Nutzung von Daten für die interne und externe Bedrohungserkennung

IBM Software Behörden Business Analytics Nutzung von Daten für die interne und externe Bedrohungserkennung Zusammenfassung Inhalt: Die Informationsanalyse bildet die Basis für die nationale Sicherheit. Das Ziel von Überwachungsaktivitäten und der T errorismusbekämpfung ist, Sicher- 1 Zusammenfassung heitsbedrohungen rechtzeitig aufzudecken, um entsprechende Gegenmaß- 1 Erkennungsmethoden für nahmen ergreifen zu können. Die Muster, die auf diese Bedrohungen Insider-Bedrohungen hinweisen, sind allerdings oft in riesigen Datenmengen verborgen. Um diese 8 Erkennungsmethoden für externe Herausforderung zu bewältigen, ist eine Form der Informationsanalyse, die Bedrohungen Vorhersageanalyse (Predictive Analytics), besonders hilfreich. Predictive Analytics-Lösungen wenden auf historische Informationen fortschrittliche 16 Operationalisierung der Bewertung interner und externer Risiken statistische Funktionen, Datenanalysemethoden und automatische Lerntech- niken an, um verborgene Muster und Trends aufzudecken – und dies sogar in 17 Informationen zu IBM großen, komplexen Datensätzen. Im Gegensatz zu regelbasierten Analyse- SPSS-Lösungen zur Vorhersageanalyse und Erkennungsmethoden können Vorhersageanalysen relativ ungewöhnli- che Verhaltensweisen aufdecken und finden sogar feinste Unterschiede, die 19 Informationen zu IBM Business von anderen Methoden häufig nicht erkannt werden. Analytics Vorhersagetechniken untersuchen sämtliche Datendimensionen und werten diese aus, so dass Analysten menschliches Wissen, Erfahrungen aus erster Hand und Intuition kombinieren können, um Analysetechniken optimal anzuwenden. Die effektivsten Predictive Analytics-Lösungen können nicht nur tabellarische Daten, sondern auch als T vorliegende ext Daten analysieren. Da Vorhersageanalysen kontinuierlich eine Vielzahl verschiedener Datendimensionen, Datentypen und Datenquellen kombi- nieren können, ist es möglich, schnell und zu verlässig versehentliche Signaturen von Hackern, Kriminellen oder T erroristen aufzudecken, die neue Cyber-Chats generieren oder neue Taktiken ausprobieren, um unerlaubten Zugriff auf sensible Informationen zu erhalten. In diesem Whitepaper wird versucht, verschiedene Herausforderungen der Risikobewertung im Bereich Sicherheit und Überwachung zu definieren, die teilweise oder vollständig anhand von Vorhersagetechniken bewältigt werden können. Das Whitepaper enthält Beispiele für die interne und externe Bedrohungserkennung und beschreibt spezielle Methoden der Datenmanipulation und Datenmodellierung. Beispiele und Grafiken basieren auf Beispieldaten. Erkennungsmethoden für Insider-Bedrohungen Die Kosten, die mit einem Angriff durch einen „Bad Actor“ verbunden sind, der über Insider-Informationen oder Zugriffsprivilegien verfügt, können oft eine größere und längerfristige Auswirkung auf ein Unternehmen haben als eine externe Bedrohung. Böswillige Insider, die etwa gegen die Geheimhal- tungspflicht verstoßen und die nachrichtendienstliche Integrität untergra- IBM Software Behörden Business Analytics ben, haben einen verheerenden Einfluss auf die US-Politik, führen zur Aufdeckung von Quellen und Methoden und sind verantwortlich für den T und die Gefährdung von Agenten.1 od In einer e-Crime-Studie, die im Jahr 2004 vom CSO Magazine im Zusam- menarbeit mit dem US-Geheimdienst und dem CERT®- Koordinationszentrum durchgeführt wurde, gaben 59 Prozent der befrag- ten Sicherheits- und Vollzugsbeamten an, dass ihre Organisation durch Angriffe von Insidern Schaden erleidet.2 Computerkriminalität durch Insider ist in der Regel besonders schwer aufzudecken, da der Täter oft einen legitimen Grund hat, auf kritische und/ oder sensible Daten zuzugreifen und diese zu ändern und zu manipulieren. Trotz dieser Herausforderungen verfügen die meisten Organisationen dennoch über erhebliche Datenmengen, mit denen sich ein Angriff durch einen böswilligen Insider charakterisieren und möglicherweise verhindern lässt. Zu diesen Daten können Informationen wie demografische Angaben, Leistungsbeurteilungen, abgeschlossene und aktuelle Projektaufträge, interne und externe Kommunikation sowie Dateiverwendungsprotokolle zählen. Modellierung vergangenen Verhaltens zur Vorhersage zukünftigen Verhaltens Eine Erkennungsmethode für Insider-Bedrohungen anhand von Datenana- lysen basiert darauf, anhand bekannter Fälle böswilligen Verhaltens die Unterschiede zwischen diesen und bekannten „normalen“ Fällen zu charakterisieren. Dieser Ansatz ist zwar insofern ideal, als dass Data Mining-Algorithmen schnell und leicht lernen können, vergangenes Verhal- ten zu erkennen. Wird allerdings ausschließlich dieser Ansatz verwendet, sind damit einige Schwierigkeiten verbunden. Aktivitäten böswilliger Insider sind in der Regel sehr selten. Die historischen Daten, die zur Modellierung zukünftigen Verhaltens zur Verfügung stehen, enthalten häufig nicht genügend Fälle, um auf präzise Weise Fälle vorhersagen zu können, die den früheren Fällen bekannter böswilliger Aktivitäten ähneln, aber nicht exakt gleichen. Wenn es um die Erkennung von Insider-Bedrohungen oder -Betrug geht, kann ein „Bad Actor“ normale Verhaltensweisen an den Tag legen, die dyna- misch und komplex sind. In diesen Situationen kann es sehr schwer sein, die Straftat aufzudecken, da das Verhalten der Person weiterhin als legitim erscheinen kann und es sich im Laufe der Zeit nur geringfügig ändert. Daher ist es wichtig, nicht nur zu ermitteln, welche Verhaltensweisen Personen an den Tag legen, sondern auch, wessen Verhalten sich im Vergleich zum Gruppenverhalten zuletzt verändert hat. Wenn der Insider-Zugriff auf sensible elektronische Daten in einem Unternehmen oder einer Behörde ein Thema ist, werden häufig eine Reihe fest programmierter Regeln verwendet, um potenziell anomales Verhalten zu identifizieren. Beispielsweise wird ein Mitarbeiter, der normalerweise mit Datensätzen aus dem Personalbereich arbeitet, möglicherweise zur Überwachung gekennzeichnet, wenn er mehrmals versucht, auf Dateien zuzugreifen, die sensible Daten aus der Konstruktionsabteilung enthalten. Potenziell böswillige Aktivitäten sind jedoch oft viel subtiler und schwieri- ger zu erkennen.