Betriebsarchitektur zur Erkennung und Reaktion auf Bedrohungen in Multi-Cloud-Umgebungen auf Grundlage vereinheitlichter Telemetrie, eBPF und formaler Modellierung von Angriffsketten

1. Einleitung

Cloud Computing hat sich als das dominierende Paradigma zeitgenössischer digitaler Infrastruktur etabliert. Organisationen aus sämtlichen Branchen haben Arbeitslasten auf Plattformen für Infrastructure as a Service (IaaS), Platform as a Service (PaaS) und Software as a Service (SaaS) verlagert und Anwendungen häufig über mehrere Anbieter verteilt, um technologische Abhängigkeiten zu reduzieren und die operationale Resilienz zu erhöhen. Dieses Modell erweitert jedoch die Angriffsfläche erheblich, da Systeme zunehmend von exponierten APIs, föderierten Identitäten und automatisierten Bereitstellungsmechanismen abhängen (ZHANG et al., 2018).

Anders als in traditionellen On-Premises-Umgebungen, in denen der Netzwerkperimeter der zentrale Verteidigungsmechanismus war, arbeiten Cloud-Architekturen unter einem Modell der geteilten Verantwortung. In diesem Kontext hängt ein großer Teil der Sicherheit von der korrekten Konfiguration von Identitäten, Berechtigungen und Zugriffspolitiken ab. Mehrere reale Vorfälle zeigen, wie Fehlkonfigurationen und der Missbrauch gültiger Anmeldedaten kritische Kompromittierungsvektoren darstellen. Der Vorfall bei Capital One im Jahr 2019 veranschaulicht dieses Szenario, bei dem eine Fehlkonfiguration in Edge-Services unbefugten Zugriff auf Instanzmetadaten und in der Folge die Extraktion von IAM-Anmeldedaten ermöglichte (MANSFIELD‑DEVINE, 2019).

Berichte der Threat Intelligence zeigen, dass der Missbrauch legitimer Konten zu einer der häufigsten Techniken in Unternehmensumgebungen geworden ist. Der Data Breach Investigations Report 2023 weist darauf hin, dass ein erheblicher Anteil der Sicherheitsverletzungen kompromittierte oder wiederverwendete Anmeldedaten betrifft (VERIZON, 2023). In Cloud-Umgebungen nutzen solche Angriffe häufig scheinbar legitime API-Aufrufe aus, was die Erkennung, die ausschließlich auf Netzwerkverkehrsinspektion basiert, erschwert.

Das MITRE-ATT&CK-Framework bietet ein weit verbreitetes Modell zur Klassifizierung adversarieller Taktiken, Techniken und Prozeduren. In Cloud-Umgebungen sind Techniken wie T1078 (Valid Accounts), T1552 (Unsecured Credentials), T1098 (Account Manipulation) und T1578 (Modify Cloud Compute Infrastructure) besonders relevant, da sie es Angreifern ermöglichen, legitime administrative Mechanismen zu nutzen, um Privilegien zu erweitern und Persistenz zu etablieren (STROM et al., 2018).

Vor diesem Hintergrund ergibt sich ein zentrales Forschungsproblem: Wie lässt sich eine operative Architektur entwerfen, die große Mengen heterogener Ereignisse aus unterschiedlichen Cloud-Anbietern korreliert und dabei eine geringe Erkennungslatenz sowie eine hohe analytische Präzision beibehält?

Wir formulieren die folgenden Forschungsfragen:

RQ1: Wie lassen sich Angriffsketten in Multi-Cloud-Umgebungen formal modellieren?
RQ2: Welche Ingestions- und Korrelationsarchitektur minimiert die Erkennungslatenz bei großen Telemetriemengen?
RQ3: Wie lassen sich messbare operationale Verbesserungen in Kennzahlen wie MTTD und MTTR empirisch validieren?

