Mehrschrittiges Denken in der IT-Security Wie Multi-Step Reasoning Cloud-Angreifer fernhält

Anbieter zum Thema

SysDig, Inc.

Insider Research

Multi-Step Reasoning revolutioniert die Cybersicherheit: Durch sequenzielle Analyse komplexer Angriffe ermöglicht es präzise Vorhersagen und Reaktionen. KI unterstützt die Mustererkennung, doch menschliche Expertise bleibt essenziell – ein Muss für jeden IT-Security-Experten, der den entscheidenden Vorsprung sucht.

Multi-Step Reasoning, auf deutsch „mehrschrittiges Denken“, ist ein Konzept, das in der Grundschule im Mathematikunterricht gelehrt wird, aber weit über mathematische Berechnungen und Textaufgaben hinausgeht. Es ist der Prozess, ein mathematisches Problem über mehrere Berechnungen oder Schritte zu lösen, um zur endgültigen Antwort zu gelangen. Multi-Step Reasoning (MSR) erfordert Reihenfolge, Logik und manchmal Vorwissen oder Schlussfolgerungen.

Es erfordert auch, dass jeder Schritt in einem Entscheidungsprozess für sich allein gültig ist, aber dennoch zu einer übergeordneten Schlussfolgerung beiträgt. Wie beim Bau eines Gebäudes, ist die Platzierung jedes einzelnen Ziegels wichtig, und das Fundament ist ebenso bedeutsam wie das Dach und jede Schicht dazwischen.

Im Bereich der Cybersicherheit, in dem Komplexität die Norm ist, sind mehrschichtige Überlegungen unerlässlich - von der Reaktion auf Vorfälle bis hin zur Vorhersage künftiger Bedrohungen.

Sicherheit in Multi-Cloud-Umgebungen

Wenn eine Cloud die andere Cloud angreift

Warum ist Multi-Step Reasoning in der Cybersicherheit wichtig?

Cybersicherheitsexperten, insbesondere Bedrohungsjäger, Incident Responder und Sicherheitsanalysten, sehen sich häufig mit vielschichtigen Bedrohungen konfrontiert. Cyber-Angriffe sind oftmals äußerst komplex und deshalb teils schwer zu stoppen. Dank dem MITRE ATT&CK Framework und der Lockheed Kill Chain ist bekannt, dass Cyberangriffe viele Schritte umfassen, von der Aufklärung und Persistenz bis hin zur Privilegienerweiterung und Datenexfiltration. Um diese Angriffe zu verstehen und zu entschärfen, muss man in der Lage sein, jede Phase eines Angriffs zu verstehen, die nächsten Schritte der Drahtzieher vorherzusagen und angemessen darauf zu reagieren.

Ohne MSR können Sicherheitsexperten einzelne Symptome eines Angriffs angehen, ohne das Gesamtbild verstehen zu müssen. Eine unvollständige oder unangemessene Reaktion und Schadensbegrenzung kann es Angreifern ermöglichen, ihre Aktivitäten fortzusetzen, zu ändern oder zu wiederholen.

Um die Anwendung von MSR zu verstehen, hilft ein Beispiel. Angenommen, das Sicherheitsteam eines Unternehmens erhält eine Warnung über ungewöhnliche Netzwerkaktivitäten. Wie sieht der mehrstufige Denkprozess bei der Erkennung aus?

• 1. Ein Sicherheitsanalyst beobachtet eine ungewöhnliche Spitze im Netzwerkverkehr, die von einer einzelnen, unbekannten IP-Adresse ausgeht.

• 2. Der Analyst korreliert das Verkehrsmuster mit Open-Source-Informationen, die darauf hindeuten, dass eine bekannte Schwachstelle kürzlich entdeckt, aber noch nicht in der Applikation gepatcht wurde.

• 3. Ein IT-Experte für Incident Response reagiert auf den Vorfall, identifiziert die Daten, auf die es der Angreifer abgesehen hat, bewertet das potenzielle Risiko des Zugriffs und legt die Prioritäten für die Abwehr fest.

• 4. Daraufhin ergreift er Maßnahmen, um die IP-Adresse zu sperren, die Applikation zu patchen, und weiteren Schaden zu verhindern.

• 5. Der Responder und ein Bedrohungsjäger suchen gemeinsam nach weiteren Anzeichen für eine Bedrohung und stellen sicher, dass der Angreifer nicht mehr im System ist, nicht erneut in das Netzwerk eindringen kann und keine Daten exfiltriert hat.

Jeder Schritt baut auf dem vorherigen auf und erfordert sorgfältiges und logisches Denken, um die Bedrohung wirksam zu bekämpfen.

