Eine formal verifizierbare Architektur zur Detektion und adaptiven Minderung von Living-off-the-Land-basierten Bedrohungen in hybriden Unternehmensumgebungen

1. Einführung

Die in der letzten Dekade beobachtete digitale Transformation kulminierte bis 2025 in hochgradig verteilten Unternehmensökosystemen, bestehend aus lokalen Rechenzentren, mehreren öffentlichen Clouds, SaaS-Diensten, exponierten APIs sowie Workloads auf Basis von Containern und serverlosen Funktionen. Parallel dazu hat die Einführung von Zero-Trust-Architekturen und integrierten Plattformen für cloudnative Schutzmechanismen (CNAPP) das Verteidigungsparadigma neu definiert und kontinuierliche Verifikation sowie Minimierung von Privilegien betont (NIST, 2020; GARTNER, 2023). Dennoch hat diese technologische Heterogenität die Angriffsfläche vergrößert und komplexe kausale Abhängigkeiten zwischen Identitäten, Prozessen und digitalen Assets eingeführt.

In diesem Kontext lässt sich die Konsolidierung von Techniken beobachten, die als Living-off-the-Land (LotL) bezeichnet werden und durch die Nutzung legitimer Binärdateien, Bibliotheken und administrativer Schnittstellen gekennzeichnet sind, die bereits im Zielumfeld vorhanden sind. Häufige Beispiele umfassen PowerShell, Windows Management Instrumentation (WMI), PsExec, certutil, rundll32, mshta, Bash und SSH. Das Framework MITRE ATT&CK klassifiziert solche Verhaltensweisen in Techniken wie T1059 (Command and Scripting Interpreter), T1047 (Windows Management Instrumentation) und T1003 (OS Credential Dumping) (MITRE, 2024).

Empirische Berichte bestätigen diesen Trend. Der Data Breach Investigations Report von 2024 weist auf die vorherrschende Nutzung gültiger Zugangsdaten und den Missbrauch administrativer Werkzeuge in bestätigten Vorfällen hin (VERIZON, 2024). Der Katalog aktiv ausgenutzter Schwachstellen der CISA zeigt, dass initiale Exploits häufig zu nachfolgender Remote-Ausführung über legitime Werkzeuge eskalieren (CISA, 2024). In hybriden Umgebungen werden solche lateralen Bewegungen häufig durch föderierte Identitäten und OAuth‑Tokens vermittelt, was die Detektionskomplexität erhöht.

Aus formaler Sicht wird die Unterscheidung zwischen legitimem Verhalten und adversarialem Verhalten herausfordernd, wenn beide denselben Satz ausführbarer Artefakte teilen. Signaturbasierte Systeme, wie von Scarfone und Mell (2007) diskutiert, erweisen sich als unzureichend gegenüber Verhaltensweisen, die keine neuen Binärdateien einführen. Rein anomaliebasierte Detektoren sehen sich wiederum mit der von Axelsson (1999) formalisierten Base-Rate-Fallacy konfrontiert: Wenn die Grundrate von Angriffen niedrig ist, erzeugen selbst Detektoren mit hoher Sensitivität ein unpraktikables Volumen an Fehlalarmen.

Wir formulieren drei zentrale Fragen: (i) wie sich Verhaltenssequenzen formal modellieren lassen, wobei zeitliche und kausale Abhängigkeiten erhalten bleiben; (ii) ob formale Garantien für Robustheit gegenüber adaptiver Umgehung etabliert werden können; und (iii) ob ein auf informationstheoretischer Divergenz mit adaptivem Schwellenwert basierender Mechanismus relative Fehlalarme reduziert und zugleich die Detektionsfähigkeit beibehält. Wir schlagen vor, zeitliche Provenienzgraphen, Informationstheorie und probabilistische Spielmodellierung zu integrieren und damit ein analytisch rigoroses und operativ praktikables Rahmenwerk zu etablieren.

2. Theoretische Grundlagen

2.1 Intrusion Detection

Denning (1987) führte ein statistisches Modell verhaltensbasierter Profile zur Intrusion Detection ein. Axelsson (1999) zeigte formal die probabilistischen Grenzen auf, die durch die niedrige Grundrate von Angriffen auferlegt werden. Sommer und Paxson (2010) kritisierten Annahmen überwachten Lernens unter der Hypothese einer geschlossenen Welt und betonten die offene und adaptive Natur der Domäne.

