Einführung

Dieser Artikel vermittelt einen Überblick über die grundlegenden Machine Learning-Konzepte. Darüber beleuchtet er die zunehmende Nutzung von Machine Learning in der Cybersicherheitsbranche und geht auf wichtige Vorteile, die Hauptanwendungsszenarien, häufige Missverständnisse und den Machine Learning-Ansatz von CrowdStrike ein.

Was ist Machine Learning?

Machine Learning (ML) ist ein Teilbereich der künstlichen Intelligenz (KI). Er behandelt den Prozess, mit dem Algorithmen so trainiert werden, dass sie Muster in vorhandenen Daten erkennen und nachfolgend Reaktionen auf neue Daten vorhersagen können.

Obwohl die Begriffe KI und ML oft synonym verwendet werden, gibt es wichtige Unterschiede zwischen den beiden Konzepten. KI bezeichnet Technologien, die Maschinen in der Nachahmung oder Simulation von Prozessen der menschlichen Intelligenz in realen Umgebungen trainieren, während ML für die resultierenden Computer-Systeme („Modelle“) steht, die aus den Daten lernen und nachfolgend Vorhersagen treffen.

Im Wesentlichen bezieht sich das „Learning“ auf den Prozess, bei dem Modelle mathematische Funktionen zuordnen, um zugrunde liegende Daten so zu konditionieren, dass genaue Vorhersagen getroffen werden können. Während Computer für einfache, vorhersagbare Aufgaben programmiert werden können, indem sie explizit programmierte oder verkettete Anweisungen befolgen, entwickeln ML-Modelle einen verallgemeinerten Problemlösungsansatz.

Drei Formen von Machine Learning

In diesem Artikel befassen wir uns mit drei gängigen Machine Learning-Formen:

1. Überwachtes Lernen

Beim überwachten Lernen wird ein Modell mithilfe gelabelter Eingabedaten und gewünschter Ergebnisse trainiert. Damit soll dem Modell beigebracht werden, eine Aufgabe auszuführen, wenn ihm neue oder unbekannte Daten präsentiert werden. Ein gängiger Ansatz für das überwachte Lernen in der Cybersicherheit besteht darin, Modelle mit Proben von harmlosen und böswilligen Daten so zu trainieren, dass sie vorhersagen können, ob neue Daten böswillig sind.

2. Unüberwachtes Lernen

Beim unüberwachten Lernen wird ein Modell mithilfe nicht gelabelter Daten trainiert und muss Strukturen, Beziehungen und Muster wie Cluster oder Gruppierungen in den Daten selbst finden. In der Cybersicherheit kann diese Methode für die Erkennung neuer Angriffsmuster oder Verhaltensweisen von Angreifern (z. B. zur Erkennung von Anomalien) in großen Daten-Pools eingesetzt werden.

3. Bestärkendes Lernen

Beim bestärkenden Lernen erhält ein Modell keine gelabelten Ein- oder Ausgabedaten, sondern muss stattdessen nach dem Versuch-und-Irrtum-Prinzip lernen, um eine kumulative Belohnung zu maximieren. Diese Machine Learning-Form bleibt nah am menschlichen Lernprozess und eignet sich besonders, um kreative und innovative Problemlösungsmöglichkeiten zu finden. Zu den Anwendungen für das bestärkende Lernen in der Cybersicherheit gehören zum Beispiel Lösungen für cyber-physische Systeme, autonome Eindringungserkennungen und Distributed Denial-of-Service-Angriffe (DDOS).

