Attack-Path-Aware Enterprise Risk Quantification for Cloud-Native Financial Data Platforms Using AI and Cybersecurity Graphs

In de hooggestoken wereld van de banksector draait het beschermen van geld en persoonlijke gegevens al sinds lang en wee een spel van twee helften. Aan de ene kant gebruiken beveiligingsteams geautomatiseerde scanners om zwakheden in hun computersystemen te vinden, waarbij ze deze rangschikken op basis van hoe gevaarlijk ze op papier lijken. Aan de andere kant proberen risicomanagers in te schatten hoeveel geld de bank zou kunnen verliezen als een hacker slaagt, waarbij ze vaak vertrouwen op ruwe schattingen en gekleurde grafieken. Decennialang hebben deze twee groepen parallel gewerkt, zonder dat ze echt dezelfde taal spraken. De scanners vertellen hen welk enkel gat het grootste is, terwijl de risicomanagers zich zorgen maken over de totale financiële schade. Maar in de moderne bankwereld, waar gegevens door complexe cloudnetwerken stromen, is één groot gat zelden het echte probleem. In plaats daarvan slaagt een hacker meestal door een reeks kleine, ogenschijnlijk onschadelijke stappen aan elkaar te koppelen—zoals door een open deur te lopen, een sleutel te lenen van een vertrouwde vriend, en vervolgens een kluis binnen te glippen. De cruciale vraag is niet langer alleen welk gat het grootst is, maar welke keten van kleine stappen daadwerkelijk leidt naar de meest waardevolle schat.

Een nieuwe studie door data-architect Gopinathan Rathinavelu stelt een manier voor om deze twee werelden eindelijk met elkaar te verbinden. Het onderzoek introduceert een systeem dat de volledige reis in kaart brengt die een hacker zou kunnen afleggen, in plaats van alleen naar geïsoleerde zwakheden te kijken. Door een digitale kaart van het cloudnetwerk van de bank te bouwen, brengt het systeem in kaart hoe een aanvaller van het ene punt naar het andere kan bewegen, waarbij elke stap wordt voorzien van een bekende hackgedraging. Het gebruikt deze kaart vervolgens om de werkelijke waarschijnlijkheid te berekenen dat een inbreuk de meest gevoelige gegevens bereikt, ook wel de "crown jewels" genoemd, en vertaalt die waarschijnlijkheid naar een specifiek bereik van potentiële financiële verliezen. Het doel is om banken te helpen beslissen waar ze hun beperkte beveiligingsbudget aan moeten besteden om de gevaarlijkste paden te blokkeren, in plaats van alleen de meest voor de hand liggende gebreken te repareren.

De onderzoekers bouwden dit systeem om te werken met de complexe, cloudgebaseerde dataplatforms die moderne banken gebruiken om transacties te verwerken en kunstmatige intelligentiemodellen te draaien. Deze platforms zijn uitgestrekt en onderling verbonden, wat het moeilijk maakt om te zien hoe een zwakte in één gebied, zoals een verbinding met een externe leverancier, uiteindelijk kan leiden tot een inbreuk op het hoofddatabedrijf. De nieuwe architectuur begint met het verzamelen van realtime informatie over de beveiligingsstatus, identiteitsrechten en systeemconfiguraties van de bank. Vervolgens construeert het een gerichte graaf, een type kaart waarbij de knooppunten de activa vertegenwoordigen en de lijnen tussen hen de mogelijke bewegingen van een aanvaller weergeven. Elke lijn wordt voorzien van een specifieke hacktechniek, wat een duidelijk en controleerbaar spoor creëert van hoe een indringing zich zou kunnen ontvouwen.

Om deze kaart begrijpelijk te maken, gebruikt het systeem een gespecialiseerde vorm van kunstmatige intelligentie om te schatten hoe waarschijnlijk elke stap in de keten is om te slagen. Dit gebeurt zorgvuldig om ervoor te zorgen dat de resultaten transparant en begrijpelijk blijven. Waar voldoende gegevens beschikbaar zijn, scoort een machine learning-model de waarschijnlijkheid van een overgang; waar gegevens schaars zijn, valt het terug op een eenvoudigere, transparante berekening of deskundig oordeel. Het systeem gebruikt taalmodellen alleen om ongestructureerde documenten, zoals beleidsteksten, in de structuur van de kaart te organiseren, maar pas nadat menselijke experts het werk hebben geverifieerd. Dit zorgt ervoor dat de kernwiskunde achter de risicoberekening controleerbaar en betrouwbaar blijft, waardoor het "black box"-probleem wordt vermeden waarbij niemand weet hoe een computer tot een conclusie kwam.

