Threat Hunting

AI & LLM Detection

Einsatz von Generative AI erkennen

Künstliche Intelligenz ist längst im Unternehmensalltag angekommen – oft schneller, als es IT und Compliance lieb ist. Viele Mitarbeitende greifen heute zu ChatGPT, Copilot, Claude & Co, um produktiver zu arbeiten oder kreative Aufgaben zu lösen. Doch der Einsatz von generativen KI-Tools birgt Risiken: Unkontrollierter Datentransfer, Compliance-Verstöße und „Schatten-IT“ können schnell zu Problemen führen.

Wie kann man also als IT-Verantwortlicher den Überblick behalten, ohne gleich auf Verbote oder vollständige Abschottung zu setzen? Die Antwort: Sichtbarkeit. Mit einer gezielten Query für CrowdStrike Next Gen SIEM haben wir einen pragmatischen Weg entwickelt, die Nutzung von AI-Tools im Unternehmen zu erkennen und zu steuern.

Warum ist das wichtig?

Der Hype um generative KI sorgt dafür, dass die Tools immer schneller Einzug in den Arbeitsalltag halten. Gleichzeitig gibt es klare Risiken:

• Datenabfluss: Sensible Firmendaten könnten versehentlich an externe AI-Dienste weitergegeben werden.
• Schatten-IT: Nicht freigegebene Tools werden genutzt, ohne dass IT oder Security davon wissen – das erschwert Kontrolle und Reaktion auf Vorfälle.
• Richtlinienverstöße: Viele Unternehmen haben Regeln zum Umgang mit sensiblen Daten und zur Nutzung externer Dienste. Deren Einhaltung zu prüfen ist ohne Transparenz nahezu unmöglich.

So funktioniert unsere CrowdStrike SIEM Query

Mit der CrowdStrike Falcon Plattform lassen sich DNS-Anfragen zuverlässig analysieren. Unsere Query prüft, welche internen Systeme Anfragen an bekannte AI-Dienste stellen. So werden Zugriffe auf Domains wie chat.openai.com, copilot.microsoft.com oder claude.ai sichtbar.

Das ermöglicht:

• Frühzeitige Erkennung von Verstößen gegen Richtlinien und Policies.
• Aufdeckung von Schatten-IT und unautorisiert genutzten Tools.
• Besseres Risikomanagement durch gezielte Einblicke in die AI-Nutzung.

Praktischer Nutzen für Ihr Unternehmen

Mit der regelmäßigen Suche nach der AI-Nutzung schaffen IT-Teams im Handumdrehen Transparenz:

• Reporting: Wer nutzt generative AI – und wie häufig?
• Alerting: Automatische Benachrichtigung bei Zugriffen auf kritische Dienste.
• Governance: Grundlage für die Entwicklung oder Anpassung von Richtlinien zum AI-Einsatz.

Technische Basis

Als Datenquelle dienen CrowdStrike Falcon DNS-Events (event_simpleName=DnsRequest). Die Query lässt sich flexibel an die eigenen Anforderungen und zu überwachenden Domains anpassen.

// Look for DNS requests to specified AI domains
#event_simpleName=DnsRequest
| in(field=DomainName, values=[".ai", ".ai21.com", ".aleph-alpha.com", ".anthropic.com", ".assemblyai.com", ".bolt.ai", ".bubble.io", ".character.ai", ".claude.ai", ".clickup.com", ".codeium.com", ".cohere.ai", ".copy.ai", ".cursor.so", ".deepmind.com", ".deepseek.ai", ".deepl.com", ".dalle.ai", ".elevenlabs.io", ".feedhive.io", ".forefront.ai", ".grok.x.ai", ".gpt3.com", ".huggingface.co", ".inflection.ai", ".jasper.ai", ".llama.ai", ".looka.com", ".lovable.ai", ".midjourney.com", ".mistral.ai", ".openai.com", ".opus.ai", ".perplexity.ai", ".pi.ai", ".poe.com", ".replicate.com", ".runwayml.com", ".rytr.me", ".scale.com", ".stability.ai", ".sudowrite.com", ".synthesia.io", ".tabnine.com", ".together.ai", ".v0.dev", ".vercel.ai", ".vista.social", ".wordtune.com", ".writesonic.com", ".x.ai", ".you.com", "ai21.com", "aleph-alpha.com", "anthropic.com", "api.anthropic.com", "api.openai.com", "assemblyai.com", "bard.google.com", "bedrock.aws.amazon.com", "bolt.ai", "bubble.io", "character.ai", "chat.openai.com", "chatgpt.com", "claude.ai", "clickup.com", "codeium.com", "cohere.ai", "console.anthropic.com", "copilot.github.com", "copilot.microsoft.com", "copy.ai", "cursor.so", "dalle.ai", "deepmind.com", "deepseek.ai", "deepl.com", "elevenlabs.io", "ernie.baidu.com", "feedhive.io", "forefront.ai", "gemini.google.com", "gigachat.sberbank.ru", "grok.x.ai", "gpt3.com", "huggingface.co", "inflection.ai", "jasper.ai", "labs.perplexity.ai", "llama.ai", "looka.com", "lovable.ai", "midjourney.com", "mistral.ai", "openai.com", "opus.ai", "perplexity.ai", "pi.ai", "platform.openai.com", "poe.com", "replicate.com", "runwayml.com", "rytr.me", "scale.com", "stability.ai", "sudowrite.com", "synthesia.io", "tabnine.com", "together.ai", "v0.dev", "vercel.ai", "vista.social", "wordtune.com", "writesonic.com", "x.ai", "you.com"])
| groupBy([DomainName, ComputerName, event_platform])
| sort(field=_count,type=number,order=desc)

‍

AI & LLM Services

In der folgenden Tabelle sind die wichtigsten AI-Service-Domains aufgeführt, die in unserer CrowdStrike SIEM Query zur Erkennung von generativer KI-Nutzung im Unternehmen überprüft werden. Die Query nutzt diese Liste, um Zugriffe auf bekannte AI-Dienste zuverlässig zu identifizieren und zu überwachen.

‍