Vorteile von Machine Learning in der Cybersicherheit

Machine Learning bietet viele Vorteile bei der Lösung von Problemen im Bereich der Cybersicherheit. Beispiele:

1. Schnelle Synthetisierung großer Datenmengen: Eine der größten Herausforderungen für Analysten besteht darin, dass sie die auf ihrer gesamten Angriffsfläche generierten Daten schnell synthetisieren müssen. In der Regel werden diese Daten viel schneller generiert, als sie von den Teams manuell verarbeitet werden können. Machine Learning kann große Mengen historischer und dynamischer Daten schnell analysieren. Das gibt Teams die Möglichkeit, Daten aus verschiedenen Quellen nahezu in Echtzeit zu operationalisieren.
2. Aktivierung von Expertendaten im großen Maßstab: Durch regelmäßige Trainingszyklen können Modelle fortlaufend aus den wachsenden Beständen von Datenproben lernen, die gelabelte Erkennungen oder von Analysten geprüfte Warnungen beinhalten. Auf diese Weise werden wiederkehrende falsch positive Erkennungen verhindert und Modelle dazu befähigt, von Experten generierte Referenzdaten zu erlernen und durchzusetzen.
3. Automatisierung wiederkehrender manueller Arbeiten: Die Anwendung von Machine Learning auf spezifische Aufgaben kann Sicherheitsteams tägliche Routinearbeiten ersparen und damit als Performance-Booster wirken, sodass sie auf eingehende Warnungen reagieren sowie Zeit und Ressourcen für komplexe, strategische Projekte umwidmen können.
4. Steigerung der Analysteneffizienz: Machine Learning kann Analysten tiefere Einblicke durch Echtzeitdaten vermitteln. So können sie Ressourcen für die Bedrohungssuche und Sicherheitsabläufe effektiv priorisieren, um die kritischen Schwachstellen ihres Unternehmens zu behandeln und zeitkritische ML-basierte Erkennungen zu untersuchen.

Anwendungsszenarien von Machine Learning in der Cybersicherheit

Machine Learning kann im Bereich der Cybersicherheit schon jetzt für viele Use Cases genutzt werden – und es werden immer mehr. Meist fallen sie in eine der zwei Hauptgruppen:

1. Automatisierte Bedrohungserkennung und -abwehr
2. Analystengeführte Operationen mit Machine Learning-Unterstützung

Automatisierte Bedrohungserkennung und -abwehr

In der ersten Kategorie ermöglicht Machine Learning den Unternehmen, manuelle Arbeiten zu automatisieren. Dies gilt insbesondere für Prozesse, bei denen es auf hohe Genauigkeit und eine Reaktion in Maschinengeschwindigkeit ankommt, z. B. bei der automatischen Bedrohungserkennung und -reaktion oder bei der Klassifizierung neuer Angriffsmuster.

Der Einsatz von Machine Learning in diesen Szenarien ergänzt signaturbasierte Methoden der Bedrohungserkennung mit einem verallgemeinerten Ansatz, der die Unterschiede zwischen harmlosen und böswilligen Datenproben lernt und neue reale Bedrohungen schnell erkennen kann.

Effizienz der Analysten mit Machine Learning stärken

Machine Learning-Modelle können auch bei analystengeführten Untersuchungen helfen, indem sie Teams über Erkennungen informieren, die untersucht werden müssen, oder Schwachstellen priorisieren, die gepatcht werden sollen. Eine Prüfung durch Analysten kann besonders dann wertvoll sein, wenn die Modelle nicht genug Daten haben, um Ergebnisse mit hoher Konfidenz vorherzusagen oder harmlos erscheinendes Verhalten zu untersuchen, das von Malware-Klassifizierern ohne Warnung durchgewunken wird.

Weitere Machine Learning-Anwendungsszenarien für die Cybersicherheit

Es folgt eine (nicht vollständige) Liste gängiger Einsatzmöglichkeiten für Machine Learning im Bereich der Cybersicherheit.

Bewertung der Effizienz von Maschinenmodellen

Modelleffizienz für Malware-Klassifizierer:

Eine der häufigsten Anwendungen von ML in der Cybersicherheit ist die Malware-Klassifizierung. Malware-Klassifizierer liefern eine bewertete Prognose, ob eine bestimmte Datenprobe böswillig ist. Dabei bezieht sich die Bewertung auf die Konfidenz der resultierenden Klassifizierung. Eine Möglichkeit zur Bewertung der Modellleistung ist die Darstellung der Vorhersagen an zwei Achsen: Genauigkeit (ob ein Ergebnis korrekt klassifiziert wurde; „wahr“ oder „falsch“) und Ausgabe (Klasse, die ein Modell einer Datenprobe zuweist; „positiv“ oder „negativ“).

