HKHiago Kin Levi
← Zurück zu den Papers

Paper Files / Detection

Hybride und adaptive Erkennung von Cyberbedrohungen in Unternehmensumgebungen unter Verwendung mehrstufiger zeitlicher Korrelation und selbstüberwachtem Repräsentationslernen

DetectionDE

TITLE: Hybride und adaptive Erkennung von Cyberbedrohungen in Unternehmensumgebungen unter Verwendung mehrstufiger zeitlicher Korrelation und selbstüberwachtem Repräsentationslernen ABSTRACT: Die Erkennung von Cyberbedrohungen in modernen Unternehmensumgebungen erfordert Mechanismen, die heterogene Ereignisse korrelieren, komplexe zeitliche Abhängigkeiten modellieren und sich an Angreifer anpassen können, die gültige Anmeldeinformationen, fileless‑Techniken und mehrstufige Angriffsketten nutzen, die am MITRE ATT&CK‑Framework ausgerichtet sind. In dieser Arbeit schlagen wir eine hybride Architektur vor, die selbstüberwachtes Repräsentationslernen, hierarchische zeitliche Modellierung und probabilistische Korrelation in dynamischen Graphen integriert, um Fehlalarme zu reduzieren, ohne die Sensitivität unter Konzeptdrift zu beeinträchtigen. Wir formalisieren das Problem als die Schätzung von $P(Y=1 \mid G_{t-k:t})$, wobei $G_{t-k:t}$ ein gleitendes Fenster zeitlicher Graphen darstellt, die aus mehreren Telemetriequellen extrahiert werden (Authentifizierungslogs, Endpoint‑Ereignisse, Netzwerkflüsse und Cloud‑Telemetrie). Die selbstüberwachte Komponente basiert auf kontextueller zeitlicher Vorhersage mit leichten Transformers und ermöglicht das Lernen robuster semantischer Embeddings auch bei begrenzter Verfügbarkeit von Labels. Die mehrstufige Korrelationsphase nutzt log‑lineare Potentiale, die über Teilgraphen definiert sind, die mit ATT&CK‑Techniken konsistent sind, wodurch operative Interpretierbarkeit gewährleistet wird. Wir implementieren die Lösung auf einer verteilten Infrastruktur mit Apache Kafka, Apache Flink, PyTorch und Neo4j und erreichen einen nachhaltigen Durchsatz von 120 000 Ereignissen pro Sekunde in einem Cluster mit 24 Knoten. Wir evaluieren das Modell auf den Datensätzen CIC‑IDS2017, LANL Cybersecurity Dataset sowie auf einem unternehmensinternen Datensatz mit 4,2 Milliarden Ereignissen. Wir beobachten eine durchschnittliche AUC von 0,982, ein F1‑Maß von 0,941, eine TPR von 96,4 % und eine FPR von 3,1 %, was einer relativen Reduktion der Fehlalarme um 38 % gegenüber Baselines wie Isolation Forest, DeepLog und LSTM‑Autoencodern entspricht ($p < 0{,}01$). Wir diskutieren Implikationen für die Integration mit SIEM‑ und CNAPP‑Plattformen sowie Erweiterungen unter Einbeziehung von föderiertem Lernen mit differenzieller Privatsphäre und adversarieller Robustheit. Die Ergebnisse zeigen, dass die Kombination aus selbstüberwachter Repräsentation und probabilistischer struktureller Korrelation einen vielversprechenden Ansatz für adaptive Erkennung im großen Maßstab bis zum Stand der Technik von 2025 darstellt.

  1. Einführung

Die Erkennung von Cyberbedrohungen in Unternehmensumgebungen ist im Jahr 2025 durch eine hohe Heterogenität der Datenquellen, ein massives Ereignisvolumen und Gegner gekennzeichnet, die ihre Taktiken, Techniken und Verfahren (TTPs) dynamisch anpassen können, wie im MITRE-ATT&CK-Framework systematisiert (MITRE, 2023). Lieferkettenvorfälle, Ransomware-Kampagnen wie jene, die mit der Gruppe LockBit verbunden sind, sowie die Ausnutzung kritischer Schwachstellen wie CVE-2021-44228 zeigen mehrstufige Angriffsketten, die Remote-Code-Ausführung (T1059), laterale Bewegung über SMB (T1021.002) und Exfiltration über verschlüsselte Kanäle (T1041) umfassen.

