Cybersecurity bei komplexen Netzwerken So hilft ein digitaler Zwilling auf Graph-Basis

Anbieter zum Thema

Neo4j Germany GmbH

MES Electronic Connect GmbH & Co. KG

Precoplat Präzisions-Leiterplatten-Technik GmbH

RECOM Power GmbH

Angriffe kommen nicht nur von außen. Auch das eigene Netzwerk birgt Risiken und komplexe Abhängigkeiten und Datenströme erschweren die Abwehr. Ein digitaler Zwilling auf Basis von Graphtechnik bringt Übersicht und ermöglicht KI‑gestützte Sicherheitsstrategien.

Täglich neue Threat-Intelligence-Informationen und Sicherheitsdaten wie Logdateien, Berichte über Schwachstellen, Software-Stücklisten und Services überschwemmen die Bildschirme der IT-Verantwortlichen. Die Cyberabwehr wird immer weiter ausgebaut, denn die IT-Sicherheit ist stärker bedroht denn je. Laut der Bitkom-Studie „Wirtschaftsschutz 2024“ [1] waren in den letzten zwölf Monaten 74 % der deutschen Unternehmen von Datendiebstahl betroffen. Auch die digitale Sabotage von Informations- und Produktionssystemen und Betriebsabläufen hat zugenommen. KI verschärft die Bedrohungslage.

Die Folge: Unternehmen investierten verstärkt in ihre IT-Sicherheit, die Cyberabwehr machte bereits 17 % des IT-Budgets aus. Doch häufig behindert der komplexe Tool-Mix eine in sich stimmige Strategie. Die Sicherheitsdatenflut ist ein Teil des Problems geworden.

Erschwerend kommt hinzu, dass IT-Sicherheit oft auf Listen und linearem Denken basiert, während Angreifer vernetzt denken und handeln. Sie gehen nicht linear vor, sondern navigieren kreuz und quer durch das Unternehmensnetzwerk und folgen mehrstufigen Angriffsmustern. Wenn ein geschäftskritisches System ihr Ziel ist, analysieren sie zunächst das gesamte Netzwerk. So entdecken sie verborgene Abhängigkeiten und Einfallstore, die sich womöglich fernab des eigentlichen Ziels befinden. Häufig stehen diese (scheinbar) unwichtigen Systeme auf der Prioritätenliste der Verteidiger weit unten. Sobald die Angreifer in diese Systeme eingedrungen sind, können sie sich unentdeckt im Netzwerk ausbreiten.

Vernetztes Denken mit Graphtechnik

Graphen sind natürliche Netzwerke. Dank ihres Datenmodells, das auf Knoten und Kanten basiert, ermöglicht die Graphtechnik die realitätsnahe Darstellung heterogener Datenmassen. Dadurch fördert ihr Einsatz vernetztes Denken in der Cybersicherheit und erleichtert die Abwehr vernetzt denkender Angreifer erheblich.

In den letzten Jahren hat sich die Graphtechnik als bevorzugte Datenbanklösung etabliert, um komplexe Beziehungen innerhalb von IT-Netzwerken abzubilden und auszuwerten. Im Gegensatz zu relationalen Datenbanken stehen bei Graphdatenbanken die Beziehungen zwischen den Daten im Mittelpunkt. Ein Knowledge Graph verbindet heterogene Informationen aus verschiedenen Systemen und stellt sie in einen semantischen Zusammenhang.

Im Gegensatz zu statischen, relationalen Datenmodellen sind Knowledge Graphen flexibel. Entlang ihrer Kanten erfassen sie auch verknüpfte und angrenzende Daten. Hinzu kommt ihre überlegene Performance: Durch das Traversieren entlang der Kanten kann das Modell mehrere Millionen Sprünge (Hops) pro Sekunde ausführen und Anfragen somit sehr schnell beantworten. Dank dieser Eigenschaften sind Knowledge Graphen sehr gut für künstliche Intelligenz und zur Grundlage für digitale Zwillinge geeignet.

