HKHiago Kin Levi
← Zurück zu den Papers

Paper Files / IR

IR-GraphSec: Ein formales und skalierbares Framework für die automatisierte Orchestrierung der Incident Response auf Basis von Angriffsgraphen und Multiobjektiv‑Optimierung

IRDE

TITLE: IR-GraphSec: Ein formales und skalierbares Framework für die automatisierte Orchestrierung der Incident Response auf Basis von Angriffsgraphen und Multiobjektiv‑Optimierung ABSTRACT: Die zunehmende Sophistizierung mehrstufiger Cyberangriffskampagnen, kombiniert mit der Ausweitung hybrider, cloudnativer und KI‑getriebener Umgebungen, stellt erhebliche Herausforderungen für die Orchestrierung der Incident Response (IR) dar. Obwohl normative Frameworks wie NIST SP 800-61 Rev. 2 und das NIST Cybersecurity Framework etablierte Richtlinien bereitstellen, bleibt die effiziente Operationalisierung der Eindämmung durch komplexe topologische Abhängigkeiten, Verfügbarkeitsbeschränkungen und mehrere konfliktäre Zielsetzungen eingeschränkt. In dieser Arbeit formalisieren wir das Problem der Response-Orchestrierung als eine Multiobjektiv‑Optimierung über dynamische Angriffsgraphen, die durch automatisches Mapping zum MITRE ATT&CK sowie durch Telemetrie in nahezu Echtzeit aus CNAPP-, EDR- und eBPF‑Umgebungen angereichert werden. Wir definieren eine Zielfunktion, die Restrisiko, operative Kosten und Ausfallauswirkungen integriert, unter Budget‑ und Business‑Continuity‑Beschränkungen. Wir zeigen, dass das zugehörige Entscheidungsproblem NP-schwer ist, durch polynomielle Reduktion auf Varianten des Minimum‑Cut‑Problems mit zusätzlichen Nebenbedingungen. Wir schlagen das Framework IR-GraphSec vor, implementiert mit Neo4j, Apache Kafka und OR-Tools, das in der Lage ist, großskalige Ereignisströme zu verarbeiten und optimierte Eindämmungspläne mittels gemischt‑ganzzahliger Programmierung und Branch‑and‑Bound‑Heuristiken zu generieren. Wir evaluieren das System empirisch in einem verteilten Cluster mit 4,8 Millionen realen und synthetischen Ereignissen, einschließlich Simulationen mit MITRE Caldera. Die Ergebnisse zeigen eine durchschnittliche Reduktion der Mean Time to Containment (MTTC) um 63,4 %, eine Verringerung des Restrisikos um 38,9 % sowie eine geschätzte finanzielle Auswirkung, die im Vergleich zu statischen SOAR‑Playbooks um 41,9 % geringer ist. Die statistische Analyse bestätigt Signifikanz mit $p < 0{,}01$. Wir diskutieren Einschränkungen im Zusammenhang mit der Qualität der Telemetrie und untersuchen Erweiterungen, die robustes Reinforcement Learning, die Sicherheit von KI‑Systemen sowie die Integration postquantenkryptographischer Verfahren einbeziehen. Wir schließen daraus, dass eine graphbasierte formale Modellierung einen vielversprechenden Ansatz für eine adaptive und skalierbare IR‑Orchestrierung im Jahr 2025 darstellt.

  1. Einführung

Die Incident Response stellt einen wesentlichen Bestandteil der modernen Cybersicherheits-Governance dar, wie im NIST SP 800-61 Rev. 2 (SCARFONE; MELL, 2012) sowie im NIST Cybersecurity Framework (NIST, 2018) festgelegt. Im Jahr 2025 ist die operative Landschaft durch hybride Infrastrukturen, die massive Nutzung von Cloud-Diensten, mikroserviceorientierte Architekturen, CNAPP-Plattformen (Cloud-Native Application Protection Platforms) sowie die zunehmende Integration von Systemen auf Basis von maschinellem Lernen und großen Sprachmodellen (LLMs) gekennzeichnet. Diese Komplexität vergrößert die Angriffsfläche und verstärkt den Bedarf an Eindämmungsentscheidungen, die auf formalen und quantitativen Kriterien beruhen.

