5 Minuten IT-Sicherheit mit Michael Gisevius von Bitdefender

Schonschek: Ja, 5 Minuten IT-Sicherheit trifft Bitdefender hier auf der it-sa live vor Ort und Michael, wir sprechen heute mal über etwas, was vielleicht auch von der Begrifflichkeit nicht jedem sofort klar ist. Exposure Management. Manche haben vielleicht so gehört Attack Management, Attack Surface Management. Was ist denn Exposure Management?

Gisevius: Genau, genau. Du sagst es schon, Begrifflichkeiten gibt’s viele. Die Herangehensweise ist eigentlich genau das Thema, was wir uns bei unserem Exposure Management überlegt haben. Das heißt, wenn wir Attack Management oder Attack Path Management uns anschauen, dann ist das genau der Bestandteil, den wir auch mit Exposure Management abdecken. Das heißt, wir zeigen auf, welchen Angriffsweg kann ein Angreifer denn überhaupt nehmen an dem Punkt. Das ist quasi die letzte visuelle Bereitstellung und das zeigen wir auf dem Weg dorthin auf, dass wir halt sagen, welche Risiken habe ich in meiner Umgebung? Das sind klassische Exploits, die ich ausnutzen könnte, also fehlende Patches. Das sind aber auch Konfiguration von Systemen, das heißt, wie kann ich Systeme härten, um es einem Angreifer so schwer wie möglich zu machen und auch startend dann mit der Betrachtungsweise von außen. Das heißt, was als Unternehmen oder Organisation zeige ich überhaupt einem Angreifer? Mhm. Ähm um einen Weg in meine Infrastruktur reinzufinden. Und das ganze ja gibt es hier und da als jeweils einzelne SIO Tools, die ich dann betrachten kann. Wir kombinieren diese Information und wir kombinieren diese Information priorisiert und angepasst auf die eigene Umgebung. Das heißt, habe ich vielleicht eine Sicherheitslücke, einfach das Beispiel, wir kennen das aus dem letzten Tag mit einer hohen schwang mit einer hohen mit einem hohen Score, ist es tatsächlich die Sicherheitslücke, um die ich mich priorisiert kümmern muss oder ist eine vielleicht eine viel niedrigere prior gesporte Sicherheitslücke viel gefährlicher für mich, weil die für einen Angreifer viel einfacher zu erreichen ist. Das heißt mit mit unserem Exposure Management, ja, vielleicht gucke ich in die Plattform rein, sehe, oh, toll, 100 Schwachstellen, die ich hier habe. Aber wir sagen dann, das sind die Zehen, um die wir uns heute kümmern, damit wir im Prinzip schon mal safe sind und die wichtigsten Lücken geschlossen haben.

Schonschek: Das heißt, das klassische Patch Management, wo man früher immer gesagt hat, alle Patches, die da sind, Spiel ein, Spiel ein, ist es weiterhin wichtig, aber man muss die Prioritäten sehen. Und da sagt ihr, man sollte gucken, was es exponiert, was ist wie wahrscheinlich, dass es ausgenutzt wird und wie sind die Folgen und aus der Basis und diesen Angriffsweg gucken, wo habe ich vielleicht Sicherheitsmaßnahmen, um um das Risiko zu senken, wo gibt’s das nicht. Ja, und diese Mixtur aus den Information zeigt dann, wo der individuelle, wo die Gefahr am größten ist, wo ich handeln müsste, richtig? Und wenn ich jetzt so schaue, weil das ein ganz großes Thema hier auf der it-sa, Thema KI Agenten, wie welchen Einfluss haben die denn? Die die gehen doch wahrscheinlich jetzt nicht unbedingt andere Wege als ein Mensches machen würde, spüren eher Schwachstellen auf und sind einfach schneller oder wie wie was bedeutet das? Jetzt muss ich jetzt noch schneller priorisieren können?

