz im Unternehmen
Auch eine KI muss irgendwo ansetzen
Eine KI kann Schwachstellen suchen, Angriffe vorbereiten und Abläufe automatisieren. Das kann schneller und in größerem Umfang geschehen als bisher. Daraus folgt jedoch nicht, dass eine Firewall plötzlich ihre Wirkung verliert oder sauber eingeschränkte Zugriffsrechte bedeutungslos werden.
Ein Angreifer benötigt weiterhin einen nutzbaren Weg: eine Schwachstelle, gestohlene Zugangsdaten, eine Fehlkonfiguration oder einen Menschen, den er täuschen kann. Selbst eine Armada von KI-Bots setzt diese technischen Voraussetzungen nicht außer Kraft. Ihre Geschwindigkeit und Anzahl müssen bei der Auslegung der Schutzmaßnahmen berücksichtigt werden.
Das eigene Unternehmen und dessen IT kennen
Welche Systeme betreiben wir? Welche Anwendungen laufen darauf? Wer darf worauf zugreifen? Welche Verbindungen sind erforderlich, und welche Daten verlassen das Unternehmen?
Wer diese Fragen nicht beantworten kann, hat bereits konkrete Aufgaben und ggf. auch ein Kompetenzproblem. Dafür braucht es keine neue KI-Schlagzeile.
Die CIS Controls v8.1 des Center for Internet Security, die ich ins Deutsche übersetzt habe, strukturieren diese Arbeit in 18 Themenbereiche:
- Inventarisierung und Kontrolle von Enterprise Assets
- Inventarisierung und Kontrolle von Software Assets
- Datensicherheit
- Sichere Konfiguration von Unternehmens-Assets und Software
- Account-Management
- Access-Control-Management
- Kontinuierliches Schwachstellenmanagement
- Audit-Log-Management
- Schutzvorkehrungen für E-Mail und Webbrowser
- Malware-Abwehr
- Datenwiederherstellung
- Management der Netzwerkinfrastruktur
- Netzwerk-Monitoring und -Verteidigung
- Security-Awareness- und Kompetenztraining
- Dienstleister-Management
- Sicherheit von Anwendungssoftware
- Incident-Response-Management
- Penetrationstests
Die Maßnahmen müssen zur eigenen Umgebung passen, Schritt für Schritt umgesetzt und kontinuierlich gepflegt werden. Selbstverständlich streng evidenzbasiert und mit zuverlässigem, verantwortlichem Personal für die verschiedenen Maßnahmen und Risiken. Eine Häkchen-Liste allein schützt noch kein Unternehmen, jedoch hilft Kompetenz statt Ignoranz.
Risiken bewerten benötigt Einblick und Sachverstand
Eine Risikobewertung betrachtet unter anderem die möglichen Auswirkungen und die Eintrittswahrscheinlichkeit eines Vorfalls. Gerade für Letztere braucht es ein Verständnis der tatsächlichen Verhältnisse.
Stellen Sie sich vor, Sie fahren mit einem PKW ohne Tankanzeige und ohne Kilometerzähler in den Urlaub. Wie hoch ist die „Wahrscheinlichkeit“, dass Sie liegenbleiben? Diese ist schwer abzuschätzen. Die „Schwere“ eines leeren Tanks hingegen ist offensichtlich: Ihr PKW bleibt stehen.
Wer Risiken seriös bewerten will, muss das eigene Unternehmen, dessen Prozesse und die IT verstehen. Ebenso notwendig sind die systematische Behandlung von Schwachstellen und kontinuierliches Monitoring. Fehlen diese Grundlagen, mangelt es der Risikobewertung an der nötigen Reife.
Angriffswege gezielt einschränken, denn eine KI denkt nicht
Systemhärtung betrifft Betriebssysteme ebenso wie Anwendungen. Nicht benötigte Dienste werden abgeschaltet, Berechtigungen begrenzt und sichere Konfigurationen nachvollziehbar festgelegt. Ein aktueller Softwarestand allein genügt dafür nicht.
