- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Machine Learning: Was Unternehmen beachten sollten


Um Machine Learning effektiv einzusetzen, sollten sich Unternehmen mit fünf Fragen auseinandersetzen
Der große Vorteil von Machine Learning liegt in der Tatsache, dass ein gut trainiertes Modell sehr verlässlich bislang unerkannte Bedrohungen proaktiv erkennen kann



Auch in der IT-Sicherheitsbranche kommt man mittlerweile kaum noch um das Thema "Maschinelles Lernen" herum. Dabei muss man sich allerdings darüber im Klaren sein, dass Künstliche Intelligenz & Co. kein allheilender Feenstaub ist, der einfach mal über die Lösungen gepustet wird. Bei aller berechtigter Begeisterung für das Thema darf der Blick fürs Wesentliche nicht verloren gehen. Unternehmen, die maschinelles Lernen für die IT-Security einsetzen möchten, sollten sich mit folgenden Fragen auseinandersetzen, um effektiv von der Technologie profitieren zu können. Denn Machine Learning ist viel mehr als "nur" Mathematik.

Frage 1: Das ist eine beeindruckende Erkennungsrate, aber wie sieht es mit False-Positives aus, wenn die Erkennungsrate so hoch eingestellt ist?
Das alleinige Aufführen von Erkennungsraten mit einem Machine-Learning-Algorithmus ist nicht genug. Letztendlich könnte z.B. einfach eine Erkennungsrate von 100 Prozent erreicht werden, in dem alle gescannten Dateien als "bösartig" beurteilt werden. Damit wäre allerdings die False-Positive-Rate, also die fälschliche Einschätzung einer Datei als Malware, auch bei nahezu 100 Prozent. Wer die False-Positive-Rate ignoriert, jagt ständig Phantome im Netzwerk und macht den Nutzern das Leben unnötig schwer. Dieser Zusammenhang wird in der Receiver Operation Characteristic (ROC)-Kurve visualisiert und stellt die wahre Erkennungsrate im Verhältnis zu den False Positives dar. Diese sollten Sie sich immer zeigen lassen – sowohl die aktuellen Werte als auch die aus der Vergangenheit.

Frage 2: Wie oft muss das Modell aktualisiert werden und wie stark leidet die Genauigkeit während der Updates?
Der große Vorteil von Machine Learning liegt in der Tatsache, dass ein gut trainiertes Modell sehr verlässlich bislang unerkannte Bedrohungen proaktiv erkennen kann. Es ist allerdings entscheidend für eine gute Technologie, dass sie nicht nur aktuelle Gefahren erkennt, sondern auch eine Charakteristik besitzt, die als "Slow Aging" bezeichnet wird. Das heißt, dass das Modell neue Gefahren für eine lange Zeit erkennen sollte, ohne ein Update zu benötigen. Gute Machine-Learning-Modelle sollten also eine akzeptable Balance zwischen Erkennungsrate und False-Postivie-Rate für Monate aufrechterhalten können, nicht nur für Wochen oder Tage. Lassen Sie sich also einfach mal die aktuelle ROC-Kurve für das Update von vor sechs Monaten zeigen.

Frage 3: Erfolgen die Entscheidungen des Machine-Learning-Algorithmus‘ in Echtzeit?
Wenn der Scanprozess für Malware länger dauert als die Zeit, die der Schädling braucht, um Unheil anzurichten, bedeutet das zwar Erkennung, aber keinen Schutz. Einige Machine-Learning-Varianten werden genutzt, um nach einer Attacke die Daten zu sichten und die sprichwörtliche Nadel im Heuhaufen zu finden. Das mag gut für die Prävention sein, aber wenn es darum geht, Attacken zu stoppen, bevor sie zuschlagen, ist ein Algorithmus nötig, der in Millisekunden agiert, nicht in Minuten oder Sekunden. Es geht darum, eine Lösung zu haben, die im Idealfall im Memory Cache läuft und damit keine wertvolle Zeit mit dem Lesen von Daten verliert. Sie sollten also überprüfen, ob die angestrebte Lösung in Echtzeit agiert und wie viel Zeit Entscheidungen benötigen. Ebenfalls entscheidend ist die Frage, was mit Performance und Genauigkeit passiert, wenn der Rechner offline ist.

