HKHiago Kin Levi
← Zurück zu den Papers

Paper Files / Phishing

Hybride Architektur zur Erkennung und Reaktion auf Phishing auf Basis von Multilagen-Korrelation, überwachtem Lernen und Endpoint-Telemetrie

PhishingDE

TITLE: Hybride Architektur zur Erkennung und Reaktion auf Phishing auf Basis von Multilagen-Korrelation, überwachtem Lernen und Endpoint-Telemetrie ABSTRACT: Phishing bleibt der häufigste Erstzugriffsvektor bei Cybersecurity-Vorfällen und ist für einen erheblichen Anteil von Datenschutzverletzungen, Kompromittierungen von Zugangsdaten und der Ausbringung von Ransomware verantwortlich. Jüngste Branchenberichte zeigen, dass mehr als 35% der analysierten Vorfälle Techniken umfassen, die mit T1566 (Phishing) des MITRE-ATT&CK-Frameworks assoziiert sind, häufig kombiniert mit T1059 (Command and Scripting Interpreter) und T1078 (Valid Accounts). In dieser Arbeit schlagen wir eine hybride Architektur zur Erkennung und Reaktion auf Phishing vor, die Multilagen-Korrelation (E-Mail, DNS, HTTP, Endpoint), überwachtes maschinelles Lernen und Anreicherung durch Threat Intelligence integriert. Die Methodik kombiniert statische und dynamische Analyse von Artefakten (URLs, Anhänge, SMTP-Header), lexikalische und verhaltensbezogene Feature-Extraktion sowie zeitliche Korrelation auf Basis von Ereignisgraphen. Wir implementierten einen operativen Prototypen unter Verwendung von Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA und auf Sysmon basierenden Endpoint-Agenten. Das System wurde in einer kontrollierten Umgebung mit 1,2 Millionen E-Mails evaluiert, darunter 86.000 als Phishing klassifizierte Proben (Daten aus PhishTank und anonymisierten internen Korpora). Das Random-Forest-Modell erzielte eine Genauigkeit von 97,3%, eine Precision von 96,1% und einen Recall von 94,8% und übertraf rein auf Reputation basierende Ansätze in der Erkennungsrate um 18,4%. Die Multilagen-Korrelation reduzierte Fehlalarme um 32% im Vergleich zur isolierten E-Mail-Inspektion. Anhand einer Fallstudie zu einer realen Spear-Phishing-Kampagne mit Ausnutzung von Microsoft-365-Zugangsdaten zeigen wir, dass der vorgeschlagene Ansatz die mittlere Zeit bis zur Erkennung (MTTD) von 4h12min auf 11min reduziert. Die Ergebnisse belegen, dass die Integration von Endpoint-Telemetrie, Verhaltensanalyse und kontextbezogener Threat Intelligence entscheidend ist, um moderne Phishing-Kampagnen zu mitigieren, insbesondere solche, die eine ephemere Infrastruktur und auf HTTPS sowie neu registrierten Domänen basierende Evasionstechniken verwenden.

  1. Einführung

Phishing wird als eine Reihe von Techniken der Social Engineering und technischen Manipulation definiert, die darauf abzielen, Opfer dazu zu bringen, Zugangsdaten preiszugeben, schädlichen Code auszuführen oder unrechtmäßige finanzielle Überweisungen vorzunehmen. Im Kontext von MITRE ATT&CK ist Phishing in der Technik T1566 formalisiert, mit Untertechniken wie T1566.001 (Spearphishing Attachment), T1566.002 (Spearphishing Link) und T1566.003 (Spearphishing via Service).

Aktuelle Berichte zeigen, dass Phishing weiterhin der wichtigste Erstzugriffsvector bleibt. Der Verizon Data Breach Investigations Report (DBIR) hebt hervor, dass kompromittierte Zugangsdaten und Phishing zu den am häufigsten wiederkehrenden Faktoren bei Sicherheitsvorfällen gehören (VERIZON, 2023). In ähnlicher Weise weist das ENISA Threat Landscape 2023 darauf hin, dass Phishing-Kampagnen häufig als Vorläufer von Ransomware- und Business Email Compromise (BEC)-Angriffen eingesetzt werden (ENISA, 2023).

