Die Sicherheit ändert sich in der Regel nicht in sauberen, schrittweisen Schritten. Sie ändert sich in Momenten, die oft unangenehm sind, wenn die Verteidiger gezwungen sind, sich schneller anzupassen, als ihre Gegner erwarten.
Kürzlich in einem Kamingespräch, Craig Jones, leitender Sicherheitsbeauftragter bei Ontinue, teilte Geschichten und Erkenntnisse aus mehr als zwei Jahrzehnten im Sicherheitsbereich. Zu seinen Erfahrungen gehören das Aufspüren von staatlichen Angreifern, die Reaktion auf eine der größten Firewall-Kompromittierungskampagnen, die jemals beobachtet wurden, und der Aufbau eines KI-gesteuerten SOC, das für die heutige Bedrohungslandschaft entwickelt wurde.
Das Gespräch deckte ein breites Spektrum ab, aber drei Themen stachen deutlich hervor: wie moderne Angriffe wirklich ablaufen, warum Identität und Cloud jetzt die wichtigsten Schlachtfelder sind und wie KI, wenn sie richtig eingesetzt wird, Sicherheitsabläufe grundlegend verändern kann.
Nationalstaatliche Angriffe sind nicht laut, sie sind geduldig
Einer der eindrucksvollsten Teile von Craigs Geschichte stammt aus seiner Zeit, in der er chinesische Advanced Persistent Threat-Aktivitäten verfolgte, die auf Edge-Geräte abzielten.
Im Gegensatz zu der Hollywood-Version von Cyberangriffen waren diese Kampagnen nicht auffällig. Sie waren leise, wohlüberlegt und zutiefst strategisch.
Die Angreifer konzentrierten sich auf:
Langfristiger Zugang statt sofortiger Unterbrechung
Edge-Geräte, insbesondere Firewalls, als dauerhafte Standbeine
Auslesen von Zugangsdaten und Persistenz anstelle von destruktiver Malware
In einer Kampagne nutzten die Angreifer Zero-Day-Schwachstellen in der Firewall-Software aus und verschafften sich unbemerkt Zugang zu Zehntausenden von Geräten. Was die Aktivitäten letztlich aufdeckte, war kein dramatischer Alarm. Es war ein einzelnes, kleines Artefakt, das durch einen Tippfehler in einem Skript hinterlassen wurde.
Dieser winzige Fehler löste eine Reaktion aus, die sich zu einer der größten koordinierten Operationen dieser Art ausweitete. Die Bemühungen umfassten schnelle Infrastrukturänderungen, benutzerdefinierte Abhilfemaßnahmen und ständige Gegenmaßnahmen, während die Angreifer versuchten, sich wieder Zugang zu verschaffen.
Dies ist eine wichtige Lektion für moderne Verteidiger. Die gefährlichsten Angriffe von heute sehen oft langweilig aus, bis sie es nicht mehr sind.
Identität ist die neue Steuerungsebene
Als sich die Diskussion von historischen Kampagnen zu aktuellen Untersuchungen verlagerte, zeigte sich ein einheitliches Muster. Angreifer haben es zunehmend auf Identitäts- und Cloud-Workflows abgesehen und nicht auf herkömmliche Endpunkte.
Jüngste Bedrohungsforschung im Webinar erörterten Kampagnen hervorgehoben, die:
Minimale oder gar keine Malware verwenden
Missbrauch legitimer Cloud-Funktionen und Authentifizierungsabläufe
Persistieren durch Session-Hijacking, Token-Missbrauch und Privilegienmanipulation
Dieser Wandel erschwert die Erkennung. Wenn sich Angreifer in Cloud-Umgebungen normal verhalten, können herkömmliche indikatorbasierte Ansätze nur schwer mithalten.
Aus der Sicht des Verteidigers verändert dies das Spiel:
Sie können sich nicht allein auf Malware-Signaturen verlassen
Der Kontext zählt mehr als das Volumen
Untersuchungsgeschwindigkeit wird kritisch
An dieser Stelle kommt die KI ins Spiel.
Was agentenbasierte KI in einem modernen SOC tatsächlich leistet
KI im Sicherheitsbereich wird oft in abstrakten Begriffen diskutiert. Bei Ontinue ist sie einsatzbereit.
Craig beschrieb, wie Ontinue's SOC verwendet jetzt agentenbasierte KI um jeden Alarm, der in der Umgebung eingeht, automatisch, konsistent und innerhalb von Minuten zu untersuchen.
Statt als Blackbox zu fungieren, ist die KI:
Priorisierung von Warnmeldungen und Erstellung von Untersuchungsplänen
Sammelt Kontext aus Identitäts-, Endpunkt- und Cloud-Daten
Durchführung von Anreicherungen und historischen Analysen
Erzeugt eine transparente Bewertung, die von Analysten überprüft werden kann
Jede Warnung wird vorab untersucht, wobei Beweise, Argumente und unterstützende Daten bereits zusammengestellt sind. Menschliche Analysten konzentrieren sich auf das Urteilsvermögen und die Entscheidungsfindung und nicht auf die manuelle Datenerfassung.
Das Ergebnis sind schnellere Reaktionszeiten, weniger Falschmeldungen, die den Kunden erreichen, und Analysten, die Zeit für sinnvolle Aufgaben aufwenden können, anstatt sich mit der Triage zu beschäftigen.
Es geht nicht darum, dass die KI die Analysten ersetzt. Es ist KI, die die Arbeit erledigt, die Analysten nicht mehr machen sollten.
