Attack-Path-Aware Enterprise Risk Quantification for Cloud-Native Financial Data Platforms Using AI and Cybersecurity Graphs

In der hochriskanten Welt des Bankwesens war der Schutz von Geld und persönlichen Daten schon immer ein Spiel mit zwei Hälften. Auf der einen Seite nutzen Sicherheitsteams automatisierte Scanner, um Schwachstellen in ihren Computersystemen zu finden und diese danach zu bewerten, wie gefährlich sie auf dem Papier erscheinen. Auf der anderen Seite versuchen Risikomanager zu schätzen, wie viel Geld eine Bank verlieren könnte, wenn ein Hacker Erfolg hat, wobei sie sich oft auf grobe Schätzungen und farbige Diagramme verlassen. Jahrzehntelang haben diese beiden Gruppen parallel gearbeitet, ohne jedoch die gleiche Sprache zu sprechen. Die Scanner sagen ihnen, welches einzelne Loch das größte ist, während sich die Risikomanager um den gesamten finanziellen Schaden sorgen. Doch im modernen Bankwesen, in dem Daten durch komplexe Cloud-Netzwerke fließen, ist ein einzelnes großes Loch selten das eigentliche Problem. Stattdessen gelang es einem Hacker meist durch eine Kette aus kleinen, scheinbar harmlosen Schritten – wie etwa durch eine offene Tür zu gehen, einen Schlüssel von einem vertrauenswürdigen Freund zu entwenden und sich dann in einen Tresor zu schleichen. Die entscheidende Frage ist nicht mehr nur, welches Loch am größten ist, sondern welche Kette aus kleinen Schritten tatsächlich zum wertvollsten Schatz führt.

Eine neue Studie des Datenarchitekten Gopinathan Rathinavelu schlägt einen Weg vor, um diese beiden Welten endlich miteinander zu verbinden. Die Forschung führt ein System ein, das den gesamten Weg nachzeichnet, den ein Hacker nehmen könnte, anstatt nur isolierte Schwachstellen zu betrachten. Durch den Aufbau einer digitalen Karte des Cloud-Netzwerks der Bank verfolgt das System, wie sich ein Angreifer von einem Punkt zum anderen bewegen kann, und kennzeichnet jeden Schritt mit bekannten Hacker-Verhaltensweisen. Es nutzt diese Karte dann, um die tatsächliche Wahrscheinlichkeit zu berechnen, mit der ein Einbruch die sensibelsten Daten – bekannt als „Crown Jewels“ (Kronjuwelen) – erreichen kann, und übersetzt diese Wahrscheinlichkeit in eine spezifische Spanne potenzieller finanzieller Verluste. Das Ziel ist es, Banken dabei zu helfen, zu entscheiden, wohin sie ihr begrenztes Sicherheitsbudget investieren sollten, um die gefährlichsten Pfade zu stoppen, anstatt nur die offensichtlichsten Mängel zu beheben.

Die Forscher entwickelten dieses System, damit es mit den komplexen, cloudbasierten Datenplattformen funktioniert, die moderne Banken zur Verarbeitung von Transaktionen und zur Ausführung von KI-Modellen verwenden. Diese Plattformen sind riesig und vernetzt, was es schwierig macht, zu erkennen, wie eine Schwachstelle in einem Bereich, wie etwa einer Verbindung zu einem Drittanbieter, letztlich zu einer Verletzung des zentralen Data Warehouse führen könnte. Die neue Architektur beginnt damit, Echtzeitinformationen über die Sicherheitslage der Bank, Identitätsberechtigungen und Systemkonfigurationen zu sammeln. Anschließend erstellt sie einen gerichteten Graphen, eine Art Karte, bei der die Knoten Vermögenswerte darstellen und die Linien zwischen ihnen die möglichen Bewegungen eines Angreifers repräsentieren. Jede Linie ist mit einer spezifischen Hacker-Taktik versehen, was eine klare, prüfbare Spur davon schafft, wie ein Eindringen ablaufen könnte.

Um diese Karte interpretierbar zu machen, nutzt das System eine spezialisierte Form der künstlichen Intelligenz, um zu schätzen, wie wahrscheinlich jeder Schritt in der Kette erfolgreich sein wird. Dies geschieht sorgfältig, um sicherzustellen, dass die Ergebnisse transparent und verständlich bleiben. Wo genügend Daten vorhanden sind, bewertet ein Machine-Learning-Modell die Wahrscheinlichkeit eines Übergangs; wo Daten knapp sind, greift das System auf eine einfachere, transparente Berechnung oder auf Expertenurteil zurück. Das System verwendet Sprachmodelle zudem nur dazu, unstrukturierte Dokumente, wie etwa Richtlinientexte, in die Struktur der Karte zu überführen, allerdings erst, nachdem menschliche Experten die Arbeit verifiziert haben. Dies stellt sicher, dass die Kernmathematik hinter der Risikoberechnung überprüfbar und zuverlässig bleibt und das Problem der „Black Box“ vermieden wird, bei dem niemand weiß, wie ein Computer zu seinem Schluss gekommen ist.

