Hacker nutzen KI kaum

Manky: Nicht wirklich. Die Hacker geniessen zwar sehr viele Vorteile und sind im Wettrüsten der Methoden oft vorn. Wenn es aber um reine Technologie geht, dann befinden sie sich nach wie vor im Hintertreffen. Die Erklärung hierfür ist einfach: Hacker können immer noch dem Weg des geringsten Widerstands folgen. Als Konsequenz müssen sie auf ihrer Seite nicht allzu innovativ vorgehen. Schliesslich funktionieren sehr viele Attacken noch.

Die Seite der Verteidiger dagegen investiert seit gut fünf Jahren viel Zeit und Geld in die Entwicklung von ML und KI. Bei uns analysieren ganze Rechenzentren Daten über Angriffe, wodurch die ML-basierten Abwehrsysteme laufend besser und genauer werden. Zudem trainieren unsere Mitarbeiter die Systeme. Die Hackerseite hat - zum Glück -diese Ressourcen noch nicht, sie braucht sie aber auch noch nicht.

Manky: Vielversprechend ist eine Verwirrungstaktik. Dabei legen Sie als Firma diverse Köder im Netzwerk aus. Wenn also ein Angreifer, ein automatisiertes Angriffswerkzeug oder in Zukunft ein KI-System sich im Netz umsieht, dann stösst er oder es neben der echten Infrastruktur auf zahlreiche fingierte Ressourcen wie falsche IoT-Geräte, Fake-Server, gefälschte Applikationen oder korrupte Datensätze. Der Angreifer kommt sich dann vor wie in einem Spiegelkabinett und kann sich nicht entscheiden, wo er angreifen soll. 

Das wird jedoch nur für eine gewisse Zeit funktionieren, denn es zwingt die Hacker dazu, eigene Intelligenz zu entwickeln. Aber solange es genügend einfache Ziele gibt, also Unternehmensnetze ohne Spiegelkabinett, kann diese Methode vor Cyberangreifern schützen.

com! professional: Sie haben eine erste Automatisierung in Form von Swarm-Bots beobachtet. Was ist das denn?

Manky: Vieles, was wir im Netz gegenwärtig sehen, basiert auf Automation. Es gibt aber auch schon erste Vorformen von KI-basierten Angriffen. Eine solche sind die von uns kürzlich näher analysierten Bot-Schwärme, die sich selbst organisieren können.

Bisher bekannte Bot-Netze wie Mirai und Reaper werden immer noch von Menschen betrieben. Ganz anders sieht es bei Swarm-Bots wie „Hide and Seek“ aus. Hier können sich infizierte Bots austauschen und aufgrund der geteilten Informationen aktiv handeln. Bisherige Bot-Netze warten dagegen, bis ein Mensch ihnen einen Befehl schickt. Bei Hide and Seek wird der Mensch aus der Gleichung herausgenommen, was an sich schon beängstigend ist.

Immerhin: Bislang werden die Bot-Schwärme lediglich für das Erkunden der Netzwerkumgebung verwendet, also nur für die erste Angriffsphase.

Manky: Nehmen wir an, die Angreifer haben ein NAS und einen Drucker in einen Bot verwandelt. Beide infizierten Geräte sehen nun einen bestimmten Teil des Unternehmensnetzes. In der Folge tauschen sie sich gegenseitig über ihre Beobachtungen aus, lernen voneinander und arbeiten danach als Kollegen zusammen.