Die KI-Firewall ist eine in Hermetry eingebaute Sicherheitsschicht. Sie sammelt Sicherheitssignale aus allen Teilen der Plattform (Anmeldungen, API-Schlüssel, Mitglieder, Geräte, Einstellungsänderungen und mehr), bewertet das Verhalten jedes Akteurs, fasst verdächtige Aktivitäten zu Vorfällen zusammen und erklärt jeden einzelnen. Diese Seite erklärt, was Sie sehen und was Sie einstellen können.
Sie benötigen die Rolle Admin. Die Seiten sind KI-Firewall (Adresse /admin/ai-firewall), Sicherheitsvorfälle (Adresse /admin/ai-firewall/incidents) und Einstellungen > KI-Firewall (Adresse /admin/settings/ai-firewall).
Was sie überwacht
Die Firewall wertet Signale aus, die Module registrieren, zum Beispiel fehlgeschlagene und ungewöhnliche Anmeldungen, Kontosperrungen, verweigerte Berechtigungen, Fehler und Auffälligkeiten bei API-Schlüsseln, Mitgliedschafts- und Rollenänderungen, Einstellungsänderungen, Änderungen an Geräte-Zugangsdaten, abgelehnte Geräteanmeldungen und berührte Köder. Jedes Signal hat einen Schweregrad und ein Anfangsgewicht. Signale auf der Seite KI-Firewall listet jede Art auf, die Ihre Organisation erzeugt, mit ihrem Schweregrad, den Akteurarten, auf die sie sich bezieht, und den personenbezogenen Daten, die ihre Attribute enthalten.
Detektoren und Regeln bewerten jeden Akteur (eine Person, einen API-Schlüssel, ein Gerät, eine Adresse) anhand seines eigenen normalen Verhaltens. Wenn ein Wert hoch genug ist, wird ein Vorfall eröffnet.
Sicherheitsvorfälle
Öffnen Sie Sicherheitsvorfälle: „Was die KI-Firewall akteurweise bemerkt hat. Sie beobachtet nur: Hier wird nichts unternommen, bis eine Person entscheidet.“
Jede Zeile ist der Vorfall eines Akteurs, mit Schweregrad, Status, Detektoren, Akteurart und letzter Aktivität. Filtern Sie nach Status, Schweregrad, Detektor, Akteur und Datenverkehr; suchen Sie; wählen Sie Spalten aus.
| Schweregrad | Höchstwert |
|---|---|
| Niedrig | unter 40 |
| Mittel | 40 bis 59 |
| Hoch | 60 bis 79 |
| Kritisch | 80 und darüber |
Der Schweregrad entspricht dem Höchstwert und sinkt während der Lebensdauer des Vorfalls nie ab.
Öffnen Sie eine Zeile, um zu sehen:
- Warum er markiert wurde: die zutreffenden Detektoren mit Beschreibung, Stärke und Belegen sowie die größten Beiträge als verständliche Sätze mit ihren Punkten.
- Den Verlauf des Werts.
- Die Ereignisse des Akteurs. Akteur-Verlauf zeigt die übrigen Vorfälle des Akteurs und seine Ereignisse der letzten 7 Tage (mit Adressen, für Mitglieder, die Sicherheitsereignisse lesen dürfen).
Einen Vorfall bearbeiten
| Aktion | Wirkung |
|---|---|
| Bestätigen | Sie kümmern sich darum. Steigt der Schweregrad später, wird er erneut geöffnet. |
| Lösen | „Der Vorfall wird geschlossen und seine Warnung gelöst. Eine spätere Erkennung desselben Akteurs öffnet einen neuen Vorfall; diesen können Sie über seine Zeile wieder öffnen.“ |
| Fehlalarm | Schließt ihn und teilt der Firewall mit, dass das Muster hier harmlos war. |
| Wieder öffnen | Öffnet einen geschlossenen Vorfall erneut. |
„War dies ein echter Angriff?“ Ihr Urteil ist ein Beispiel, aus dem die Firewall lernt und mit dem sie für Ihre Organisation ihre Schwellenwerte abstimmt. Ein Vorfall, der einen Tag lang ruhig bleibt oder älter als 7 Tage ist, wird als „Ruhig geworden“ geschlossen.
Jede Statusänderung wird im Audit-Log geschrieben (ai_firewall.incident_status_changed).
Köder
Hermetry hält in jeder Organisation Köder bereit: einen gefälschten API-Schlüssel, gefälschte Mitglieds- und Schlüssel-Datensatz-IDs sowie plausibel wirkende alte Admin-Pfade. Niemand Berechtigtes verwendet sie, und sie erscheinen in keiner Liste, keiner Zählung und keinem Export. Ein Zugriff darauf antwortet genauso wie auf ein fehlendes Element und erzeugt ein kritisches Signal über den Aufrufer. Köder auf der Seite KI-Firewall listet sie auf.
