Die Detektive im Firmennetz
Die Suche nach der Nadel im Heuhaufen
von Luca Perler - 27.11.2018
Laut Gugelmann ist das Grundproblem großer Firmen heute, dass in ihren Netzwerken täglich Millionen von Interaktionen stattfinden und Hunderttausende Webserver kontaktiert werden. Für Angreifer heißt das, dass sie sich zwischen Millionen ganz normaler Webaktivitäten unsichtbar machen können. "Das macht es extrem schwierig, diese aufzuspüren", sagt der Unternehmer. Hier kommt nun der Ansatz zum Zug, den Gugelmann im Paper zur Netzwerkforensik beschrieben hatte und später mit seinem Team bei Exeon Analytics weiterentwickelte.
Mit "Exeon Trace" ging Gugelmann im Frühling dieses Jahres auf den Markt. Die Lösung analysiert Log-Dateien von Secure Web Gateways und Firewalls – also dem gesamten ausgehenden Webtraffic, wie das Internetbrowsing der Mitarbeitenden oder der Verkehr der Server, die sich Updates herunterladen. Die Software nimmt dabei jeden Datenpunkt unter die Lupe und kann so die versteckten Databreaches finden, auch bei HTTP- und HTTPS-Verbindungen. Das Herzstück von "Exeon Trace" sind die Algorithmen, die für die Erkennung der bösartigen Aktivitäten zuständig sind. Sie analysieren und bewerten die einzelnen Datenpunkte anhand von rund 20 verschiedenen Features. Aufgrund vortrainierter Modelle, die Exeon Analytics mitliefert, kann die Machine-Learning-Komponente rekonstruieren, was zum normalen Webbrowsing gehört und was nicht. Was von der Norm abweicht, wird schließlich herausgefiltert und genauer untersucht. Wichtig ist bei der Erkennung laut dem CEO zusätzlich, dass die Algorithmen richtig ausgerichtet sind und nicht zu viele Fehlalarme produzieren. Je klarer aber die Daten, desto sicherer ist sich das System. Zudem lernen die Algorithmen ständig dazu.
Die Software als Sicherheitsnetz
Als Beispiel für einen APT-Angriff nennt Gugelmann die Attacke auf das Rüstungsunternehmen RUAG. Beim Konzern wurde täglich bis zu 1 GByte an Daten entwendet, insgesamt waren es 20 GByte. Der Konzern bemerkte dies jedoch während Monaten nicht, weil der Datenabfluss im regulären Webbrowsing unterging. "Natürlich kennen wir nicht alle Details zu diesem Fall. Ich würde aber behaupten, dass wir dies mit unserer Software innerhalb von ein bis zwei Tagen detektiert hätten", meint Gugelmann.
Mit seiner Lösung "Exeon Trace" will der Start-up-Gründer herkömmliche Antiviren-Software nicht ersetzen. "Die ist nach wie vor sehr nützlich, etwa zur Abwehr von Standardinfektionen", sagt er. "Wir detektieren die Breaches aber, nachdem die Infektion bereits stattgefunden hat. Unser Produkt ist also gewissermaßen ein Sicherheitsnetz, für den Fall, wenn eine Bedrohung an der Antiviren-Software vorbeikommt." So erkennen die in "Exeon Trace" eingebauten Detektoren die einzelnen Schritte, die Cyberkriminelle bei einem APT-Angriff nach einer Infektion machen – von der Bewegung im Unternehmensnetz bis zur Exfiltration der Daten. Mit dem Ziel, Letzteres zu verhindern.
Bei einer großen Schweizer Bank sowie einer großen staatlichen Organisation ist "Exeon Trace" nun bereits im Einsatz. Dass so schnell erste Projekte anlaufen, sei für den Security-Bereich nicht selbstverständlich, sagt Gugelmann. "Nicht selten geht es ein Jahr oder noch länger, bis Kunden überhaupt eine Zusage für ein Proof of Concept erteilen." Beim Start-up klappte es jedoch deutlich schneller. Gründe dafür sieht der Experte verschiedene: Die meisten Unternehmen würden die für die Analyse nötigen Daten sowieso schon aufzeichnen – Banken etwa aus Compliance-Gründen. "Sie haben also die Datengrundlage, nur fehlen ihnen die Algorithmen, um sich diese im Detail anzuschauen." Die Lösung könne dann on-top sehr einfach aufgesetzt werden. Zudem sei die Lösung schnell produktiv. Laut Angaben des Gründers könne man bereits innerhalb eines Tages mit den ersten Insights rechnen.
Auf Kundenfang
Momentan arbeitet Exeon Analytics vorwiegend direkt mit Kunden zusammen. Parallel dazu ist das Unternehmen daran, Partnerschaften mit Consulting-Firmen aufzubauen. Auch an Interesse aus der Branche mangelt es nicht. "Mit vier sehr großen IT-Consulting-Unternehmen werden wir wohl bald Projekte lancieren." Auch habe das Start-up bereits Anfragen von einer großen Network-Security-Firma aus den USA und von einer aus China erhalten. "Das ist natürlich schön, momentan liegt für uns die Hauptpriorität jedoch bei den Partnerschaften mit den Consulting-Firmen und beim Aufgleisen neuer Kundenprojekte."
Als eines der siegreichen Jungunternehmen an der letzten Swisscom StartUp Challenge konnten Gugelmann und Gämperli kürzlich für ein Accelerator-Programm ins Silicon Valley reisen. Das sei für sie noch ein ziemlich hartes Pflaster. "Es gibt dort sehr viele Security-Start-ups, oftmals gegründet von jungen Leuten, die direkt mit einem Bachelor von der Uni kommen." Von diesen will sich der Gründer klar abgrenzen und bei den Investoren mit langjähriger Forschungs- und Industrieerfahrung punkten. "Das muss man ihnen aber erst mal klarmachen – am besten gelingt das, wenn man hochkarätige Kunden vorweisen kann."