18. August 2021

KI als Abwehrhilfe und neue Bedrohung zugleich

Blog-bild-16-17

Künstliche Intelligenz // In der Früherkennung von Gefahren und Bekämpfung von Bedrohungen wird immer mehr auf künstliche Intelligenz zurückgegriffen. Systeme wie Anomaly Detection oder Behavioral Biometrics erkennen potenzielle Angriffe oder Gefahren proaktiv und können auch gegen Social Engineering eingesetzt werden. Doch nicht nur die Verteidiger greifen auf KI zurück, auch die Angreifer machen sich die Technologie zunutze.

Betrug in transaktionalen Umgebungen, allen voran im Finanzbereich, wird heute stark durch Regelwerke überwacht. Man weiss beispielsweise, dass eine Kreditkarte nicht gleichzeitig oder sehr kurz nacheinander an zwei weit verteilten Orten dieser Welt eingesetzt werden kann. Solche Transaktionen werden als potenzieller Betrug eingestuft und automatisch abgelehnt. Viele dieser Regeln liegen auf der Hand und können daher sinnvoll in ein Regelwerk einprogrammiert werden. Allerdings verbessern sich diese Regelwerke immer reaktiv: Erst nachdem eine neue Betrugsmöglichkeit entdeckt wurde, kann eine Regel programmiert werden, die das in Zukunft verhindern soll.
Hier kann der relativ neue, auf künstlicher Intelligenz beruhende Ansatz der «Anomaly Detection» Abhilfe schaffen. Dabei lernt ein System aufgrund vieler Daten das «normale» Verhalten eines Kartenbesitzers oder einer ganzen Nutzergruppe.
Wird nun vom gewohnten Verhalten abgewichen, schlägt das System Alarm. Dabei ist nicht klar definiert, wie eine Abweichung genau aussehen muss. Sie ist lediglich nicht im normalen Rahmen.

Anomaly Detection: Ein System für verschie-dene Anwendungsbereiche
Netzwerk- und Infrastruktursicherheit
Im Bereich der Netzwerkanalyse und -Sicherheit wird heute oft mit Ausschlusslisten (sogenannten Blacklists) gearbeitet. Das Entdecken verdächtiger Aktivitäten in einem Netzwerk ist aufgrund der Datenmenge so schwierig, dass oftmals erst nach der Entdeckung eines Angriffs die Log-Files und Protokolle genauer untersucht werden. Hier setzt Anomaly Detection an. Eine Maschine kann innerhalb kurzer Zeit eine hohe Datenmenge verarbeiten, um verdächtige, sprich aussergewöhnliche Aktivitäten oder Verbindungsversuche, zu entdecken. Verschleierungsversuche mit Proxies, VPN oder TOR-Netzwerken können leichter aufgedeckt und in vielen Fällen präventiv verhindert werden. Als erste Reaktion werden umgehend die Zugänge blockiert. Dann überprüft ein Mensch die Aktivitäten und kann bei Bedarf den Entscheid der Maschine rückgängig machen. Durch diesen Feedbackloop bleibt der Mensch derjenige, der entscheidet. Die Maschine lernt von diesen Entscheiden stetig dazu und verbessert sich selbst.

Mechanische Sicherheit und IoT
Schon lange überwachen Sensoren mechanische Systeme. Wie bei den Regelwerken im Finanzwesen werden hier fixe Schwellenwerte einprogrammiert, die es dem System erlauben, vor Überhitzungen oder Ausfällen zu warnen. Bei komplexen und teuren Systemen wie Turbinen oder Kraftwerken kommt eine Vielzahl von Sensoren zum Einsatz, die als Frühwarnsystem eingesetzt werden können, bevor ein Schaden oder eine Gefahr entsteht – und nicht erst, wenn ein gewisser Schwellenwert unter- oder überschritten ist und der Schaden oder die Gefahr also bereits eingetroffen ist. Diese «Predictive Maintenance»-Systeme können ebenfalls auf «Anomaly Detection» beruhen. Dann müssen keine festen Schwellenwerte einprogrammiert werden, sondern das System erkennt selbstständig, ob gewisse Funktionen des überwachten mechanischen Systems von der Norm abweichen.

