KI-gestützte Bedrohungserkennung: Methoden zur Verbesserung von Sicherheitsabläufen

KI-gestützte Bedrohungserkennung nutzt künstliche Intelligenz und Machine Learning, um Muster, Verhaltensweisen und Anomalien zu identifizieren, die auf eine Cybersicherheitsbedrohung hindeuten können. Sie kann Signale in E-Mails, Identitäten, Endpunkten, Cloud-Anwendungen, Netzwerken und Datenaktivitäten analysieren und so verdächtiges Verhalten erkennen, Risiken priorisieren sowie Untersuchungen und Reaktionen unterstützen.

Herkömmliche Sicherheitssysteme basieren oft auf vordefinierten Regeln, Signaturen oder Indikatoren für eine Kompromittierung. Diese Methoden sind weiterhin wichtig, funktionieren aber am besten, wenn das Sicherheitsteam bereits weiß, wie schädliche Aktivitäten aussehen.

KI-gestützte Bedrohungserkennung fügt eine weitere Sicherheitsebene hinzu. Sie kann Verhaltens-Baselines festlegen, Abweichungen von normalen Aktivitäten identifizieren und verwandte Signale systemübergreifend korrelieren. Dadurch werden auch solche Bedrohungen erkannt, deren einzelne Aktionen keiner bestehenden Signatur entsprechen.

Eine ungewöhnlicher Anmeldung allein rechtfertigt beispielsweise noch keine sofortige Eskalation. Eine verdächtige E-Mail kann ebenfalls nicht eindeutig genug sein. Wenn derselbe Anwender jedoch die Nachricht erhält, seine Anmeldedaten eingibt und anschließend von einer unbekannten Umgebung aus auf vertrauliche Ressourcen zugreift, liefern diese Signale zusammengenommen deutlich stärkere Hinweise auf eine mögliche Kontoübernahme.

Regeln, Signaturen und Indikatoren bleiben weiterhin unverzichtbare Sicherheitstools. Die Herausforderung besteht jedoch darin, dass sich moderne Angriffe oft schnell ändern, legitime Anmeldedaten verwenden und normale Geschäftsprozesse ausnutzen.

Das SOC muss daher zwischen Aktivitäten unterscheiden, die lediglich ungewöhnlich sind oder ein relevantes Risiko darstellen.

Überlastung durch zu viele Warnmeldungen und False Positives

Sicherheitsteams erhalten unter Umständen große Mengen an Warnmeldungen von E-Mail-, Identitäts-, Endpunkt-, Netzwerk-, Cloud- und Datensicherheitstools.

Wenn Warnmeldungen keinen Kontext bieten, müssen Analysten mit großem Zeitaufwand ermitteln, welche Ereignisse untersucht werden müssen. Zu viele irrelevante Warnmeldungen können zu längeren Reaktionszeiten führen, die Priorisierung erschweren und das Vertrauen in Erkennungssysteme senken.

KI kann zur Lösung dieses Problems beitragen, indem sie Ereignisse korreliert, Warnmeldungen mit Kontext anreichert und verdächtige Aktivitäten nach Wahrscheinlichkeit und potenziellen Auswirkungen einstuft.

Einschränkungen von regelbasierter Erkennung

Regelbasierte Erkennung funktioniert gut bei bekannten Mustern und klar definierten Bedingungen. Sie wird schwieriger, wenn Angreifer:

• ihre Infrastruktur oder Schaddaten ändern
• legitime Dienste nutzen
• gültige Konten kompromittieren
• bewährte Techniken anpassen
• über normale Geschäftsabläufe agieren
• Social Engineering statt Malware nutzen

Machine Learning und Verhaltensanalyse können Regeln ergänzen, indem sie ungewöhnliche Beziehungen oder Aktivitätsmuster selbst dann identifizieren, wenn keine bekannte Signatur vorhanden ist.

Personenzentrierte Angriffe erfordern Verhaltenskontext

Viele Cyberangriffe beruhen auf der Manipulation oder Kompromittierung von Anwendern.

Phishing, Business Email Compromise (BEC), Diebstahl von Anmeldedaten, Kontoübernahmen und Insider-Aktivitäten können auf technischer Ebene legitim erscheinen, da Angreifer vertrauenswürdige Identitäten, legitime Anwendungen und normale Kommunikationskanäle nutzen.