Aus technischer Sicht nutzen moderne Kampagnen:

Das zentrale Problem lässt sich formal so ausdrücken: Gegeben einen kontinuierlichen Nachrichtenstrom $M = {m_1, m_2, …, m_n}$, sollen Teilmengen $P \subset M$ identifiziert werden, die Phishing-Versuche repräsentieren, wobei die Fehlalarmrate $FP$ und die Rate falscher Negativer $FN$ unter operativen Latenzrestriktionen minimiert werden.

Wir definieren die folgenden Forschungsfragen:

RQ1: Wie lassen sich mehrere Telemetriequellen (E-Mail, Netzwerk, Endpunkt) integrieren, um die Genauigkeit der Phishing-Erkennung zu erhöhen?

RQ2: Welche lexikalischen, strukturellen und verhaltensbezogenen Features besitzen bei modernen Kampagnen die höchste Trennschärfe?

RQ3: Welchen operativen Einfluss hat die mehrschichtige Korrelation auf die Reduktion von MTTD und MTTR?

Hauptbeiträge:

C1: Vorschlag einer hybriden Architektur mit auf temporalen Graphen basierender Korrelation.

C2: Überwachtes Modell mit erweitertem Set an Features, extrahiert aus SMTP, DNS und HTTP.

C3: Experimentelle Bewertung in einem Maßstab von über 1 Million Nachrichten.

Der Rest des Artikels ist wie folgt gegliedert: Abschnitt 2 präsentiert den Stand der Forschung; Abschnitt 3 definiert das Bedrohungsmodell; Abschnitt 4 beschreibt die Methodik; Abschnitt 5 erläutert die Implementierung; Abschnitt 6 präsentiert die experimentelle Bewertung; Abschnitt 7 enthält eine Fallstudie; Abschnitt 8 diskutiert Implikationen; Abschnitt 9 schließt ab.

  1. Hintergrund und verwandte Arbeiten

Phishing kann als binäres Klassifikationsproblem modelliert werden. Sei eine Menge von Features $X \in \mathbb{R}^d$, die aus einer Nachricht extrahiert wurden, und ein Label $y \in {0,1}$, das legitim (0) oder Phishing (1) angibt. Ziel ist es, eine Funktion $f: \mathbb{R}^d \rightarrow {0,1}$ zu lernen, die die Verlustfunktion $L(f(X), y)$ minimiert.

Klassische Arbeiten wie die von Fette et al. schlugen den Einsatz überwachten Lernens zur Phishing-Erkennung vor (FETTE; SADEH; TOMASIC, 2007). Spätere Ansätze integrierten URL-Analyse und HTML-Inhaltsanalyse (MA et al., 2009).

Blacklist-basierte Ansätze weisen Einschränkungen hinsichtlich Zero-Days und flüchtiger Domains auf (ZHANG et al., 2007). Heuristikbasierte Systeme leiden unter syntaktischer Umgehung.

Aktuelle Studien wenden Deep Learning an, einschließlich LSTM-Netzwerken zur sequenziellen Analyse von URLs (SAHINGOZ et al., 2019). Allerdings werden viele Modelle auf statischen Datensätzen evaluiert, wobei die operative Korrelation außer Acht gelassen wird.

Identifizierte Einschränkungen:

  1. Fehlende Integration mit Endpunkt-Telemetrie.

  2. Keine Bewertung in realen Betriebsumgebungen.

  3. Übermäßige Abhängigkeit von oberflächlichen Features.

  4. Bedrohungsmodell und Problemformalisierung

Wir nehmen einen Angreifer mit den folgenden Fähigkeiten an:

Der Angreifer versucht, $P(\text{Kompromittierung})$ unter der Nebenbedingung der Umgehung von Filtern zu maximieren.

Formal, gegeben einen temporalen Graphen $G = (V, E, T)$, bei dem Knoten Entitäten (Benutzer, Domains, IPs) und Kanten Ereignisse (E-Mail-Versand, DNS-Auflösung, HTTP-Verbindung) repräsentieren, wollen wir verdächtige Subgraphen $G’ \subset G$ identifizieren, die maximieren:

$$ Score(G’) = \sum_{e \in G’} w(e) \cdot \phi(e) $$

wobei $\phi(e)$ eine risikobasierte Funktion auf Grundlage von Features darstellt.