Digital Twin für den Überblick

Ein digitaler Zwilling ist eine virtuelle Kopie von digitalen oder physischen Objekten. Er ermöglicht eine ganzheitliche Sicht auf eine Situation und damit auch auf ein IT-Netzwerk und die zu seinem Schutz notwendigen Maßnahmen. Im Digital Twin lassen sich alle Einheiten des Systems überblicken.

Vor allem aber erlaubt der digitale Zwilling dem Sicherheitsteam, Beziehungen und Abhängigkeiten nachzuvollziehen. Das können Beziehungen zwischen Systemen, Code, Software und ihren Schwachstellen (bekannten Exploits oder Deprecations) sein, aber auch zwischen Benutzern, Benutzergruppen und ihrer Zuordnung zu einzelnen Assets, Zugriffskontrollen und Berechtigungen sowie zwischen internen und externen Richtlinien und allen anderen schutzwürdigen Systemen. Zudem kann das Sicherheitsteam im digitalen Zwilling alle Ereignisse von Benutzerzugriffen über Anwendungsressourcen und verbundene Geräte bis hin zur Service-Gesundheit verfolgen.

Auch Zulieferer können in das Modell aufgenommen werden. Laut der Bitkom-Studie wird diese Gruppe bisher noch zu wenig von der Cybersecurity beachtet. Gerade im Zusammenhang mit dem neuen Cybersecurity Framework 2.0 des National Institute of Standards and Technology (NIST) rückt die Supply Chain aber auch in der Cybersecurity stärker in den Fokus. Unternehmen müssen daher strengeren Leitlinien zur Risikomanagementstrategie nachkommen und die Sicherheit der gesamten Lieferkette im Auge behalten, um das Risiko von Cyberattacken über Dritte proaktiv zu reduzieren.

Das Netzwerk im Graph modellieren

Ein einfacher Weg, um einen Digital Twin für die Cybersicherheit zu erstellen, ist der Einsatz von Graphen. IT-Netzwerke ähneln in ihrer Struktur Graphen. Daher lassen sie sich leicht in einem Knowledge Graph modellieren. Die einzelnen IT-Assets sind die Knoten. Die Verbindungen, wie APIs und Abhängigkeiten, sind die Kanten.

Bei der Erfassung der einzelnen Elemente helfen Metadaten-API-Dienste wie Cloud Asset Inventory von Google, Azure Resource Manager und Microsoft Graph API von Microsoft sowie AWS Organizations API von AWS. Alternativ eignen sich Open-Source-Tools wie Cartography. On-Premise lässt sich die Infrastruktur anhand der Systemressourcen, wie beispielsweise VMWare oder Hyper-V, oder mithilfe der APIs des Anbieters nachvollziehen.

Flexible Anreicherung mit neuen Informationen

Der Graph, der die Basis des digitalen Zwillings bildet, kann fortlaufend um weitere Informationen ergänzt werden. Dank des Knoten-Kanten-Prinzips lassen sich zusätzliche Daten jederzeit leicht einfügen. Das zugrundeliegende Modell muss dafür nicht verändert werden und kann neue Informationen ohne Ausfallzeit aufnehmen.

Die zusätzlichen Daten können beispielsweise aus Configuration Management Databases (CMDBs) stammen. Sie können auch das Ergebnis der Durchleuchtung der IT-Infrastruktur mit kostenlosen Tools wie Nmap sein oder aus bestehenden Intrusion-Detection-Systemen (IDS) oder Datenbanken zu aktuellen Software-Vulnerabilities und -Exploits wie MITRE und NIST stammen. Bei der Integration von Threat-Intelligence-Daten hilft das Open-Source-Tool GraphKer.

So werden auch Informationen zur Vorgehensweise von Hackergruppen und Empfehlungen zu ihrer Bekämpfung Teil des Graphen. Der digitale Zwilling zeigt dem Sicherheitsteam nun mögliche Angriffspfade und Schwachstellen im Netzwerk im Kontext der aktuellen Bedrohungslage.

