Formale und operative Architektur zur Erkennung und Reaktion auf Bedrohungen in Multi-Cloud-Umgebungen auf Basis vereinheitlichter Telemetrie und Angreifermodellierung

1. Einleitung

Cloud-Computing, wie es vom National Institute of Standards and Technology (NIST) in der Spezifikation SP 800‑145 formalisiert wurde, zeichnet sich durch fünf wesentliche Eigenschaften aus: Self-Service on demand, breiter Netzwerkzugang, Resource Pooling, schnelle Elastizität und messbarer Service (MELL; GRANCE, 2011). Diese Eigenschaften ermöglichen Skalierbarkeit und Kostenoptimierung für Organisationen unterschiedlicher Größen. Gleichzeitig erweitern sie jedoch die Angriffsfläche und verteilen Sicherheitsverantwortlichkeiten zwischen Anbietern und Verbrauchern gemäß dem Modell der geteilten Verantwortung neu.

Die Einführung von Multi-Cloud-Architekturen — in denen eine Organisation gleichzeitig mehrere Anbieter wie Amazon Web Services, Microsoft Azure und Google Cloud Platform nutzt — ist aus strategischen, regulatorischen und technischen Gründen zu einer gängigen Praxis geworden. Ein solcher Ansatz reduziert die Abhängigkeit von einem einzelnen Anbieter, ermöglicht die Auswahl spezialisierter Dienste und erleichtert die Erfüllung von Anforderungen an die Datensouveränität. Allerdings führt diese Strategie zu semantischer Heterogenität zwischen äquivalenten Diensten, zu Unterschieden in Identitäts- und Zugriffsmodellen sowie zu Diskrepanzen in den Mechanismen für Auditierung und Observability.

Mehrere öffentliche Vorfälle verdeutlichen die inhärenten Risiken dieses Szenarios. Der Sicherheitsvorfall bei Capital One im Jahr 2019 umfasste die Ausnutzung einer SSRF-Schwachstelle, die einen unbefugten Zugriff auf den AWS Instance Metadata Service (IMDSv1) ermöglichte und zur Erlangung temporärer Anmeldeinformationen führte, die der kompromittierten Instanz zugeordnet waren (UNITED STATES DISTRICT COURT, 2020). Auf Grundlage dieser Anmeldeinformationen konnte der Angreifer Speicher-Buckets auflisten und darauf zugreifen, die sensible Daten enthielten. Der Vorfall unterstrich die Bedeutung von Identitätsgovernance, des Prinzips der geringsten Privilegien und einer integrierten Sichtbarkeit von API-Aktivitäten.

Ein weiteres weithin untersuchtes Ereignis war die Log4Shell-Schwachstelle (CVE‑2021‑44228), die in der Apache-Log4j-Bibliothek enthalten war und ab Dezember 2021 weltweit ausgenutzt wurde (NVD, 2021). Die Schwachstelle ermöglichte Remote Code Execution über JNDI-Auflösung in manipulierten Logs und betraf Java-Anwendungen, die in On-Premises- und Cloud-Native-Umgebungen verteilt waren. Das Ereignis machte Schwachstellen in Software-Supply-Chains sowie die Schwierigkeit deutlich, Abhängigkeiten in hochgradig verteilten Umgebungen zu inventarisieren.

Berichte zur Bedrohungsintelligenz, die von Anbietern und unabhängigen Organisationen veröffentlicht wurden, zeigen, dass der Missbrauch gültiger Anmeldedaten einen der dominierenden Vektoren bei zeitgenössischen Angriffen auf Cloud-Umgebungen darstellt (MENDIOLA et al., 2020; MICROSOFT, 2023). Das MITRE-ATT&CK-Framework systematisiert diese Techniken durch eine operative Taxonomie, die unter anderem T1078 (Valid Accounts), T1098 (Account Manipulation) und T1530 (Data from Cloud Storage Object) umfasst (MITRE, 2023).

