Die Strukturen des Unternehmens, die geographischen Standorte seiner Mitarbeiter, die Applikationen und Daten, welche angesteuert, sowie die Prozesse, welche ausgeführt werden, spannen ein Wegenetz und Verhaltensprofil des internen und externen Datenverkehrs. Dieses Muster lässt sich allein anhand von Metadaten beobachten und stellt dann den vorläufigen Sollzustand der legitimen Netzkommunikation dar.
Ständiger Soll-/Ist-Abgleich des Netzverkehrs
Neue Prozesse, Mitarbeiter, Filialen und Geräte verändern diesen Sollzustand aber ständig. Nicht jeder Datenverkehr, der ungewöhnlich oder neu ist, ist aber ein Angriff: Eine Anfrage eines Mitarbeiters im Homeoffice über seinen Router und damit über eine externe IP ist mittlerweile unter Umständen ein ganz normaler Vorgang. Das diese Aktivitäten legitim sind, muss die Künstliche Intelligenz lernen. Dafür benötigt sie menschliche Hilfe von Sicherheitsanalysten.
