KI-gestützte Endpoint-Sicherheit: Ein SentinelOne-Leitfaden für moderne SOC-Teams
KI-gestützte Endpoint-Sicherheit nutzt verhaltensbasierte KI, um Ransomware, dateilose Angriffe und Living-off-the-Land-Aktivitäten zu erkennen. SentinelOne stoppt diese Angriffe und macht Schäden rückgängig.
Das Wichtigste auf einen Blick
- KI-gestützte Endpoint-Sicherheit schützt Geräte mit maschinellem Lernen und verhaltensbasierter KI. Sie analysiert das tatsächliche Verhalten von Dateien und Prozessen. So erkennt sie Ransomware, dateilose Malware und Living-off-the-Land-Techniken (LOTL), die signaturbasierte Tools übersehen.
- Wirksame Bedrohungsprävention für Endpunkte beruht auf vier Komponenten, die in einem einzigen Agenten zusammenarbeiten: statische KI zur Dateianalyse vor der Ausführung, verhaltensbasierte KI zur Laufzeitüberwachung, Telemetrieerfassung für Transparenz und automatisierte Reaktion zur Eindämmung und Behebung.
- Verhaltensbasierte KI stoppt Bedrohungen, indem sie Abweichungen vom normalen Verhalten erkennt. Die Nachverfolgung von Prozessabstammungen deckt ungewöhnliche Eltern-Kind-Prozessketten auf und macht Angriffe sichtbar, selbst wenn alle beteiligten Binärdateien legitim sind.
- KI-gestützte Endpoint-Sicherheit erfordert weiterhin operative Disziplin. Teams müssen Fehlalarme, Umgehungstechniken von Gegnern, den Ressourcenverbrauch der Agenten und Kompetenzlücken bewältigen. CISA-Warnmeldungen zeigen: Die meisten Probleme entstehen durch unvollständige Bereitstellung, ungeprüfte Warnungen, unzureichende Feinabstimmung und ungetestete Reaktionspläne, nicht durch die Tools.
- Bewährte Verfahren beginnen mit vollständiger Abdeckung. Installieren Sie Agenten auf allen Systemen, prüfen Sie Warnungen fortlaufend (wenn möglich mit agentischer KI zur Triage), stimmen Sie die Erkennung auf Umgehungstechniken ab und integrieren Sie Endpoint-Telemetrie in Workflows für Identität, Cloud und SOC.
Was ist KI-gestützte Endpoint-Sicherheit?
2024 warnten CISA, NSA und FBI, dass Volt Typhoon, eine von der Volksrepublik China (PRC) unterstützte Gruppe, Netzwerke kritischer Infrastruktur in den USA kompromittiert hatte. In einigen Fällen bestand dieser Zugriff seit mindestens fünf Jahren. Die wichtigsten Werkzeuge der Gruppe stammten von den Opfern selbst. Laut CISA-Warnmeldung AA24-038A setzt die Gruppe auf Living-off-the-Land-Techniken (LOTL), die ihre Aktivitäten im normalen System- und Netzwerkverhalten verbergen. Laut CISA können sie so einfache Endpoint-Sicherheitsmaßnahmen umgehen. Ohne Malware, die sich abgleichen lässt, können Signaturen nichts erkennen.
KI-gestützte Endpoint-Sicherheit schützt Endgeräte von Nutzern und Servern mit Modellen für maschinelles Lernen und verhaltensbasierte KI. Diese analysieren das tatsächliche Verhalten von Dateien und Prozessen. Dazu kombiniert sie Dateianalyse vor der Ausführung, Prozessüberwachung zur Laufzeit, Endpoint-Telemetrie und automatisierte Reaktion, um Bedrohungen zu erkennen und zu stoppen, die signaturbasierte Tools übersehen.
Der Begriff bezeichnet auch eine andere Aufgabe: KI-Agenten und -Assistenten abzusichern, die inzwischen auf Mitarbeitergeräten laufen. Dieser Leitfaden behandelt KI zum Schutz von Endpunkten. Wie Sie die KI auf diesen Endpunkten schützen, erfahren Sie im SentinelOne-Leitfaden zur Sicherheit von KI-Agenten.