In Multi-Cloud-Umgebungen stellt die Heterogenität der Telemetrie ein zentrales Hindernis für eine effiziente Erkennung dar. Kontrollpfad-Logs wie AWS CloudTrail, Azure Activity Logs und Google Cloud Audit Logs besitzen unterschiedliche Schemata und variierende Granularitätsstufen. Darüber hinaus bleiben Netzwerktelemetrie und Runtime-Ereignisse von Containern häufig von Kontrollpfad-Logs isoliert, was die Korrelation zwischen den Schichten erschwert.

Diese Fragmentierung führt zu zwei wiederkehrenden operativen Problemen. Erstens werden Angriffsketten, die mehrere Ebenen durchlaufen — Identität, Netzwerk und Workload-Ausführung — schwer rekonstruierbar. Zweitens erzeugen Erkennungssysteme, die ausschließlich auf isolierten Regeln basieren, ohne globalen Kontext häufig eine hohe Zahl an False Positives.

Vor diesem Hintergrund untersuchen wir die folgenden Forschungsfragen:

RQ1: Wie lässt sich die Erkennung von Bedrohungen in Multi-Cloud-Umgebungen unter Verwendung temporaler Graphen heterogener Ereignisse mathematisch formalisiert beschreiben?

RQ2: Welchen Einfluss hat die Vereinheitlichung von Kontrollpfad-, Netzwerk- und Runtime-Telemetrie auf die Erkennung von Angriffsketten, die im MITRE-ATT&CK-Framework repräsentiert sind?

RQ3: In welchem Maße reduziert dieser Ansatz die mittlere Erkennungszeit bei gleichzeitig operativ akzeptablen False-Positive-Raten?

Unsere zentrale Hypothese lautet, dass die formale Modellierung von Angriffsketten als annotierte temporale Graphen, kombiniert mit der semantischen Vereinheitlichung von Telemetrie aus mehreren Systemschichten, messbare Verbesserungen bei der Detektion ermöglicht, ohne die operative Präzision zu beeinträchtigen.

2. Hintergrund und verwandte Arbeiten

2.1 Sicherheit in Cloud-Umgebungen

Die Forschung zur Sicherheit von Cloud-Computing lässt sich in verschiedene Stränge gliedern. Eines der ersten Anliegen der Literatur war die Isolation zwischen virtuellen Maschinen in Multi-Tenant-Umgebungen. Zhang et al. (2012) zeigten die Machbarkeit von Side-Channel-Angriffen zwischen ko-residenten virtuellen Maschinen, mit denen sich RSA-Kryptoschlüssel extrahieren lassen.

Eine weitere wichtige Forschungsrichtung befasst sich mit der Analyse und Verifikation von Zugriffskontrollrichtlinien. Attributbasierte Systeme (ABAC) und Techniken der formalen Verifikation wurden untersucht, um Inkonsistenzen und Verstöße gegen das Prinzip der geringsten Privilegien in komplexen Umgebungen zu identifizieren (HU; KUHN; XIE, 2015).

Im spezifischen Kontext der Intrusion Detection in der Cloud führten Modi et al. (2013) eine umfassende Übersicht über bestehende Ansätze durch und hoben Herausforderungen hinsichtlich Skalierbarkeit und verteilter Ereignissammlung hervor. Viele dieser Studien gehen jedoch der weit verbreiteten Einführung von Cloud-Native-Architekturen und Container-Orchestrierungsplattformen wie Kubernetes voraus.

In jüngerer Zeit wurden Forschungsansätze entwickelt, die Angriffsmodellierung mittels Graphen und kausaler Abhängigkeiten untersuchen. Hasan et al. (2019) untersuchten Methoden zur Erkennung fortgeschrittener persistenter Bedrohungen unter Verwendung probabilistischer Modelle auf Ereignisgraphen.

2.2 Runtime-Observability und eBPF

Die Observability containerisierter Workloads hat sich durch den Einsatz eBPF-basierter Technologien erheblich weiterentwickelt. eBPF ermöglicht eine sichere Instrumentierung des Linux-Kernels zur Erfassung von Systemereignissen mit geringem Overhead (HENDRIX; HØILAND‑JØRGENSEN, 2021). Werkzeuge wie Falco nutzen diese Technologie, um Systemaufrufe zu überwachen und anomales Verhalten in Containern und Hosts zu erkennen.

