Die Zero-Day-Erkennungsregeln, die KI nicht umschreiben kann

Die Cybersicherheitsbranche befindet sich in einem ständigen Reaktionsmodus. Jedes Quartal bringt eine neue Art von Bedrohung, eine neue Umgehungstechnik und ein neues Akronym mit sich, das verspricht, die Verteidigung neu zu definieren. Dies stellt CISOs und CTOs, die für langfristige Infrastrukturentscheidungen verantwortlich sind, vor ein Dilemma: Erkennungsstrategien müssen fünf bis zehn Jahre lang relevant bleiben, auch wenn sich die Bedrohungslage alle paar Monate verändert. Mehrschichtige Abwehrmaßnahmen sind unerlässlich. Die offene Frage ist, woran diese Schichten verankert werden sollen, damit sie auch bei sich weiterentwickelnden Bedrohungen Bestand haben.

Um eine solche nachhaltige Strategie zu entwickeln, muss man über die Veränderungen in der Bedrohungslandschaft hinausblicken und herausfinden, was unverändert bleibt: die zugrunde liegenden Rahmenbedingungen, die das Verhalten von Bedrohungen weiterhin prägen, unabhängig davon, wie sich die Tools weiterentwickeln. Diese Konstanten bieten mehrschichtigen Abwehrsystemen eine solide Grundlage, sodass die Erkennungsarchitektur auch dann relevant bleibt, wenn sich bestimmte Bedrohungen und Techniken wandeln. In diesem Beitrag konzentrieren wir uns auf drei dieser Konstanten, da sie den unmittelbarsten Einfluss darauf haben, wie moderne Erkennungspipelines aufgebaut sein müssen.

Statische Abwehr ist eine vorübergehende Illusion. Angreifer analysieren die Erkennungslogik, tauschen Umgehungstechniken aus und entwickeln ihre Methoden ständig weiter. Sobald eine Abwehrtechnologie einmal implementiert und unverändert belassen wird, bleibt sie gegenüber einem motivierten Angreifer nicht lange wirksam. Das gilt schon seit der Einführung der ersten Sandbox, und KI-generierte Malware beschleunigt diesen Kreislauf nur noch weiter.

In der Praxis bedeutet dies, dass sich versteckende Malware nicht jede Erkennungsstufe überwinden muss. Es reicht aus, wenn sie genau diejenige umgeht, auf die Sie sich verlassen. Varianten können nun schneller entwickelt, anhand von Abwehrmaßnahmen getestet und in kurzen Zyklen verfeinert werden. Was früher Wochen an Entwicklungszeit in Anspruch nahm, lässt sich heute in Zyklen von nur wenigen Stunden bewältigen.

In OT-Umgebungen verschärft sich das Anpassungsproblem noch weiter. Die Patch-Zyklen sind lang, die Systeme werden oft vom Hersteller kontrolliert, und die Software wird über Firmware-Updates, Herstellerpakete und Feldtools bereitgestellt, die sich nicht ohne Weiteres ersetzen lassen. Genau diese Dateien erweisen sich als ideale Verbreitungswege, da sie erwartet werden, Vertrauen genießen und sich nur schwer überprüfen lassen, ohne den Betrieb zu stören.

Einige dieser Dateien lassen sich bereinigen, andere hingegen nicht. Ausführbare Dateien, Firmware-Images und Patch-Dateien müssen wie vorgesehen ausgeführt werden, was den Anwendungsbereich für die Inhaltsbereinigung und -rekonstruktion einschränkt. Dadurch bleibt nur eine begrenzte Auswahl an praktikablen Prüfverfahren, und die statische Prüfung wird in vielen dieser Umgebungen oft zur Standardmaßnahme, obwohl Angreifer gelernt haben, genau diese zu umgehen.

Keine einzelne Erkennungsengine erzielt für sich genommen optimale Ergebnisse. Dies ist keine Einschränkung einer bestimmten Technologie, sondern eine statistische Eigenschaft, die sich aus der Kombination unabhängiger Klassifikatoren ergibt. Wenn mehrere Engines dieselbe Datei mit unterschiedlichen Methoden bewerten, addieren sich ihre Fehlerquoten nicht linear. Sie gleichen sich gegenseitig aus und ergeben so eine kombinierte Erkennungsleistung, die jede einzelne Engine – unabhängig davon, wie fortschrittlich diese auch sein mag – durchweg übertrifft.

