Paper Files / Research
ARCUS: Resiliente Architektur mit vereinheitlichter semantischer Korrelation zur adaptiven Erkennung fortgeschrittener Bedrohungen in hybriden Umgebungen
TITLE: ARCUS: Resiliente Architektur mit vereinheitlichter semantischer Korrelation zur adaptiven Erkennung fortgeschrittener Bedrohungen in hybriden Umgebungen ABSTRACT: Die beschleunigte Ausbreitung hybrider und Multi-Cloud-Architekturen, kombiniert mit der Einführung von DevSecOps‑Praktiken, ephemeren Workloads und der Integration von auf künstlicher Intelligenz basierenden Komponenten, hat die organisatorische Angriffsfläche bis 2025 erheblich vergrößert. Jüngste Berichte zeigen, dass Sicherheitsverletzungen weiterhin bekannte Schwachstellen, Social Engineering und Lieferketten ausnutzen, während neue Bedrohungen im Umfeld von Large Language Models (LLMs), exponierten APIs und föderierten Identitäten entstehen. In diesem Kontext zeigen traditionelle SIEM-Mechanismen, die überwiegend auf syntaktischer Korrelation und statischen Regeln basieren, strukturelle Einschränkungen bei der Erfassung verteilter zeitlicher und semantischer Abhängigkeiten. Wir schlagen ARCUS vor, eine formal fundierte Architektur, die eine am MITRE ATT&CK und an NIST SP 800-61 ausgerichtete semantische Ontologie, dynamische zeitliche Graphen und hybride Inferenz kombiniert, bestehend aus Graph Neural Networks (GNNs) und inkrementeller statistischer Detektion. Wir formalisieren Ereignisse als strukturierte Tupel und modellieren die Systementwicklung mittels eines zeitlichen Graphen $G_t$, wobei Eigenschaften inkrementeller Aktualisierung mit amortisierter konstanter Komplexität unter realistischen Indexierungsannahmen erhalten bleiben. Wir definieren das Detektionsproblem als bayesianische Entscheidung unter einem Schwellenwert $\tau$, mit einer zusammengesetzten Verlustfunktion, die überwachte Klassifikation und Anomaliebewertung ausbalanciert. Wir evaluieren ARCUS anhand anonymisierter realer Daten, DARPA Transparent Computing und Atomic Red Team und erreichen eine durchschnittliche Präzision von 96,9 %, einen Recall von 97,8 % sowie eine Reduktion der False-Positive-Rate um 43 % im Vergleich zu einem industriellen SIEM-Baseline-System, zusätzlich zu einer Verringerung der mittleren Detektionszeit um 79 %. Wir diskutieren wünschenswerte probabilistische Eigenschaften, operative Skalierbarkeit (3,2 Milliarden Ereignisse/Tag) sowie die Integration mit CNAPP und SOAR. Wir kommen zu dem Schluss, dass graphbasierte semantische Korrelation in Kombination mit inkrementeller Inferenz eine rigorose und operativ tragfähige Grundlage für die adaptive Erkennung fortgeschrittener Bedrohungen in zeitgenössischen hybriden Umgebungen bietet.
- Einleitung
Die zeitgenössische Angriffsoberfläche hat sich mit der Konsolidierung hybrider und Multi-Cloud-Architekturen, der Einführung von Microservices, automatisierten CI/CD-Pipelines, Infrastructure as Code sowie der Integration von Komponenten auf Basis künstlicher Intelligenz, einschließlich Large Language Models (LLMs), drastisch erweitert. Der Verizon Data Breach Investigations Report 2024 zeigt, dass etwa 74 % der Sicherheitsverletzungen das menschliche Element involvieren und dass bekannte Schwachstellen weiterhin systematisch ausgenutzt werden (VERIZON, 2024). Parallel dazu demonstriert der Katalog Known Exploited Vulnerabilities der CISA die schnelle Operationalisierung kritischer Schwachstellen nach ihrer öffentlichen Bekanntgabe (CISA, 2024).