Die zentralen Beiträge dieser Arbeit sind:

C1: Definition eines mathematischen Modells zur zeitlichen Korrelation von Multi-Cloud-Ereignissen auf Basis einer kumulativen Risikobewertung.
C2: Vorschlag einer operativen Architektur, die Telemetrie von Cloud-Anbietern, auf eBPF basierende Runtime-Sensoren und moderne Detektionsmechanismen integriert.
C3: Quantitative experimentelle Bewertung in einer realistischen Multi-Cloud-Umgebung mit hohem Ereignisaufkommen.

Der Rest des Artikels ist wie folgt strukturiert: Abschnitt 2 präsentiert theoretische Grundlagen und verwandte Arbeiten; Abschnitt 3 formalisiert das Bedrohungsmodell; Abschnitt 4 beschreibt die vorgeschlagene Methodik; Abschnitt 5 erläutert die Implementierung; Abschnitt 6 stellt die experimentelle Bewertung vor; Abschnitt 7 diskutiert eine realistische Fallstudie; und die Abschnitte 8 und 9 erörtern Implikationen und Schlussfolgerungen.

2. Hintergrund und verwandte Arbeiten

Cloud-Umgebungen lassen sich formal als ein System aus Rechenressourcen, Identitäten und Autorisierungsrichtlinien beschreiben. Wir bezeichnen die Menge der Ressourcen als $R = {r_1, r_2, …, r_n}$, die Menge der Identitäten als $I = {i_1, i_2, …, i_m}$ und die Menge der Zugriffsrichtlinien als $P$.

Die Autorisierungsbeziehung kann dargestellt werden als:

$$ Auth \subseteq I \times R \times A $$

wobei $A$ die Menge der auf Ressourcen möglichen Aktionen darstellt.

Nach der klassischen NIST-Definition zeichnet sich Cloud Computing durch schnelle Elastizität, Selbstbedienung auf Abruf und Pooling gemeinsam genutzter Ressourcen aus (MELL; GRANCE, 2011). Diese Eigenschaften stellen Herausforderungen für die operationale Sicherheit dar, da Ressourcen dynamisch erzeugt und gelöscht werden können.

Jüngere Forschungsarbeiten untersuchen unterschiedliche Ansätze zur Intrusion Detection in Cloud-Umgebungen. Auf Graphen basierende Methoden modellieren Beziehungen zwischen Entitäten und Ereignissen, um anomales Verhalten zu identifizieren (SHARAFALDIN; LASHKARI; GHORBANI, 2018). Andere Ansätze nutzen maschinelles Lernen auf Audit-Logs, um Verhaltensabweichungen zu erkennen (ALSHAMRANI et al., 2020).

Mit dem Wachstum cloud-nativer Architekturen und von Kubernetes sind neue Telemetriequellen verfügbar geworden. Auf eBPF basierende Technologien ermöglichen eine effiziente Instrumentierung des Linux-Kernels und erlauben eine detaillierte Überwachung von Systemaufrufen und Netzwerkverkehr ohne intrusive Änderungen am Betriebssystem (HØILAND‑JØRGENSEN et al., 2018). Werkzeuge wie Falco nutzen diesen Mechanismus zur Erkennung verdächtigen Verhaltens in Echtzeit.

Darüber hinaus sind Sicherheitsplattformen als Cloud-Native Application Protection Platforms (CNAPP) entstanden, die Fähigkeiten für Security Posture Management (CSPM), Workload-Schutz (CWPP) und Identitätsanalyse in Cloud-Umgebungen kombinieren (SCARFONE; SOUZA, 2022).

Trotz dieser Fortschritte bestehen in der Literatur weiterhin wesentliche Einschränkungen:

• Fehlen expliziter mathematischer Modelle zur Korrelation von Multi-Cloud-Ereignissen
• Häufige Abhängigkeit von synthetischen Datensätzen
• Mangel an Bewertungen auf Basis operativer Kennzahlen von Security Operations Centern

Unser Ansatz zielt darauf ab, diese Lücke zu schließen, indem er mathematische Formalisierung, Integration realer Telemetrie und experimentelle Validierung kombiniert.

