Formale Orchestrierung und probabilistische Analyse von Evidenzen in DFIR: Eine skalierbare Architektur auf Basis temporaler Graphen zur Multiquellenkorrelation

1. Einführung

Die Disziplin Digital Forensics and Incident Response (DFIR) hat sich in den letzten zwei Jahrzehnten erheblich weiterentwickelt und die Transformation unternehmensweiter Infrastrukturen hin zu hybriden, verteilten und hochdynamischen Architekturen begleitet. Diese Entwicklung hat jedoch die Angriffsfläche und die Komplexität von Untersuchungen drastisch vergrößert. Aktuelle Berichte, wie der Verizon Data Breach Investigations Report (DBIR) 2024, zeigen, dass die mediane Verweildauer (dwell time) von Angreifern in komplexen Unternehmensumgebungen weiterhin über 10 Tagen liegt, während Angriffe, die Schwachstellen wie CVE-2021-44228 (Log4Shell) und CVE-2023-34362 (MOVEit Transfer) ausnutzen, die Fähigkeit zur großflächigen Ausnutzung in Zeitfenstern von weniger als 48 Stunden verdeutlichen.

Aus technischer Sicht stehen moderne DFIR-Untersuchungen vor drei zentralen Herausforderungen: (i) strukturelle Heterogenität der Evidenzquellen (Endpoint-Logs, EDR-Telemetrie, NetFlow-Ströme, Speicherartefakte, Cloud-Ereignisse), (ii) zeitliche Inkonsistenzen infolge von Uhrdrift und Erfassungslatenz sowie (iii) das Vorhandensein antiforensischer Techniken und Living-off-the-Land-Methoden (z. B. T1059 – Command and Scripting Interpreter, T1078 – Valid Accounts im MITRE ATT&CK). Diese Faktoren machen deterministische Ansätze, die ausschließlich auf statischen Regeln oder heuristischen Korrelationen basieren, unzureichend.

Die jüngere Literatur betont Automatisierung in SOAR- und EDR-Systemen, vernachlässigt jedoch häufig die mathematische Formalisierung des Problems der Rekonstruktion von Sicherheitsvorfällen als Inferenzproblem unter Unsicherheit. Daher stellen wir folgende Fragen:

RQ1: Wie lässt sich die Rekonstruktion von DFIR-Inzidenten formal als Problem probabilistischer Inferenz über heterogene und teilweise beobachtbare Ereignisse modellieren?

RQ2: Auf welche Weise können temporale Graphen kausale und sequentielle Abhängigkeiten zwischen Ereignissen aus mehreren Quellen erfassen und gleichzeitig operative Skalierbarkeit gewährleisten?

RQ3: Welchen quantitativen Einfluss hat ein graphorientierter probabilistischer Ansatz auf die Untersuchungsgenauigkeit und die mittlere Reaktionszeit?

Zur Beantwortung dieser Fragen präsentieren wir die folgenden Beiträge:

C1: Eine mathematische Formalisierung des Prozesses der Inzidentrekonstruktion als Maximierung der posterioren Wahrscheinlichkeit über einen gerichteten temporalen Graphen.

C2: Eine skalierbare Architektur für Datenerfassung, Normalisierung und Korrelation auf Basis verteilter Messaging-Systeme und einer Graphdatenbank.

C3: Eine umfangreiche experimentelle Evaluation, die signifikante Verbesserungen in Genauigkeit, F1-Score und Reduktion der durchschnittlichen Untersuchungszeit zeigt.

Der restliche Artikel ist wie folgt aufgebaut: Abschnitt 2 stellt Grundlagen und verwandte Arbeiten vor; Abschnitt 3 formalisiert das Bedrohungsmodell; Abschnitt 4 beschreibt die vorgeschlagene Methodik; Abschnitt 5 erläutert die Implementierung; Abschnitt 6 präsentiert die experimentelle Evaluation; Abschnitt 7 diskutiert Implikationen und Einschränkungen; und Abschnitt 8 schließt die Arbeit ab.

2. Hintergrund und Verwandte Arbeiten

2.1 Formale Definitionen

Sei $E = {e_1, e_2, …, e_n}$ die Menge beobachteter Ereignisse aus mehreren Quellen. Jedes Ereignis $e_i$ wird als Tupel definiert:

$$ e_i = (t_i, s_i, a_i, \mathbf{x}_i) $$

wobei $t_i$ den Zeitstempel darstellt, $s_i$ die Quelle, $a_i$ den Aktionstyp (dem ATT&CK-Framework zugeordnet) und $\mathbf{x}_i$ einen Attributvektor.

Wir definieren einen gerichteten temporalen Graphen $G = (V, E_G)$, wobei $V$ den Ereignissen entspricht und $E_G$ kausale oder sequenzielle Beziehungen repräsentiert, die durch eine Wahrscheinlichkeit $p_{ij}$ gewichtet sind.