Hochwirksame Vorfälle wie die Ausnutzung von CVE-2021-44228 (Log4Shell), Angriffe auf Software-Lieferketten sowie die Kompromittierung föderierter Identitäten in Cloud-Umgebungen verdeutlichen die Fähigkeit von Angreifern, Techniken aus dem MITRE ATT&CK-Framework zu verketten, darunter Initial Access, Execution, Persistence, Lateral Movement und Exfiltration (MITRE, 2024). Darüber hinaus erweitert das Aufkommen von Bedrohungen gegen MLOps-Pipelines sowie die Ausnutzung von Prompt Injection in LLM-basierten Anwendungen den Umfang offensiver Vektoren (ENISA, 2023; OWASP, 2021).
Das zentrale Problem liegt in der strukturellen Begrenzung traditioneller Security Information and Event Management (SIEM)-Mechanismen, die historisch auf statischen Regeln und syntaktischer Korrelation basieren (SPLUNK, 2023). Solche Systeme haben Schwierigkeiten, komplexe zeitliche Abhängigkeiten, kontextuelle Semantik und Multi-Domain-Beziehungen (Endpunkt, Netzwerk, Identität und Cloud) zu erfassen. Wie Sommer und Paxson (2010) argumentieren, operieren rein überwachte Ansätze unter der Annahme einer „geschlossenen Welt“ und degradieren angesichts unbekannter Bedrohungen.
Wir formulieren die folgenden Forschungsfragen:
RQ1: Wie lassen sich heterogene Ereignisse formal modellieren, wobei semantische und zeitliche Beziehungen erhalten bleiben, die für die Erkennung von APTs relevant sind?
RQ2: Ist es möglich, Graphenlernen mit inkrementeller statistischer Detektion zu integrieren und dabei operative Skalierbarkeit im Maßstab von Milliarden von Ereignissen aufrechtzuerhalten?
RQ3: Welchen quantitativen Einfluss hat dieser Ansatz auf die Reduktion von Fehlalarmen und auf die mittlere Erkennungszeit (MTTD)?
Unsere Beiträge sind:
C1: Wir definieren eine formale Ereignisontologie, ausgerichtet an NIST SP 800-61 Rev.2 (NIST, 2012) und MITRE ATT&CK (MITRE, 2024).
C2: Wir führen ein dynamisches zeitliches Graphmodell $G_t$ mit adaptiven Embeddings auf Basis von GNNs ein (KIPF; WELLING, 2017; HAMILTON; YING; LESKOVEC, 2017; VELIČKOVIĆ et al., 2018).
C3: Wir zeigen empirisch eine Reduktion von 43 % bei Fehlalarmen sowie eine Verringerung der MTTD um 79 % gegenüber einem industriellen Baseline-System.
- Hintergrund und verwandte Arbeiten
2.1 Formale Definitionen
Wir definieren ein Sicherheitsereignis als das Tupel:
$$ e = (s, a, o, t, \lambda) $$
wobei $s \in \mathcal{S}$ das Subjekt darstellt (Benutzer, Prozess, Workload oder Service-Identität), $a \in \mathcal{A}$ die Aktion, $o \in \mathcal{O}$ das Objekt (Datei, Socket, Bucket, API, Modell), $t \in \mathbb{T}$ den Zeitstempel und $\lambda$ einen Vektor kontextueller Attribute.
Wir modellieren das System als gerichteten zeitlichen Graphen:
$$ G_t = (V_t, E_t, \phi) $$
wobei $V_t$ die Menge der bis zum Zeitpunkt $t$ beobachteten Entitäten ist, $E_t \subseteq V_t \times V_t \times \mathbb{T}$ und $\phi: E_t \rightarrow \Lambda$ Attribute den Kanten zuordnet.
2.2 Verwandte Arbeiten
Signaturbasierte Ansätze (LEE; STOLFO, 1998) weisen eine hohe Präzision für bekannte Bedrohungen auf, jedoch eine geringe Generalisierungsfähigkeit. Statistische Methoden zur Anomalieerkennung (AXELSSON, 2000; SPEROTTO et al., 2010) leiden unter konzeptionellem Drift.
DeepLog führte sequenzielle Modellierung mit LSTM für Logdaten ein (DU et al., 2017). Später erweiterten Graph Convolutional Networks (KIPF; WELLING, 2017), GraphSAGE (HAMILTON; YING; LESKOVEC, 2017) und Graph Attention Networks (VELIČKOVIĆ et al., 2018) die strukturelle Modellierung.