Die Erkennung profitiert daher von Kenntnissen darüber, wer eine Person ist, welche Aktionen sie normalerweise ausführt, auf welche Ressourcen sie zugreift und wie ihr Verhalten mit den Aktivitäten zusammenhängt.

Dieser menschliche Kontext spielt eine zentrale Rolle für den umfassenderen Ansatz von Proofpoint bei der Reduzierung personenbezogener Risiken, der Verhaltens- und Bedrohungssignale zusammenführt, um Unternehmen bei der Identifizierung und Priorisierung konzentrierter Risiken zu unterstützen.

KI-Bedrohungserkennung lässt sich am besten als Entscheidungsprozess und nicht als ein einzelnes Modell verstehen. Effektive Systeme erfassen relevante Sicherheitssignale, ermitteln, wie normale Aktivitäten aussehen, identifizieren Abweichungen, korrelieren Beweise und bestimmen dann, was Aufmerksamkeit verdient. Teile dieses Prozesses können durch Automatisierung beschleunigt werden, aber die Qualität der Ergebnisse hängt weiterhin von der Qualität der Daten und dem verfügbaren Kontext ab.

1. Schaffen Sie eine nützliche Signalgrundlage

Erkennung beginnt mit Telemetriedaten. Je nach Anwendungsfall können dazu Nachrichtenmetadaten, Identitätsaktivitäten, Endpunktereignisse, das Verhalten von Cloud-Anwendungen, Datenbewegungen, Bedrohungsdaten und von Anwendern gemeldete verdächtige Aktivitäten gehören. Mehr Daten sind jedoch nicht automatisch besser. Am wichtigsten ist die Erfassung von Signalen, die die an einem Ereignis beteiligten Personen, Systeme und Informationen erklären können.

Hier zeigt sich auch, dass isolierte Sicherheitstools eine praktische Einschränkung darstellen können. Wenn ein System die verdächtige E-Mail und ein anderes den ungewöhnlichen Cloud-Zugriff erkennt, aber keines der beiden Systeme die beiden Ereignisse miteinander in Verbindung bringen kann, müssen Analysten den Sachverhalt manuell rekonstruieren.

2. Legen Sie Verhaltens-Baselines fest

Verhaltensanalysen liefern dem System einen Bezugspunkt. Anstatt jeden Mitarbeiter oder jede Workload gleich zu behandeln, kann das System typische Muster für eine Einzelperson, eine Vergleichsgruppe, ein Gerät oder eine Anwendung erlernen. Dadurch können Abweichungen aussagekräftiger werden. Ein Download mitten in der Nacht mag für eine Rolle ganz normal sein, für eine andere jedoch höchst ungewöhnlich.

Baselines sollten nicht als Beleg für eine Absicht gewertet werden. Menschen wechseln den Job, reisen, arbeiten anders und nutzen neue Anwendungen. Ein leistungsstarkes Erkennungsprogramm nutzt Verhaltensänderungen als Anlass, Kontext hinzuzufügen, nicht als automatische Bewertung.

3. Nutzen Sie Machine Learning und Bedrohungsdaten

Machine Learning kann Ereignisse klassifizieren, Anomalien identifizieren und Muster in großem Aktivitätsaufkommen erkennen. Bedrohungsdaten fügen eine weitere Dimension hinzu, indem sie lokale Ereignisse mit bekannten schädlichen Infrastrukturen, Kampagnen, Techniken oder Nachrichtenmerkmalen verknüpfen.

Proofpoint Nexus bietet eine KI- und Bedrohungsdaten-Ebene, mit deren Hilfe Signale in der gesamten Sicherheitsumgebung verknüpft werden können. Der Wert dieser Ebene liegt nicht in der Bezeichnung „KI“ selbst, sondern in der Fähigkeit, große Mengen an Beobachtungsergebnissen in nützlichen Kontext für Erkennungs- und Entscheidungsprozesse umzuwandeln.

4. Korrelieren Sie verwandte Signale

Durch Korrelation können schwache Signale zu einem nachvollziehbaren Zwischenfall werden. Eine verdächtige Nachricht kann nicht eindeutig genug sein. Eine neue Anmeldung kann legitim sein. Eine Postfachregel kann geschäftlich begründet sein. Wenn diese Ereignisse nacheinander beim selben Anwender auftreten und anschließend ein ungewöhnlicher Zugriff auf vertrauliche Informationen erfolgt, ist das Gesamtbild aussagekräftiger als jede einzelne Warnmeldung.