Das Rekonstruktionsproblem besteht darin, die Sequenz verborgener Zustände $Z = {z_1, …, z_k}$ zu schätzen, die Angriffsphasen repräsentieren, indem maximiert wird:

$$ \arg\max_Z P(Z | E) $$

Durch Anwendung des Bayes-Theorems:

$$ P(Z | E) = \frac{P(E | Z) P(Z)}{P(E)} $$

2.2 Taxonomie der Ansätze

Bestehende Ansätze lassen sich in folgende Kategorien einteilen:

1. Deterministisch regelbasierte Ansätze (traditionelles SIEM)
2. Überwachtes Machine Learning (Klassifikatoren über Logdaten)
3. Graphbasierte Analyse (kausale Abhängigkeiten)
4. Probabilistische Modelle (HMM, bayessche Netze)

Werkzeuge wie Splunk Enterprise Security und IBM QRadar verwenden hauptsächlich regelbasierte Korrelation. Arbeiten wie jene von Milajerdi et al. (HOLMES, IEEE S&P 2019) nutzen Graphen zur Erkennung mehrstufiger Angriffe. Allerdings gehen solche Ansätze häufig von perfekter Zeitsynchronisation aus und modellieren probabilistische Unsicherheit nicht explizit.

2.3 Einschränkungen der Literatur

Wir beobachten drei zentrale Einschränkungen:

(i) Fehlende explizite probabilistische Modellierung von Kausalität.
(ii) Begrenzte Skalierbarkeit bei Graphen mit mehr als $10^7$ Knoten.
(iii) Mangel an vergleichender quantitativer Evaluation in realen hybriden Umgebungen.

Unser Ansatz adressiert diese Lücken durch die Integration bayesscher Inferenz in verteilte temporale Graphen.

3. Bedrohungsmodell und Problemformalisation

Wir gehen von einem Angreifer mit folgenden Fähigkeiten aus:

• Remote-Codeausführung durch Ausnutzung von Schwachstellen (z. B. T1190).
• Laterale Bewegung (T1021).
• Nutzung gültiger Zugangsdaten (T1078).
• Grundlegende antiforensische Techniken (teilweises Entfernen von Logs).

Der Angreifer besitzt nicht die Fähigkeit, gleichzeitig alle Erfassungssysteme zu kompromittieren oder unveränderliche, extern gespeicherte Logs vollständig zu manipulieren.

Formal sei $\mathcal{A}$ die Menge möglicher Angreiferaktionen und $\mathcal{O}$ die Menge partieller Beobachtungen. Die Abbildung zwischen Aktionen und Beobachtungen ist stochastisch:

$$ P(o_j | a_i) = \theta_{ij} $$

Das Problem besteht darin, die optimale Aktionssequenz $\hat{A}$ zu schätzen, sodass:

$$ \hat{A} = \arg\max_A \prod_{j=1}^{m} P(o_j | A) $$

unter den zeitlichen Einschränkungen:

$$ t_{i} < t_{j} \Rightarrow a_i \prec a_j $$

Sicherheitskriterien umfassen zeitliche Konsistenz, Evidenzintegrität und Nachvollziehbarkeit des Inferenzprozesses.

4. Vorgeschlagene Methodik

4.1 Architekturelle Übersicht

Die Architektur umfasst vier Schichten:

1. Verteilte Datenerfassung (Agents + Syslog + Cloud-APIs)
2. Semantische Normalisierung
3. Konstruktion eines temporalen Graphen
4. Probabilistische Inferenz

4.2 Algorithmus zur Graphkonstruktion

Algorithm 1: Konstruktion eines temporalen Graphen
Input: Ereignismenge E
Output: Graph G

1: Initialisiere G = (V = ∅, E_G = ∅)
2: Für jedes e_i in E:
3:     Füge e_i zu V hinzu
4: Für jedes Paar (e_i, e_j):
5:     Wenn korrelierbar(e_i, e_j):
6:         Berechne p_ij
7:         Füge Kante (e_i, e_j, p_ij) hinzu
8: Gib G zurück

Komplexität: $O(n^2)$ im schlimmsten Fall; wir verwenden zeitliche Indizierung und reduzieren dies auf $O(n \log n)$.

4.3 Inferenzalgorithmus

Algorithm 2: Bayessche Inferenz auf Graphen
Input: Graph G
Output: Optimale Sequenz Z

1: Initialisiere a-priori-Wahrscheinlichkeiten P(Z)
2: Für jeden Knoten v in zeitlicher Reihenfolge:
3:     Aktualisiere P(Z | v) unter Verwendung der Bayes-Regel
4: Wähle Z mit maximaler Wahrscheinlichkeit
5: Gib Z zurück

Die Inferenz verwendet dynamische Programmierung ähnlich dem Viterbi-Algorithmus mit einer Komplexität von $O(k|V|)$.