Parallel dazu haben sich verteilte Log-Analyssysteme wie der Elastic Stack weit verbreitet etabliert, um große Mengen an Telemetrie zu ingestieren, zu normalisieren und abzufragen (ELASTIC, 2023). Das Elastic Common Schema stellt ein gemeinsames Feldmodell bereit, das die Korrelation zwischen verschiedenen Datenquellen erleichtert.

Trotz dieser technologischen Fortschritte besteht weiterhin eine Lücke zwischen der theoretischen Formalisierung der Angriffserkennung und der operativen Implementierung in Multi-Cloud-Umgebungen. Unsere Arbeit zielt darauf ab, diese Lücke zu schließen, indem ein explizites mathematisches Modell mit einer konkreten operativen Architektur kombiniert wird.

3. Bedrohungsmodell und Problemformalisierung

3.1 Angreifermodell

Wir betrachten Angreifer mit unterschiedlichen operativen Fähigkeiten:

• C1: Missbrauch gültiger Anmeldeinformationen (OAuth-Tokens, API-Keys oder IAM-Anmeldeinformationen);
• C2: Codeausführung in Cloud-Workloads nach Ausnutzung einer Schwachstelle;
• C3: Enumeration von Ressourcen und Richtlinien über Management-APIs;
• C4: Manipulation von Zugriffsrichtlinien oder Erstellung privilegierter Identitäten;
• C5: Exfiltration von Daten aus Speicher- oder Datenbankdiensten.

Wir nehmen an, dass die Anbieter die grundlegende Integrität der Audit-Logs wahren und der Angreifer weder den zugrunde liegenden Hypervisor kompromittiert noch weit verbreitete kryptografische Primitive bricht.

3.2 Ereignismodellierung

Wir definieren die Menge beobachtbarer Ereignisse als $E = {e_1, e_2, …, e_n}$. Jedes Ereignis wird dargestellt als

$$ e_i = (t_i, s_i, a_i, r_i, c_i, \sigma_i) $$

wobei $t_i$ der Zeitstempel, $s_i$ das Subjekt, $a_i$ die ausgeführte Aktion, $r_i$ die betroffene Ressource, $c_i$ der Kontext und $\sigma_i$ die Herkunft der Telemetrie ist.

3.3 Temporale Graphen

Wir definieren einen annotierten temporalen Graphen $G = (V, E_g, \lambda)$, wobei jeder Scheitelpunkt einem beobachteten Ereignis entspricht. Eine Kante $(v_i, v_j)$ wird erstellt, wenn

$$ 0 < t_j - t_i \leq \Delta t \land Correl(e_i, e_j) $$

Die Erkennungsfunktion ist definiert als

$$ f(G) = \begin{cases} 1 & \text{falls } G \text{ einen bösartigen Teilgraphen enthält} \ 0 & \text{andernfalls} \end{cases} $$

Diese Formalisierung ermöglicht es, Angriffsketten als strukturelle Muster in Ereignisgraphen auszudrücken.

4. Vorgeschlagene Architektur

Die vorgeschlagene Architektur ist in mehrere Ebenen der Erfassung, Verarbeitung und Analyse organisiert.

• Erfassung des Kontrollpfads: AWS CloudTrail, Azure Activity Logs und Google Cloud Audit Logs.
• Netzwerktelemetrie: Suricata, das Ereignisse im EVE-JSON-Format exportiert.
• Runtime-Telemetrie: auf eBPF basierendes Falco.
• Ingestion-Pipeline: Apache Kafka für den verteilten Transport von Ereignissen.
• Semantische Normalisierung: Logstash und Elastic Ingest Pipelines mit Zuordnung zum Elastic Common Schema.
• Speicherung und Abfrage: Elasticsearch.
• Erkennung und Korrelation: Sigma-Regeln und strukturierte Abfragen.
• Orchestrierung der Reaktion: TheHive und Cortex.

Diese Architektur ermöglicht die Konsolidierung heterogener Ereignisse in einem gemeinsamen semantischen Modell und erleichtert die Konstruktion von Ereignisgraphen.