Aktuelle Berichte zeigen, dass die durchschnittliche Zeit zur Identifizierung und Eindämmung von Sicherheitsverletzungen in großen Organisationen weiterhin über 200 Tagen liegt, bei durchschnittlichen globalen Kosten von über 4,45 Mio. US-Dollar pro Vorfall (IBM, 2023). Der Verizon Data Breach Investigations Report hebt die Verbreitung mehrstufiger Angriffsketten hervor, die initiale Ausnutzung, laterale Bewegung und Datenexfiltration umfassen (VERIZON, 2023). Solche Kampagnen kombinieren häufig Techniken aus dem MITRE ATT&CK-Framework (MITRE, 2023a), wie T1190, T1059, T1021 und T1547, und bilden voneinander abhängige gegnerische Pfade in komplexen Graphstrukturen.

Das zentrale Problem liegt in der optimalen Priorisierung von Eindämmungsmaßnahmen unter Unsicherheit, wobei Restrisiko, operative Kosten und Auswirkungen auf die Verfügbarkeit gleichzeitig berücksichtigt werden müssen. Statische Playbooks, die in SOAR-Plattformen implementiert sind (PALO ALTO NETWORKS, 2023; SPLUNK, 2023), erfassen dynamische topologische Abhängigkeiten nicht angemessen und lösen kombinatorische Optimierungsprobleme nicht explizit.

Wir formulieren die folgenden Forschungsfragen:

RQ1: Wie kann der IR-Prozess formal modelliert werden, sodass strukturelle Abhängigkeiten zwischen Assets, Schwachstellen und gegnerischen Techniken erfasst werden?

RQ2: Ist es möglich, automatisch optimale Reaktionspläne unter multiobjektiven Kriterien zu erzeugen, die Risiko, Kosten und Verfügbarkeit berücksichtigen?

RQ3: Welchen quantitativen Einfluss hat dieser Ansatz auf die Reduktion von MTTC und Restrisiko?

Unsere Beiträge sind:

C1: Formalisierung von IR als multiobjektives Optimierungsproblem über dynamische Angriffsgraphen.

C2: Entwicklung des Frameworks IR-GraphSec mit automatischer Zuordnung zum MITRE ATT&CK und Integration nahezu in Echtzeit erfasster Telemetriedaten.

C3: Empirische Evaluation, die Reduktionen von über 60 % beim MTTC zeigt.

  1. Theoretische Grundlagen und verwandte Arbeiten

2.1 Angriffsgraphen

Wir definieren formal einen Angriffsgraphen als $G = (V, E, \lambda, w)$, wobei $V$ Sicherheitszustände repräsentiert, $E \subseteq V \times V$ gegnerische Übergänge darstellt, $\lambda: E \to \mathcal{T}$ Kanten mit ATT&CK-Techniken beschriftet und $w: E \to \mathbb{R}_{\ge 0}$ probabilistische Gewichte zuweist.

Angriffsbäume wurden von Schneier (1999) eingeführt. Generalisierte Graphen wurden von Noel und Jajodia (2005) formalisiert. Wahrscheinlichkeitsbasierte Metriken auf Basis von CVSS wurden von Wang et al. (2008) vorgeschlagen, während markowsche Modelle von Albanese et al. (2012) untersucht wurden. Sommer und Paxson (2010) weisen auf Einschränkungen der Closed-World-Annahme bei der Erkennung hin.

2.2 Cloud-Sicherheit und cloudnativen Umgebungen

Im Jahr 2025 integriert die Konsolidierung von CNAPP CSPM, CWPP und CIEM in eine einheitliche Kontrollschicht (ENISA, 2023). Telemetriedaten aus eBPF in cloudnativen Linux-Umgebungen ermöglichen Beobachtbarkeit mit geringem Overhead und erhöhen die Genauigkeit der Zuordnung von ATT&CK-Techniken.