Beachten Sie, dass die Begriffe „positiv“ und „negativ“ in diesem Rahmen nicht bedeuten, dass eine Probe „harmlos“ bzw. „böswillig“ ist. Wenn ein Malware-Klassifizierer eine „positive“ Erkennung ausgibt, sagt das Modell vorher, dass eine bestimmte Datenprobe böswillig ist. Für diese Entscheidung beobachtet das Modell Merkmale, die es gelernt hat, mit bekannten böswilligen Datenproben zu assoziieren.

Um zu verdeutlichen, was diese Gruppierungen bedeuten, nutzen wir Beispiele aus Modellen, die für die Analyse böswilliger Dateien trainiert wurden.

• Richtig positiv: Das Modell hat richtig vorhergesagt, dass eine Datei böswillig ist 
• Richtig negativ: Das Modell hat richtig vorhergesagt, dass eine Datei nicht böswillig ist
• Falsch positiv: Das Modell hat falsch vorhergesagt, dass eine Datei böswillig ist (obwohl sie es nicht war)
• Falsch negativ: Das Modell hat falsch vorhergesagt, dass eine Datei nicht böswillig ist (obwohl sie es war)

Ausbalancieren richtig positiver und falsch positiver Erkennungen

Richtig positive Erkennungen spielen zwar eine entscheidende Rolle für die Bedrohungserkennung und -reaktion, aber auch falsch positive Erkennungen sind ein wichtiges Maß für die Leistung eines Modells. Mit falsch positiven Erkennungen sind Opportunitätskosten für die Zeit und Ressourcen verbunden, die Sicherheitsteams für die Untersuchung jeder Erkennung benötigen. Sie können besonders hoch ausfallen, wenn dadurch automatische Korrekturprozesse ausgelöst werden, die wichtige Geschäftsanwendungen blockieren oder unterbrechen.

Bei der Kalibrierung der Aggressivität oder Empfindlichkeit eines Modells müssen Datenspezialisten sowohl die Rate der richtig positiven als auch die Rate der falsch positiven Erkennungen optimieren. Damit stehen sie vor einer wichtigen Kompromissentscheidung: Wenn sie den Schwellenwert für richtig positive Erkennungen absenken (d. h. die Anforderungen, die erfüllt werden müssen, damit ein Modell eine Datenprobe als „positiv“ bewertet), besteht die Gefahr, dass auch der Schwellenwert für falsch positive Erkennungen sinkt (was zu einer geringeren Analystenproduktivität und höheren Warnungsmüdigkeit führen könnte). Diesen Kompromiss bezeichnen wir als Erkennungseffizienz.

Das ultimative Ziel bei der Entwicklung hochleistungsfähiger Machine Learning-Modelle besteht in der Maximierung der Erkennungseffizienz, also der Maximierung der richtig positiven Erkennungen bei gleichzeitiger Minimierung der falsch positiven Erkennungen. Um die Komplexität dieser Balance zu verdeutlichen, soll darauf hingewiesen werden, dass es nicht ungewöhnlich ist, dass Malware-Klassifizierer auf der einen Seite Raten im Bereich von 99 % bei den richtig positiven Erkennungen erzielen und auf der anderen Seite Raten von deutlich unter 1 % bei den falsch positiven Erkennungen.

Herausforderungen und Grenzen bei Machine Learning

Machine Learning-Modelle können zwar leistungsfähige Tools sein, doch jedes Modell hat seine eigenen Grenzen:

Ausreichende Daten in hoher Qualität: Das Training von Modellen mit hoher Konfidenz erfordert häufig Zugang zu großen Datensätzen, die für Training und Tests genutzt werden können. Für das Testen der Modelle wird in der Regel eine Teilmenge der Daten aus dem Trainingssatz isoliert, an der dann die Modellleistung getestet wird. Die Eigenschaften dieser Daten sollten sich möglichst wenig mit den Trainingsdaten überschneiden, d. h. die Daten sollten zeitlich versetzt erfasst werden oder aus einer anderen Datenquelle stammen. Wenn es nicht genug qualitativ hochwertige Daten gibt, könnte sich ein bestimmter Problembereich unter Umständen nicht als Szenario für angewandtes Machine Learning eignen.