Diese kanalübergreifende Übersicht hilft Analysten, den wahrscheinlichen Angriffspfad zu verstehen, anstatt jedes Ereignis als separates Problem zu untersuchen.

5. Priorisieren Sie nach Risiko und Auswirkungen

Nicht jedes verdächtige Ereignis hat die gleichen geschäftlichen Konsequenzen. Eine effektive Priorisierung berücksichtigt die Wahrscheinlichkeit schädlicher Aktivitäten sowie Faktoren wie die Anwenderberechtigungen, die Vertraulichkeit der betroffenen Daten, das Vorhandensein von Bedrohungsdaten und die potenziellen Auswirkungen auf das Unternehmen.

Damit geht das SOC von der FIFO-basierten Verarbeitung von Warnmeldungen und zu einer risikobasierten Untersuchung über. Ein Zwischenfall mit einer geringen Anzahl Anomalien, der das Konto einer Führungskraft oder einen vertraulichen Datensatz betrifft, erfordert möglicherweise eine schnellere Bearbeitung als eine größere Anzahl routinemäßiger Anomalien.

6. Automatisieren Sie Arbeiten, die von Konsistenz profitieren

Automatisierung ist besonders nützlich, wenn Aufgaben wiederholbar, evidenzbasiert und bekannt sind. Das Sammeln von Kontextinformationen, das Gruppieren zusammengehöriger Warnmeldungen, das Anreichern eines Falls mit Kontextinformationen und das Anwenden eines bekannten Reaktionsplans sind gute Beispiele. Je einschneidender die Maßnahme, desto stärker ist die Notwendigkeit von Konfidenzschwellen und menschlicher Genehmigung.

Proofpoint Satori wendet KI-Agenten auf definierte Aufgaben von Sicherheitsabläufen an, einschließlich Workflows wie Triage von DLP-Warnmeldungen und Überprüfung von verdächtigen E-Mails, die von Anwendern gemeldet wurden. Dieses Modell spiegelt ein wichtiges Prinzip für die SOC-Automatisierung wider: KI soll die Fähigkeiten von Analysten erweitern, nicht die Rechenschaftspflicht für weitreichende Entscheidungen aufheben.

7. Nutzen Sie Analysten-Feedback für Systemverbesserungen

Die Erkennungsqualität ändert sich im Laufe der Zeit, weil sich Unternehmen und Bedrohungen kontinuierlich verändern. Analysten sind eine der wertvollsten Feedback-Quellen. Bestätigte Zwischenfälle, False Positives, harmlose Ausnahmen und verpasste Erkennungen können Teams bei der Verfeinerung von Modellen, Richtlinien und Playbooks unterstützen.

Diese Feedback-Schleife ist auch ein wichtiger Vertrauensmechanismus. Teams sollten erkennen können, ob sich das System nach Korrekturen durch Analysten verbessert, anstatt KI-Ergebnisse als unveränderliche Blackbox-Entscheidung zu behandeln.

KI ist am nützlichsten in Erkennungsszenarien, in denen Angreifer sich in legitime Aktivitäten einfügen können oder in denen mehrere Signale mit geringem Konfidenzniveau miteinander verbunden werden müssen. Das sind auch die Szenarien, in denen das Verständnis von Anwendern und Daten die Interpretation eines Ereignisses durch das SOC wesentlich verbessern kann.

Phishing und Business Email Compromise (BEC)

E-Mail-Angriffe erfolgen nicht nur über schädliche Anhänge oder offensichtliche Links. Bei Business Email Compromise (BEC), Nachahmung und Anmeldedaten-Phishing können Sprache, Beziehungen und Zeitpunkte genutzt werden, die sowohl für Anwender als auch für herkömmliche Filter plausibel erscheinen.

KI kann neben dem Verhalten des Absenders, der Authentifizierung, des Kommunikationsverlaufs, den Anwendermeldungen und den Aktivitäten nach der Zustellung auch die Merkmale von Nachrichten auswerten. Mithilfe dieses umfassenderen Kontexts können legitime, aber ungewöhnliche Nachrichten von solchen Nachrichten unterschieden werden, die versuchen, Empfänger zu manipulieren.