Was Sie nicht durch sein Verhalten erkennen, können Sie nicht blockieren. Diese Tatsache prägt alle folgenden Funktionen.
Die Rolle KI-gestützter Endpoint-Sicherheit in der Cybersecurity
KI-gestützte Endpoint-Sicherheit setzt dort an, wo Angreifer häufig Fuß fassen: auf dem Gerät selbst. Die Prozess-, Datei- und Netzwerkaktivitäten von Endpunkten machen laufende Angriffe sichtbar. Die Korrelation dieser Telemetrie mit anderen Datenquellen erweitert den Risikokontext für Sicherheitsteams. Endpoint-Daten fließen in die Identitätsüberwachung, das Threat Hunting und die Reaktion auf Sicherheitsvorfälle ein. Damit bilden sie eine Grundlage für KI in der Cybersecurity. Jedes nachgelagerte Modell ist nur so verlässlich wie die zugrunde liegenden Endpoint-Daten.
Kernkomponenten KI-gestützter Endpoint-Sicherheit
Moderner Endpoint-Schutz beruht auf vier Kernkomponenten: statischer KI, verhaltensbasierter KI, Telemetrieerfassung und automatisierter Reaktion. Bei KI-gestützter Endpoint-Sicherheit adressiert jede Komponente eine andere Phase eines Angriffs.
Komponente | Angriffsphase | Funktionsweise |
Statische KI | Vor der Ausführung | Klassifikatoren, trainiert mit Sammlungen von Malware-Dateien mit bekannter Malware und harmlosen Dateien, untersuchen Codestruktur, Zeichenfolgen und Binärdateimerkmale. So bewerten sie eine Datei vor ihrer Ausführung. Bei polymorpher Malware stoßen sie an Grenzen: Diese verändert sich selbst, um den Signaturabgleich zu umgehen. |
Verhaltensbasierte KI | Laufzeit | Überwacht, was ein Programm nach dem Start tut. Die MITRE ATT&CK-Richtlinie M1040 beschreibt diese Ebene als Analyse von Prozessverhalten, Dateien, API-Aufrufen und Endpoint-Ereignissen mithilfe von Heuristiken, maschinellem Lernen und Echtzeitüberwachung, ohne sich allein auf Signaturen zu verlassen. Zu den Signalen gehören unbefugter Dateizugriff und ungewöhnliche API-Aufrufe wie OpenProcess und WriteProcessMemory. |
Telemetrieerfassung | Sichtbarkeit in jeder Phase | Agenten auf jedem Gerät erfassen Details zu Prozessen und Programmen, Geräteparameter, angemeldete Benutzer und Netzwerkverkehr. Anschließend senden sie diese Daten an eine Analyse-Engine, die sie anhand von Sicherheitsrichtlinien und Referenzwerten bewertet (NIST-Telemetrie für Endpunkte). SANS-Leitfaden zur EDR-Sichtbarkeit bringt die Abhängigkeit auf den Punkt: Ein Tool für Endpoint Detection and Response (EDR) ist nur so wirksam wie die Ereignisse, die es erkennen kann. |
Automatisierte Reaktion auf Sicherheitsvorfälle | Eindämmung und Behebung | NIST SP 800-61r3 nennt Maßnahmen zur Eindämmung: malware in Quarantäne verschieben, einen kompromittierten Endpunkt in ein isoliertes Netzwerk zur Behebung verlagern oder die Ausführung eines infizierten Containers stoppen. |
Zusammen bieten diese Komponenten den stärksten Schutz: in einem einzigen Agenten, der Prävention und EDR vereint. Bei KI-gestützter Endpunktsicherheit werden die schwierigsten Bedrohungen anhand ihres Laufzeitverhaltens erkannt.
Wie verhaltensbasierte KI Bedrohungen stoppt
Verhaltensbasierte KI stoppt Bedrohungen, indem sie Prozessaktivitäten zur Laufzeit bewertet. So erkennt sie LOTL- und dateilose Techniken, an denen signaturbasierte Scanner scheitern.