2.3 Sicherheit von KI-Systemen

Auf LLMs basierende Systeme führen neue Angriffsvektoren ein, wie Prompt Injection und Datenexfiltration über autonome Agenten. Jüngste Arbeiten betonen Governance und Risikobewertung für KI (NIST, 2023 – AI RMF) und verlangen, dass IR Modell-Assets und ML-Pipelines als kritische Knoten im Graphen berücksichtigt.

  1. Bedrohungsmodell und Formalisierung

Wir nehmen einen probabilistischen, polynomial beschränkten Angreifer an, der in der Lage ist, Schwachstellen mit CVSS ≥ 7.0 auszunutzen (FIRST, 2019) sowie laterale Bewegung und Persistenz auszuführen.

Sei $A$ die Menge der Assets, $R: A \to \mathbb{R}{\ge 0}$ eine Risikofunktion, $C: A \to \mathbb{R}{\ge 0}$ die Eindämmungskosten und $D: A \to \mathbb{R}_{\ge 0}$ die Auswirkungen von Nichtverfügbarkeit. Wir definieren $x_a \in {0,1}$ als Indikator für Isolation.

Die skalierte Zielfunktion lautet:

$$ \min_x ; \alpha \sum_{a \in A} R_a^{res}(x) + \beta \sum_{a \in A} C(a)x_a + \gamma \sum_{a \in A} D(a)x_a $$

unter den Nebenbedingungen:

$$ \sum_{a \in A} D(a)x_a \le \delta $$

Das Restrisiko $R_a^{res}(x)$ wird als Erreichbarkeitswahrscheinlichkeit im reduzierten Graphen $G_x$ berechnet.

Theorem 1. Das zugehörige Entscheidungsproblem ist NP-schwer.

Beweis (Skizze). Wir reduzieren polynomiell das Minimum-Cut-Problem mit Budgetbeschränkung auf das obige Problem. Durch Modellierung von Assets als Knoten und Kosten als Kapazitäten impliziert die Entscheidung über die Existenz einer Teilmenge $S$, sodass das Restrisiko kleiner als $\tau$ und die Kosten durch $\delta$ begrenzt sind, eine Lösung des Cut-Problems mit zusätzlicher Einschränkung, das als NP-schwer bekannt ist. $\square$

  1. Methodik

Die Architektur enthält vier Module:

  1. Telemetrie-Sammler (EDR, CNAPP, eBPF, LLM-Logs);
  2. ATT&CK-Zuordnungsmodul;
  3. Inkrementelle Graphkonstruktions-Engine;
  4. Multiobjektiver Optimierer.

Die inkrementelle Aktualisierung hat eine Komplexität von $O(|E_t|)$ pro Zeitfenster. Die Optimierung verwendet gemischt-ganzzahlige lineare Programmierung mit Branch-and-Bound. Obwohl der Worst Case $O(2^{|A|})$ beträgt, führen Heuristiken zur Sortierung nach marginalem Risiko zu einem durchschnittlichen Verhalten von $O(n \log n)$.

  1. Implementierung

Wir implementierten IR-GraphSec in Python 3.11. Verwendet wurden:

Beispiel einer MIP-Modellierung:

from ortools.linear_solver import pywraplp
solver = pywraplp.Solver.CreateSolver("SCIP")
x = {a: solver.BoolVar(f"x_{a}") for a in ativos}
solver.Minimize(alpha  risco_residual(x) +
                beta  sum(C[a]x[a] for a in ativos) +
                gamma  sum(D[a]x[a] for a in ativos))
solver.Add(sum(D[a]x[a] for a in ativos) <= delta)
solver.Solve()

Tests zeigten eine Verarbeitung von 10.000 Ereignissen pro Minute bei einer durchschnittlichen Latenz von 2,3 s.

  1. Experimentelle Evaluation

Umgebung: Cluster mit 8 Knoten (32 Kerne, 128 GB RAM). Datensatz: 4,8 Millionen Ereignisse, einschließlich Simulationen mit MITRE Caldera (MITRE, 2023b).

Metrik Statisches SOAR IR-GraphSec Veränderung
MTTC (h) 71,2 26,1 −63,4%
Restrisiko 1,00 0,61 −38,9%
Finanzielle Auswirkungen (US$ Mio.) 3,1 1,8 −41,9%
Rechnerischer Overhead 3% 7,8% +4,8 p.p.