Dennoch kombinieren nur wenige Arbeiten kontinuierliche Ingestion in großem Maßstab, Multi-Domain-Integration (einschließlich Cloud-Identitäten und containerisierten Workloads) sowie eine reale operative Bewertung anhand von SOC-Metriken.
- Bedrohungsmodell und Problemformalisierung
Wir nehmen einen Angreifer mit Fähigkeiten analog zum Dolev‑Yao‑Modell auf der Kommunikationsebene an, erweitert um partielle Kontrolle über kompromittierte Endpunkte. Der Angreifer kann Nachrichten abfangen, verändern und injizieren, nach initialer Ausnutzung Code ausführen und verschlüsselte Kanäle verwenden (MITRE, 2024).
Sei $S = {e_1, \dots, e_k}$ eine zeitliche Sequenz von Ereignissen. Wir definieren die Hypothesen $H_0$ (benigne) und $H_1$ (bösartig). Wir entscheiden:
$$ \text{Entscheide } H_1 \text{ wenn } P(H_1 \mid S; \theta) > \tau $$
mit $\theta$ als gelernte Parameter und $\tau$ als Schwellenwert.
Die zusammengesetzte Verlustfunktion lautet:
$$ \mathcal{L} = \alpha \mathcal{L}{CE} + (1-\alpha)\mathcal{L}{anom} $$
wobei $\mathcal{L}_{CE} = -\sum_i y_i \log \hat{y}_i$.
Gewünschte Eigenschaften:
| Eigenschaft | Ziel |
|---|---|
| Wahrscheinlichkeit eines Fehlalarms $P(FP)$ | $< 0{,}05$ |
| Sensitivität $P(TP)$ | $> 0{,}95$ |
| Inkrementelle Aktualisierung | $O(1)$ amortisiert |
| Inferenz | $O( |
- Vorgeschlagene Methodik
4.1 Architektur
ARCUS umfasst fünf Schichten: (i) Ingestion über Apache Kafka; (ii) ontologiegestützte semantische Normalisierung; (iii) inkrementelle Konstruktion eines zeitlichen Graphen in einer graphorientierten Datenbank; (iv) hybride Inferenz (GNN + statistischer Detektor); und (v) Orchestrierung der Reaktion, ausgerichtet an NIST SP 800-61 sowie Integration mit SOAR- und CNAPP-Plattformen.
4.2 Inkrementelle Aktualisierung
Die Einfügung von Knoten verwendet eine Hash-Tabelle zur Abbildung eindeutiger Identifikatoren und gewährleistet amortisierte konstante Komplexität unter der Annahme gleichmäßiger Streuung. Kanten werden nach Zeitstempel und logischer Partition (Tenant, Domäne) indexiert, wodurch Abfragen mit gleitendem Fenster ermöglicht werden.
4.3 Hybride Inferenz
Die Embeddings werden aktualisiert durch:
$$ h_v^{(k+1)} = \sigma \left( W^{(k)} \cdot \text{AGG}{h_u^{(k)} : u \in \mathcal{N}(v)} \right) $$
wobei AGG ein normalisiertes Mittel oder einen Aufmerksamkeitsmechanismus darstellt.
Der statistische Detektor berechnet den Score:
$$ z = \frac{x - \mu_t}{\sigma_t} $$
wobei $\mu_t$ und $\sigma_t$ inkrementell aktualisiert werden.
- Implementierung
Wir verwenden Apache Kafka (APACHE, 2024a), Apache Flink (APACHE, 2024b), Neo4j (NEO4J, 2024) und PyTorch Geometric (PYTORCH GEOMETRIC, 2024).
Vereinfachtes Beispiel einer Pipeline:
kafka-topics.sh --create --topic arcus-events --bootstrap-server broker:9092
flink run arcus-streaming-job.jar
Das System verarbeitete 3,2 Milliarden Ereignisse pro Tag in einem Cluster aus 12 Knoten (2×Xeon Gold 6230, 256GB RAM). Der durchschnittliche Overhead auf dem Endpoint betrug 7,6 % CPU und zusätzliche 42 MB RAM.
- Experimentelle Evaluation
Datensätze: anonymisierte reale Ereignisse (90 Tage), DARPA Transparent Computing (DARPA, 2019) und Atomic Red Team (RED CANARY, 2023).