Neues eBook „Umfassende Sicherheit für Cloud-Umgebungen“

Viele Cloud-Risiken liegen im „toten Winkel“

Multi-Step Reasoning bei der Erkennung von Bedrohungen

Angreifer, insbesondere fortgeschrittene, hartnäckige Bedrohungen (Advanced Persistent Threats, APTs), offenbaren ihre Hand selten in einem einzigen Zug. APTs sind langfristige, verdeckte Angriffe, bei denen Hacker mehrere Schritte sorgfältig planen und durchführen, um der Erkennung zu entgehen und unentdeckt zu bleiben. Auch Ransomware-Gruppen und andere Cyberkriminelle versuchen, Teile ihrer Kampagnen zu verschleiern. Die Erkennung und Reaktion auf Bedrohungen ist ein mehrstufiger Denkprozess, und jeder Schritt eines Angriffs erfordert eine unabhängige Identifizierung und Überprüfung.

Erstzugriff, Seitwärtsbewegung („Lateral Movement“) und Datenexfiltration erfordern jeweils eigene, mehrstufige Erkennungs- und Reaktionsüberlegungen. Wenn ein Sicherheitsteam verdächtige Aktivitäten im Netzwerk feststellt, muss es die Aktivitäten bis zur Quelle zurückverfolgen und verstehen, wie und wohin sich der Angreifer bewegt hat und möglicherweise weiterbewegen wird. Das Multi-Step Reasoning ermöglicht es Cybersicherheitsexperten, das Gesamtbild zu sehen, indem sie einzelne Ereignisse zu einer vollständigen Bedrohungshistorie verknüpfen.

Multi-Step Reasoning mit KI

Mit der Einführung von KI und LLM in die Cybersicherheit erhält die mehrstufige Argumentation eine neue Dimension. Diese Werkzeuge können nun Sicherheitsteams dabei unterstützen, große Datenmengen zu verarbeiten, Muster zu erkennen und logische Schlussfolgerungen über mehrere Untersuchungsstufen hinweg zu ziehen.

Ein Beispiel: Ein Sicherheitsanalyst erhält eine Warnmeldung über eine ungewöhnliche Anmeldung von einem Administratorkonto eines Mitarbeiters. Bei der ersten Überprüfung der Ereignisprotokolle des Benutzers stellt der Analytiker fest, dass der Benutzer eine GetFunction zur Informationsbeschaffung aufgerufen hat. Anstatt die nächsten Minuten damit zu verbringen, neue und alte Benutzerereignisse zu durchsuchen, um ein Muster zu finden, fragt der Analytiker zuerst sein KI-Tool, ob das Ereignis verdächtig ist. Die KI gibt eine kontextbezogene Erklärung zu den Informationen, die durch den GetFunction-Aufruf erhalten wurden, und erwähnt die Berechtigungen des Benutzers, die Risikobewertung und andere erkannte Risiken. Der Analyst sollte nun genügend Informationen und Grund zur Besorgnis haben, um die nächsten Eskalations- und Reaktionsschritte festzulegen. Auf der Grundlage des Gesprächs kann das KI-Tool auch sofortige Reaktionsmaßnahmen sowie vorausschauende Präventionsstrategien und Prozessverbesserungen empfehlen.

Auch wenn KI dazu beitragen kann, die mehrstufigen Überlegungen und Untersuchungen zur Abwehr von Angreifern zu beschleunigen, sind menschliche Analysten nach wie vor unverzichtbar. Sie bringen Kontext, Erfahrung und Intuition mit - Eigenschaften, die keine noch so fortschrittliche KI nachbilden kann.

Cloud-Sicherheit 2025

Der Blick in die Glaskugel der Cloud Security

Fazit

Im Bereich der Cybersicherheit ist Multi-Step Reasoning eine maßgebliches Verfahren, um die komplexen, vielschichtigen Bedrohungen, mit denen Unternehmen heute konfrontiert sind, zu verstehen und darauf zu reagieren. Durch eine sequenzielle Bedrohungsanalyse können Sicherheitsexperten Angriffe zurückverfolgen, das Verhalten von Angreifern vorhersagen und auf der Grundlage präziser Details und eines genauen Gesamtbildes wirksame, mehrschichtige Abwehrmaßnahmen entwickeln.

Ganz gleich, ob es darum geht, einen Phishing-Angriff zu erkennen, auf eine APT zu reagieren oder KI für die Sicherheit einzusetzen, die mehrstufige Argumentation stellt sicher, dass jede Aktion wohlüberlegt und logisch ist und zum ultimativen Ziel beiträgt: dem Schutz des Unternehmens vor fortgeschrittenen Cyber-Bedrohungen.

* Der Autor Crystal Morin ist Cybersecurity Strategist bei Sysdig.

(ID:50349064)