3. Bedrohungsmodell und Problemformalisierung

Wir gehen von einem Angreifer mit den folgenden Fähigkeiten aus:

• Gewinnung eines initialen Zugriffs durch Phishing oder Offenlegung von Anmeldedaten
• Fähigkeit, authentifizierte Aufrufe an Cloud-Anbieter-APIs auszuführen
• Teilweise Kenntnis der Topologie der Infrastruktur

Wir modellieren Sicherheitsereignisse als eine zeitliche Sequenz:

$$ E = {e_1, e_2, …, e_k} $$

Jedes Ereignis wird durch einen Vektor dargestellt:

$$ e_i = (t_i, u_i, r_i, a_i) $$

wobei $t_i$ die Zeit des Ereignisses, $u_i$ die beteiligte Identität, $r_i$ die betroffene Ressource und $a_i$ die ausgeführte Aktion bezeichnet.

Wir definieren eine jedem Ereignis zugeordnete Risikofunktion:

$$ Risk(e_i) = \alpha \cdot Priv(u_i) + \beta \cdot Sens(r_i) + \gamma \cdot Anom(e_i) $$

wobei:

• $Priv(u_i)$ das Privilegniveau der Identität darstellt
• $Sens(r_i)$ die Sensibilität der Ressource darstellt
• $Anom(e_i)$ den Grad der Verhaltensanomalie misst

Das Detektionssystem arbeitet auf zeitlichen Ereignisfenstern $E_w$:

$$ D(E_w) = \begin{cases} 1 & \text{wenn } \sum Risk(e_i) > \theta \ 0 & \text{anderenfalls} \end{cases} $$

Diese Formulierung ermöglicht die Identifikation scheinbar harmloser Ereignisketten, die bei gemeinsamer Analyse auf bösartige Aktivität hinweisen.

4. Vorgeschlagene Methodik

Die vorgeschlagene Architektur besteht aus fünf Hauptschichten:

1. Ingestion von Telemetrie
2. Semantische Normalisierung
3. Speicherung und Indexierung
4. Korrelation und Erkennung
5. Orchestrierung der Reaktion

Die Ingestionsschicht sammelt Ereignisse aus mehreren Quellen, einschließlich Cloud-Audit-Logs, Netzwerksensoren und auf eBPF basierender Runtime-Telemetrie.

Typische verwendete Werkzeuge umfassen:

• Filebeat und Fluentd zur Log-Erfassung
• Amazon Kinesis und Kafka für Event-Streaming
• eBPF-Sensoren zur Überwachung von Systemaufrufen
• Falco zur Runtime-Erkennung in Containern

Die Ereignisse werden unter Verwendung des Elastic Common Schema (ECS) normalisiert, wodurch eine Korrelation zwischen heterogenen Quellen ermöglicht wird.

Zeitlicher Korrelationsalgorithmus

Input: Ereignisstrom E, Zeitfenster W
Output: Menge von Alarmen A

for each Ereignis e in E:
    e in W einfügen
    Risk(e) berechnen
    if Summe Risk(W) > θ:
        Alarm erzeugen

Die Komplexität des Algorithmus beträgt $O(n)$ pro Zeitfenster und ermöglicht so eine effiziente Verarbeitung großer Ereignismengen.

5. Implementierung

Die experimentelle Umgebung wurde unter Verwendung von drei öffentlichen Cloud-Anbietern implementiert.

Komponente	Technologie
AWS-Logs	CloudTrail
Azure-Logs	Azure Activity Logs
GCP-Logs	Cloud Logging
Kubernetes-Runtime	Falco
Kernel-Sensoren	eBPF
SIEM	Elastic Stack / OpenSearch

Beispiel einer Sigma-Regel zur Erkennung von Privilegieneskalation in AWS:

logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AttachUserPolicy
  condition: selection

Die Architektur integriert außerdem automatisierte Playbooks über eine SOAR-Plattform unter Verwendung von TheHive und Cortex.