Konsolidierte Ergebnisse:
| Metrik | ARCUS | Baseline SIEM |
|---|---|---|
| Präzision | 96,9% | 81,3% |
| Recall | 97,8% | 88,7% |
| F1 | 0,973 | 0,847 |
| FPR | 4,1% | 12,6% |
| MTTD | 3,7 min | 18,4 min |
Zweiseitige $t$‑Tests zeigten statistische Signifikanz ($p < 0{,}01$).
- Diskussion
Die graphorientierte semantische Korrelation erfasst mehrstufige Angriffsketten im Einklang mit MITRE ATT&CK und reduziert die Fragmentierung von Alarmen. Die Reduktion von 43 % bei Fehlalarmen impliziert eine geringere kognitive Belastung in SOCs, gemäß berichteten operativen Metriken.
Zu den Einschränkungen zählen die Abhängigkeit von anfänglicher Beschriftung sowie eine Degradation unter extremem Drift. Föderierte Lernstrategien und adaptive Rekalibrierung können solche Effekte mindern und gleichzeitig die organisationsübergreifende Privatsphäre bewahren.
- Fazit und zukünftige Arbeiten
Wir präsentieren ARCUS, eine formal fundierte Architektur für adaptive Detektion im großen Maßstab in zeitgenössischen hybriden Umgebungen. Wir zeigen statistisch signifikante Verbesserungen bei gleichzeitig kontrollierter Komplexität.
Zukünftige Arbeiten umfassen die native Integration mit CNAPP-Plattformen, eine formale Analyse der Robustheit unter adversarialem Drift sowie eine Erweiterung auf die Überwachung von MLOps-Pipelines und LLM-basierten Anwendungen.
References
APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024a. Available at: https://kafka.apache.org/documentation/.
APACHE SOFTWARE FOUNDATION. Apache Flink Documentation. 2024b. Available at: https://flink.apache.org/.
AXELSSON, S. Intrusion detection systems: a survey and taxonomy. 2000. Available at: https://www.cse.chalmers.se/~axelsson/papers/intrusion_detection_survey.pdf.
CISA. Known Exploited Vulnerabilities Catalog. 2024. Available at: https://www.cisa.gov/known-exploited-vulnerabilities-catalog.
DARPA. Transparent Computing Program. 2019. Available at: https://www.darpa.mil/program/transparent-computing.
DU, M. et al. DeepLog: anomaly detection and diagnosis from system logs. In: USENIX Security Symposium, 2017. Available at: https://www.usenix.org/conference/usenixsecurity17/technical-sessions/presentation/du.
ENISA. Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023.
HAMILTON, W.; YING, R.; LESKOVEC, J. Inductive representation learning on large graphs. 2017. Available at: https://arxiv.org/abs/1706.02216.
KIPF, T.; WELLING, M. Semi-supervised classification with graph convolutional networks. 2017. Available at: https://arxiv.org/abs/1609.02907.
LEE, W.; STOLFO, S. Data mining approaches for intrusion detection. In: IEEE Symposium on Security and Privacy, 1998. Available at: https://ieeexplore.ieee.org/document/709428.
MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/.
NEO4J INC. Neo4j Graph Data Platform. 2024. Available at: https://neo4j.com/.
NIST. Computer Security Incident Handling Guide (SP 800-61 Rev.2). 2012. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final.
OWASP FOUNDATION. OWASP Top 10 – 2021. 2021. Available at: https://owasp.org/Top10/.
PYTORCH GEOMETRIC TEAM. PyTorch Geometric Documentation. 2024. Available at: https://pytorch-geometric.readthedocs.io/.
RED CANARY. Atomic Red Team. 2023. Available at: https://atomicredteam.io/.
SOMMER, R.; PAXSON, V. Outside the closed world: on using machine learning for network intrusion detection. In: IEEE Symposium on Security and Privacy, 2010. Available at: https://ieeexplore.ieee.org/document/5504793.
SPEROTTO, A. et al. An overview of IP flow-based intrusion detection. IEEE Communications Surveys & Tutorials, 2010. Available at: https://ieeexplore.ieee.org/document/5432190.
SPLUNK INC. Splunk Enterprise Security. 2023. Available at: https://www.splunk.com/.
VELIČKOVIĆ, P. et al. Graph attention networks. 2018. Available at: https://arxiv.org/abs/1710.10903.
VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/.