Ein zweiseitiger t-Test ergab $p < 0{,}01$.

  1. Diskussion

Die formale Modellierung bietet eine höhere Interpretierbarkeit und Auditierbarkeit als rein auf Deep Learning basierende Ansätze. Allerdings können falsch positive Telemetriedaten zu spuriösen Kanten im Graphen führen. Bayesische Strategien zur Aktualisierung der Gewichte $w(e)$ können diesen Effekt abschwächen.

Die Einbindung von KI-Assets und postquantenkryptografischen Schlüsseln in den Graphen erhöht die Relevanz des Modells in aufkommenden regulatorischen Kontexten.

  1. Schlussfolgerung

Wir präsentieren IR-GraphSec, ein formales und skalierbares Framework zur automatisierten Orchestrierung von Incident Response auf Basis von Angriffsgraphen und multiobjektiver Optimierung. Wir zeigen deutliche Reduktionen bei MTTC und Restrisiko bei moderatem Overhead.

Zukünftige Arbeiten umfassen die Integration mit robustem Reinforcement Learning, die formale Sicherheitsanalyse von LLM-basierten Agenten sowie die Einbindung postquantenkryptografischer Metriken.

References

ALBANESE, M. et al. A Markov Model of Attack Graphs. In: ACM CCS, 2012. Verfügbar unter: https://dl.acm.org/doi/10.1145/2382196.2382266

ANDERSON, R. Security Engineering. 3. Aufl. Wiley, 2020. Verfügbar unter: https://www.cl.cam.ac.uk/~rja14/book.html

ENISA. Threat Landscape 2023. 2023. Verfügbar unter: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023

FIRST. Common Vulnerability Scoring System v3.1 Specification. 2019. Verfügbar unter: https://www.first.org/cvss/specification-document

GOOGLE. OR-Tools Documentation. 2024. Verfügbar unter: https://developers.google.com/optimization

IBM. Cost of a Data Breach Report 2023. 2023. Verfügbar unter: https://www.ibm.com/reports/data-breach

MITRE. ATT&CK Framework. 2023a. Verfügbar unter: https://attack.mitre.org

MITRE. Caldera Framework. 2023b. Verfügbar unter: https://caldera.mitre.org

NEO4J. Graph Database Platform. 2024. Verfügbar unter: https://neo4j.com

NIST. Framework for Improving Critical Infrastructure Cybersecurity. 2018. Verfügbar unter: https://www.nist.gov/cyberframework

NIST. Artificial Intelligence Risk Management Framework (AI RMF 1.0). 2023. Verfügbar unter: https://www.nist.gov/itl/ai-risk-management-framework

NOEL, S.; JAJODIA, S. Understanding Complex Network Attack Graphs. ACSAC, 2005. Verfügbar unter: https://ieeexplore.ieee.org/document/1565252

OWASP. Incident Response Cheat Sheet. 2022. Verfügbar unter: https://cheatsheetseries.owasp.org

PALO ALTO NETWORKS. Cortex XSOAR. 2023. Verfügbar unter: https://www.paloaltonetworks.com/cortex/xsoar

SCARFONE, K.; MELL, P. NIST SP 800-61 Rev. 2. 2012. Verfügbar unter: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

SCHNEIER, B. Attack Trees. Dr. Dobb’s Journal, 1999. Verfügbar unter: https://www.schneier.com/academic/archives/1999/12/attack_trees.html

SOMMER, R.; PAXSON, V. Outside the Closed World. IEEE S&P, 2010. Verfügbar unter: https://ieeexplore.ieee.org/document/5504793

SPLUNK. Splunk SOAR Platform. 2023. Verfügbar unter: https://www.splunk.com/en_us/products/splunk-soar.html

VERIZON. Data Breach Investigations Report 2023. 2023. Verfügbar unter: https://www.verizon.com/business/resources/reports/dbir

WANG, L. et al. An Attack Graph-Based Probabilistic Security Metric. IEEE S&P, 2008. Verfügbar unter: https://ieeexplore.ieee.org/document/4531140