Mit Behavioral Biometrics gegen Social Engineering
Der effektivste Weg, ein System zu infiltrieren oder an Informationen zu kommen, führt aber nicht über die Technik, sondern über den Menschen. Social Engineering ist laut Wikipedia die «zwischenmenschliche Beeinflussungen mit dem Ziel, bei Personen bestimmte Verhaltensweisen hervorzurufen, sie zum Beispiel zur Preisgabe von vertraulichen Informationen, zum Kauf eines Produktes oder zur Freigabe von Finanzmitteln zu bewegen.» Diese Methode nutzt gezielt die Gutgläubigkeit und Hilfsbereitschaft der Menschen aus. Bis auf Wachsamkeit und ein gesundes Misstrauen war dagegen bisher kaum ein Mittel zur Abwehr verfügbar. Mit dem Einsatz von künstlicher Intelligenz ändert sich das aber. Gelingt es einem Angreifer beispielsweise, an die Zugangsdaten einer anderen Person zu gelangen und dadurch dessen Identität in einem Systemkontext anzunehmen, so kann eine Maschine relativ schnell feststellen, dass sich diese Person anders verhält als sonst. Durch die Analyse von Verhaltensmustern wie zum Beispiel Click- und Tippverhalten, Scrollgeschwindigkeit oder Lesefluss lässt sich das normale Verhalten eines Benutzers abbilden. Wird von diesem Verhalten nun abgewichen, können zusätzliche Sicherheitsmechanismen zur Verifikation der Identität eingesetzt werden wie Anruf- und Stimmerkennung, Iris-, Venen-, Fingerabdruck- oder Gesichts-Scan. Diese ansonsten störenden Sicherheitsfaktoren müssen dank Behavioral Biometrics weniger oft eingesetzt werden, da das System diese Faktoren nur im Zweifelsfall abfragt.

Ein weiteres, auf künstlicher Intelligenz basierendes Frühwarnsystem nutzt Natural Language Processing (NLP). Dabei analysiert und interpretiert ein System die verwendete Sprache bei der Kommunikation und kann erkennen, wenn ein potenzieller Missbrauch wie Cyber-Mobbing oder Sexting vorliegt.

KI in der Zukunft: Je besser die Verteidigung, desto besser der Angreifer
Wenn Algorithmen sich gegenseitig bekämpfen und voneinander lernen können, landen wir in einem ziemlich dystopischen Zukunftsszenario. Aber genau so werden Deep Fakes erzeugt. Diese beruhen auf «Generative Adversarial Networks» (GAN, «erzeugende generische Netzwerke»): In sehr vielen Iterationen versucht ein Algorithmus (Generator) dabei eine Fälschung zu erstellen und erhält von einem anderen Algorithmus (Discriminator) eine Einschätzung, wie gut er dabei war. Mit der Zeit lernt der Generator, was zur Verbesserung der Antwort des Discriminators führt, was wiederum dazu führt, dass der Generator daraus lernt und sich stetig verbessert. Um solche Deep Fakes zu erkennen bedarf es daher anderen Herangehensweisen. Hier befinden wir uns beim aktuellen Stand der Forschung, zu welchem auch ti&m einen Beitrag leistet. Mit unseren KI-Spezialisten machen wir die künstliche Intelligenz nutzbar und erhöhen so unter anderem die IT-Sicherheit für unsere Kunden.


Pascal Wyss
Pascal Wyss

Pascal Wyss hat seine Karriere als Software-Entwickler in
der Finanzindustrie begonnen. Nach 8 Jahren wechselte er
zum Consultant für Digitalisierung und half Unternehmen, ihre
Services und Produkte auf die Bedürfnisse der digitalen Kunden
auszurichten. Seit 2019 leitet er das AI Competence Center bei ti&m.

Björn Sörensen
Björn Sörensen

Björn Sörensen war in den letzten 10 Jahren in verschiedenen leitenden Funktionen der Finanzbranche mit dem Schwerpunkt auf grosse Software-Entwicklungsprogramme und Digitalisierung tätig. Bei ti&m verantwortet er als Head Innovations & CIO den Innovationsbereich mit den Fokusthemen KI, Cloud, Blockchain sowie Design und leitet die IT.