Kompromisse zwischen richtig positiven und falsch positiven Erkennungen: Wie bereits besprochen, muss die Empfindlichkeit jedes Modells kalibriert werden, um den Schwellenwert zwischen richtig positiven und falsch positiven Erkennungen auszubalancieren und damit die Erkennungseffizienz zu maximieren.

Erklärbarkeit: Erklärbarkeit bezieht sich auf die Fähigkeit, zu erklären, wie und warum ein Modell so agiert, wie es agiert. So können Datenspezialisten-Teams verstehen, welche Merkmale in einer Datenprobe die Leistung des Modells beeinflussen und wie sie relativ gewichtet sind. Erklärbarkeit ist wichtig, um die verantwortliche Ebene zu definieren, Vertrauen aufzubauen, die Einhaltung von Datenrichtlinien sicherzustellen und schließlich die kontinuierliche Verbesserung der Machine Learning-Leistung zu ermöglichen.

Wiederholbarkeit: Sie wird auch als Reproduzierbarkeit bezeichnet und bezieht sich auf die Fähigkeit, Machine Learning-Experimente konsistent zu reproduzieren. Wiederholbarkeit fördert die Transparenz hinsichtlich der Verwendung von Machine Learning, der verwendeten Modellarten, der Trainingsdaten sowie der Software-Umgebungen oder -Versionen, unter denen sie ausgeführt werden. Wiederholbarkeit minimiert Unklarheiten und potenzielle Fehler vom Testen der Modelle über ihre Bereitstellung bis hin zur späteren regelmäßigen Aktualisierung.

Optimierung für Zielumgebung: Jedes Modell muss für seine Zielproduktionsumgebung optimiert werden. Jede Umgebung variiert hinsichtlich der Verfügbarkeit von Rechenressourcen, Speicher und Konnektivität. Folglich muss jedes Modell so entworfen werden, dass es in seiner Bereitstellungsumgebung funktioniert, ohne den Betrieb des Ziel-Hosts zu belasten oder zu unterbrechen.

Widerstandsfähigkeit gegen feindliche Angriffe: Machine Learning-Modelle haben eine eigene Angriffsfläche. Sie kann anfällig für feindliche Angriffe sein, bei denen versucht wird, das Modellverhalten auszunutzen oder zu modifizieren (z. B. so zu manipulieren, dass Datenproben falsch klassifiziert werden). Um die ausnutzbare Angriffsfläche von Modellen zu minimieren, erhöhen die Datenspezialisten die Widerstandsfähigkeit der Modelle im Training, sodass eine robuste Leistung und Resilienz gegen Angriffe sichergestellt werden kann.

Zwei Missverständnisse im Zusammenhang mit Machine Learning

Missverständnis 1: Machine Learning ist besser als konventionelle analytische oder statistische Methoden.

Machine Learning kann ein hocheffektives Tool sein, eignet sich aber unter Umständen nicht für jeden Problembereich. Auch andere analytische oder statistische Methoden können sehr genaue und effektive Ergebnisse liefern oder weniger ressourcenintensiv sein als ein Machine Learning-Ansatz – und sich gleichzeitig eher für einen bestimmten Problembereich eignen.

Missverständnis 2: Machine Learning sollte für die Automatisierung möglichst vieler Aufgaben verwendet werden.

Machine Learning kann sehr ressourcenintensiv sein und oft Zugriff auf große Datenmengen, Rechenressourcen und dedizierte Teams von Datenspezialisten erfordern, um Modelle zu erstellen, zu trainieren und zu pflegen. Um die Rentabilität bei der Modellpflege zu maximieren, wird es am besten eingesetzt, wenn die Zielprobleme einen hohen Wert verkörpern, oft wiederkehren, Schnelligkeit und Genauigkeit erfordern und eine ausreichende Basis qualitativ hochwertiger Datensätze für das fortwährende Training und Testen verfügbar ist.

