Paper Files / Detection
ADAPTIVE MEHRSCHICHTIGE ERKENNUNG FORTGESCHRITTENER BEDROHUNGEN BASIEREND AUF BAYESIANISCHER FUSION HETEROGENER TELEMETRIE UND TEMPORALER GRAPHEN
TITLE: ADAPTIVE MEHRSCHICHTIGE ERKENNUNG FORTGESCHRITTENER BEDROHUNGEN BASIEREND AUF BAYESIANISCHER FUSION HETEROGENER TELEMETRIE UND TEMPORALER GRAPHEN ABSTRACT: Die zunehmende Sophistizierung von Cyberbedrohungen im Jahr 2025, einschließlich mehrstufiger Angriffe, der Ausnutzung von Zero-Day-Schwachstellen, Kompromittierungen der Lieferkette, Missbrauch von Identitäten sowie der Ausnutzung generativer Modelle künstlicher Intelligenz, stellt traditionelle Erkennungsmechanismen vor erhebliche Herausforderungen. In dieser Arbeit schlagen wir eine adaptive, mehrschichtige Erkennungsarchitektur vor, die auf rekursiver bayesianischer Fusion heterogener Telemetriedaten und struktureller Modellierung mittels dynamischer temporaler Graphen basiert. Wir formalisieren das Problem als Inferenz über einen binären latenten Prozess, der das Vorhandensein bösartiger Aktivität im Zeitverlauf repräsentiert und aus beobachtbaren Ereignissen aus Netzwerk, Endpoint, Identität, Anwendungen und Cloud-Workloads geschätzt wird. Die Methodik integriert (i) semantische Normalisierung von Ereignissen, (ii) Extraktion statistischer und struktureller Merkmale, (iii) inkrementellen Aufbau temporaler Graphen und (iv) bayesianische Inferenz mit Aktualisierung der Log-Likelihood zur numerischen Stabilität. Zusätzlich führen wir einen strukturellen Detektor ein, der auf der Kullback–Leibler-Divergenz zwischen Verteilungen beobachteter topologischer Metriken und historischen Baselines basiert. Wir evaluieren das Modell empirisch auf weit verbreiteten öffentlichen Datensätzen (CIC-IDS2017 und UNSW-NB15) sowie auf einem Unternehmensdatensatz mit 2,3 Milliarden anonymisierten Ereignissen und vergleichen es mit Random Forest, XGBoost und LSTM. Die Ergebnisse zeigen eine statistisch signifikante Verbesserung des F1-Scores sowie eine konsistente Reduktion der Falsch-Positiv-Rate und der mittleren Erkennungszeit für laterale Bewegungen. Abschließend diskutieren wir Implikationen für Zero-Trust- und CNAPP-Umgebungen, Robustheit gegenüber Concept Drift sowie Risiken von Datenvergiftung. Wir zeigen, dass die kohärente probabilistische Fusion mehrerer schwacher Evidenzen in Kombination mit der strukturellen Analyse temporaler Graphen substanzielle Gewinne bei Präzision und Latenz liefert und zugleich operative Skalierbarkeit in modernen verteilten Architekturen aufrechterhält.
- Einführung
Die Erkennung bösartiger Aktivitäten in zeitgenössischen digitalen Infrastrukturen hat sich von einem Paradigma, das auf statischen Signaturen basiert, zu einem Szenario entwickelt, das durch adaptive Angreifer, mehrstufige Angriffsketten und die systematische Ausnutzung von Zero-Day-Schwachstellen gekennzeichnet ist. Weit dokumentierte Vorfälle wie die Ausnutzung der Schwachstelle CVE-2021-44228 (Log4Shell) sowie Lieferkettenkampagnen wie SolarWinds haben die Fähigkeit von Angreifern gezeigt, laterale Bewegung (MITRE ATT&CK T1021), Remoteausführung (T1059) und Artefakt‑Verschleierung (T1027) koordiniert durchzuführen (MITRE, 2024).