Aktionen und Modi
Die Seite KI-Firewall listet die Aktionen auf, die die Firewall ausführen könnte, etwa das Beenden einer Sitzung, das Aussetzen einer Mitgliedschaft oder das Abschalten eines API-Schlüssels. „Jede Aktion beobachtet nur, bis Sie anders entscheiden.“ Für jede Aktion wählen Sie einen Modus:
| Modus | Bedeutung |
|---|---|
| Beobachten | Protokolliert, was die Aktion bewirkt hätte. Der Standard für jede Aktion. |
| Vorschlagen | Jeder Lauf wartet auf die Freigabe durch eine Person. |
| Auto | Läuft selbstständig innerhalb ihres Zeitlimits und stündlichen Budgets und kann rückgängig gemacht werden. Jede Umstellung auf Auto verlangt eine Bestätigung. |
Regeln, die immer gelten:
- Eine Aktion, die sich nicht rückgängig machen lässt, läuft nie als Auto: „Jeder Lauf dieser Aktion wird von einer Person freigegeben; sie kann nicht selbstständig laufen.“
- Aktionen an Geräten starten in Vorschlagen. Das Widerrufen der Zugangsdaten eines Geräts, das Beenden seiner Verbindung und das Widerrufen seines Zertifikats sind nur als Vorschlag möglich. Das Deaktivieren eines Geräts (es lässt sich rückgängig machen) läuft nur dann selbstständig, wenn Sie es auf Auto setzen.
- Einige Aktionen betreffen das ganze Konto (Sperren eines Kontos, Sperren einer Adresse, Vergessen vertrauenswürdiger Geräte, Erzwingen eines neuen Passworts). Ihr Modus wird von Hermetry für die gesamte Plattform gewählt, nicht pro Organisation.
In Entwicklung: Ausführung von Aktionen (die Freigabewarteschlange für Vorschlagen, automatische Läufe, Rückgängigmachen und deren Benachrichtigungen). Heute beobachtet die Firewall und protokolliert Vorfälle; die Wahl eines Modus bereitet vor, wie sie handeln wird.
Einstellungen
Einstellungen > KI-Firewall (Einstellungen der KI-Firewall: „Was die Firewall selbstständig tun darf und wie lange sie Sicherheitsereignisse aufbewahrt“):
| Einstellung | Standard | Bedeutung |
|---|---|---|
| Aktionen der Firewall in diesem Arbeitsbereich anhalten | Aus | „Solange eingeschaltet, beobachtet die Firewall hier nur: Sie schlägt nichts vor und führt nichts selbstständig aus.“ Sicherheitsereignisse werden weiterhin protokolliert, und die üblichen Sperren und Verbote funktionieren weiterhin. |
| Modus einer nicht gesetzten Aktion | Beobachten | Beobachten oder Vorschlagen. Automatische Läufe werden jeweils einzeln für eine Aktion eingeschaltet, nie als Standard. |
| Sicherheitsereignisse aufbewahren für (Tage) | 90 | 7 bis 365. „Gespeicherte Sicherheitsereignisse, geschlossene Vorfälle und abgeschlossene Aktionen, die älter als dieser Wert sind, werden jede Nacht gelöscht.“ |
| Der Firewall erlauben, Registrierungen aus einem Netzwerk zu blockieren | Aus | Aus: Der Schutz vor Registrierungen bleibt weich (E-Mail-Bestätigung, eine Sicherheitsprüfung, eine Prüfung durch einen Administrator). Ein: Die Firewall darf Registrierungen aus einem Netzwerk zusätzlich ablehnen. |
Jede Änderung eines Modus oder einer Einstellung wird protokolliert; eine Umstellung auf Auto ist eine Audit-Zeile mit hohem Schweregrad.
Datenschutz
Die Firewall verarbeitet Sicherheitsdaten auf Grundlage berechtigter Interessen. Zähler und Basiswerte verwenden Hashwerte mit Schlüssel, keine Namen. Ein Vorfall behält die ID des Akteurs, damit eine Person handeln kann. Vorfallsverläufe und Erklärungen enthalten nur Merkmalsnamen und Zahlen. Adressen werden mit den Ereignissen gespeichert und mit der Aufbewahrungsfrist gelöscht. Wenn die Daten einer Person gelöscht werden, verliert ihr Vorfall den Akteur und wird als „Die Person wurde gelöscht“ geschlossen, und ihr Basiswert wird gelöscht. Vorfälle sind Teil des Organisations-Exports. Siehe Datenschutz und Datenlöschung.