Ransomware Wie sich Cyber-Kriminelle mit den eigenen Waffen schlagen lassen

Ein Gastkommentar von Ulf Baltin*

Die Bedrohung durch Ransomware nimmt immer erschreckendere Ausmaße an. Cyber-Kriminellen vernetzen sich inzwischen untereinander, entwickeln immer wieder neue Schadsoftware und überarbeiten die eigenen Phishing-Methoden. Wie können Unternehmen sich dagegen wehren?

Anbieter zum Thema

Cyber-Kriminelle gehen beim Einschleusen von Malware immer geschickter vor.
Cyber-Kriminelle gehen beim Einschleusen von Malware immer geschickter vor.
(Bild: gemeinfrei / Pixabay )

Ransomware gehört zu den besonders variantenreichen Angriffstaktiken im Bereich Cyber-Kriminalität: Das BSI gibt an, dass täglich mehr als 400.000 neue Typen entwickelt werden – Tendenz steigend. Die jüngsten Entwicklungen um einen neuen Bedrohungsakteur sind Gegenstand der aktuellen Forschungsergebnisse von Blackberry, einem führenden Anbieter von Sicherheitssoftware und -dienstleistungen für das IoT. Dessen Research and Intelligence-Team hat jüngst eine ungewöhnliche Verbindung zwischen den Aktionen dreier verschiedener Bedrohungsgruppen aufgedeckt, in deren Zentrum ein vierter Akteur namens Zebra2104 steht.

Die neueste Erkenntnis: Die Wie geschickt Cyber-Kriminelle beim Einschleusen von Malware in fremde Netzwerke vorgehen, zeigt der Umstand, dass KI- und ML-Anwendungen inzwischen nachweislich in der Lage sind, bessere Phishingmails zu verfassen als ein Mensch. Damit stellt sich die Frage, ob intelligente Systeme perspektivisch nicht die gefährlicheren Hacker sind. Woran sich bei aller fortschreitenden Entwicklung im Segment der Bedrohungsszenarien wenig ändert, ist, dass IT-Sicherheitsexperten den Angreifern möglichst immer den entscheidenden Schritt voraus sein müssen, um Attacken wirksam zu vereiteln.

Angriffen gezielt mit Clustering und Klassifizierung begegnen

Wenn Angreifer zunehmend auf KI und ML setzen, wie es verlässliche Analysen bestätigen, sind Unternehmen im Umkehrschluss gut beraten, zur Abwehr erstklassige Tools einzusetzen, die ebenfalls auf KI- und ML-Technologien basieren. Ein Beispiel ist die Clustering-Analyse. Ihr Zweck besteht darin, Daten-Samples auf Grundlage zuvor unbekannter Ähnlichkeiten zwischen ihren Hauptmerkmalen oder -attributen in diskrete Gruppen oder Cluster einzuteilen. Je ähnlicher die Stichproben sind, desto wahrscheinlicher ist es, dass sie demselben Cluster angehören. Die auf KI und ML basierenden Modelle von Cylance basieren etwa auf über 1,4 Billionen Daten, knapp 20 Milliarden Merkmale wurden bislang extrahiert und werden in das Datenmodell eingeflochten.

Menschen erleben die Welt in drei räumlichen Dimensionen. Dadurch wird es möglich, die Entfernung zwischen zwei beliebigen Objekten durch Messung der Länge der kürzesten geraden Linie zu bestimmen, die sie verbindet. Clustering-Algorithmen funktionieren dadurch, dass sie Daten-Samples Koordinaten in einem Merkmalsraum zuweisen und den Abstand zwischen ihnen messen.

Nach Abschluss der Analyse wird den Sicherheitsexperten eine Reihe von Clustern mit unterschiedlicher Anzahl von Inhalten präsentiert. Da bösartiges Verhalten selten vorkommt, werden die Cluster mit der größten Anzahl von Samples im Allgemeinen mit gutartigen Aktivitäten in Verbindung gebracht. Cluster mit wenigen Inhalten können auf anormale, potenziell bösartige Aktivitäten hinweisen, die eine weitere Analyse erfordern. Insofern funktioniert Clustering als mathematisch strenger Ansatz zur Erkennung von Mustern und Beziehungen zwischen Netzwerk-, Anwendungs-, Datei- und Benutzerdaten, die auf andere Weise nur schwer oder gar nicht zu erkennen sind.

Klassifizierung von Merkmalen

Im Bereich der Sicherheit ermöglicht eine systematische Klassifizierung von Merkmalen die Vorhersage, ob eine E-Mail als Spam eingestuft werden sollte, beziehungsweise ob eine Netzwerkverbindung gutartig ist oder zu einem Botnet gehört. Im ML-Kontext werden die verschiedenen Algorithmen, die zur Kategorisierung verwendet werden, als Klassifikatoren bezeichnet. Um ein genaues Klassifizierungsmodell zu erstellen, benötigen Datenwissenschaftler eine große Menge an markierten Daten, die korrekt erfasst und kategorisiert wurden. Die Stichproben werden dann in zwei oder drei verschiedene Sätze für Training, Validierung und Test aufgeteilt. Als Faustregel gilt: Je größer die Trainingsmenge ist, desto wahrscheinlicher ist es, dass der Klassifikator ein genaues Modell erstellt, mit dem sich verlässliche Zuordnungen treffen lassen.

Ausgangspunkt für die Entwicklung smarter Abwehrstrategien von morgen

Die beiden genannten Beispiele liefern einen Einstieg in die Welt der Tools und Prozesse, die Datenexperten bei Blackberry aktuell zur Lösung komplexer Cyber-Sicherheitsherausforderungen einsetzen. Was im Einzelfall den entscheidenden Unterschied macht, sind die Erfahrung der Entwickler sowie der ständig wachsende Bestand an proprietären Sicherheitsdaten, die zur Modellbildung zur Verfügung stehen. Dank dieser Ressourcen können versierte Spezialisten Herausforderungen in puncto Sicherheit richtig einordnen und Lösungen entwickeln, die Unternehmen dabei helfen, ihre Cyber-Risiken zu minimieren und ihre Widerstandsfähigkeit zu optimieren.

* Ulf Baltin arbeitet als Managing Director DACH bei Blackberry.

Jetzt Newsletter abonnieren

Verpassen Sie nicht unsere besten Inhalte

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

(ID:47995659)