Frage 4: Welches Trainingsset nutzt der Algorithmus?
Die Effizienz jeder Machine-Learning-Technologie hängt entscheidend von den Daten ab, mit denen die Modelle gefüttert werde – das sogenannte Training. Es gilt also das alte Sprichwort "Wo Müll rein kommt, kann auch nichts Gutes rauskommen." Wenn die gefütterte Daten zu praxisfremd und alt sind beziehungsweise keine realistischen Real-World-Dateien repräsentieren, hat es der Algorithmus schwer, verlässlich zu arbeiten, wenn es darum geht, Dateien außerhalb des Labs zu verarbeiten. Man sollte also genau nachfragen, woher die Trainingsdaten stammen, was sie realisitsch macht und wie sie aktuell gehalten werden.

Frage 5: Wie gut kann das Machine-Learning-System skalieren?
Wie angesprochen, ist das ständige Sammeln relevanter Trainingsdaten und der Umgang mit einer immer größeren Datenmenge schon eine echte Herausforderung. Damit ist es aber noch nicht genug, denn auch die verwendeten Modelle müssen in der Lage sein, die ständig wachsenden Datenmengen schnell zu verarbeiten, um z.B. die Update-Zeiten nicht immer länger werden zu lassen. Auf der anderen Seite muss das Data Set, das als Grundlage für ein Machine-Learning-Modell dient, möglichst konstant in der Größe sein, auch wenn das Training-Set exponentiell wächst. Sonst wird die Runtime-Performance immer schlechter. Skalierbarkeit hat also mehrere Variablen von der Größe des Trainingsets über den Zeitfaktor bis zum Erhalt eines kompakten Runtime Data Sets - ohne die Erkennungsrate zu gefährden. Lassen Sie sich historische Statistiken zeigen um zu sehen, wie sich Training- und Runtime-Performance entwickelt haben. (Sophos: ra)

eingetragen: 09.09.18
Newsletterlauf: 04.10.18

Sophos: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Tipps & Hinweise

  • Sicherheitsmaßnahmen gegenüber Bedrohungen

    Steigende Compliance-Anforderungen und europäische Richtlinien wie die DSGVO oder die NIS-Richtlinie für kritische Infrastrukturen haben die Umsetzung von Cybersecurity-Maßnahmen in Unternehmen bereits wesentlich vorangetrieben. Jedoch erfüllen Unternehmen häufig lediglich die Mindestanforderungen - während Angreifer über umfassende und ausgefeilte Möglichkeiten verfügen, sich Zugang zu Unternehmensnetzwerken zu verschaffen. Mittelständische Unternehmen, beispielsweise in der produzierenden Industrie oder im Gesundheitswesen, stehen im Fokus von Hackern: Mittels Ransomware-Angriffen können Cyber-Akteure ganze Produktionsstraßen lahm legen oder Krankenhäuser vom Netz nehmen. Insbesondere in diesen Branchen ist der Schaden nach einer Attacke besonders groß, da sie enorme wirtschaftliche Auswirkungen zur Folge haben und eine Vielzahl von Menschen betreffen. Für Hacker sind zudem vor allem mittelständische Unternehmen interessant, die wirtschaftlich erfolgreich sind, aber gleichzeitig nicht über die gleichen umfassenden Sicherheitsmaßnahmen verfügen wie große, börsennotierte Konzerne.

  • Nahezu kein Expertenwissen mehr benötigt

    Cyberkriminelle greifen mit gefälschten Rechnungen vermehrt Unternehmen des produzierenden Gewerbes in Deutschland an. Das hat Proofpoint herausgefunden. Die Angreifer versenden dabei gefälschte Rechnungen, die als Köder verwendet werden oder aber die E-Mail beinhaltet einen Link zu einer Website, auf der das gefälschte Dokument zum Download zur Verfügung steht. Die Dokumente sind mit dem Remote Access Trojaner NanoCore infiziert. Laut Proofpoint enthalten Anhänge eine komprimierte ausführbare Datei (mit der Erweiterung ".Z"), während bösartige Links den Empfänger veranlassen, die auf onedrive.live.com gehostete Malware herunterzuladen.

