Problemfall KI, Datenbanken und Apps? – Lösungen für den sicheren Einsatz auf der it-sa Expo&Congress

In vielen Büros ist künstliche Intelligenz inzwischen unverzichtbar, doch die ist nicht immer ungefährlich. Lösungen für diese und andere aktuelle Herausforderungen wurden auf der it-sa Expo&Congress präsentiert. Im ersten Teil des Messerückblicks stehen KI, EASM (External Attack Surface Management), DSPM (Data Security Posture Management), CSPM (Cloud Security Posture Management) und ASPM (Application Security Management) im Fokus.

Der Einsatz von generativer KI gehört inzwischen zum Büroalltag, doch nicht immer ist das zum Nutzen des Unternehmens. Zu den während der it-sa Expo&Congress präsentierten Neuheiten gehören Produkte, die Lösungen vor KI-Missbrauch bieten, aber auch weitere Neuigkeiten.

Künstliche Intelligenz (KI) ist im Arbeitsalltag angekommen. Im Büro werden Briefe oder Konzepte mit generativer KI wie ChatGPT erzeugt und Auswertungen vorgenommen. Doch wenn etwa Geschäftsberichte oder Tabellen mit sensiblen Daten mit KI ausgewertet werden sollen, müssen dazu die entsprechenden Dokumente hochgeladen werden. Dann erst können sie von der KI in der Cloud verarbeitet werden. Auf diesem Weg wandern tagtäglich Firmengeheimnisse zu den KI-Systemen, wobei unklar ist, was mit den Daten dort sonst noch geschieht und in welche Auswertungen sie einfließen.

Programmieren mit KI kann gefährlich sein

Doch das Problem reicht weiter, denn auch Programmierer nutzen KI. Stefan Strobel, Geschäftsführer und Gründer des Security-Spezialisten Cirosec verdeutlicht das an einem Beispiel: „Copilot von Microsoft kann sich direkt in die Software-Umgebung einklinken, von da aus wandert dann der komplette Code in die KI, damit sie ein Programm ergänzen oder überprüfen kann“. Das hat bereits für Schlagzeilen gesorgt, wie beispielsweise das Online-Magazin Golem berichtet. Nach einem Vorfall bei Samsung, bei dem Entwickler ChatGPT benutzten und Quellcode hochluden, hat der südkoreanische Konzern die Verwendung von ChatGPT und anderen Chatbots verboten.

„Damit stellt sich die Frage: Wie löse ich Probleme die durch die KI-Nutzung verursacht werden“, sagt Stefan Strobel. Anbieter von Sicherheitslösungen haben das erkannt und neuerdings entsprechende Produkte in ihrem Portfolio. „Die klemmen sich teilweise in die Browser ein, stellen fest, ob der Nutzer mit einer KI in Verbindung steht und blockieren das oder entfernen kritische Daten daraus“, erklärt Strobel. Ähnlich funktioniert das bei Entwicklerumgebungen.

Die Einführung von KI erfolgt zusätzlich auch verstärkt in Form von APIs, Tools oder Bibliotheken, die in Anwendungen integriert werden. Zur Absicherung des KI-Einsatzes im Unternehmen wird daher nun auch Pentesting mit dem Schwerpunkt KI angeboten. „Diese Anbieter generieren Abfragen für KI-Systeme, die sensible oder gefährliche Daten liefern könnten oder sogar Firmeninterna preisgeben“, erläutert Strobel.

Das Unternehmen von außen betrachten

Die diesjährige it-sa Expo&Congress hatte jenseits des Themas KI noch viele weitere Neuigkeiten vorzuweisen. Unter anderem das sogenannte External Attack Surface Management (EASM). Dieser Ansatz reagiert auf zunehmend global verteilte Systeme und Cloud-Nutzung. Denn mit externen Komponenten und Ressourcen, die häufig in interne Geschäftsabläufe eingebunden sind, entstehen neue Angriffsflächen. Dazu zählen unter anderem öffentlich zugängliche Websites, Anwendungen und dergleichen. Monitoring und Sicherheitsmaßnahmen dieser Systeme entsprechen oft nicht dem Standard für Systeme hinter der Firewall. Schlimmstenfalls sind sie bei den IT-Zuständigen schon in Vergessenheit geraten, es sind blinde Flecken entstanden. Angreifer suchen deshalb gezielt nach diesen Komponenten, um von dort aus ins Unternehmensnetz einzudringen. EASM-Lösungen scannen mit geeigneten Schwachstellen-Scannern von außen das Unternehmen und finden auch Adressen, die aus dem Sichtfeld geraten sind. Dabei legen sie auch Schwachstellen oder Konfigurationsfehler offen. Die Überwachung erfolgt regelmäßig und automatisiert.

Schwachstelle Datenbank

Auch für die hausinterne IT existieren neue Entwicklungen, so etwa bei Datenbanksystemen. Die wichtigsten Daten eines Unternehmens werden häufig in riesigen Datenbanken gespeichert. Gelingt Angreifern der Zugriff darauf, können sie mittels geeigneter Abfragen sensible Daten extrahieren oder die gesamte Datenbank abziehen. Das versuchen Schutzsysteme zu verhindern. Sie sitzen in der Regel an der Schnittstelle zwischen Datenbankverwaltungssystem und Abfragekomponente, um Abfragen auf eventuelle Gefahren hin zu analysieren. Dazu werden Abfrageberechtigungen überprüft, Zugriffsrechte granular eingestellt und Abfragen auf weitere Probleme analysiert. Teils besitzen diese Security-Lösungen auch die Fähigkeit, zu lernen was legitime Abfragen sind und was nicht. Ergänzend sind solche Lösungen nun auch für SAP-Anwendungen möglich, die ebenfalls umfangreiche Datensammlungen beinhalten, die für ein Unternehmen von größter Relevanz sind. SAP verwendet eine eigene Abfragesprache, die Sicherheitslösungen beherrschen müssen, um Überprüfungen vorzunehmen. Diese Technologien firmieren meist unter dem Begriff Data Security Posture Management (DSPM).

Nun liegen Datenbanken heute häufig in der Cloud, nicht selten auch die darauf basierenden Applikationen. Für deren Absicherung wird DSPM dann um Cloud Security Posture Management (CSPM) erweitert. Dabei geht es unter anderem auch um die Entdeckung von Konfigurationsfehlern, problematische Zugriffsberechtigungen und ähnliches mehr. Doch was wäre die Branche ohne permanent neue Begriffe und Abkürzungen? Deshalb kommt noch eine weitere Variante ins Spiel: Application Security Management, kurz ASPM. Hierbei liegt der Fokus auf dem Gesamtüberblick der Sicherheit aller Web-Applikationen und dazugehöriger Daten. ASPM-Tools verfügen oft über Schnittstellen zu weiteren Prüftools, beispielsweise um Sourcecode eigener Web-Applikationen zu überprüfen. Es geht dabei unter anderem darum, die Aktualität verwendeter Bibliotheken oder die Sicherheit der Datenzugriffe zu gewährleisten.