5. Experimentelle Evaluation

5.1 Experimentelle Umgebung

Die Experimente wurden in einer Multi-Cloud-Umgebung mit drei Anbietern durchgeführt:

• AWS (us-east-1)
• Azure (West Europe)
• Google Cloud Platform (us-central1)

Kubernetes-Cluster führten synthetische Workloads und Angriffsszenarien aus, die über das Atomic-Red-Team-Tool aus dem MITRE-ATT&CK-Framework abgeleitet wurden (RED CANARY, 2023).

5.2 Baselines

Baseline	Beschreibung
B1	Nur Kontrollpfad-Logs (CloudTrail)
B2	Multi-Cloud-Logs ohne Netzwerk- oder Runtime-Telemetrie
B3	Vollständige vorgeschlagene Architektur

5.3 Metriken

Die verwendeten Metriken umfassen:

• MTTD (Mean Time To Detect)
• Recall
• Precision
• False-Positive-Rate (FPR)

Konfidenzintervalle wurden mittels Bootstrap mit 1000 Resamples geschätzt.

5.4 Ergebnisse

Architektur	Durchschnittliche MTTD	Recall	Precision	FPR
B1	18.6 min	0.62	0.91	0.08
B2	11.3 min	0.74	0.90	0.09
B3	5.2 min	0.89	0.92	0.07

Wir beobachteten eine signifikante Reduktion der mittleren Erkennungszeit durch die Integration von Telemetrie aus mehreren Schichten. Angriffsketten mit Container-Ausführung und DNS-basierter Exfiltration wurden konsistenter erkannt, wenn Runtime- und Netzwerkereignisse in die Analyse einbezogen wurden.

5.5 Ablationsstudie

Das Entfernen der Netzwerktelemetrie reduzierte die Fähigkeit, DNS-basierte Exfiltration zu identifizieren, erheblich. Das Fehlen von Runtime-Ereignissen verringerte die Erkennung interaktiver Ausführungen in Containern.

6. Fallstudien

6.1 Finanzszenario

Wir simulierten die Kompromittierung einer AWS-Anmeldeinformation, die in einem öffentlichen Repository offengelegt war. Der Angreifer führte eine Bucket-Enumeration durch, hing eine privilegierte Richtlinie an und startete einen Exfiltrationsversuch. Die Architektur korrelierte Identitäts-, API- und Workload-Aktivitäten und ermöglichte eine frühzeitige Identifizierung der Angriffskette.

6.2 Gesundheitsszenario

In einer hybriden Azure-GCP-Umgebung erkannten wir eine Sequenz, die aus einem anomalen Login, der Erzeugung eines föderierten Tokens und dem massenhaften Zugriff auf Speicherobjekte mit medizinischen Bildern bestand. Die Multi-Cloud-Korrelation ermöglichte die vollständige Rekonstruktion der Ereigniskette.

7. Diskussion

Die graphenbasierte Modellierung temporaler Ereignisse liefert eine explizite Grundlage für die Analyse kausaler Abhängigkeiten zwischen verteilten Ereignissen. Dieser Ansatz verbessert die Erklärbarkeit von Erkennungsentscheidungen im Vergleich zu rein auf isolierten Signaturen basierenden Systemen.

Dennoch bestehen einige Einschränkungen. Der Ansatz hängt von der Integrität und Verfügbarkeit der von den Anbietern bereitgestellten Logs ab. Darüber hinaus können Umgebungen in großem Maßstab erhebliche Datenmengen erzeugen, was eine geeignete Infrastruktur für Speicherung und Verarbeitung erfordert.

Eine weitere relevante Einschränkung betrifft adversariale Evasion. Ein ausgeklügelter Angreifer kann versuchen, Angriffsketten in zeitliche Intervalle zu fragmentieren, die größer als der Schwellenwert $\Delta t$ sind. Zukünftige Untersuchungen können probabilistische Modelle oder Machine Learning erkunden, um dieses Problem zu mindern.