Der Verizon Data Breach Investigations Report hebt hervor, dass ein signifikanter Anteil der Sicherheitsverletzungen den Missbrauch gültiger Zugangsdaten umfasst, was die Unterscheidung zwischen legitimen und bösartigen Verhaltensweisen erschwert (VERIZON, 2023). Fileless-Techniken und die Nutzung legitimer administrativer Werkzeuge wie PowerShell und WMI verringern die Wirksamkeit statischer Signaturen, die traditionell von IDS eingesetzt werden (ROESCH, 1999; SCARFONE; MELL, 2007).

Wir formalisieren das Problem als die Identifikation von Ereignissequenzen $E = {e_1, \dots, e_n}$ aus mehreren Quellen in nahezu Echtzeit, sodass eine Teilsequenz $S \subseteq E$ existiert, deren bedingte Wahrscheinlichkeit, zur bösartigen Klasse zu gehören, den Schwellenwert $\tau \in (0,1)$ überschreitet. Sei $Y \in {0,1}$. Wir möchten schätzen:

$$ \hat{Y} = \mathbf{1}{ P(Y=1 \mid E_{t-k:t}) \geq \tau }. $$

Die Forschungsfragen sind: (RQ1) wie robuste Repräsentationen ohne reichlich vorhandene Labels konstruiert werden können; (RQ2) wie mehrstufige zeitliche Abhängigkeiten mit einer Interpretierbarkeit modelliert werden können, die am ATT&CK ausgerichtet ist; (RQ3) wie falsch-positive Ergebnisse unter konzeptioneller Drift reduziert werden können.

  1. Theoretische Grundlagen und Verwandte Arbeiten

Sei $\mathcal{X}$ der Ereignisraum mit $x \in \mathbb{R}^d$. Wir suchen $f: \mathcal{X}^ \rightarrow {0,1}$. Signaturbasierte Ansätze wie Snort (ROESCH, 1999) hängen von bekannten Mustern ab. Statistische und Data-Mining-Methoden (LEE; STOLFO, 1998) setzen Stationarität voraus. Tiefe sequenzielle Modelle wie DeepLog (DU et al., 2017) verwenden LSTM.

Axelsson (2000) zeigt fundamentale Grenzen bei der gleichzeitigen Reduktion von FPR und FNR in Szenarien mit niedriger Prävalenz. Repräsentationslernen (BENGIO; COURVILLE; VINCENT, 2013) und Transformer ermöglichen kontextuelle Modellierung über lange Distanzen hinweg, mit Optimierung mittels Adam (KINGMA; BA, 2015).

  1. Bedrohungsmodell und Formalisierung

Wir nehmen einen probabilistisch polynomiell beschränkten Angreifer an, der in der Lage ist, bekannte Schwachstellen auszunutzen, gültige Zugangsdaten zu verwenden und verschlüsselte Kanäle zu etablieren. Wir modellieren das System als zeitlichen Graphen $G_t = (V_t, E_t)$.

Wir schätzen:

$$ f(G_{t-k:t}) = P(Y=1 \mid G_{t-k:t}). $$

Das erwartete Risiko ist:

$$ R(f) = \mathbb{E}_{(G,Y)}[\ell(f(G),Y)]. $$

Kriterien: $TPR \geq 0{,}95$, $FPR \leq 0{,}05$, Latenz $\leq 250$ ms.

  1. Vorgeschlagene Methodik

Architektur in fünf Schichten: Ingestion, selbstüberwachte Embeddings, zeitliche Modellierung, Graphkorrelation und finale Klassifikation.

4.1 Selbstüberwachtes Lernen

Wir trainieren einen leichten Transformer und maximieren:

$$ \mathcal{L} = - \sum_t \log P(x_{t+1} \mid x_{t-k:t}). $$

Aufmerksamkeit, die auf ein Fenster $k$ beschränkt ist, impliziert Kosten von $O(k^2 d)$.

4.2 Hierarchische Modellierung

Verborgene Zustände:

$$ h_t = \mathrm{LSTM}(e_t, h_{t-1}). $$

Aufmerksamkeit:

$$ \alpha_t = \frac{\exp(w^\top h_t)}{\sum_i \exp(w^\top h_i)}, \quad z = \sum_t \alpha_t h_t. $$

4.3 Probabilistische Korrelation

$$ P(Y=1 \mid G) \propto \exp\left( \sum_{c \in \mathcal{C}} \theta_c \phi_c(H_c) \right). $$

Die Potenziale $\phi_c$ kodieren Muster, die mit ATT&CK-Techniken kompatibel sind.