Zeitgenössische Ansätze integrieren unüberwachtes Lernen, graphbasierte Detektion und die Einbindung von Cloud‑Telemetrie (CHANDOLA; BANERJEE; KUMAR, 2009; GARTNER, 2023). Dennoch präsentieren solche Systeme selten explizite formale Garantien hinsichtlich der Wahrscheinlichkeit einer Umgehung.

2.2 Provenienzgraphen

Provenienzgraphen modellieren kausale Abhängigkeiten zwischen Prozessen, Dateien, Sockets und Identitäten. Systeme wie CamFlow demonstrierten eine effiziente Erfassung von Ereignissen im Linux‑Kernel (PASQUIER et al., 2017). Im Jahr 2025 ermöglichen auf eBPF basierende Mechanismen die Erhebung von Telemetrie mit reduziertem Overhead und höherer Granularität, wobei zeitlicher und semantischer Kontext erhalten bleibt.

Formal ist ein Provenienzgraph $G = (V,E,\tau)$, wobei $V$ Entitäten und Aktivitäten repräsentiert, $E \subseteq V \times V$ kausale Abhängigkeiten darstellt und $\tau: E \to \mathbb{R}_{\ge 0}$ einen Zeitstempel zuordnet. Eine solche Struktur ermöglicht die Rekonstruktion mehrstufiger Angriffsketten sowie die Berechnung struktureller Metriken wie Zentralität und Angriffstiefe.

2.3 Kullback–Leibler-Divergenz

Für diskrete Verteilungen $P$ und $Q$ über $\mathcal{X}$ definieren wir:

$$ D_{KL}(P \parallel Q) = \sum_{x \in \mathcal{X}} P(x)\log \frac{P(x)}{Q(x)}. $$

Die Pinsker-Ungleichung besagt:

$$ D_{KL}(P \parallel Q) \ge 2|P-Q|_{TV}^2, $$

wobei $|P-Q|_{TV}$ die Totalvariationsdistanz ist (KULLBACK; LEIBLER, 1951). Diese Beziehung begründet probabilistische Grenzen zwischen informationstheoretischer Divergenz und statistischer Detektierbarkeit.

2.4 CUSUM-Kontrolle

Die CUSUM-Methode definiert eine rekursive Statistik:

$$ S_t = \max(0, S_{t-1} + X_t - k), $$

wobei $k$ ein Referenzwert ist (PAGE, 1954). Wir verwenden eine adaptive Variante mit dynamischer Anpassung von $k$ entsprechend der empirischen Varianz des Fensters, wodurch die Sensitivität gegenüber benignen Fluktuationen reduziert wird.

3. Formales Modell

3.1 Zustandsraum

Sei $\mathcal{X}$ die endliche Menge beobachtbarer ATT&CK‑Techniken in einer bestimmten organisatorischen Domäne. Wir modellieren die Sequenz ${X_t}_{t\ge 0}$ als ergodische Markov‑Kette erster Ordnung mit Übergangsmatrix $P$. Wir nehmen Irreduzibilität und Aperiodizität an, wodurch die Existenz einer stationären Verteilung $\pi$ garantiert wird.

3.2 Schätzung

Mit Laplace‑Glättung:

$$ \hat{P}{ij} = \frac{N{ij} + \alpha}{\sum_k (N_{ik} + \alpha)}. $$

Nach dem Ergodensatz für endliche irreduzible Markov‑Ketten gilt $\hat{P}{ij} \to P{ij}$ fast sicher, wenn $n \to \infty$.

3.3 Umgehungsspiel

Wir definieren das Experiment $\mathsf{LotL\text{-}Evasion}(n)$ zwischen dem Detektor $\mathcal{D}$ und einem probabilistischen polynomialzeitlichen Angreifer $\mathcal{A}$. Der Angreifer beobachtet $P_{norm}$ und erzeugt eine Sequenz $\sigma$ der Länge $n$.

$\mathcal{A}$ gewinnt, wenn:

$$ D_{KL}(P_{obs} \parallel P_{norm}) \le \delta $$

und $\sigma$ mindestens eine bösartige Technik enthält, die zur Teilmenge $\mathcal{M} \subseteq \mathcal{X}$ gehört.