Proofpoint Core Email Protection nutzt KI, Machine Learning, Verhaltensanalyse und Bedrohungsdaten, um hochentwickelte E-Mail-Bedrohungen abzuwehren. Die wichtigste Erkenntnis aus diesem Artikel: das Erkennungsmodell. Analysen auf Nachrichtenebene haben einen größeren Nutzen, wenn sie mit Informationen zur Identität und zum personenbezogenen Risiko kombiniert werden.

Kontoübernahmen

Kontoübernahmen sind gerade deshalb schwierig, weil Angreifer auf den ersten Blick autorisiert wirken. Gültige Anmeldedaten können viele Prüfungen umgehen, mit denen nicht authentifizierte Anwender aufgehalten werden sollen. Mithilfe von Verhaltenskontext kann aufgedeckt werden, wann ein technisch gültiger Zugriff nicht mehr dem des rechtmäßigen Kontoinhabers entspricht.

Signale wie ein neues Gerät, eine ungewöhnliche Authentifizierung, unerwartete Postfachregeln, Änderungen im Kommunikationsverhalten oder ein Zugriff auf vertrauliche Ressourcen gewinnen an Bedeutung, wenn sie gemeinsam auftreten. Ziel ist es nicht, jede Abweichung zu unterbinden, sondern vielmehr eine Abfolge zu erkennen, die nicht mit dem etablierten Verhalten und Risikoprofil des Anwenders übereinstimmt.

Insider-Bedrohungen und personenbezogene Risiken

Insider-Risiken können böswillige Absichten, kompromittierte Konten oder gewöhnliche Fehler sein. Das macht eine vereinfachte Erkennung besonders riskant. Ein Mitarbeiter, der eine große Anzahl von Dateien verschiebt, kann einfach nur seiner Arbeit nachgehen, einen ordnungsgemäßen Wechsel vorbereiten oder aber versuchen, vertrauliche Informationen zu entfernen.

Hier kann KI helfen, indem sie die Aktivität mit historischen Mustern, dem Verhalten von Kollegen, Zugriffsberechtigungen und der Vertraulichkeit der Daten vergleicht. Analysten müssen die Umstände zwar weiterhin interpretieren, aber ein besserer Kontext reduziert das dabei oft erforderliche Rätselraten.

Eine umfassendere Strategie zur Abwehr personenbezogener Risiken unterstützt dasselbe Prinzip. Anstatt jede Person als gleichwertige Risikoquelle zu behandeln, können Sicherheitsteams Kontrollen und Interventionen dort konzentrieren, wo Verhalten, Gefährdung und Berechtigungen die größte Konzentration von Risiken darstellen.

Datenexfiltration und Datenmissbrauch

Vertrauliche Informationen werden häufig über legitime Kanäle wie E-Mail, Cloud-Speicher, Collaboration-Plattformen und Endpunkte übertragen. Deshalb lassen sich Datenverluste nicht immer durch die Suche nach einem blockierten Ziel oder einem bekannten schädlichen Prozess erkennen.

KI kann Verhaltenskontext zu Inhaltsprüfungen hinzufügen. Eine Übertragung kann eine größere Gefahr bedeuten, wenn das Volumen für den Anwender ungewöhnlich ist, das Ziel neu ist, die Informationen vertraulich sind oder die Aktivität mit anderen Risikosignalen zusammenfällt.

Eine einheitliche Strategie für Datensicherheit kann Teams mit dieser Kombination aus Inhalten und Verhalten dabei unterstützen, routinemäßige Zusammenarbeit von Aktivitäten zu unterscheiden, die einer Untersuchung bedürfen.

Endpunkt-, Netzwerk- und Cloud-Aktivitäten

KI kann auch ungewöhnliches Prozessverhalten, Netzwerkmuster, Cloud-Aktivitäten und API-Nutzung erkennen. Diese Signale sind wichtig und ihr Wert steigt noch weiter, wenn sie mit den beteiligten Personen, Identitäten und Daten in Verbindung gebracht werden können.

Für SOCs bedeutet das, dass sie nicht nur fragen, was auf diesem Gerät passiert ist. Eine zielführendere Untersuchung fragt, wer beteiligt war, was der Aktivität vorausging, welche Informationen offengelegt wurden und ob an anderer Stelle ähnliche Aktivitäten aufgetreten sind.