  • Fünf Sofortmaßnahmen zur Systemhärtung

    Guardicore gibt Sicherheitsempfehlungen für das Support-Ende von Windows Server R2, Windows Server 2008 und Windows 7. Ab 14. Januar 2020 werden Nutzer dieser Microsoft-Betriebssysteme keine kostenlosen Sicherheitsupdates und Online-Aktualisierungen mehr erhalten. Ohne sicherheitsrelevante Updates sind die betroffenen IT-Systeme gegen neu entdeckte Schwachstellen nicht mehr geschützt. Zwar sind die genannten Betriebssysteme teilweise bereits über ein Jahrzehnt alt, aber Schätzungen zufolge ist allein Windows Server 2008/2008 R2 immer noch auf fast jedem dritten Server weltweit im Betrieb. Viele Organisationen können nicht auf aktuelle Betriebssystemversionen wechseln, weil sie komplizierten Gesetzes- und Zertifizierungsanforderungen unterliegen, oder einfach nicht das erforderliche Budget zur Verfügung haben. Gefragt sind deshalb Überbrückungslösungen - auch um zeitaufwendige Migrationsprozesse begleiten zu können.

  • Abfangen und Manipulieren von E-Mails

    Die E-Mail ist das Kommunikationsmittel Nummer eins. Unternehmen sind in der Pflicht, sich mit der E-Mail-Sicherheit zu beschäftigen, kommunizieren sie doch sowohl intern als auch extern. Nahezu täglich ist von Datenpannen und Datendiebstählen zu hören: Fremde verschaffen sich - zum Teil leider kinderleicht - Zugang zum internen Unternehmenssystem und greifen Daten ab oder manipulieren diese. Einfache, unverschlüsselte E-Mails stellen deshalb grundsätzlich eine Gefahr dar: Sie ähneln einer Postkarte, deren Inhalt jeder lesen kann. "Denn gehen E-Mails weder digital signiert noch verschlüsselt auf die Reise, können die Inhalte nicht nur ausspioniert, sondern auch manipuliert werden. Da Angriffe dieser Art in aller Regel nicht sicht- und nachweisbar sind, wird die E-Mail-Sicherheit leider nach wie vor oft stiefmütterlich behandelt. Wie oft und von wem E-Mails gelesen werden, kann ihnen niemand ansehen", warnt Patrycja Tulinska, Geschäftsführerin der PSW Group.

  • Neuer Standort und neue BC/DR-Strategie?

    Die Entfernung zwischen georedundanten Rechenzentren soll mindestens 200km betragen. So empfiehlt es das BSI seit diesem Jahr. Dies stellt viele Unternehmen vor Probleme, betrug die bisher empfohlene Distanz in der Vergangenheit doch gerade einmal fünf Kilometer. Diese geringe Distanz erlaubte es den Betreibern bisher, ihre Rechenzentren über HA-Systeme synchron zu spiegeln. Dies ist bei einem Abstand von 200km jedoch nicht mehr möglich: Die Latenz zwischen den Standorten ist einfach zu hoch, um Organisationen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle zu schützen. Was können Unternehmen nun tun, um ihre IT etwa gegen logische Fehler oder Ransomware-Attacken abzusichern, um minimalen Datenverlust und kurze Ausfallzeiten zu garantieren? Der neue Mindestabstand, den das BSI (Bundesamt für Sicherheit in der Informationstechnik) seit Dezember 2018 zwischen sich Georedundanz gebenden Rechenzentren empfiehlt, stellt in vieler Hinsicht eine Zäsur dar. Er stellt die Nutzung synchroner Spiegelung grundsätzlich infrage und hat damit einen direkten Einfluss darauf, wie Rechenzentren hierzulande betrieben werden. Wer eine "kritische Infrastruktur" betreibt, wird vom Gesetzgeber sogar dazu gezwungen der Empfehlung zu folgen. Und wer das Pech hat Teil eines Branchenverbandes zu sein, der den Empfehlungen des BSI folgt, wie etwa Mitglieder der Bankenbranche Bafin, haben ebenfalls keine Wahl. All diese Organisationen müssen auf die Entscheidung reagieren und den Abstand ihrer Rechenzentren auf mindestens 200km bringen.

Cyber-Risiken im Blick halten Wer greift auf was im Netzwerk zu?