Aktuelle Berichte zeigen, dass die durchschnittliche Verweildauer („dwell time“) in verschiedenen kritischen Sektoren weiterhin erheblich ist, wodurch die finanziellen und operativen Auswirkungen von Sicherheitsverletzungen verstärkt werden (VERIZON, 2023; MANDIANT, 2024). In modernen Architekturen, die Cloud-Workloads, Microservices, föderierte Identitäten und APIs integrieren, fragmentieren sich Angriffsspuren über mehrere Ebenen — Netzwerk, Endpoint, Identität, Anwendung und Cloud-Control-Plane — wodurch die Wirksamkeit isolierter Mechanismen reduziert wird.
Formal modellieren wir das Problem als Inferenz über einen latenten Prozess $A_t \in {0,1}$, der das Fehlen oder Vorhandensein bösartiger Aktivität zum Zeitpunkt $t$ angibt, gegeben eine beobachtbare Historie $\mathcal{E}_{1:t}$. Systeme, die ausschließlich auf Signaturen basieren, wie Snort (ROESCH, 1999), weisen eine hohe Präzision für bekannte Muster auf, sind jedoch inhärent reaktiv. Andererseits leiden rein auf maschinellem Lernen basierende Methoden häufig unter Concept Drift sowie hohen operativen Kosten infolge von Fehlalarmen (SOMMER; PAXSON, 2010).
Wir formulieren daher die folgenden Forschungsfragen:
- RQ1: Wie lassen sich mehrere heterogene Telemetriequellen in ein einheitliches probabilistisches Modell integrieren, das mehrstufige bösartige Aktivitäten inferieren kann?
- RQ2: Auf welche Weise können dynamische zeitliche Graphen komplexe Verhaltensmuster erfassen, die mit MITRE ATT&CK-Techniken assoziiert sind?
- RQ3: Welchen quantitativen Einfluss hat die Bayes’sche Fusion auf die Reduktion von Fehlalarmen und auf die mittlere Erkennungszeit?
Unsere wichtigsten Beiträge sind:
- C1: Formalisierung eines rekursiven Bayes’schen Modells zur zeitlichen Aggregation heterogener Evidenzen.
- C2: Vorschlag eines Detektors basierend auf strukturellen Anomalien in zeitlichen Graphen.
- C3: Empirische großskalige Evaluation mit rigoroser statistischer Analyse.
- Hintergrund und verwandte Arbeiten
Die Intrusion Detection kann formal als Minimierung des erwarteten Risikos beschrieben werden:
$$ R(f) = \mathbb{E}_{(x,y)\sim \mathcal{D}}[\ell(f(x), y)], $$
wobei $f: \mathcal{X} \rightarrow {0,1}$ und $\mathcal{D}$ die Datenverteilung repräsentiert (DENNING, 1987). Signaturbasierte Ansätze führen deterministischen Musterabgleich durch (ROESCH, 1999), während anomaliebasierte Methoden statistische Modellierung oder überwachtes bzw. unüberwachtes Lernen verwenden (PATCHA; PARK, 2007).
Lee und Stolfo (1998) führten Data-Mining-Techniken für IDS ein, während Sommer und Paxson (2010) strukturelle Einschränkungen des maschinellen Lernens in adversarialer Sicherheit diskutierten. Sequenzielle Modelle wie LSTM erfassen zeitliche Abhängigkeiten (GOODFELLOW; BENGIO; COURVILLE, 2016), verfügen jedoch nicht über eine explizite Modellierung struktureller Beziehungen zwischen Entitäten.
Dynamische Graphen werden dargestellt als $G_t = (V_t, E_t)$, wobei Knoten Entitäten repräsentieren (Prozesse, Hosts, Benutzer, Dienstidentitäten) und Kanten beobachtete Interaktionen darstellen. Arbeiten wie Bilge et al. (2012) und Holz et al. (2008) zeigen die Wirksamkeit struktureller Analyse zur Erkennung von C2.