Genauigkeit ist nicht ein Prozentsatz, der für alle KI-gestützten Bedrohungserkennungssysteme gleichermaßen gilt. Die Leistung hängt vom Anwendungsfall, der Datenqualität, dem verfügbaren Kontext, dem Modelldesign und der Definition von True Positives und False Positives durch das Unternehmen ab. Eine glaubwürdige Bewertung beginnt daher mit dem Sicherheitsergebnis, das das Unternehmen verbessern muss.

Für viele SOCs sind False Positives das sichtbarste Problem, da sie die Zeit der Analysten in Anspruch nehmen. Die Verringerung der False Positives durch eine geringere Empfindlichkeit des Detektors kann jedoch ein anderes Problem verursachen: übersehene Bedrohungen. Ziel ist es, die Präzision zu verbessern, ohne die relevanten Signale zu verlieren.

Mithilfe von Kontext können ungewöhnliche von riskanten Aktivitäten unterschieden werden

Eine Anmeldung von einem neuen Standort aus ist ungewöhnlich, aber nicht automatisch böswillig. Es sieht jedoch ganz anders aus, wenn dasselbe Konto kürzlich eine Anmeldedaten-Phishing-Nachricht erhalten hat, sich von einem unbekannten Gerät aus authentifiziert und anschließend auf Daten zugreift, die es selten nutzt.

Deshalb ist kontextbezogene KI nützlicher als die isolierte Bewertung von Anomalien. Sie liefert dem Modell und dem Analysten zusätzliche Informationen über die Person, die Aktivitäten im Umfeld und die potenziellen Auswirkungen.

Menschliches Verhalten fügt eine Ebene hinzu, die technische Indikatoren nicht liefern können

Technische Indikatoren beschreiben Systeme und Ereignisse. Das menschliche Verhalten erklärt, wie diese Systeme genutzt werden. Bei Bedrohungen, die mit kompromittierten Identitäten, Social Engineering oder Insider-Aktivitäten einhergehen, kann diese Unterscheidung darüber entscheiden, ob ein verdächtiges Ereignis richtig interpretiert wird.

Verhaltensanalysen sind dann am aussagekräftigsten, wenn sie erklärbar bleiben. Analysten müssen verstehen, welche Änderungen relevant waren und welche Erkenntnisse zur Risikobewertung beigetragen haben.

Kontinuierliche Feinabstimmung zum Erhalt der Genauigkeit

Im Zuge von Unternehmensänderungen können Modelle an Relevanz verlieren. Neue Anwendungen, Umstrukturierungen, Fusionen, Reisemuster und Arbeitspraktiken können allesamt das Bild von dem, was „normal“ ist, verändern. Auch Bedrohungsakteure passen sich an. Ein Programm, das diese Änderungen nicht berücksichtigt, kann im Laufe der Zeit ungenauer oder weniger effektiv werden.

Teams sollten regelmäßig False Positives, übersehene Erkennungen, Analysteneinstufungen und Änderungen in der Umgebung überprüfen. Das Ziel ist nicht ein ständiger Modellwechsel, sondern eine disziplinierte Validierung, die dafür sorgt, dass die Erkennungslogik mit den realen Betriebsbedingungen übereinstimmt.

Geschwindigkeit ist bei Sicherheitsabläufen wichtig, aber Geschwindigkeit ohne Genauigkeit kann weitere Risiken verursachen. Automatisierte Aktionen sollten an das Vertrauensniveau, die Auswirkungen und die Governance gekoppelt werden. Ziel ist es, Analysten dabei zu unterstützen, schnellere und fundiertere Entscheidungen zu treffen.

Erkennung schafft Mehrwert, wenn sie zu schnellen Reaktionen führt. KI verbessert die Reaktionsfähigkeit des SOC durch die Priorisierung von Warnmeldungen, die Anreicherung von Untersuchungen mit Kontext, die Empfehlung von Maßnahmen und die Koordinierung von Workflows für Sicherheitskontrollen.

Automatisierte Zwischenfall-Triagierung

KI kann zusammengehörige Warnmeldungen gruppieren, betroffene Anwender oder Ressourcen identifizieren, relevanten Kontext extrahieren und wahrscheinliche Zwischenfälle von irrelevanten Meldungen trennen. Der Proofpoint Satori DLP Triage Agent und der Proofpoint Satori Abuse-Postfach-Agent können wiederkehrende Prüfaufgaben für Analysten erledigen und die Triage großer Datenmengen beschleunigen.

