Eine IoT-Plattform ist ein attraktives Ziel. Sie hält Zugangsdaten für Tausende von Geräten, sie kann Befehle an Anlagen senden und sie bedient oft viele Kunden gleichzeitig. Eine Netzwerk-Firewall davor stoppt zwar manche Angriffe, doch viele der gefährlichen sehen aus wie gewöhnliche Anfragen: eine gültige Anmeldung von einem ungewöhnlichen Ort, ein API-Schlüssel, der auf neue Weise verwendet wird, ein Benutzer, der weit mehr Datensätze liest als üblich. Solche Fälle erkennt man nur mit einer Schicht, die die Anwendung selbst versteht.
Dieser Artikel erklärt, wie die in Hermetry integrierte KI-Firewall funktioniert und welche Designentscheidungen dahinterstehen.
Was sie überwacht
Die Firewall überwacht die Plattform, nicht nur das Netzwerk. Sie arbeitet mit mehr als 1,000 Arten von Sicherheitssignalen: Anmeldeversuche, Berechtigungsprüfungen, Nutzung von API-Schlüsseln, Anfragemuster, Änderungen an Geräten und Regeln und mehr. Mehr als 1,200 Arten von Aktionen in der Plattform werden protokolliert, sodass die Firewall sehen kann, wer was, für welchen Mandanten und wann getan hat.
Drei Erkennungsebenen
Regeln und Detektoren
Manche Angriffe haben eindeutige Signaturen: zu viele fehlgeschlagene Anmeldungen, Anfragen, die nach bekannten Schwachstellen suchen, ein plötzlicher Schwall von Exporten. Regeln und eigens entwickelte Detektoren erkennen diese schnell und vorhersehbar. Sie sind leicht zu lesen und leicht zu testen.
Ein Verhaltensmodell
Andere Angriffe zeigen sich nur als Verhaltensänderung. Ein Benutzer, der normalerweise einige Dashboards liest, listet plötzlich jedes Gerät eines Mandanten auf. Ein API-Schlüssel, der seit Monaten einen Endpunkt aufruft, beginnt, zehn aufzurufen. Ein Verhaltensmodell lernt, was normal aussieht, und markiert alles, was davon abweicht.
Ein Angriffsklassen-Modell
Ein zweites, unabhängiges Modell betrachtet verdächtige Aktivitäten und schätzt, welcher Art von Angriff sie ähneln. Die Klasse zu kennen hilft, die richtige Reaktion zu wählen: Ein Credential-Stuffing-Versuch erfordert eine andere Maßnahme als Data Scraping.
Die beiden Modelle sind bewusst unabhängig voneinander. Keines handelt allein. Der Befund eines Modells führt erst dann zu einer Aktion, wenn er validiert wurde, damit der Fehler eines einzelnen Modells keinen berechtigten Benutzer aussperrt.
Köder fangen, was Detektoren übersehen
Einige der verlässlichsten Signale stammen von Fallen. Die Plattform enthält:
- Köder-API-Schlüssel, die kein legitimer Client jemals verwendet;
- Kanarienvogel-Datensätze, die kein normaler Bildschirm jemals liest;
- Fallen-Routen, die kein Teil der Oberfläche jemals aufruft.
Wer einen davon berührt, zeigt stark an, dass jemand die Plattform mit gestohlenem Zugang oder einem automatisierten Werkzeug erkundet. Köder erzeugen nur sehr wenige Fehlalarme, weil legitime Benutzer keinen Grund haben, sie zu erreichen.
Beobachten, vorschlagen, handeln
Sicherheitsteams müssen einem System vertrauen, bevor sie es handeln lassen. Die Firewall hat deshalb drei Modi.
- Beobachten: Sie zeichnet auf, was sie getan hätte, und tut nichts. Nutzen Sie dies, um zu lernen, wie sie sich mit Ihrem Datenverkehr verhält.
- Vorschlagen: Sie schlägt Maßnahmen vor, die eine Person genehmigen muss.
- Handeln: Sie führt validierte Maßnahmen selbst aus, etwa das Drosseln oder Blockieren einer Quelle, und protokolliert sie.
Niemals eigenständig bei Industriegeräten
Eine Regel ändert sich nicht mit dem Modus. Die Firewall handelt niemals eigenständig an Industriegeräten. Eine Steuerung einer Pumpe oder ein Gateway wegen eines verdächtigen Musters abzuschalten, könnte mehr Schaden anrichten als der Angriff, den man stoppen will. Bei Industriegeräten schlägt die Firewall nur vor, und eine Person entscheidet.
Jede Entscheidung wird erklärt
Eine Sperre, die niemand erklären kann, zerstört schnell das Vertrauen. Jede Entscheidung der Firewall kommt mit einer Erklärung: welche Signale sie gesehen hat, welche Regel, welcher Detektor oder welches Modell sie ausgelöst hat, wie der Befund validiert wurde und welche Maßnahme folgte. So können Administratoren Entscheidungen prüfen, Fehler rückgängig machen und das System mit Vertrauen feinabstimmen.
Wie sie sich in die übrige Plattform einfügt
Die Firewall ist eine Schicht unter mehreren. Mandantendaten sind in der Datenbank mit Row-Level-Security getrennt, sodass selbst ein erfolgreicher Angriff auf ein Konto keine Zeilen eines anderen Mandanten lesen kann. Rollen begrenzen, was jeder Benutzer tun darf. Gerätezugangsdaten werden pro Gerät ausgestellt, mit Zertifikaten, wo Geräte sie benötigen. Die Firewall überwacht alles zusammen.
Was Sie von jeder Plattform verlangen sollten
- Überwacht sie das Anwendungsverhalten und nicht nur den Netzwerkverkehr?
- Können Sie sie zuerst im Beobachtungsmodus betreiben?
- Erklärt sie ihre Entscheidungen?
- Gibt es eine feste Regel gegen automatische Maßnahmen an Industrieanlagen?
- Werden Aktionen protokolliert, und können Sie das Audit-Protokoll einsehen?
Mehr erfahren Sie auf unserer Sicherheitsseite und auf der Seite zur KI-Firewall.