Zu Schichtbeginn öffnet ein Analyst bei HorizonPay eine Warteschlange mit Sicherheitsmeldungen, die bereits von einem KI-Triage-Tool bewertet wurden. Der Bewertungs-Score hilft bei der Priorisierung der Aufgaben; er entscheidet jedoch nicht darüber, ob es sich bei der Meldung tatsächlich um einen Sicherheitsvorfall handelt. Bei diesem Fintech-Unternehmen mit 1.200 Mitarbeitern bilden wir den Angriffspfad ab, bevor wir geeignete Abwehrmaßnahmen auswählen.
Eine Angriffskette ist die zusammenhängende Abfolge von Ereignissen, die vom ersten Kontakt bis zu den geschäftlichen Auswirkungen reicht. Durch KI lassen sich etablierte Angriffe schneller personalisieren und wiederholen. Die Angriffskette bei HorizonPay könnte beispielsweise mit T1566 Phishing beginnen, über die Wiederverwendung von Zugangsdaten und eine Postfachregel verlaufen, in eine Zahlungsaufforderung im Sinne von T1656 Impersonation (Identitätsdiebstahl/Vortäuschen einer Identität) übergehen und schließlich in T1105 Ingress Tool Transfer (Übertragung von Tools in das Zielnetzwerk) münden. Anfragen, die auf Voice-Cloning (Stimmenimitation) basieren, lassen sich der Kategorie T1566.004 Spearphishing Voice zuordnen. KI-gestützte Aufklärungsmaßnahmen entsprechen T1595 Active Scanning, während Malware-Variationen unter T1027 Obfuscated Files or Information (verschleierte Dateien oder Informationen) fallen. Wir können nachverfolgen, an welchen Punkten diese Kette die Schutzmechanismen für Identitäten, Messaging-Systeme und Endpunkte berührt oder durchbricht.
Diese Abläufe sind in den Phasen der Erkennung und Triage des Vorfall-Lebenszyklus angesiedelt. Eine KI-Empfehlung dient als Entscheidungshilfe für den Analysten, stellt jedoch keine abschließende Entscheidung dar. Bevor ein Analyst einen Absender blockiert, ein Konto deaktiviert oder eine Zahlungsanfrage eskaliert, muss er Identitätssignale, die Herkunft der Anfrage sowie die zugrundeliegende Endpunkt- oder Netzwerk-Telemetrie überprüfen. Anhand dieser Nachweise lässt sich feststellen, ob verschiedene Beobachtungen denselben Sachverhalt stützen.
Befugnis zur ÜbersteuerungKI-Vorschläge können zu einer „Alarmmüdigkeit“ (Alert Fatigue) führen, wenn wiederkehrende Fehlalarme glaubwürdig erscheinen. Der Analyst behält sich die Befugnis vor, den Vorschlag zu übersteuern und den Grund dafür zu dokumentieren.
Die Fälle von HorizonPay veranschaulichen, welche Nachweise erforderlich sind, bevor eine von der KI vorgeschlagene Maßnahme akzeptiert werden kann.