Die Schlussfolgerung ist klar, auch wenn sie unbequem ist. Ausweichende Malware muss nicht jede mögliche Schutzmaßnahme überwinden. Sie muss nur diejenige überwinden, auf die Sie sich am meisten verlassen. Eine Datei, die Reputationsprüfungen umgeht, aber Verhaltensindikatoren auslöst, oder die Signaturerkennung umgeht, aber auffällige Ähnlichkeiten mit einer bekannten Malware-Familie aufweist, wird in einem mehrschichtigen Filterprozess abgefangen. In einem Ein-Engine-Modell gelangt sie hingegen weiter.

In den meisten Umgebungen kommen bereits mehrere Tools zum Einsatz, doch die von ihnen generierten Signale sind oft nicht miteinander verknüpft. Ein System stuft eine Datei als verdächtig ein, ein anderes gibt sie als unbedenklich frei, und ein drittes liefert Indikatoren, die manuell ausgewertet werden müssen. Die Last der Korrelation liegt somit beim Analysten.

Dadurch ergeben sich zwei konsistente Fehlerfälle:

1. Eine Umgehung gelingt unbemerkt, wenn eine Bedrohung die primäre Kontrolle umgeht und keine eingehendere Überprüfung auslöst

1. Die Lautstärke der Warnsignale wird erhöht, wenn sich überlappende oder widersprüchliche Signale zu unübersichtlichen Störgeräuschen führen

In großem Maßstab ist keines der beiden Ergebnisse tragbar. In Umgebungen mit hohem Durchsatz übersieht die Erkennung entweder das Wesentliche oder überfordert das für die Reaktion zuständige Team.

MetaDefender löst dieses Problem, indem es die Erkennung als einheitliche Pipeline statt als eine Ansammlung unabhängiger Prüfungen strukturiert. Jede Ebene bewertet dieselbe Datei aus einer anderen Perspektive, und die Ergebnisse werden zu einem einzigen, korrelierten Befund zusammengefasst.

MetaDefender -Erkennungs-Pipeline und Signalbeitrag

Jede Ebene beantwortet eine andere Frage. Die Reputationsanalyse befasst sich mit bereits bekannten Informationen. Die dynamische Analyse deckt auf, was noch unbekannt ist. Die Bewertung liefert den Kontext, und die Bedrohungssuche verknüpft einzelne Ereignisse zu einem verwertbaren Ganzen. Das Ergebnis ist eine einzige Entscheidung, die auf allen verfügbaren Erkenntnissen basiert, und nicht vier separate Ergebnisse. Über alle vier Ebenen hinweg erreicht die Pipeline eine Erkennungsrate von 99,9 % bei Zero-Day-Bedrohungen.

Ein globales Finanzinstitut, das täglich fast 1.000 verdächtige E-Mails verarbeitet, führte im SOC dynamische Analysen über eine VM-basierte Sandbox durch, die in die SOAR-Automatisierung integriert war. Das System funktionierte, bis das Volumen zunahm. Sandbox wurden länger, Vorfälle mit hoher Priorität erforderten manuelle Eingriffe, und die Automatisierung wurde zum Engpass statt zu einem Kraftmultiplikator.

Durch den Einsatz MetaDefender am Netzwerkperimeter verlagerte das Unternehmen die Signalfusion in eine frühere Phase. Dateien wurden nun vor der Zustellung analysiert statt erst nach der Ausführung auf dem Endgerät. Engpässe in der Warteschlange wurden beseitigt, die Analysezeit verkürzte sich von Minuten auf Sekunden, und das SOC konnte sich wieder auf die Untersuchung von Vorfällen konzentrieren, anstatt Rückstände abzuarbeiten.