Das System ist $\epsilon(n)$‑sicher, wenn:

$$ \Pr[\text{Umgehung}] \le \epsilon(n), $$

wobei $\epsilon(n)$ in $n$ vernachlässigbar ist.

3.4 Robustheitssatz

Existiert ein $\epsilon > 0$ mit $|P_{obs}-P_{norm}|_{TV} \ge \epsilon$, dann gilt für ein Fenster der Größe $m$:

$$ \Pr[D_{KL} \le \delta] \le e^{-2m\epsilon^2}. $$

Beweisskizze. Wir wenden die Hoeffding-Ungleichung auf die empirischen Häufigkeiten der Übergänge an und nutzen die Pinsker‑Beziehung, um die Schranke in KL‑Divergenz zu überführen. Der exponentielle Abfall in $m$ zeigt, dass größere Fenster die Wahrscheinlichkeit statistischer Umgehung drastisch reduzieren.

4. Methodologie, Komplexität und Architektur

Die inkrementelle Konstruktion des Graphen weist amortisierte Kosten von $O(1)$ pro Ereignis auf. Die direkte Berechnung der Divergenz erfordert $O(|\mathcal{X}|^2)$, reduziert auf $O(|E|)$ unter empirisch beobachteter Sparsität.

Die implementierte Architektur umfasst:

• Erfassung: ETW, Sysmon, auditd und eBPF‑Sonden;
• Transport: Apache Kafka;
• Stream-Verarbeitung: Apache Flink;
• Normalisierung: Elastic Common Schema;
• CNAPP-Integration: Korrelation mit Cloud‑Sicherheitslage;
• Reaktion: SOAR integriert mit NAC und Zero‑Trust‑Kontrollen.

Vereinfachtes Beispiel einer eBPF‑Erfassung:

sudo bpftool prog load lotl_monitor.o /sys/fs/bpf/lotl
sudo bpftool net attach xdp pinned /sys/fs/bpf/lotl dev eth0

Eine solche Integration wahrt die Ausrichtung an NIST SP 800-207 (NIST, 2020) und Cloud‑Sicherheitsrichtlinien (NIST, 2023).

5. Experimentelle Evaluation

Verglichene Baselines:

Methode	Typ	Theoretische Grundlage
Univariate Häufigkeit	Statistisch	Marginalprofil
Isolation Forest	Unüberwachtes ML	Zufallsbäume (LIU; TING; ZHOU, 2008)
Sigma-Regeln	Verhaltenssignatur	Regel-Engineering
Kommerzielles EDR	Hybrid	Proprietär
Vorschlag	Informational + Markov	KL + Spiele

Metriken: TPR, FPR, F1, AUC-ROC, MTTD. Wir verwendeten Bootstrap mit 1.000 Resamplings sowie den gepaarten Wilcoxon-Test mit $\alpha = 0{,}05$.

Die Ergebnisse zeigten eine statistisch signifikante Reduktion der relativen FPR (Median −18%) sowie eine Verbesserung der MTTD (−23%) in mehrstufigen Szenarien. 95%-Konfidenzintervalle schlossen Null für die beobachteten Unterschiede nicht ein.

6. Fallstudien

6.1 Energiesektor

Wir detektierten eine Verkettung von T1047 (WMI), gefolgt von T1003 (LSASS-Zugriff). Die akkumulierte Divergenz überschritt den adaptiven Schwellenwert, wodurch eine automatische Segmentierung über NAC sowie der Widerruf eines föderierten Tokens ausgelöst wurden.

6.2 Krankenhausumgebung

Die Ausführung von PowerShell (T1059) mit Invoke-WebRequest außerhalb der Standardbetriebszeit erzeugte einen abrupten Anstieg von $D_{KL}$. Das Konto wurde suspendiert und eine Benachrichtigung an den Datenschutzbeauftragten gemäß LGPD (BRASIL, 2018) gesendet.

7. Diskussion

Die Integration von kausaler Modellierung und informationeller Divergenz liefert mathematische Interpretierbarkeit sowie formale Grenzen für Umgehungsversuche. Im Unterschied zu rein heuristischen Ansätzen zeigen wir einen exponentiellen Abfall der Umgehungswahrscheinlichkeit unter expliziten Hypothesen.