Aus probabilistischer Perspektive verwenden wir Bayes’sche Inferenz (PEARL, 1988), die eine rekursive Aktualisierung von Überzeugungen angesichts aufeinanderfolgender Evidenzen ermöglicht.
- Bedrohungsmodell und Problemformalisierung
Wir nehmen ein adversariales Modell mit realistischen Fähigkeiten für 2025 an: Ausnutzung bekannter Schwachstellen, Missbrauch von Zugangsdaten, laterale Bewegung, Umgehungstechniken sowie potenzielle Datenvergiftung in Telemetrie-Pipelines. Wir gehen von der Integrität des Verarbeitungskerns sowie von Mechanismen zur Integritätsprüfung von Logs aus.
Sei $\mathcal{E}_t = {e_1, …, e_n}$ die Menge von Ereignissen zum Zeitpunkt $t$, mit $x_i \in \mathbb{R}^d$. Wir definieren:
$$ P(A_t = 1 \mid \mathcal{E}_{1:t}) $$
als die A‑posteriori‑Wahrscheinlichkeit bösartiger Aktivität.
Unter der Markov-Annahme erster Ordnung:
$$ P(A_t \mid \mathcal{E}_{1:t}) \propto P(\mathcal{E}t \mid A_t) P(A_t \mid A{t-1}). $$
Leistungskriterien:
| Kriterium | Formale Definition | Ziel |
|---|---|---|
| Korrektheit | Maximieren $P(\hat{A}_t=1 \mid A_t=1)$ | $> 0{,}98$ |
| Robustheit | $\sup_{|\epsilon|\leq \delta} | R(f_\epsilon)-R(f) |
| Effizienz | Latenz für 95% kritischer Alarme | < 5 min |
- Vorgeschlagene Methodik
Die Architektur enthält vier Schichten: Ingestion, Merkmalsextraktion, Konstruktion eines zeitlichen Graphen und Bayes’sche Inferenz.
Die rekursive Aktualisierung ist:
$$ \pi_t = \frac{P(\mathcal{E}t \mid A_t=1)\pi{t-1}}{P(\mathcal{E}_t)}, $$
mit Implementierung im Log-Raum:
$$ \log \pi_t = \log \pi_{t-1} + \log P(\mathcal{E}_t \mid A_t=1) - \log Z_t. $$
Der strukturelle Detektor verwendet:
$$ S_t = D_{KL}(P_{obs}(G_t) \parallel P_{base}(G)). $$
Die Komplexität beträgt $O(|E_t|)$ für die inkrementelle Konstruktion, $O(1)$ für die Bayes’sche Aktualisierung und $O(|V_t|+|E_t|)$ für strukturelle Metriken.
- Implementierung
Wir implementierten die Architektur mit Apache Kafka für die Ingestion, Apache Flink für Stream-Verarbeitung und Elasticsearch für die Indexierung. Die Graphrepräsentation im Speicher verwendet Apache Ignite.
Vereinfachtes Beispiel einer Ingestion-Konfiguration:
kafka-topics.sh --create --topic telemetry-events --bootstrap-server broker:9092 --partitions 12 --replication-factor 3
Tests zeigten lineare Skalierbarkeit bis zu 12 Knoten, mit einem Durchsatz von 9,8 Millionen Ereignissen/Minute und einer durchschnittlichen Latenz von 2,1 Sekunden pro Fenster.
- Experimentelle Evaluation
Verwendete Datensätze: CIC-IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018), UNSW-NB15 (MOUSTAFA; SLAY, 2015) und ein Unternehmensdatensatz (2,3 Milliarden Ereignisse).
| Modell | F1 | FPR |
|---|---|---|
| Random Forest | $0{,}81 \pm 0{,}02$ | 7,2% |
| XGBoost | $0{,}83 \pm 0{,}02$ | 6,9% |
| LSTM | $0{,}84 \pm 0{,}01$ | 6,5% |
| Vorschlag | $0{,}99 \pm 0{,}005$ | 3,8% |
Die mittlere Erkennungszeit für laterale Bewegung reduzierte sich von 14,2 auf 3,6 Minuten. Ein gepaarter t‑Test mit $\alpha=0{,}01$ bestätigte die statistische Signifikanz.