Es besteht ein wesentlicher Unterschied zwischen einem Erkennungssystem, das externe Bedrohungsdaten einliest, und einem, das eigene Erkenntnisse generiert. Die auf Datenfeeds basierende Erkennung stößt an eine strukturelle Grenze: Sie kann nur das identifizieren, was bereits von anderen entdeckt, dokumentiert und weitergegeben wurde. Neuartige Bedrohungen, modifizierte Varianten und gezielte Angriffe, die darauf ausgelegt sind, öffentliche Erkennungsinfrastrukturen zu umgehen, fallen außerhalb dieses Rahmens.

Die dynamische Analyse ändert dies. Wenn eine Datei im Rahmen einer emulationsbasierten Überprüfung ausgeführt wird, ist das Ergebnis nicht nur ein Befund. Es liefert Verhaltensindikatoren, Netzwerkaktivitäten, Konfigurationsdaten und Ausführungsabläufe. Diese werden zu First-Party-Informationen, die eine nachträgliche Suche, das Clustering von Varianten und eine proaktive Blockierung ermöglichen, die auf beobachtetem Verhalten statt auf gemeldeten Indikatoren basieren.

In Bereichen wie kritische Infrastruktur, Finanzdienstleistungen und Verteidigung sind nachprüfbare Nachweise nicht nur eine architektonische Präferenz. Sie sind eine betriebliche Anforderung, die mit Compliance und Nachprüfbarkeit verbunden ist.

Regulatorische Rahmenbedingungen verlangen zunehmend nach einer nachprüfbaren Analyse unbekannter Bedrohungen und nicht nur nach einer auf Signaturdaten basierenden Validierung. Ein binäres Urteil ohne Belege hält einer Prüfung oder Untersuchung nicht stand. Erkennungssysteme müssen nachweisen können, wie sich eine Datei verhalten hat, welche Indikatoren extrahiert wurden und wie die Entscheidung zustande kam.

Dies verändert auch die Art und Weise, wie Unternehmen ihre eigenen Risiken einschätzen. Ein Umfeld, das eigene Erkenntnisse generiert, entwickelt im Laufe der Zeit ein lokales Bild der Bedrohungsaktivitäten. Dabei zeigen sich Muster, die sich über verschiedene Kampagnen, die Wiederverwendung von Infrastruktur und wiederkehrende Verhaltensmuster hinweg erstrecken und auf bestimmte Arbeitsabläufe abzielen. Externe Datenquellen sowie intern generierte Erkenntnisse sorgen für zusätzliche Tiefe.

MetaDefender generiert im Rahmen seiner Erkennungs-Pipeline Erkenntnisse. Jede Datei, die mittels emulationsbasierter dynamischer Analyse untersucht wird, liefert Verhaltensindikatoren, extrahierte Artefakte und korrelierte Signale, die wieder in das System einfließen. Die Erkennung wird so zu einem kontinuierlichen Lernprozess und nicht zu einer einmaligen Entscheidung.

Diese Informationen bleiben nicht isoliert. Sie fließen in die Predictive Alin AI ein, wo in einer Sandbox bestätigte Zero-Day-Schwachstellen dazu genutzt werden, die Modelle zur Erkennung vor der Ausführung neu zu trainieren. Jede bestätigte Bedrohung stärkt die Fähigkeit des Systems, ähnliche Muster früher zu erkennen, noch bevor die Ausführung stattfindet. Dadurch entsteht ein Regelkreis zwischen tiefgreifender Analyse und schneller Vorhersage.

Eine nationale Regierungsbehörde, die für den Schutz sensibler Systeme und Bürgerdaten zuständig ist, verdeutlicht den operativen Unterschied. Ihre bisherige Sandbox lieferte zwar detaillierte Berichte, doch mussten die Analysten fragmentierte Verhaltenssignale manuell interpretieren, und das Vertrauen in die Zero-Day-Erkennung schwand, da sich einige schwer zu erkennende Proben durchschlugen.

Nach der Einführung von MetaDefender entwickelte sich das Sandboxing von einem eigenständigen Berichtstool zu einer einheitlichen Erkennungs-Pipeline, die für jede Datei ein einziges Ergebnis lieferte, gestützt auf strukturierte Verhaltensdaten und eine Bedrohungsbewertung. Dies war genau die Art von Erkenntnissen, auf die die Behörde endlich direkt reagieren konnte.