Mit Graph Data Science und KI lernt der digitale Zwilling dazu

Ein umfangreicher und vielschichtiger Datenkontext im Knowledge Graphen macht die Risikobewertung nicht schwieriger, sondern im Gegenteil genauer und aussagekräftiger. Graph-Algorithmen aus der Graph Data Science (GDS) ermöglichen es dem digitalen Zwilling, durch tiefgehende Analysen dazuzulernen.

Der Shortest-Path-Algorithmus ermittelt beispielsweise den kürzesten Weg zu einer geschäftskritischen Anwendung. Mithilfe der Betweenness- und Centrality-Algorithmen ist eine Risikobewertung für einzelne Knoten oder IT-Assets möglich. Übertragen auf die Hops innerhalb der relevanten Pfade entsteht ein Vulnerability Tree, der potenzielle Angriffsvektoren sichtbar macht.

Darüber hinaus werden Graph-Algorithmen zur Erstellung sogenannter Graph Features genutzt. Dabei identifiziert das System in den Rohdaten des Graphen neue prädiktive Parameter (Features). Diese können extrahiert, mit anderen Suchmustern kombiniert und in KI-Modelle eingespeist werden. Erkennt der Similarity-Algorithmus beispielsweise ein charakteristisches Muster einer Ransomware-Gruppe, kann dieses als eigener Knoten im Graphen hinterlegt werden. Durch die kontinuierliche Anpassung von Regeln und Suchkriterien lassen sich prädiktive Analysen stetig optimieren, beispielsweise zur Identifikation potenzieller Angriffsziele.

Angriffe in Echtzeit erkennen

Mit Graph Data Science erkennen Sicherheitsteams im digitalen Zwilling verdächtige Aktivitäten und sicherheitskritische Ereignisse in Echtzeit, können sie nachverfolgen und priorisieren:

• Auffällige Aktivitäten: Spezielle Graph-Algorithmen finden Muster, die auf potenziell schädliche Cyberangriffe hinweisen. Dazu gehören etwa ungewöhnlich viele Anmeldeversuche von einer IP-Adresse aus oder ein scheinbar grundloser Anstieg des Netzwerkverkehrs als Zeichen einer DDoS-Attacke.

• Datenlecks: Durch ständiges Monitoring von Datei- und Ordnerzugriffen werden unautorisierte Aktivitäten frühzeitig erkannt. Bei Überschreiten definierter Schwellenwerte lösen automatische Alarme eine Sicherheitsmeldung aus.

• Angriffsmuster (Modus Operandi, MO): Hackergruppen nutzen häufig wiederkehrende Techniken und Strategien. Diese Muster können als Threat Intelligence in den digitalen Zwilling integriert werden. So werden bereits allererste Anzeichen einer Attacke erkannt.

Forensik: Weitere Überraschungen verhindern

Der digitale Zwilling ermöglicht Sicherheitsteams nicht nur, die Verteidigung ihres Netzwerks ganzheitlich zu gestalten. Er hilft auch bei der forensischen Untersuchung nach einer Cyberattacke. Sicherheitsteams können die Bewegungen der Angreifer im IT-Netzwerk nachvollziehen, so das gesamte Ausmaß des Vorfalls erfassen. Sie können zudem erkennen, ob die Angreifer noch weitere unangenehme Überraschungen vorbereitet haben. Tatsächlich sind die Anwendungsszenarien für einen Digital Twin, der das IT-Netzwerk realistisch abbildet, nahezu unbegrenzt und umfassen nicht nur das Gebiet der Cybersecurity, sondern das gesamte IT-Management. (heh)

Referenz

[1] Wirtschaftsschutz 2024. Bitkom. Abgerufen am 22.10.2025

* Heiko Schönfelder ist Head of Sales DACH bei Neo4j. Mit seinem Team unterstützt er Kunden dabei Datenbank-Lösungen zu ersetzen oder zu erweitern, Kosten einzusparen und mit der Graphdatenbank Neo4j echten Mehrwert aus Daten zu gewinnen.

(ID:50545367)