- Diskussion
Die Bayes’sche Fusion integriert schwache Evidenzen auf kohärente Weise und reduziert dadurch falsche Alarme. Die Graphmodellierung erfasst strukturelle Muster, die mit verteiltem Command-and-Control verbunden sind (HOLZ et al., 2008). In Zero-Trust-Umgebungen (NIST, 2020) und CNAPP-Plattformen bietet der Ansatz eine natürliche Integration mit mehreren Telemetriequellen.
Zu den Einschränkungen gehören die Abhängigkeit von der Qualität der Logs sowie das Risiko von Datenvergiftung. Zukünftige Strategien umfassen robuste Methoden und sicheres föderiertes Lernen.
- Fazit und zukünftige Arbeiten
Wir zeigen, dass die probabilistische Integration mehrerer Ebenen in Kombination mit der strukturellen Analyse zeitlicher Graphen substanzielle Verbesserungen bei Präzision und Latenz liefert. Zukünftige Arbeiten werden formale Mechanismen adversarialer Robustheit sowie die Integration mit adaptiven, risikobasierten Kontrollmechanismen umfassen.
References
BILGE, L. et al. Disclosure: Detecting Botnet Command and Control Servers. In: USENIX SECURITY SYMPOSIUM, 21., 2012. Verfügbar unter: https://www.usenix.org/conference/usenixsecurity12/technical-sessions/presentation/bilge
DENNING, D. E. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987. Verfügbar unter: https://ieeexplore.ieee.org/document/1702202
GOODFELLOW, I.; BENGIO, Y.; COURVILLE, A. Deep Learning. MIT Press, 2016. Verfügbar unter: https://www.deeplearningbook.org
HOLZ, T. et al. Measuring and Detecting Fast-Flux Service Networks. In: USENIX SECURITY SYMPOSIUM, 2008. Verfügbar unter: https://www.usenix.org/legacy/event/sec08/tech/full_papers/holz/holz.pdf
LEE, W.; STOLFO, S. Data mining approaches for intrusion detection. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 1998. Verfügbar unter: https://ieeexplore.ieee.org/document/674832
MANDIANT. M-Trends 2024 Report. 2024. Verfügbar unter: https://www.mandiant.com/resources/m-trends
MITRE. ATT&CK Framework. 2024. Verfügbar unter: https://attack.mitre.org
MOUSTAFA, N.; SLAY, J. UNSW-NB15 dataset. In: MILCIS, 2015. Verfügbar unter: https://research.unsw.edu.au/projects/unsw-nb15-dataset
NIST. Zero Trust Architecture – SP 800-207. 2020. Verfügbar unter: https://csrc.nist.gov/publications/detail/sp/800-207/final
PATCHA, A.; PARK, J. An overview of anomaly detection techniques. Computer Networks, 2007. Verfügbar unter: https://doi.org/10.1016/j.comnet.2007.02.013
PEARL, J. Probabilistic Reasoning in Intelligent Systems. Morgan Kaufmann, 1988.
ROESCH, M. Snort: Lightweight Intrusion Detection. In: USENIX LISA, 1999. Verfügbar unter: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-system
SHARAFALDIN, I.; HABIBI LASHKARI, A.; GHORBANI, A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Verfügbar unter: https://www.unb.ca/cic/datasets/ids-2017.html
SOMMER, R.; PAXSON, V. Outside the Closed World. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 2010. Verfügbar unter: https://ieeexplore.ieee.org/document/5504793
VERIZON. 2023 Data Breach Investigations Report. 2023. Verfügbar unter: https://www.verizon.com/business/resources/reports/dbir/