Zodra de kaart is gebouwd en de waarschijnlijkheid van elke stap is gescoord, voert het systeem duizenden simulaties uit om te zien hoe vaak een aanvaller de "crown jewels" kan bereiken. In plaats van een enkel getal te geven, produceert het een distributie van mogelijke jaarlijkse verliezen, waarbij zowel de meest waarschijnlijke uitkomst als de worst-case scenario's worden getoond. Deze aanpak stelt risicocomités in staat om het volledige beeld van hun financiële blootstelling te zien, inclusief de lange staart van zeldzame maar catastrofale gebeurtenissen die een simpel gemiddelde zou missen. Het laatste onderdeel van de puzzel is een optimizer die kijkt naar de beschikbare beveiligingsmaatregelen en hun kosten. Het berekent welke specifieke controles, indien toegevoegd, het verwachte financiële verlies het meest zouden verminderen. Dit betekent dat het systeem prioriteit geeft aan oplossingen op basis van hoe effectief ze de aanvalsketen doorbreken, in plaats van alleen op basis van hoe ernstig de individuele zwakte lijkt.

De onderzoekers testten deze methode op een gesimuleerd cloud-dataplatform dat een typische financiële instelling nabootste. Ze creëerden een scenario met dertien verschillende activastatussen en achttien mogelijke aanvalstappen, waarbij ze realistische kosten en potentiële verliezen aan elk toewezen. In deze simulatie identificeerde het systeem dat het gevaarlijkste pad naar de meest waardevolle gegevens van de bank niet voortkwam uit de meest voor de hand liggende, hoog-ernstige kwetsbaarheid. In plaats daarvan kwam het grootste risico voort uit een keten van stappen waarbij een integratie met een externe leverancier betrokken was. Individueel hadden de zwakheden in dit pad een matige ernstscore, maar wanneer ze aan elkaar gekoppeld werden, boden ze een pad met een hoge waarschijnlijkheid naar de "crown jewels".

Toen de onderzoekers hun nieuwe methode vergeleken met de traditionele aanpak van simpelweg eerst de kwetsbaarheden met de hoogste score repareren, was het verschil in financiële bescherming treffend. Met een vast budget van driehonderdduizend dollar verminderde de traditionele, op ernst gebaseerde aanpak het verwachte jaarlijkse verlies met ongeveer achtenveertig procent. In contrast hiermee verminderde de nieuwe, pad-bewuste methode, die zich richtte op het doorsnijden van de specifieke ketens die naar de "crown jewels" leiden, het verwachte verlies met vijfentachtig procent. Het systeem identificeerde correct dat het uitgeven van geld aan het isoleren van de externe leverancier en het roteren van geheimen veel waardevoller was dan het patchen van de enkele hoogst beoordeelde fout, die zich op een minder waarschijnlijk pad naar de kritieke gegevens bevond.

De studie concludeert dat deze aanpak een krachtige besluitvormingsondersteuning biedt voor banken, door de kloof te overbruggen tussen technische beveiligingsbevindingen en financieel risicobeheer. Het vervangt menselijk oordeel niet of handelt niet autonoom; het biedt eerder een duidelijk, op gegevens gebaseerd argument voor waarom bepaalde controles geprioriteerd moeten worden. Door risico te behandelen als een reis in plaats van een lijst met punten, helpt de methode organisaties te begrijpen dat de gevaarlijkste dreiging vaak degene is die de punten verbindt, en niet degene die het meest opvalt. Hoewel de getoonde resultaten gebaseerd zijn op een synthetische simulatie, is het raamwerk ontworpen om gevalideerd te worden tegen echte gegevens, wat een pad biedt naar meer nauwkeurig en effectief financieel risicobeheer in een steeds complexere digitale wereld.