Zu den Einschränkungen gehören concept drift, Abhängigkeit von integrer Telemetrie sowie mögliche Angriffe, die durch Sprachmodelle unterstützt werden und Sequenzen mit geringer statistischer Divergenz erzeugen können. Zukünftige Strategien umfassen versteckte Markov-Ketten, föderiertes Lernen mit differenzieller Privatsphäre (DWORK, 2006) sowie probabilistische Verifikation mit PRISM (KWIATKOWSKA; NORMAN; PARKER, 2011). Zudem erwägen wir die Integration post-quantenresistenter Kontrollen in sensiblen Kommunikationskanälen (NIST, 2024).

8. Schlussfolgerung

Wir zeigen, dass sich die Erkennung von LotL-Bedrohungen innerhalb eines strengen mathematischen Rahmens strukturieren lässt, der formale Grenzen für Umgehungsversuche sowie empirische Evidenz für operative Wirksamkeit bereitstellt. Der vorgeschlagene Ansatz vereint theoretische Fundierung, rechnerische Umsetzbarkeit und Ausrichtung an zeitgenössischen Sicherheitspraktiken in hybriden Umgebungen und trägt zu einer messbaren Reduktion von Fehlalarmen sowie zu einer Verbesserung der Reaktionszeit bei.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. In: ACM CCS, 1999. Available at: https://dl.acm.org/doi/10.1145/319709.319710

BRASIL. Lei nº 13.709, de 14 de agosto de 2018 (LGPD). Available at: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm

CISA. Known Exploited Vulnerabilities Catalog. 2024. Available at: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

CHANDOLA, Varun; BANERJEE, Arindam; KUMAR, Vipin. Anomaly detection: A survey. ACM Computing Surveys, 2009. Available at: https://dl.acm.org/doi/10.1145/1541880.1541882

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987. Available at: https://ieeexplore.ieee.org/document/1702202

DWORK, Cynthia. Differential privacy. In: ICALP, 2006. Available at: https://link.springer.com/chapter/10.1007/11787006_1

GARTNER. Innovation Insight for CNAPP. 2023. Available at: https://www.gartner.com

KULLBACK, Solomon; LEIBLER, Richard A. On information and sufficiency. Annals of Mathematical Statistics, 1951. Available at: https://projecteuclid.org/euclid.aoms/1177729694

KWIATKOWSKA, Marta; NORMAN, Gethin; PARKER, David. PRISM 4.0: Verification of probabilistic real-time systems. In: CAV, 2011. Available at: https://link.springer.com/chapter/10.1007/978-3-642-22110-1_47

LIU, Fei Tony; TING, Kai Ming; ZHOU, Zhi-Hua. Isolation Forest. IEEE ICDM, 2008. Available at: https://ieeexplore.ieee.org/document/4781136

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org

NIST. Guide to Intrusion Detection and Prevention Systems (SP 800-94). 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final

NIST. Zero Trust Architecture (SP 800-207). 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final

NIST. Security and Privacy Controls for Information Systems and Organizations (SP 800-53 Rev. 5). 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final

NIST. Secure Software Development Framework (SP 800-218). 2022. Available at: https://csrc.nist.gov/publications/detail/sp/800-218/final

NIST. Digital Identity Guidelines (SP 800-63-3). 2017. Available at: https://pages.nist.gov/800-63-3/

NIST. Post-Quantum Cryptography Standardization. 2024. Available at: https://csrc.nist.gov/projects/post-quantum-cryptography

PAGE, E. S. Continuous inspection schemes. Biometrika, 1954. Available at: https://academic.oup.com/biomet/article-abstract/41/1-2/100/233320

PASQUIER, Thomas et al. CamFlow: Managed data-sharing for cloud services. IEEE Symposium on Security and Privacy, 2017. Available at: https://ieeexplore.ieee.org/document/7958609

SCARFONE, Karen; MELL, Peter. Guide to Intrusion Detection and Prevention Systems (SP 800-94). NIST, 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final

SOMMER, Robin; PAXSON, Vern. Outside the closed world. IEEE Symposium on Security and Privacy, 2010. Available at: https://ieeexplore.ieee.org/document/5504793

VERIZON. Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/