Technologie: Sensornetz und KI
Wie NetProtector Daten aus einem weltweiten Sensornetz sammelt und mit mehreren KI-Ebenen Angriffe erkennt, einordnet und abwehrt.
Das Sensornetzwerk
NetProtector sammelt Daten dort, wo Angriffe sichtbar werden – bei den Kunden selbst, an den großen Knotenpunkten des Internets, in gezielt ausgelegten Ködern und bei Partnern.
Ausgewertet werden unter anderem:
- Deep Packet Inspection auf den Ebenen 2 bis 7 des OSI-Modells,
- NetFlow/IPFIX-Datenströme für die Verkehrsanalyse,
- DNS-Anfragen und -Antworten (passives DNS),
- Metadaten von TLS- und SSH-Verbindungsaufbauten – ohne Entschlüsselung,
- Syslog-Daten und Event-Logs.
Zusammen ergeben sich daraus Millionen Ereignisse pro Sekunde. Kein Mensch kann diese Menge sichten – genau hier setzt die KI an.
KI-Analyse in vier Ebenen
Die Analyse läuft in mehreren Stufen, die jeweils unterschiedliche Verfahren des maschinellen Lernens kombinieren. Aus der Masse der Ereignisse werden so wenige, priorisierte Alarme und konkrete Schutzregeln.
Ebene 1 – Anomalieerkennung
Autoencoder lernen ohne vorgegebene Regeln (unüberwacht), wie normaler Datenverkehr aussieht. Normale Muster lassen sich effizient komprimieren und wiederherstellen; Anomalien fallen dabei aus der Rolle. LSTM-Netze (Long Short-Term Memory) analysieren zeitliche Abfolgen und erkennen verdächtige Muster über Stunden oder Tage hinweg – etwa die schrittweise Aufklärungsphase eines APT-Angriffs (Advanced Persistent Threat).
Ebene 2 – Klassifikation
Ensemble-Verfahren wie Random Forest und Gradient Boosting ordnen erkannte Anomalien Angriffsarten zu: DDoS, Malware-Kommunikation mit Command-and-Control-Servern, Lateral Movement oder Datenabfluss. Transformer-Modelle analysieren Logs und Fehlermeldungen im Kontext – ähnlich wie Sprachmodelle Texte verstehen, hier aber auf Sicherheitsereignisse spezialisiert.
Ebene 3 – Threat-Intelligence-Fusion
Ein Graph Neural Network modelliert die Zusammenhänge zwischen IP-Adressen, Domains, Malware-Samples und Angreifern als Wissensgraph. So erkennt die KI Verbindungen, die für Menschen oder klassische Datenbanken unsichtbar bleiben – zum Beispiel, dass mehrere scheinbar unabhängige Angriffe von derselben Gruppe ausgehen.
Ebene 4 – Korrelation und Entscheidung
Die Correlation Engine führt die Signale aller Sensoren zusammen und bewertet jedes Ereignis nach Wahrscheinlichkeit, möglichem Schaden und Dringlichkeit. Daraus entstehen priorisierte Alarme und Schutzregeln, die an alle Appliances verteilt werden.
Lernen, ohne Daten preiszugeben
Mit Federated Learning lernt die KI auch aus den Netzen der Kunden – ohne dass sensible Dateninhalte das jeweilige Netz verlassen. Geteilt werden nur die gelernten Verbesserungen des Modells. So fließt die Erfahrung aus der Praxis in den Schutz aller ein.
Der Mensch bleibt Teil der Lernschleife
Wo viele Signale bewertet werden, entstehen auch Fehlalarme. Sicherheitsanalysten bestätigen oder korrigieren deshalb Bewertungen der KI (Supervised Learning); in unsicheren Fällen fragt das System gezielt nach (Active Learning). Neue Modelle werden vor dem Rollout kontrolliert getestet. Ziel ist eine stetig sinkende Fehlerquote und immer präzisere Vorhersagen.
Wie sich NetProtector in Ihr Netz und Ihre Werkzeuge einfügt, lesen Sie unter Integration & Betrieb.