Die Verhaltensanalyse auf dem Agenten findet nahe an den Aktivitäten statt, die sie bewertet. NIST-Telemetrie für Endpunkte beschreibt diesen agentenbasierten Ansatz: Softwareagenten erfassen Details zu Prozessen und Programmen, Geräteparameter und Netzwerkverkehr. Anschließend melden sie Abweichungen von vorkonfigurierten Sicherheitsrichtlinien und festgelegten Referenzwerten.
Der entscheidende Vorteil: Das Modell bewertet Abweichungen von einem festgelegten Referenzwert. Dadurch fallen ungewöhnlicher Ressourcenverbrauch oder zahlreiche neue Netzwerkverbindungen selbst dann auf, wenn die malware neu ist.
Die Nachverfolgung der Prozessabstammung übernimmt einen Großteil der Arbeit. Die Datenkomponente Process Creation von MITRE ATT&CK erklärt, dass die Überwachung der Prozesserstellung bösartige Aktivitäten wie die unbefugte Ausführung von Binärdateien, den Missbrauch von Skripten und Versuche zur Rechteausweitung aufdeckt. Sie berücksichtigt ausdrücklich „Eltern-Kind-Beziehungen zwischen Prozessen, Prozessargumente und Umgebungsvariablen“.
- Living-off-the-Land-Techniken. Rhysida ransomware, dokumentiert in CISA Advisory AA23-319A, nutzte fast ausschließlich vertrauenswürdige Binärdateien des Betriebssystems: cmd.exe für Änderungen an der Registrierung, wevtutil.exe zum Löschen von Protokollen und PowerShell zur Ausführung. Es gab keine neue malware, für die eine Signatur hätte erstellt werden können. Verhaltensmodelle erkennen stattdessen die ungewöhnliche Abfolge und Prozessabstammung.
- Dateilose Angriffe. Prozessinjektion führt Code innerhalb eines legitimen Prozesses aus, um die Ausführung zu verschleiern. MITRE weist darauf hin, dass eine so verschleierte Ausführung Sicherheitsprodukte umgehen kann. Die Laufzeitüberwachung von Token-Aufrufen und Speicherschreibvorgängen erkennt die Injektion selbst.
- Ransomware. Die Technik Data Encrypted for Impact von MITRE beschreibt die massenhafte Verschlüsselung von Dateien. Verhaltensmodelle erkennen das schnelle, umfangreiche Verschlüsselungsmuster, bevor ein Hash des Verschlüsselungsprogramms bekannt ist.
Laufzeitmodelle erkennen alle drei Muster, weil das Verhalten selbst den Angriff verrät. Daraus ergeben sich die folgenden operativen Vorteile.
Die wichtigsten Vorteile KI-gestützter Endpunktsicherheit
KI-gestützte Endpunktsicherheit schützt vor Angriffen, die ohne bekannte malware auskommen und keine signaturbasierte Erkennung auslösen. Bei der Prävention von Endpunktbedrohungen ergeben sich die Vorteile direkt aus Verhaltensanalyse und automatisierter Reaktion auf Sicherheitsvorfälle.
- Schutz vor unbekannten Bedrohungen: Verhaltensmodelle erkennen Zero-Day- und dateilose Aktivitäten, indem sie das Laufzeitverhalten mit Referenzwerten vergleichen. So fallen neue malware und der Missbrauch von Living-off-the-Land-Binärdateien (LOLBins) als Anomalien auf.
- Schnellere Eindämmung: Die automatisierte Reaktion isoliert einen Host oder stoppt einen Prozess, sobald eine Bedrohung erkannt wird. So bleibt Angreifern weniger Zeit, sich lateral auszubreiten.
- Vollständiger Angriffskontext: Die Nachverfolgung der Prozessabstammung zeigt Ihnen die Eltern-Kind-Beziehungen und Befehlszeilen hinter einer Warnmeldung. Sie verknüpft außerdem relevante Netzwerkaktivitäten. Dieser Kontext macht aus stundenlangem manuellem Abgleich einen nachvollziehbaren zeitlichen Ablauf.