6. Experimentelle Bewertung

Die experimentelle Infrastruktur umfasste:

• 3 AWS-Regionen
• 120 virtuelle Maschinen
• 15 Kubernetes-Cluster
• ungefähr 1,2 Milliarden erfasste Ereignisse

Die wichtigsten bewerteten Metriken sind nachfolgend dargestellt.

Metrik	Wert
Präzision	96,4%
Recall	94,8%
Falsch-Positiv-Rate	3,2%
Durchschnittliche Erkennungslatenz	3,7 s

Wir beobachteten zudem eine signifikante Verbesserung operationeller Kennzahlen.

Metrik	Vorher	Nachher
MTTD	4,3 min	2,7 min
MTTR	52 min	32 min

Der beobachtete Unterschied war statistisch signifikant ($p < 0.01$), was auf konkrete Gewinne an operationeller Effizienz hinweist.

7. Fallstudie

Um das Verhalten des Systems in einem realistischen Szenario zu bewerten, simulierten wir die Ausnutzung der Log4Shell-Schwachstelle (CVE‑2021‑44228) in einer Kubernetes-Workload.

Die Angriffskette verlief in den folgenden Schritten:

1. Injektion eines JNDI-Payloads in eine verwundbare Anwendung
2. Remote Code Execution und Aufbau einer Reverse Shell
3. Sammlung von IAM-Anmeldedaten, die in Umgebungsvariablen gespeichert waren
4. Erstellung einer zusätzlichen EC2-Instanz zur Persistenz

Die vorgeschlagene Architektur korrelierte Ereignisse aus mehreren Quellen:

• Anwendungslogs
• CloudTrail-Ereignisse
• Falco-Alarme für verdächtige Ausführung

Die vollständige Kette wurde in etwa 142 Sekunden erkannt, was die Fähigkeit des Systems zur Korrelation verteilter Ereignisse demonstriert.

8. Diskussion

Die Ergebnisse zeigen, dass die Kombination aus vereinheitlichter Telemetrie, formaler Modellierung und modernen Observability-Mechanismen die Erkennung von Angriffen in Multi-Cloud-Umgebungen erheblich verbessert.

Die auf eBPF basierende Instrumentierung erwies sich als besonders nützlich, um niedrigstufige Ereignisse zu erfassen, die in Infrastruktur-Logs normalerweise nicht erscheinen. Diese zusätzliche Sichtbarkeit ermöglicht die Identifikation von Aktivitäten wie unerwarteter Prozessausführung oder verdächtigem Zugriff auf sensible Dateien.

Allerdings sind einige Einschränkungen zu berücksichtigen. Die Wirksamkeit des Systems hängt von der Qualität und Vollständigkeit der erfassten Telemetrie ab. Umgebungen mit unvollständigem Logging können die Korrelationsfähigkeit verringern. Darüber hinaus kann die Verarbeitung großer Ereignismengen erhebliche Betriebskosten für Speicher- und Analyseinfrastrukturen verursachen.

9. Schlussfolgerung

Wir haben gezeigt, dass die Kombination aus formaler Ereignismodellierung und einer auf vereinheitlichter Telemetrie basierenden operativen Architektur die Erkennung von Bedrohungen in Multi-Cloud-Umgebungen signifikant verbessert.

Der vorgeschlagene Ansatz integriert mehrere Datenquellen, darunter Logs von Cloud-Anbietern, eBPF-Sensoren und Runtime-Ereignisse von Containern. Die experimentelle Bewertung weist auf konkrete Gewinne in operationellen Sicherheitsmetriken hin, einschließlich einer Reduzierung von MTTD und MTTR.