Netze werden nach Schutzbedarf getrennt. Erlaubte Verbindungen werden gezielt definiert und überwacht, auch innerhalb des Unternehmens und bei ausgehenden Zugriffen. Administrative Schnittstellen und API-Pfade erhalten passende Zugriffsbeschränkungen. Privilegierte Konten benötigen individuelle Zugangsdaten und klar begrenzte Befugnisse. Dasselbe Passwort für mehrere Administrationskonten erleichtert einem Angreifer die Arbeit erheblich.
Aktuelle IoC-Feeds liefern bekannte Indikatoren für Schadaktivitäten, etwa IP-Adressen, Domains, URLs und Datei-Hashes. Ihr regelmäßiger Abgleich mit den Daten der eigenen Umgebung ermöglicht gezielte Erkennung und automatisierte Gegenmaßnahmen.
Auch die Hash-Werte der ausführbaren Dateien von Prozessen gehören dazu: Wird ein bekannter Malware-Hash erkannt, muss der Prozessstart automatisch blockiert werden. Läuft der Prozess bereits, muss er sofort automatisiert beendet werden. Bei Bedarf wird zusätzlich das System isoliert.
Schwachstellenmanagement wiederum bewertet Funde und verfolgt deren ganzheitliche Behandlung. Dazu gehören u. a. Patches, gezielte Konfigurationsänderungen, zusätzliche Zugriffsbeschränkungen oder die Ablösung ungeeigneter Systeme.
Diese Arbeit verlangt Wissen und Erfahrung. Die zugrunde liegenden Prinzipien sind seit Jahrzehnten bekannt.
Der zentrale Baustein im Verbund von Systemen zur Angriffserkennung: Das SIEM
In einem SIEM (Security Information and Event Management) werden sicherheitsrelevante Daten der angebundenen Systeme zusammengeführt, abgeglichen und ausgewertet. Welche Daten benötigt werden und welche Regeln sinnvolle Alarme und automatisierte Reaktionen auslösen, muss anhand der eigenen Umgebung erarbeitet und getestet werden.
In einem meiner Projekte zur Überwachung eines Datenbankclusters gehörten die Bereitstellung und Auswertung mehrerer Datenströme der Datenbank sowie die Analyse von SQL-Abfragen dazu. Die Vorgänge mussten verstanden, passende Decoder und Regeln entwickelt und getestet werden.
Eine SQL-Abfrage, die ewig läuft, deren Verhalten niemand versteht oder die schlicht ineffizient gebaut wurde, kann Ressourcen binden und Geschäftsprozesse beeinträchtigen. Auch das gehört zur IT-Sicherheit. KI-Hacking-Bots und Polyester-Hoodie-Hacker sind nur ein Teil des Bildes. Schon einfache Störungen oder reguläre Kundenanfragen können bei schlecht gebauten Anwendungen erhebliche Auswirkungen haben. KI und Hacker machen dabei häufig die Versäumnisse im eigenen Unternehmen spürbar.
SIEM und IT-Infrastrukturmonitoring müssen zeigen, wie der normale Betrieb der eigenen Umgebung aussieht. Diese Betriebs-Baseline ist die Grundlage, um Abweichungen zu erkennen, Entwicklungen zu bewerten und Prognosen abzuleiten.
Individuelle Playbooks können auf klar definierte Ereignisse automatisiert reagieren. Welche Verbindung blockiert oder welches System isoliert werden darf, muss vorher geklärt und getestet sein.
Auch Log-Rauschen kostet Geld
Automatisierte Angriffe und ständig wiederholte Anfragen erzeugen mitunter erhebliche Mengen an Logs. Deren Übertragung, Verarbeitung und Speicherung können Kosten für Cloud-Dienste, Speicher und volumenabhängige Lizenzen nach oben treiben. Zugleich erschwert das Log-Rauschen die Sicht auf andere relevante Ereignisse.