Risikobasierte Priorisierung

Bei risikobasierter Priorisierung werden Warnmeldungen nach Wahrscheinlichkeit und Auswirkung eingestuft. Ein verdächtiges Ereignis, das einen privilegierten Anwender, das Postfach einer Führungskraft, vertrauliche Datensätze oder eine aktive Phishing-Kampagne betrifft, sollte aus der Flut an Warnmeldungen herausstechen.

Koordinierte Antwort-Workflows

Die SOC-Automatisierung kann einheitliche Workflows auslösen, z. B. Quarantäne, Anwenderbenachrichtigung, Ticketerstellung, Blocklist-Aktualisierungen, Behebungsmaßnahmen im Zusammenhang mit Postfächern oder Eskalation zur Reaktion auf Zwischenfälle. Proofpoint Cloud Threat Response (CTR) fügt sich hier in Umgebungen ein, die die Funktionen von Proofpoint Threat Response zur Anreicherung, Koordinierung und Eindämmung nutzen.

Wenn KI gezielt eingesetzt wird, verbessert sie die Sicherheitsabläufe. Dadurch entfällt nicht die Notwendigkeit einer soliden Sicherheitsarchitektur oder von zuverlässigen Daten oder menschlichem Urteilsvermögen.

Übermäßiges Vertrauen in Automatisierung

Nicht jede Entscheidung sollte automatisiert werden. Vielmehr sollten Unternehmen Folgendes definieren:

• Aktionen, die automatisch ausgeführt werden dürfen
• Aktionen, die die Genehmigung eines Analysten erfordern
• Ereignisse, die eine eingehendere Untersuchung erfordern
• Kontrollmechanismen, die das Potenzial zur Unterbrechung von Geschäftsaktivitäten haben

Wichtige Entscheidungen profitieren von klaren Genehmigungs- und Eskalationspfaden.

Mangelhafte oder unvollständige Daten

KI-Modelle sind von den ihnen zur Verfügung stehenden Signalen abhängig. Unvollständige Telemetriedaten, mangelhafte Kennzeichnungen oder Lücken zwischen Sicherheitssystemen können zu falschen Schlussfolgerungen führen.

Erkennungsprogramme sollten die Datenqualität überprüfen und ermitteln, ob die relevanten Systeme genügend Transparenz für eine zuverlässige Korrelation bieten.

Fehlender systemübergreifender Kontext

Ein Erkennungssystem, das nur einen Teil eines Angriffs erfasst, kann wichtige Zusammenhänge übersehen.

E-Mail-, Identitäts-, Cloud-, Endpunkt- und Datensicherheitssysteme sollten genügend Kontext liefern, um aussagekräftige Aktivitäten auf dem gesamten Angriffspfad zu rekonstruieren.

Modell-Drift

Die Erkennungsleistung kann sich mit der Weiterentwicklung des normalen Verhaltens, der Anwendungen und der Angreifertechniken ändern. Unternehmen sollten die Modellergebnisse überwachen und die Systeme bei Leistungsänderungen anpassen.

Erklärbarkeit

Analysten müssen verstehen, warum eine Warnmeldung priorisiert wurde.

Ein sinnvolles Erkennungssystem sollte die Beweise und kontextbasierten Signale liefern, die einer Empfehlung oder Bewertung zugrunde liegen. Erklärbarkeit hilft Analysten, Ergebnisse zu validieren und fundiertere Reaktionsentscheidungen zu treffen.

Die sinnvollste Bewertung beginnt mit operativen Ergebnissen und nicht mit der Anzahl der KI-Funktionen in einer Produktbeschreibung. Sicherheitsteams sollten definieren, wo die Erkennung aktuell versagt, und anschließend testen, ob eine vorgeschlagene Lösung diesen Workflow wesentlich verbessert.

Ein SOC, das beispielsweise Probleme mit der Phishing-Triage hat, legt möglicherweise größten Wert auf die Qualität der Nachrichtenanalyse, den Anwenderkontext, die Aktivitäten nach der Zustellung und die Integration von Reaktionsmaßnahmen. Einem Datensicherheitsteam ist möglicherweise die Transparenz vertraulicher Daten, das Anwenderverhalten und die Möglichkeit zur Unterscheidung von legitimer Zusammenarbeit von riskanten Aktivitäten wichtiger.