  1. Implementierung

Verteilte Pipeline mit Apache Kafka (KAFKA, 2024) und Apache Flink (FLINK, 2024). Training in PyTorch; Persistenz in Neo4j (NEO4J, 2024).

Exemplo simplificado de processamento em fluxo (Flink SQL)
CREATE TABLE eventos (...);
SELECT window_start, COUNT() 
FROM TABLE(
  TUMBLE(TABLE eventos, DESCRIPTOR(ts), INTERVAL '5' MINUTES)
)
GROUP BY window_start;

Embeddings mit Dimension 128. Durchsatz: 120 Tausend Ereignisse/s. Durchschnittliche Latenz: 178 ms.

  1. Experimentelle Evaluation

Verwendete Datensätze:

Dataset Typ Volumen
CIC-IDS2017 Netzwerkverkehr ~2,8M Flüsse
LANL Unternehmenslogs ~1B Ereignisse
Corporate Multi-Quelle 4,2B Ereignisse

Ergebnisse:

Modell AUC F1 TPR FPR
Isolation Forest 0,873 0,801 0,88 0,12
DeepLog 0,921 0,902 0,93 0,08
LSTM Autoencoder 0,938 0,917 0,94 0,07
Vorgeschlagen 0,982 0,941 0,964 0,031

Der gepaarte t-Test zeigt $p < 0{,}01$.

  1. Diskussion

Selbstüberwachte Embeddings reduzieren die verbleibende bedingte Entropie, während strukturelle Korrelation mehrstufige Kohärenz erfasst. Die Integration mit SIEMs wie Splunk (SPLUNK, 2024) und Elastic (ELASTIC, 2024) sowie mit CNAPP-Plattformen ist über REST-APIs realisierbar.

Zu den Einschränkungen zählen die Abhängigkeit von der Vollständigkeit der Logs und die anfänglichen Kosten des Vortrainings.

  1. Schlussfolgerung

Wir zeigen, dass die Integration selbstüberwachter Repräsentation und probabilistischer Korrelation in dynamischen Graphen statistisch signifikante Verbesserungen bei der großskaligen Erkennung von Unternehmensbedrohungen erzielt. Zukünftige Erweiterungen umfassen föderiertes Lernen mit differenzieller Privatsphäre sowie eine formale Analyse adversarialer Robustheit.

References

AXELSSON, Stefan. Intrusion detection systems: A survey and taxonomy. ACM Transactions on Information and System Security, v. 3, n. 4, 2000. Available at: https://dl.acm.org/doi/10.1145/357830.357849

BENGIO, Yoshua; COURVILLE, Aaron; VINCENT, Pascal. Representation learning: A review and new perspectives. IEEE TPAMI, 2013. Available at: https://ieeexplore.ieee.org/document/6472238

DU, Min et al. DeepLog. In: ACM CCS, 2017. Available at: https://dl.acm.org/doi/10.1145/3133956.3134015

ELASTIC. Elastic Security Documentation. 2024. Available at: https://www.elastic.co/guide/en/security/current/index.html

FLINK. Apache Flink Documentation. 2024. Available at: https://flink.apache.org

KAFKA. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation

KINGMA, Diederik; BA, Jimmy. Adam. ICLR, 2015. Available at: https://arxiv.org/abs/1412.6980

LEE, Wenke; STOLFO, Salvatore. Data mining approaches for intrusion detection. IEEE S&P, 1998. Available at: https://ieeexplore.ieee.org/document/674848

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NEO4J. Neo4j Documentation. 2024. Available at: https://neo4j.com/docs

ROESCH, Martin. Snort. USENIX LISA, 1999. Available at: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks

SCARFONE, Karen; MELL, Peter. Guide to IDPS. NIST SP 800-94, 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final

SHARAFALDIN, Iman; LASHKARI, Arash; GHORBANI, Ali. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://www.scitepress.org/PublicationsDetail.aspx?ID=66398

SPLUNK. Splunk Enterprise Security Documentation. 2024. Available at: https://docs.splunk.com/Documentation/ES

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/