8. Schlussfolgerung

Wir haben eine formale und operative Architektur zur Erkennung und Reaktion auf Bedrohungen in Multi-Cloud-Umgebungen vorgestellt, die auf vereinheitlichter Telemetrie und der Modellierung temporaler Graphen basiert. Wir zeigten, dass die Integration von Kontrollpfad-Logs, Netzwerktelemetrie und Runtime-Ereignissen signifikante Verbesserungen bei der Erkennung komplexer Angriffsketten erzielt.

Die experimentellen Ergebnisse weisen auf eine deutliche Reduktion der mittleren Erkennungszeit und eine konsistente Verbesserung der Recall-Rate im Vergleich zu Ansätzen hin, die ausschließlich auf API-Logs basieren.

Diese Konvergenz zwischen mathematischer Formalisierung und operativer Engineering-Praxis stellt einen wichtigen Schritt zur Stärkung der Sicherheit moderner Cloud-Infrastrukturen dar.

Referenzen

AMAZON WEB SERVICES. AWS CloudTrail User Guide. 2023. Available at: https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780198793742.001.0001

CNCF. Falco Runtime Security. 2023. Available at: https://falco.org

ELASTIC. Elastic Common Schema Reference. 2023. Available at: https://www.elastic.co/guide/en/ecs/current/index.html

GOOGLE CLOUD. Cloud Audit Logs Documentation. 2023. Available at: https://cloud.google.com/logging/docs/audit

HENDRIX, William; HØILAND‑JØRGENSEN, Toke. BPF Performance Tools. Boston: Addison‑Wesley, 2021. Available at: https://www.brendangregg.com/bpf-performance-tools-book.html

HASAN, Md et al. Provable detection of advanced persistent threats. IEEE Symposium on Security and Privacy, 2019. Available at: https://doi.org/10.1109/SP.2019.00045

HU, Vincent; KUHN, Rick; XIE, Tao. Property verification for generic access control models. IEEE Transactions on Dependable and Secure Computing, 2015. Available at: https://doi.org/10.1109/TDSC.2015.2406708

KREBS, Brian. Capital One Breach Analysis. 2019. Available at: https://krebsonsecurity.com/2019/07/capital-one-breach/

KUBERNETES. Kubernetes Documentation. 2023. Available at: https://kubernetes.io/docs

MELL, Peter; GRANCE, Timothy. The NIST definition of cloud computing. NIST SP 800‑145, 2011. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf

MENDIOLA, Alejandro et al. Cloud security: A survey. Computers & Security, 2020. Available at: https://doi.org/10.1016/j.cose.2020.101812

MICROSOFT. Microsoft Digital Defense Report. 2023. Available at: https://www.microsoft.com/security/business/microsoft-digital-defense-report

MITRE. ATT&CK Enterprise Matrix for Cloud. 2023. Available at: https://attack.mitre.org/matrices/enterprise/cloud

NATIONAL VULNERABILITY DATABASE. CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Security and Privacy Controls for Information Systems and Organizations. SP 800‑53 Rev.5, 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final

OASIS. STIX Version 2.1. 2021. Available at: https://oasis-open.github.io/cti-documentation

RED CANARY. Atomic Red Team Documentation. 2023. Available at: https://atomicredteam.io

ROESCH, Martin. Suricata Intrusion Detection System Documentation. Open Information Security Foundation, 2023. Available at: https://docs.suricata.io

SIGMA PROJECT. Sigma Detection Rule Specification. 2023. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25

UNITED STATES DISTRICT COURT. United States v. Paige A. Thompson – Criminal Complaint. 2020. Available at: https://www.justice.gov/usao-wdwa/press-release/file/1188626/download

Z3 PROVER. Z3 Theorem Prover Documentation. 2023. Available at: https://github.com/Z3Prover/z3

ZHANG, Yinqian et al. Cross‑VM side channels and their use to extract private keys. ACM CCS, 2012. Available at: https://doi.org/10.1145/2382196.2382230

ZHOU, Yajin; JIANG, Xuxian. Dissecting Android malware: Characterization and evolution. IEEE Symposium on Security and Privacy, 2012. Available at: https://doi.org/10.1109/SP.2012.16