Bewerten Sie Transparenz vor Intelligenz

Fragen Sie, welche Datenquellen die Lösung analysieren kann, wie schnell diese Signale verfügbar werden und ob das Produkt Aktivitäten systemübergreifend verknüpfen kann. Ein hochentwickeltes Modell mit eingeschränkter Transparenz liefert möglicherweise immer noch ein unvollständiges Bild.

Suchen Sie nach Verhaltenskontexten, die Analysten verstehen können

Verhaltens-Baselines, Vergleiche mit Kollegen und Beziehungsanalysen können wertvoll sein, sollten aber zu Erkenntnissen führen, die Analysten überprüfen können. Die Bewertung sollte aufzeigen, was sich geändert hat, warum das wichtig ist und welche anderen Signale die Schlussfolgerung stützen.

Messen Sie die Genauigkeit im relevanten Workflow

Nützliche Kennzahlen sind z. B. die False-Positive-Rate, die False-Negative-Rate, die Konversionsrate von Warnmeldungen in tatsächliche Zwischenfälle, die Untersuchungszeit, die durchschnittlich benötigte Zeit zur Erkennung und die durchschnittlich benötigte Zeit bis zur Reaktion. Eine einzelne Kennzahl ist nicht ausreichend. Eine Reduzierung der Anzahl an Warnmeldungen ist beispielsweise nur dann sinnvoll, wenn das System weiterhin die Bedrohungen identifiziert, die das Unternehmen erkennen muss.

Testen Sie die Integration mit dem bestehenden SOC

Die Erkennung sollte zu den Tools und Prozessen passen, die Analysten bereits verwenden. Die Integration mit Fallmanagement, SIEM, SOAR, E-Mail, Identitäts- und Datensicherheitskontrollen kann darüber entscheiden, ob die KI-Funktion die täglichen Abläufe verbessert oder nur eine weitere zu überwachende Konsole schafft.

Fragen, die Sie einem Anbieter stellen sollten

• Warum wurde diese Warnmeldung priorisiert und welche Signale haben zu dieser Entscheidung geführt?
• Welche Datenquellen werden benötigt, damit das System wie beabsichtigt funktioniert?
• Wie unterscheidet das System eine Anomalie von einem relevanten Risiko?
• Welche Reaktionsmaßnahmen können automatisiert werden und wo können Genehmigungs-Kontrollpunkte durchgesetzt werden?
• Wie können Analysten Feedback geben und wie wird dieses Feedback genutzt?
• Wie wird die Modellleistung bei sich ändernden Umgebungsbedingungen überwacht?
• Welche Kennzahlen belegen eine Verbesserung des kundeninternen Produktionsablaufs?

Eine effektive Strategie beginnt mit den Risiken, die das Unternehmen kennen muss, nicht mit einer Liste von KI-Funktionen. Identifizieren Sie zuerst die Angriffspfade, Anwender und Daten, die die größte potenzielle Auswirkung haben. Ermitteln Sie anschließend, wo bei bestehenden Kontrollmechanismen Kontext oder Reaktionskapazitäten fehlen.

Beginnen Sie mit den Angriffspfaden, die für das Unternehmen relevant sind

Für viele Unternehmen zählen Phishing-Angriffe, die zu Kontenkompromittierungen, Business Email Compromise (BEC), Insider-Aktivitäten und zur Weitergabe vertraulicher Daten führen, zu den Pfaden mit hoher Priorität. Die genauen Prioritäten sollten das Umfeld des Unternehmens widerspiegeln, nicht eine allgemeine Bedrohungsliste.

Verbinden Sie E-Mail, Identität und Datenkontext

Angriffe überschreiten oft Sicherheitsgrenzen. Eine Nachricht kann zum Diebstahl von Anmeldedaten führen. Die kompromittierte Identität kann dann auf vertrauliche Informationen zugreifen. Mit einer Erkennungsstrategie, die diese Phasen miteinander verbindet, können Analysten die gesamte Abfolge besser verstehen, bevor die geschäftlichen Auswirkungen zunehmen.

Nutzen Sie KI zur Unterstützung der Entscheidungsfindung und nicht als Ersatz

Durch Automatisierung sollten repetitive Arbeiten abgeschafft und bekannte Aktionen beschleunigt werden. Menschen sollten weiterhin die Verantwortung für Entscheidungen tragen, die mehrdeutig, disruptiv oder vom Geschäftskontext abhängig sind.