Gisevius: Genau das ist genau der Punkt. Wenn ich jetzt KI in dieser in die Gleichung mit aufnehme, dann ist es genau der Punkt, ich muss schneller werden und zwar in ein Tempo, was ich als Mensch vielleicht auch gar nicht mehr leisten kann. Das heißt, ich brauche selber das Werkzeug, um halt entsprechend dagegen zu steuern, damit äh die KI Agenten, a ich wenn KI genutzt wird für ein Eingriff, ähm ich nicht überfordert werde. Auf der anderen Seite KI Agenten, die ich vielleicht selber im Unternehmen einsetze, exponieren mich ja auch noch mal nach außen. Das heißt, die sind ja noch mal ein ganz eigenes Risiko und bringen eine neue Dynamik in dieses Thema rein. Kunden, wenn ich heute mit denen spreche, ist es relativ häufig, wir machen mal was mit KI völlig unreguliert und völlig irgendwie mal die Leitbanken gesetzt hat, was diese KI-Agenten überhaupt tun sollen. Und der KI-Agent macht das, wofür er gemacht wurde. Er lernt, er sucht Dinge, wie er lernen kann, die er vielleicht für die Zukunft verwenden kann. Wenn wir jetzt ins Exposure Management gehen, dann berückswichtigen wir auch genau das, denn neben der Priorisierung der Schwachstellen, du hattest es angesprochen, wird uns weiter begleiten, wird wichtig bleiben, wird auch weiterhin komplett gemacht werden müssen. Wichtig ist, welche Reihenfolge ich da gehe. Wir gehen ja noch einen Schritt weiter und bringen noch eine Härtungskomponente dann in diese rein, die dynamisch läuft. Das heißt, wir machen die Werkzeuge, die ein Angreifer auf deinem System benutzt, die machen wir per se schon zu, ohne dass der Nutzer es überhaupt merkt. Jetzt wird’s schwierig dort für einen Angreifer sich überhaupt auszuweiten und weiter zu bewegen. Die KI hat natür ist natürlich viel schneller Dinge auszuprobieren und zu versuchen, aber sie setzt auf die gleichen Mechanismen. Das ist das, was wir bei Hugging Face und bei all diesen Dingern gesehen haben. Sie macht nichts anderes als Hacker seit 10 Jahren tun, nur schneller. und sie schläft nicht und sie braucht kein Kaffee. Sie kann einfach durcharbeiten. Und das ist genau der Punkt, wo wir ansetzen. Wir nehmen die Werkzeuge weg und dann kommt man dementsprechend nicht rein. Und das gleiche auch auf den KI Agentenübertragen. Das heißt, mein KI-Agent hat eine bestimmte Aufgabe. Alle anderen Berechtigung braucht er ja nicht. Das heißt, ich muss erstmal sehen, welche KI ist in meiner Umgebung drin. Sei es Clo, Chat GPT über ein Browser, über ein Desktop Agenten, aber auch in meiner vielleicht in meiner Supply Chain, also bei meinen Dienstleistern, die setzen auch KI ein, davon weiß ich vielleicht gar nichts. Und so kann ich auf der einen Seite Compliance and Governance herstellen, weil ich weiß, welche KI im Einsatz ist. Und ich kann über Invision and Control, das heißt, ich kann es kontrollieren, indem ich hier festsetze, was darf dieser Agent denn tatsächlich tun und was nicht. Und somit habe ich natürlich auch hier wieder genau diese Einfallstore und diese Lücken geschlossen. Das heißt eben KI Agenten immer a als weitere möglichen Angreifer sehen, aber auch als Angriffsfläche, wenn ich wenn der eben angegriffen wird

Schonschek: und für beides spielt ja eine Rolle, das wie du es uns beschrieben hast. Ich muss sagen, welche Rolle hast du, welche Berechtigung, was darfst du, was brauchst du?

Gisevius: Genau, also letztlich auch Sasero für den KI Agenten und den einengen, dann kann er weder unabsichtlich irgendwas preis geben, noch kann er zum Insider werden und angreifen aus dem Netzwerk heraus. Genau das ganze im Exposure Management. Ich möchte mich natürlich nicht hinsetzen und noch ein Werkzeug haben, wo ich Richtlinien bauen muss. Ähm an dem Punkt, das ist natürlich automatisiert über eben unsere KI, die dann dementsprechend lernt und sieht, wie entsprechende Prozesse ablaufen müssen, welche Berechtigungen notwendig sind und welche völlig überflüssig sind, sodass die Produktivität nicht eingeschränkt wird, aber der volle Nutzen da ist, aber das Risiko maximal minimiert.

Schonschek: Mhm. Wenn man jetzt hier das sieht, wir sind ja live auf der it-sa und man überlegt, ja, Mensch, das ist ein schöner Stand, was kann ich denn hier lernen oder was zeigt ihr, warum lohnt sich ein Besuch bei euch ganz besonders?

Gisevius: Also besonders lohnt es sich tatsächlich, wir haben es, ihr seht’s jetzt nicht, aber wir haben hier das Catch the Thread. Das ist finde ich eine schöne Analogie, weil ich als Verteidiger muss ich schneller werden und dann kann ich halt testen, wie schnell bin ich denn wirklich so einen Thread wirklich zu erwischen und je nachdem wie gut ich bin, gibt’s natürlich auch was schönes zu gewinnen. Lego Ferrari an der Stelle, also wer Formel 1 für ist, wird dann auch dementsprechend noch mal glücklich, aber das ist tatsächlich, glaube ich, ein Highlight, was wir hier anbieten können.

Schonschek: Habe ich auch so noch nicht so oft gesehen.

Gisevius: Genau. Und es zeigt, man muss einfach in der Security immer schneller werden, aber auch gleichzeitig effektiv. Man muss ja versuchen, das zu schnappen, denke ich.

Schonschek: Genau.

Gisevius: Und genau das ist es ja. Wir müssen versuchen, die Angreifer zu schnappen, um die Türen so zu so dicht wie nur möglich zu halten. Und wichtig ist ja immer meine eigene Erkenntnis, ab wann bin ich wirklich zu langsam? Dann kann ich mir Mechanismen überlegen, wie ich diesen Defizit ausgleichen.

Schonschek: Ja, ganz herzlich merk mich.

Gisevius: Gerne.

Schonschek: War wieder sehr spannend. Und dann geht’s weiter mit dem nächsten 5 Minuten IT Sicherheit. Danke schön.