Der CrowdStrike-Ansatz für Machine Learning

CrowdStrike nutzt Machine Learning für die gesamte CrowdStrike Falcon®-Plattform, um erweiterten Bedrohungsschutz bereitzustellen.

Einzigartige Daten der CrowdStrike Security Cloud:

Die von CrowdStrike eingesetzten Modelle werden mit der reichhaltigen Telemetrie der CrowdStrike Security Cloud trainiert, die Billionen von Datenpunkten aus dem Asset Graph, Intel Graph und patentierten Threat Graph® korreliert und damit unerreichte Transparenz bietet, um die Bedrohungsdaten für die Angriffsfläche des Unternehmens ständig zu verfeinern.

Diese Kenntnisse werden mit einem immer größer werdenden Korpus von Referenzdaten angereichert, die Expertenteams aus allen Unternehmensbereichen von CrowdStrike generieren, z. B. die Threat Hunting-Teams (Falcon OverWatch™) sowie die Malware Research Center- und Managed Detection and Response-Teams (Falcon Complete™) von CrowdStrike.

Stärkung der menschlichen Expertise:

Die von CrowdStrike verwendeten Modelle sind das Herzstück der autonomen Bedrohungserkennung und -abwehr. Gleichzeitig stärken sie die menschliche Expertise in expertengeführten Domänen wie der Bedrohungssuche sowie bei IT- und Sicherheitsabläufen. Machine Learning-Modelle auf der gesamten Falcon-Plattform bilden die Grundlage für eine Analysten-Workbench der nächsten Generation, die die Erkennung und Reaktion automatisiert, die Effizienz der Analysten mit genauen vom Machine Learning ausgelösten Warnungen maximiert und intelligente Empfehlungen für die Schwachstellenverwaltung im Sinne einer proaktiven Verteidigung (mit dem Modell ExPRT.AI von Falcon Spotlight™) liefert.

Mehrere Verteidigungsebenen:

CrowdStrike nutzt Machine Learning auf der gesamten Falcon-Plattform, um eine robuste, mehrschichtige Verteidigung während des gesamten Prozesslebenszyklus (vor der Ausführung, zur Laufzeit und nach der Ausführung) zu bieten. Vor der Ausführung angewendete, im Sensor ausgeführte und cloudbasierte Machine Learning-Modelle arbeiten synchron, um Bedrohungen automatisch zu erkennen und abzuwehren, und statten den schlanken Falcon-Agenten mit einer robusten ersten Verteidigungslinie aus. Durch die konstante Synchronität zwischen cloudbasierten und im Sensor integrierten ML-Modellen können Erkennungen im Sensor global für die gesamte Angriffsfläche und Erkennungen der cloudbasierte Modelle sofort für alle geschützten Endgeräte bereitgestellt werden.

Um diesen Ansatz noch zu verstärken, wendet CrowdStrike zur Laufzeit zudem erweiterte Verhaltensanalysen an. Dabei werden Endgeräteereignisse mithilfe cloudbasierter Modelle analysiert, um Angriffsindikatoren (IOAs) zu klassifizieren. KI-gestützte IOAs erkennen neue Bedrohungen unabhängig von der Malware oder den verwendeten Werkzeugen proaktiv. Sie arbeiten asynchron zu Modellen im Sensor, um lokale Analysen verdächtiger Verhaltensweisen anhand von Echtzeit-Bedrohungsdaten auszulösen.

Indikatoren für das Verhalten nach der Ausführung werden verwendet, um ungewöhnliche Aktivitäten auf der gesamten Angriffsfläche eines Unternehmens zu bewerten (die von der CrowdStrike CrowdScore™-Metrik mit ihrer Echtzeitanzeige für das Bedrohungsniveau eines Unternehmens angezeigt werden). Darüber hinaus untersucht Falcon OverWatch mithilfe dieser Indikatoren komplexere Bedrohungen, z. B. Hands-on-Keyboard-Aktivitäten, Cyberkriminalität und getarnte Angriffe.