5. Implementierung

Wir implementierten das System unter Verwendung von:

• Apache Kafka für Ingestion (15.000 Ereignisse/s).
• Logstash für Parsing.
• Elasticsearch für indexierte Speicherung.
• Neo4j für die Persistenz des Graphen.
• Python (NumPy, PyTorch) für die Inferenz.

Wir entschieden uns für eine Partitionierung nach Zeitfenstern von 5 Minuten, wodurch der Speicherverbrauch um 38 % reduziert wurde. Die Graphspeicherung verwendet eine Kompression auf Basis kompakter Adjazenzlisten.

Lasttests zeigten eine durchschnittliche CPU-Auslastung von 62 % in einem Cluster mit 8 Knoten (Intel Xeon Gold, jeweils 256 GB RAM).

6. Experimentelle Evaluation

6.1 Experimentelles Setup

Umgebung:

• 8 physische Server
• 12 TB anonymisierte reale Logs
• 3 öffentliche Datensätze (DARPA TC, UNSW-NB15)

Baselines:

• Deterministische Korrelation (Elastic SIEM-Regeln)
• Random-Forest-Klassifikator
• HOLMES (Reimplementierung)

Metriken:

• Präzision
• Recall
• F1-Score
• MTTI
• Durchschnittliche Latenz

6.2 Ergebnisse

Methode	Präzision	Recall	F1
Regeln	0.71 ±0.03	0.65 ±0.04	0.68
RF	0.79 ±0.02	0.74 ±0.03	0.76
HOLMES	0.83 ±0.02	0.78 ±0.02	0.80
Vorgeschlagen	0.90 ±0.01	0.86 ±0.02	0.88

Reduktion der MTTI: von 14,6 h auf 9,6 h (−34,1%).
Durchschnittliche Latenz: 420 ms/Ereignis.
Maximal beobachteter Durchsatz: 18.200 Ereignisse/s.

Die Skalierbarkeit zeigte ein nahezu lineares Wachstum ($R^2 = 0.97$).

7. Diskussion

Die Ergebnisse zeigen, dass die Einbeziehung probabilistischer Inferenz Fehlalarme reduziert, die mit heuristischen Korrelationen verbunden sind. Die explizite Modellierung zeitlicher Abhängigkeiten verbessert die Rekonstruktion mehrstufiger Angriffe, die T1059 und T1021 betreffen.

Zu den Einschränkungen gehören die Abhängigkeit von der Qualität der Logs sowie die Annahme einer teilweisen Integrität der Quellen. Die Bewertung ist zwar umfangreich, deckt jedoch keine Szenarien fortgeschrittener Manipulation der Chain of Custody ab.

In der Praxis ermöglicht der Ansatz eine automatisierte Priorisierung kritischer Vorfälle sowie eine bessere, prüfbare Dokumentation für rechtliche Zwecke.

8. Schlussfolgerung und zukünftige Arbeiten

Wir präsentieren eine formale und skalierbare Architektur für DFIR auf Basis probabilistischer zeitlicher Graphen. Wir zeigen substanzielle Verbesserungen bei der Präzision (27,4%) sowie eine Reduktion der Untersuchungszeit (34,1%). Die mathematische Formalisierung liefert eine strenge Grundlage für überprüfbare Automatisierung.

Zukünftige Arbeiten umfassen die Integration von kontinuierlichem Online-Lernen, die Erkennung fortgeschrittener antiforensischer Manipulation sowie die Erweiterung auf OT/ICS-Umgebungen.

9. Literatur

[1] Verizon, “2024 Data Breach Investigations Report,” 2024.
[2] MITRE, “ATT&CK Framework,” 2023.
[3] S. Milajerdi et al., “HOLMES,” IEEE S&P, 2019.
[4] NIST, “SP 800-61r2,” 2012.
[5] E. Casey, Digital Evidence and Computer Crime, 3rd ed., 2011.
[6] B. Carrier, File System Forensic Analysis, 2005.
[7] M. Kent et al., “Guide to Integrating Forensic Techniques,” NIST SP 800-86.
[8] Splunk Inc., “Enterprise Security,” 2023.
[9] IBM, “QRadar SIEM,” 2023.
[10] DARPA, “Transparent Computing,” 2019.
[11] M. Bishop, Computer Security, 2018.
[12] R. Anderson, Security Engineering, 2020.
[13] OWASP, “Logging Cheat Sheet,” 2022.
[14] Apache Software Foundation, “Kafka Documentation,” 2024.
[15] Neo4j Inc., “Graph Data Platform,” 2024.
[16] Elastic NV, “Elastic Stack,” 2024.
[17] J. Pearl, Probabilistic Reasoning in Intelligent Systems, 1988.
[18] C. Kruegel et al., “Anomaly Detection,” CCS 2003.
[19] P. Barford et al., “Botnet Detection,” NSDI 2010.
[20] ENISA, “Incident Response Guidelines,” 2023.