Deshalb muss auch darauf zügig reagiert werden: Ursachen erkennen, unerwünschte Zugriffe möglichst früh begrenzen und wiederkehrende Muster gezielt behandeln. Sicherheitsrelevante Spuren müssen dabei erhalten bleiben. Schließlich hat es einen logischen Grund, warum Systeme Log-Nachrichten generieren!
KI-Angriffe und Zero-Day-Lücken
Gelingt ein Angriff auf ein System, muss dessen Weiterverbreitung unterbunden werden. Der Betrieb muss über Ausweichmöglichkeiten (Stichwörter High Availability/HA und Load Balancing/LB) weiterlaufen oder innerhalb einer akzeptierten Unterbrechung wiederhergestellt werden. Wie lange eine Unterbrechung vertretbar ist, entscheidet das Unternehmen vor dem Ernstfall.
Dafür braucht es Business Continuity Management (BCM), passende Prozesse für IT-Sicherheitsvorfälle und geprüfte, wirksame Playbooks. Dazu gehören klare Zuständigkeiten, erreichbare Ansprechpartner, geschützte Backups und regelmäßig geübte Abläufe.
Auch digitale Forensik und Beweissicherung müssen vorbereitet sein. Herkunft, Integrität und Umgang mit Beweismitteln müssen nachvollziehbar dokumentiert werden. Die rechtlichen Voraussetzungen für ihre Erhebung, Speicherung und Verwendung gehören ebenfalls dazu. Das kann bei einer gerichtlichen Auseinandersetzung oder bei Ansprüchen gegenüber einer Versicherung entscheidend sein. Technisch interessante Daten allein erfüllen diesen Zweck noch nicht. Ein Notfallplan, der noch nie getestet wurde, lässt wesentliche Fragen offen.
Sicherheitsprodukte gehören auf den Prüfstand
Welche Fähigkeiten bietet ein Produkt tatsächlich? In einer Präsentation kann ein Produkt immer alles und noch mehr. Zur Kosten-Nutzen-Rechnung gehören neben den Lizenzen auch tatsächliche Fähigkeiten, Integration, Betrieb, Pflege und der erforderliche Personalaufwand. Entscheidend ist, welchen nachweisbaren Beitrag das Produkt zur Sicherheit leistet.
IT-Sicherheit kann über den wirtschaftlichen Erfolg und das technische Überleben eines Unternehmens entscheiden. Entsprechend gehört der Vertrieb von IT-Sicherheitslösungen in die Hände von Experten mit nachweisbarer Praxiserfahrung. Wer solche Lösungen anbietet, muss ihre Fähigkeiten, Grenzen und betrieblichen Auswirkungen selbst beurteilen können. Einfach ausgedrückt: Wenn Ihr PKW-Motor einen Schaden hat, dann gibt der Meister die passende Auskunft, nicht ein Verkäufer!
Wer sich vom KI-Hype blenden lässt, fällt auch auf Snake-Oil herein. Das kann einem bei großen Herstellern ebenso begegnen wie bei Trittbrettfahrern, die mit KI-Slop Kompetenz vortäuschen.
Kompetenz muss im Unternehmen ankommen
Geschäftsführung und IT müssen diese Arbeit gemeinsam tragen. Das verlangt Zeit, Ressourcen und qualifiziertes Personal. Fehlt Wissen, gehören Weiterbildung und gezielte externe Unterstützung dazu. Ein seriöser Dienstleister gibt sein Wissen weiter.
Richtlinien werden gemeinsam mit den beteiligten Teams erarbeitet. Sie müssen die tatsächlichen Abläufe beschreiben, bekannt sein und angewendet werden. Ihre Wirksamkeit wird regelmäßig geprüft; erkannte Mängel werden behoben.
Das ist Arbeit, kontinuierliche Arbeit und eine weitere Produktlizenz nimmt diese niemandem ab. Diesem Grundsatz folgt auch mein Beratungsunternehmen Gray-Hat IT-Security Consulting: Wissen weitergeben statt nur verkaufen.
Sparen Sie bei der Lizenz, nicht an der Kompetenz!