- Anpassungsfähige Abläufe mit weniger Fehlalarmen: Durch kontinuierliches Lernen passen sich Verhaltensmodelle an neue Angriffsmuster an. Gleichzeitig fasst die Korrelation von Telemetriedaten zusammengehörige Ereignisse zu weniger Vorfällen mit höherer Aussagekraft zusammen.
Diese Vorteile bestehen nur bei kontinuierlicher Feinabstimmung, ausreichenden Ressourcen und qualifiziertem Personal. Die damit verbundenen Betriebskosten werden im Folgenden behandelt.
Herausforderungen und Grenzen KI-gestützter Endpoint-Sicherheit
KI-gestützte Endpoint-Sicherheit erfordert dauerhaft Feinabstimmung, Ressourcen und Fachkenntnisse und muss gegen Umgehungsversuche bestehen. Planen Sie dies vor dem Produktiveinsatz des Modells ein.
- Fehlalarme und die Feinabstimmung des Modells erfordern kontinuierliche Aufmerksamkeit. NIST AI 100-2 dokumentiert einen dauerhaften Zielkonflikt zwischen der Robustheit gegen Umgehungsversuche und der Modellgenauigkeit. Die Agentur der Europäischen Union für Cybersicherheit (ENISA) ergänzt in ihrem Bericht „AI Cybersecurity Challenges“, dass Konzeptdrift häufiges, rechenintensives Nachtrainieren erforderlich macht.
- Gezielte Umgehungsversuche bleiben ein Problem. NIST stellt klar: “ML-Modelle zu entwickeln, die Umgehungsversuchen widerstehen und zugleich ihre Genauigkeit bewahren, bleibt eine ungelöste Aufgabe.” Auch Angreifer stoßen an Grenzen: Die Funktionalität von malware trotz gezielter Veränderungen zu erhalten, ist schwierig. Deshalb bleibt die Analyse des Laufzeitverhaltens auch bei modifizierten Varianten wirksam.
- Der Ressourcenbedarf von Agenten variiert je nach Architektur erheblich. Eine USENIX Security-Studie ermittelte für ein leichtgewichtiges EDR-System im Produktiveinsatz einen geringen Ressourcenbedarf, während ein separater Forschungsagent deutlich mehr Arbeitsspeicher und CPU-Leistung beanspruchte. Die Unterschiede hängen vom Umfang der Telemetrie und davon ab, ob die Inferenz auf dem Sensor oder in der Cloud erfolgt. Prüfen Sie den Bedarf deshalb anhand Ihrer eigenen Hardware-Baseline.
- Die für den Betrieb erforderlichen Fachkenntnisse bleiben ein echter Engpass. Die 2025 veröffentlichte SANS SOC Survey ergab, dass 42 % der Security Operations Center (SOCs) KI- oder ML-Tools ohne Anpassungen direkt einsetzen. Zugleich gehören diese Tools zu denen mit den niedrigsten Zufriedenheitswerten. Sie müssen die Modellergebnisse weiterhin interpretieren und erkennen, wann sie zu hinterfragen sind.
Häufige Fehler bei KI-gestützter Endpoint-Sicherheit
Mängel beim Endpunktschutz gehen meist auf Entscheidungen bei Bereitstellung und Überwachung zurück. CISA-Hinweise dokumentieren immer wieder dieselben Fehler. Die Prävention von Bedrohungen für Endpunkte scheitert, wenn Lücken bei der Abdeckung, Alarmprüfung oder Reaktion dem Modell die Sicht nehmen. Jeder dieser Punkte ist eine Entscheidung und lässt sich korrigieren.
- Unvollständige Abdeckung bei der Bereitstellung: Beim GeoServer-Vorfall von 2024 stellte CISA Advisory AA25-266A fest, dass “einige öffentlich erreichbare Systeme keinen Endpunktschutz hatten”, sodass der Angriff unbemerkt blieb.
- Ungeprüfte Alarme: Beim selben GeoServer-Vorfall erkannte das EDR-Tool das Tool Stowaway. Das SOC reagierte jedoch erst nach einer versäumten Alarmprüfung. Das Tool erkannte die Bedrohung. Der menschliche Prozess versagte.