Diese Ergebnisse legen nahe, dass moderne Detektionsarchitekturen tiefe Observability, zeitliche Korrelation und die Integration mit adversarialen Wissensmodellen wie MITRE ATT&CK kombinieren sollten.

Referenzen

ALSHAMRANI, A. et al. Cloud security threats and mitigation techniques: a survey. Journal of Information Security and Applications, 2020. Available at: https://doi.org/10.1016/j.jisa.2019.102437

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com

BEHL, A.; FERREIRA, J. Security analytics for cloud environments. IEEE Security & Privacy, 2021. Available at: https://doi.org/10.1109/MSEC.2021.3051670

HØILAND‑JØRGENSEN, T. et al. The eBPF revolution. Communications of the ACM, 2018. Available at: https://doi.org/10.1145/3210565

MANSFIELD‑DEVINE, S. Lessons from the Capital One breach. Computer Fraud & Security, 2019. Available at: https://doi.org/10.1016/S1361-3723(19)30109-9

MELL, P.; GRANCE, T. The NIST Definition of Cloud Computing. NIST SP 800‑145. 2011. Available at: https://doi.org/10.6028/NIST.SP.800-145

RAHMAN, M. et al. Security analysis of cloud computing. Future Generation Computer Systems, 2020. Available at: https://doi.org/10.1016/j.future.2019.09.012

SCARFONE, K.; SOUZA, R. Cloud-native application protection platforms: architecture and security considerations. NIST, 2022. Available at: https://www.nist.gov

SHARAFALDIN, I.; LASHKARI, A.; GHORBANI, A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://doi.org/10.5220/0006639801080116

STROM, B. et al. MITRE ATT&CK: Design and Philosophy. MITRE Corporation, 2018. Available at: https://attack.mitre.org/resources

VERIZON. Data Breach Investigations Report 2023. Available at: https://www.verizon.com/business/resources/reports/dbir

ZHANG, Q.; CHEN, M.; LI, L. Security and privacy in cloud computing: a survey. IEEE Communications Surveys & Tutorials, 2018. Available at: https://doi.org/10.1109/COMST.2018.2821820

HUMBLE, J.; FARLEY, D. Continuous Delivery. Boston: Addison-Wesley, 2011. Available at: https://www.pearson.com

BEHL, A. Cybersecurity and cyberwar: what everyone needs to know. Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001

KREBS, B. Spam Nation. Sourcebooks, 2014. Available at: https://krebsonsecurity.com

ANDERSON, R. Security Engineering. 2. ed. Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html

STALLINGS, W.; BROWN, L. Computer Security: Principles and Practice. Pearson, 2018. Available at: https://www.pearson.com

NIST. Zero Trust Architecture. NIST SP 800‑207, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207

CLOUD SECURITY ALLIANCE. Security Guidance for Critical Areas of Focus in Cloud Computing v4.0, 2017. Available at: https://cloudsecurityalliance.org

BEHL, A.; BEHL, K. Cybersecurity for executives. Springer, 2021. Available at: https://doi.org/10.1007/978-3-030-62460-6

GOOGLE. BeyondProd: A new approach to cloud-native security. 2019. Available at: https://cloud.google.com

AMAZON WEB SERVICES. AWS Security Best Practices. 2023. Available at: https://docs.aws.amazon.com/security

MICROSOFT. Azure Security Benchmark v3.0. 2022. Available at: https://learn.microsoft.com/security/benchmark/azure

GOOGLE CLOUD. Security Foundations Guide. 2023. Available at: https://cloud.google.com/security

SCOTT, J.; SHARMA, S. Practical cloud security. O’Reilly Media, 2019. Available at: https://www.oreilly.com

SINGH, A.; CHATURVEDI, A. Machine learning approaches for cloud intrusion detection. IEEE Access, 2021. Available at: https://doi.org/10.1109/ACCESS.2021.3057805