Messen Sie, ob sich das Programm verbessert

Ein ausgereiftes Programm muss aufzeigen können, ob Analysten weniger Meldungen mit geringem Wert untersuchen, schneller zu Entscheidungen gelangen und einheitlicher reagieren. Diese operativen Verbesserungen sind aussagekräftiger als die Gesamtzahl der Ereignisse, die ein Modell bewerten kann.

So messen Sie den Erfolg von KI-gestützter Bedrohungserkennung

Der Nutzen von KI-gestützter Bedrohungserkennung sollte sich in der Fähigkeit des SOC zeigen, relevante Risiken zu identifizieren und darauf zu reagieren. Nützliche Kennzahlen sind z. B. die Reduzierung von False Positives, die Konversionsrate von Warnmeldungen in tatsächliche Zwischenfälle, die Untersuchungszeit, die durchschnittlich benötigte Zeit zur Erkennung, die durchschnittlich benötigte Zeit bis zur Reaktion und der Anteil repetitiver Triage-Arbeit, der sicher automatisiert werden kann.

Sicherheitsverantwortliche sollten den Schwerpunkt auch nicht nur auf Geschwindigkeit legen. Ein Workflow, der Warnmeldungen zwar schneller schließt, aber wichtige Kontextinformationen übersieht, ist keine Verbesserung. Der stärkste Messansatz vereint Effizienz, Erkennungsqualität und Ergebnisse von Zwischenfällen.

KI-gestützte Bedrohungserkennung entwickelt sich hin zu einer koordinierten Entscheidungshilfe mit umfangreichen Kontextdaten.

Drei Entwicklungen sind von besonderer Bedeutung.

Prädiktive und verhaltensbasierte Erkennung

Erkennungssysteme werden auch künftig über einzelne Indikatoren hinausgehen und Veränderungen im Verhalten, in Beziehungen und im Risiko langfristig bewerten.

Ziel ist die frühzeitige Erkennung verdächtiger Muster, nicht nur die schnellere Verarbeitung bekannter Warnmeldungen.

Personenbezogenes Risiko als Erkennungskontext

Die Identität allein liefert dem SOC nicht genügend Informationen über das Risiko.

Sicherheitsteams müssen zunehmend verstehen, wie Anwender mit E-Mails, Daten, Cloud-Anwendungen und anderen Anwendern interagieren.

Ein personenzentriertes Sicherheitsmodell kann diesen Kontext in die Erkennung und Priorisierung einbeziehen.

KI-Agenten in Sicherheitsabläufen

KI-Agenten können definierte Untersuchungs- und Triage-Aufgaben durchführen, anstatt lediglich Empfehlungen zu generieren.

Proofpoint Satori nutzt bereits agentenbasierte KI für Workflows in Sicherheitsabläufen, einschließlich DLP-Triage und der Überprüfung von durch Anwender gemeldeten E-Mails.

Das wichtige Prinzip bleibt unverändert: Automatisierung sollte die Fähigkeiten von Analysten erweitern und gleichzeitig eine angemessene menschliche Kontrolle gewährleisten.

Für effektive KI-gestützte Bedrohungserkennung sind nicht nur technische Indikatoren erforderlich, sondern auch Kontextinformationen über die Anwender, die mit Systemen, Anwendungen und Daten interagieren.

Ein personenzentrierter Ansatz hilft Sicherheitsteams, Folgendes zu verstehen:

• Wer ist beteiligt?
• Welche Aktionen führt diese Person normalerweise aus?
• Was hat sich geändert?
• Welche Informationen sind gefährdet?
• Welche Signale hängen zusammen?
• Welche Reaktion ist angemessen?

Dank dieser Kontextinformationen können Analysten unnötige Warnmeldungen reduzieren und sich auf Bedrohungen konzentrieren, die das Unternehmen signifikant gefährden. Proofpoint korreliert KI-gestützte Bedrohungsdaten über Proofpoint Nexus, die Automatisierung von Sicherheitsabläufen über Proofpoint Satori, E-Mail-Sicherheit, die Abwehr personenbezogener Risiken und Datensicherheit. Zusammen ermöglichen diese Funktionen einen personenzentrierten Ansatz zur Erkennung, zum Verständnis und zur Reaktion auf Bedrohungen für Anwender und Daten.