- Unzureichende Feinabstimmung und Konfiguration: Der CISA-Hinweis Red Team advisory AA24-193A führt eine “unzureichende EDR-Konfiguration” als dokumentierten Befund auf. Er fordert Teams auf, EDR einzusetzen, das gängige Verschleierungs- und Ausführungstechniken erkennt.
- Ungetestete Pläne für die Reaktion auf Sicherheitsvorfälle: AA25-266A stellt fest, dass die betroffene Behörde ihren Plan für die Reaktion auf Sicherheitsvorfälle weder getestet noch in Übungen erprobt hatte. Das verzögerte die Einbindung Dritter während der Reaktion.
In diesen Vorfällen funktionierten die Tools, doch die Abläufe rund um ihren Einsatz reichten nicht aus. Diese Abläufe liegen in der Hand Ihres Teams. Die folgenden Praktiken stärken sie.
Best Practices für KI-gestützte Endpoint-Sicherheit
Wirksame Prävention von Bedrohungen für Endpunkte beginnt mit vollständiger Abdeckung. Danach folgen kontinuierliche Prüfung, Feinabstimmung und Integration. Die Empfehlungen von CISA und NIST lassen sich auf wenige Punkte verdichten.
- Auf allen Systemen bereitstellen. Installieren Sie gemäß dem #StopRansomware-Leitfaden einen EDR-Agenten auf allen Hosts, einschließlich öffentlich erreichbarer und Cloud-Systeme, und kombinieren Sie ihn mit Application Allowlisting.
- Alarme kontinuierlich prüfen. Die versäumte Alarmprüfung beim GeoServer-Vorfall zeigt: Erkennung ohne kontinuierliche Prüfung führt zum selben Ergebnis wie fehlende Erkennung. Sorgen Sie rund um die Uhr für eine personelle oder automatisierte Triage. Agentische KI macht Untersuchungsautomatisierung praxistauglich: Ein KI-Analyst untersucht kritische Warnmeldungen sofort und liefert Ihrem Team ein Urteil mit Belegen. So bleibt die Abdeckung auch nachts und am Wochenende konstant.
- Passen Sie die Erkennung an Umgehungstechniken an. Konfigurieren Sie Agenten so, dass sie Verschleierung und den Missbrauch von LOLBins erkennen. Passen Sie die Baselines an veränderte Verhaltensmuster an.
- Integrieren, patchen und üben Sie. Das CISA-Dokument Trusted Internet Connections (TIC) 3.0 Cloud Use Case empfiehlt Behörden, Daten von Cloud-Endpunkten in die unternehmensweite Lageerfassung einzubeziehen. Beheben Sie bekannte, ausgenutzte Schwachstellen nach einem festen Zeitplan und führen Sie Planspiele durch, damit der Zugriff Dritter und Eskalationswege vor einem Sicherheitsvorfall funktionieren.
Die Plattform von SentinelOne ist darauf ausgelegt, alle vier Maßnahmen im großen Maßstab umzusetzen.
Schützen Sie Ihren Endpunkt
Erfahren Sie, wie die KI-gestützte Endpunktsicherheit von SentinelOne Ihnen helfen kann, Cyber-Bedrohungen in Echtzeit zu verhindern, zu erkennen und darauf zu reagieren.
Stoppen Sie Bedrohungen für Endpunkte mit SentinelOne
Singularity™ Endpoint vereint KI-gestützte Prävention und EDR in einem einzigen Agenten. Verhaltensbasierte KI erkennt und stoppt LOTL- und dateilose Techniken direkt auf dem Gerät. Sie erkennt auch Ransomware-Verhaltensweisen, die in CISA-Warnmeldungen dokumentiert sind. Der Agent bewertet Prozessverhalten und Prozessabstammung zur Laufzeit. So werden Ransomware-Verhaltensweisen und ungewöhnliche Prozessabstammung sofort als Anomalien erkannt, noch bevor eine Signatur existiert.