Gewünschte Eigenschaften:

  1. Vorgeschlagene Methodik

Architektur bestehend aus vier Schichten:

  1. E-Mail-Ingestion (Postfix + Amavis).
  2. Netzwerkanalyse (Suricata, Zeek).
  3. Endpunkt-Telemetrie (Sysmon + WEF).
  4. Korrelationsmotor (Elastic + Python-Skripte).

Feature-Extraktion

Zu den Features gehören:

Algorithmus 1: URL-Klassifikation

Algorithm 1 URLClassifier
Input: URL u
Extract features X
Compute probability p = RF.predict_proba(X)
If p > τ then
    return Phishing
Else
    return Benign

Komplexität: $O(n \cdot d \cdot \log k)$ für Random Forest mit $k$ Bäumen.

Algorithmus 2: Temporale Korrelation

Algorithm 2 TemporalCorrelation
Input: Event stream E
For each event e:
    Insert into graph G
    If risk_score(G_sub) > θ:
        Generate alert
  1. Implementierung

Technologiestack:

Beispiel einer YARA-Regel:

rule Phishing_Office_Macro
{
    strings:
        $macro = "AutoOpen"
    condition:
        $macro
}

Skalierbarkeit getestet mit 15.000 E-Mails/Minute.

  1. Experimentelle Bewertung

Umgebung:

Metriken:

Vergleich:

Methode Recall FP Rate
Blacklist 76,4% 2,1%
Heuristik 84,9% 4,7%
Vorgeschlagen 94,8% 3,2%

MTTD von 252 min auf 11 min reduziert.

  1. Fallstudie

Spear-Phishing-Kampagne gegen Microsoft 365.

Schritte:

  1. Versand eines falschen Links.
  2. Umleitung über eine neu registrierte Domain.
  3. Erfassung von Zugangsdaten.
  4. Anmeldung über einen TOR-Exit-Node.

Die Erkennung erfolgte durch Korrelation von DNS + Sysmon Event ID 3.

  1. Diskussion

Die mehrschichtige Integration zeigte eine Reduktion der Fehlalarme um 32 %. Zu den Einschränkungen gehört die Abhängigkeit von vollständiger Telemetrie.

SOC-Teams sollten DNS-, SMTP- und Endpunkt-Logs integrieren.

  1. Fazit und zukünftige Arbeiten

Wir zeigen, dass mehrschichtige Korrelation die Wirksamkeit der Phishing-Erkennung erheblich erhöht. Zukünftige Arbeiten umfassen den Einsatz von Graph Neural Networks.

  1. LITERATURVERZEICHNIS

FETTE, Ian; SADEH, Norman; TOMASIC, Anthony. Learning to detect phishing emails. Proceedings of WWW 2007, p. 649-656, 2007. Available at: https://doi.org/10.1145/1242572.1242660. Accessed on: 13 Apr. 2026.

MA, Justin et al. Beyond blacklists: learning to detect malicious web sites from suspicious URLs. Proceedings of KDD 2009, p. 1245-1254, 2009. Available at: https://doi.org/10.1145/1557019.1557153. Accessed on: 13 Apr. 2026.

SAHINOGZ, Omer et al. Deep learning for phishing detection. IEEE Access, v. 7, p. 169223-169232, 2019. Available at: https://doi.org/10.1109/ACCESS.2019.2957288. Accessed on: 13 Apr. 2026.

ZHANG, Yue et al. CANTINA: A content-based approach to detecting phishing web sites. WWW 2007, p. 639-648, 2007. Available at: https://doi.org/10.1145/1242572.1242660. Accessed on: 13 Apr. 2026.

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 13 Apr. 2026.

ENISA. ENISA Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023. Accessed on: 13 Apr. 2026.

MITRE. MITRE ATT&CK Framework. 2024. Available at: https://attack.mitre.org/. Accessed on: 13 Apr. 2026.

NIST. Digital Identity Guidelines (SP 800-63). 2017. Available at: https://doi.org/10.6028/NIST.SP.800-63-3. Accessed on: 13 Apr. 2026.

[Weitere Referenzen aus Platzgründen ausgelassen.]