Sobeder die Karte erstellt und die Wahrscheinlichkeit jedes Schrittes bewertet wurde, führt das System tausende Simulationen durch, um zu sehen, wie oft ein Angreifer die Kronjuwelen erreichen kann. Anstatt eine einzige Zahl auszugeben, liefert es eine Verteilung möglicher Jahresverluste, die sowohl das wahrscheinlichste Ergebnis als auch die Worst-Case-Szenarien aufzeigt. Dieser Ansatz ermöglicht es Risikoausschüssen, das vollständige Bild ihres finanziellen Expositionsrisikos zu sehen, einschließlich des „Long Tail“ seltener, aber katastrophaler Ereignisse, die ein einfacher Durchschnitt übersehen würde. Das letzte Puzzleteil ist ein Optimierer, der die verfügbaren Sicherheitskontrollen und deren Kosten betrachtet. Er berechnet, welche spezifischen Kontrollen, wenn sie hinzugefügt würden, den erwarteten finanziellen Verlust am stärksten reduzieren würden. Das bedeutet, dass das System Korrekturen basierend darauf priorisiert, wie sehr sie den Pfad des Angreifers unterbrechen, anstatt nur darauf, wie schwerwiegend die einzelne Schwachstelle erscheint.

Die Forscher testeten diese Methode an einer simulierten Cloud-Datenplattform, die eine typische Finanzinstitution nachbildete. Sie erstellten ein Szenario mit dreizehn verschiedenen Asset-Zuständen und achtzehn möglichen Angriffsschritten und wiesen jedem einen realistischen Kosten und potenziellen Verlusten zu. In dieser Simulation identifizierte das System, dass der gefährlichste Pfad zu den wertvollsten Daten der Bank nicht von der offensichtlichsten, hochgradig schwerwiegenden Schwachstelle ausging. Stattdessen kam das größte Risiko von einer Kette von Schritten, die eine Integration eines Drittanbieters betrafen. Die Schwachstellen in diesem Pfad waren einzeln betrachtet von moderater Schwere, doch in der Kombination boten sie einen hochwahrscheinlichen Weg zu den Kronjuwelen.

Als die Forscher ihre neue Methode mit dem traditionellen Ansatz verglichen, bei dem man einfach zuerst die Schwachstellen mit den höchsten Scores behebt, war der Unterschied im finanziellen Schutz eklatant. Unter Verwendung eines festen Budgets von dreihunderttausend Dollar reduzierte der traditionelle, nach Schweregrad basierende Ansatz den erwarteten Jahresverlust um etwa einundvierzig Prozent. Im Gegensatz dazu reduzierte die neue, pfadbewusste Methode, die darauf abzielte, die spezifischen Ketten zu unterbrechen, die zu den Kronjuwelen führten, den erwarteten Verlust um fünfundachtzig Prozent. Das System erkannte korrekt, dass die Investition in die Isolierung des Drittanbieters und den Austausch von Geheimnissen (Secrets Rotation) weita viel wertvoller war, als die einzige am höchsten bewertete Schwachstelle zu patchen, die sich auf einem weniger wahrscheinlichen Pfad zu den kritischen Daten befand.

Die Studie kommt zu dem Schluss, dass dieser Ansatz ein leistungsstarkes Entscheidungshilfsmittel für Banken darstellt, das die Lücke zwischen technischer Sicherheitsanalyse und finanziellem Risikomanagement schließt. Er ersetzt nicht das menschliche Urteilsvermögen oder handelt autonom; vielmehr liefert er ein klares, datengestütztes Argument dafür, warum bestimmte Kontrollen priorisiert werden sollten. Indem er Risiko als eine Reise und nicht als eine Liste von Punkten betrachtet, hilft die Methode Organisationen zu verstehen, dass die gefährlichste Bedrohung oft diejenige ist, die die Punkte verbindet, und nicht diejenche am stärksten hervorsticht. Obwohl die hier gezeigten Ergebnisse auf einer synthetischen Simulation basieren, ist das Framework darauf ausgelegt, gegen reale Daten validiert zu werden, und bietet einen Weg zu einem präziseren und effektiveren Finanzrisikomanagement in einer zunehmend komplexen digitalen Welt.