Singularity Platform führt Telemetriedaten von Endpunkten und aus der Cloud mit Identitätstelemetrie zusammen. Ein Agent und eine Konsole speisen einen zentralen Data Lake. Storyline® rekonstruiert Prozesserstellung und Dateiaktivitäten zu einem vollständigen Bild des Angriffs. Auch Netzwerkverbindungen werden zugeordnet. So gelangen Sie von der Warnmeldung zur Ursache, ohne den zeitlichen Ablauf manuell rekonstruieren zu müssen. Zum sechsten Mal in Folge hat Gartner® SentinelOne als Leader im Magic Quadrant™ 2026 für Endpoint Protection ausgezeichnet. Latio ernannte SentinelOne in seinem Marktbericht 2026 zum SOC Platform Leader. Diese Anerkennung umfasst die gesamte SOC-Plattform, von der Telemetrie über die Untersuchung bis zur Reaktion auf Sicherheitsvorfälle.
Wird Ransomware ausgeführt, macht Singularity Endpoint bösartige Änderungen rückgängig und versetzt einen betroffenen Windows-Endpunkt in seinen Zustand vor der Infektion zurück. Ein zerstörerischer Verschlüsselungsvorfall wird so zu einem wiederherstellbaren Vorfall.
Purple AI™ erweitert diese Funktionen auf Untersuchungen. Fragen in natürlicher Sprache werden in strukturierte Suchanfragen über Endpunkt-Telemetriedaten übersetzt. So rekonstruieren Analysten den zeitlichen Ablauf eines Angriffs, ohne Daten aus verschiedenen Tools manuell abzugleichen. Laut der IDC-Studie zum geschäftlichen Nutzen identifizierten Kunden von Purple AI Bedrohungen 63 % schneller und behoben sie 55 % schneller.
Purple AI Agentic Investigation geht für SOC-Teams einen Schritt weiter. Überschreitet eine kritische Bedrohung einen definierten Schwellenwert, beginnt die Untersuchung automatisch. Die Funktion sammelt und verknüpft Belege, erstellt ein Urteil und kann die Bedrohung in Maschinengeschwindigkeit stoppen. Ihre Analysten beginnen beim Urteil statt bei der Warnmeldung. Jedes Urteil stützt sich auf eine überprüfbare Beweiskette. Ihr Team bestimmt, wie autonom Purple AI handeln darf.
Singularity Data Lake nimmt Telemetriedaten auf und normalisiert sie nach dem Open Cybersecurity Schema Framework (OCSF). So entsteht eine gemeinsame Grundlage für Endpunktsicherheit mit maschinellem Lernen, Cloud-Untersuchungen und die domänenübergreifende Korrelation. Gespeicherte Daten bleiben unmittelbar verfügbar. Analysten können Endpunkt- und domänenübergreifende Telemetriedaten daher nahezu in Echtzeit abfragen.
Vereinbaren Sie eine Demo mit SentinelOne und sehen Sie, wie verhaltensbasierte KI eine aktive Angriffskette stoppt und 1-Click Rollback den Schaden rückgängig macht.
Entdecken Sie unvergleichlichen Endpunktschutz
Erfahren Sie, wie die KI-gestützte Endpunktsicherheit von SentinelOne Ihnen helfen kann, Cyber-Bedrohungen in Echtzeit zu verhindern, zu erkennen und darauf zu reagieren.
Fazit
KI-gestützte Endpunktsicherheit schützt Geräte, indem sie das Verhalten von Dateien und Prozessen analysiert. So erkennt sie Ransomware-Verhaltensweisen, die Verteidiger bei dokumentierten CISA-Vorfällen nicht aufhalten konnten, sowie Living-off-the-Land- und dateilose Techniken. Statische KI, Verhaltensmodelle zur Laufzeit, Telemetrie und automatisierte Reaktion wirken zusammen. Entscheidend sind eine lückenlose Abdeckung und die kontinuierliche Prüfung von Warnmeldungen. Verhaltensbasierte KI auf dem Agenten gibt Sicherheitsteams den frühestmöglichen Hinweis.
Schließen Sie Lücken in der Abdeckung und bei der Prüfung von Warnmeldungen. Dann bieten legitime Systemwerkzeuge Angreifern kein Versteck mehr.
Häufig gestellte Fragen
KI-gestützte Endpunktsicherheit schützt Geräte von Nutzern und Servern durch maschinelles Lernen und verhaltensbasierte KI, die das Verhalten von Dateien und Prozessen zur Laufzeit analysieren. Sie kombiniert Dateianalyse vor der Ausführung, Verhaltensüberwachung, Telemetrieerfassung und automatisierte Reaktion.
Da dieser Ansatz Aktivitäten anhand von Abweichungen vom Normalverhalten bewertet, erkennt er Ransomware-Verhaltensweisen, die signaturbasierte Tools übersehen. Das gilt auch für dateilose Malware und Living-off-the-Land-Techniken.
Verhaltensbasierte KI erkennt Bedrohungen, die signaturbasierte Tools übersehen, indem sie Prozesse zur Laufzeit beobachtet. Signaturbasierte Tools gleichen Dateien mit einer Datenbank bekannter Malware-Hashes und Muster ab. Sie stoppen daher nur, was sie bereits kennen. Verhaltensbasierte KI vergleicht Aktivitäten zur Laufzeit mit Baselines für normales Verhalten.
Wenn Angreifer dateilose Techniken einsetzen, polymorphe Malware oder vertrauenswürdige Systemprogramme wie PowerShell einsetzt, bewertet das Modell die Prozessabfolge und -hierarchie während der Ausführung und markiert das abweichende Verhalten selbst.
Die Nachverfolgung von Prozesshierarchien erfasst die Beziehungen zwischen übergeordneten und untergeordneten Prozessen sowie Befehlszeilen und Argumente. MITRE ATT&CK stuft diese Beziehungen als wichtige Signale für die Erkennung von Angriffen ein.
Wenn beispielsweise control.exe den Prozess cmd.exe startet oder eine signierte Binärdatei eine unsignierte Payload ausführt, deutet das auf Missbrauch hin. Die Nachverfolgung der Prozesshierarchie erkennt diese Aktivität auch dann, wenn jede beteiligte Binärdatei für sich genommen legitim und vertrauenswürdig ist. Denn die Prozesskette macht das Verhalten des Angreifers sichtbar.
Die größten Herausforderungen bei der Einführung KI-gestützter Endpoint-Sicherheit sind Fehlalarme, das Umgehen der Erkennung durch Gegner, der Ressourcenbedarf des Agenten und fehlende Fachkräfte. Wenn sich Verhaltensmuster ändern, müssen Modelle fortlaufend angepasst und neu trainiert werden, um Fehlalarme zu reduzieren.
NIST bezeichnet das Umgehen der Erkennung durch Gegner als ungelöstes Problem. Der Ressourcenbedarf hängt vom Design ab und muss auf der eingesetzten Hardware geprüft werden. Ihr Team braucht außerdem das Fachwissen, um Richtlinien anzupassen, Modellergebnisse zu interpretieren und Ergebnisse bei unstimmigem Kontext zu hinterfragen.
KI-gestützte Endpoint-Sicherheit bildet den Kern einer modernen EDR-Strategie. Beides wirkt am besten zusammen. Der stärkste Ansatz vereint beide Funktionen in einem einzigen Agenten: KI-gestützte Prävention blockiert schädliche Dateien vor der Ausführung, Modelle der verhaltensbasierten KI erkennen Angriffsindikatoren zur Laufzeit und die automatisierte Erkennung und Reaktion auf Sicherheitsvorfälle an Endpunkten (EDR) dämmt Bedrohungen ein, die dennoch durchkommen.
Integriert statt nachträglich ergänzt. Diese Endpunktdaten fließen auch in die Überwachung von Identitäten, das Threat Hunting und die Korrelation im gesamten Sicherheitsprogramm ein. So wird der Endpunkt zum wichtigsten Sensor, um Eindringversuche in Cloud- und On-Premises-Umgebungen zu erkennen.
Mehr erfahren über Endpoint-Sicherheit
Endpoint-Sicherheit, die Bedrohungen mit höherer Geschwindigkeit und in größerem Maßstab stoppt, als es menschlich möglich ist.
Eine intelligente Plattform für überlegene Transparenz sowie unternehmensweite Prävention, Erkennung und Reaktion über Ihre gesamte Angriffsfläche hinweg – von Endpoints und Servern bis hin zu Mobilgeräten.
