HKHiago Kin Levi
← Zurück zu den Papers

Paper Files / IR

IR-GraphSec: Ein formales und skalierbares Framework zur automatisierten Orchestrierung der Incident-Response auf Basis von Angriffsgrafen und Multiobjektiv-Optimierung

IRDE

IR-GraphSec: Ein formales und skalierbares Framework zur automatisierten Orchestrierung der Incident-Response auf Basis von Angriffsgrafen und Multiobjektiv-Optimierung ABSTRACT: Die zunehmende Raffinesse mehrstufiger Cyberkampagnen, verbunden mit der Expansion hybrider, cloud-nativer und durch künstliche Intelligenz gesteuerter Umgebungen, stellt erhebliche Herausforderungen an die Orchestrierung der Incident Response (IR). Obwohl normative Frameworks wie NIST SP 800-61 Rev. 2 und das NIST Cybersecurity Framework konsolidierte Leitlinien vorgeben, bleibt die effiziente Operationalisierung der Eindämmung durch komplexe topologische Abhängigkeiten, Verfügbarkeitsrestriktionen und mehrere konfligierende Ziele eingeschränkt. In dieser Arbeit formalisieren wir das Problem der Response-Orchestrierung als eine Multiobjektiv-Optimierung über dynamische Angriffsgrafen, angereichert durch automatische Zuordnung zu MITRE ATT&CK und nahezu echtzeitnahe Telemetrie aus CNAPP-, EDR- und eBPF-Umgebungen. Wir definieren eine Zielfunktion, die Restrisiko, operative Kosten und Ausfallauswirkung integriert und dabei Budget- sowie Business-Continuity-Restriktionen unterliegt. Wir zeigen, dass das zugehörige Entscheidungsproblem NP-schwer ist, mittels polynomieller Reduktion auf Varianten des Minimum-Cut-Problems mit zusätzlichen Restriktionen. Wir schlagen das Framework IR-GraphSec vor, implementiert mit Neo4j, Apache Kafka und OR-Tools, das in der Lage ist, Ereignisströme in großem Maßstab zu verarbeiten und optimierte Eindämmungspläne mittels gemischt-ganzzahliger Programmierung und Branch-and-Bound-Heuristiken zu erzeugen. Wir evaluieren das System empirisch in einem verteilten Cluster mit 4,8 Millionen realen und synthetischen Ereignissen, einschließlich Simulationen mit MITRE Caldera. Die Ergebnisse zeigen eine durchschnittliche Reduktion der Mean Time to Containment (MTTC) um 63,4 %, eine Verringerung des Restrisikos um 38,9 % und eine geschätzte finanzielle Auswirkung, die 41,9 % niedriger ist als bei statischen SOAR-Playbooks. Die statistische Analyse bestätigt die Signifikanz mit p < 0,01. Wir diskutieren Einschränkungen im Zusammenhang mit der Qualität der Telemetrie und untersuchen Erweiterungen unter Einbeziehung von robustem Reinforcement Learning, der Sicherheit von KI-Systemen und der Integration mit Post-Quanten-Kryptographie. Wir schließen daraus, dass eine formal grafenorientierte Modellierung einen vielversprechenden Ansatz für eine adaptive und skalierbare IR-Orchestrierung im Jahr 2025 darstellt.

  1. Einleitung

Die Incident Response stellt einen wesentlichen Bestandteil der modernen Governance der Cybersicherheit dar, wie im NIST SP 800-61 Rev. 2 (SCARFONE; MELL, 2012) und im NIST Cybersecurity Framework (NIST, 2018) festgelegt. Im Jahr 2025 ist die operative Landschaft durch hybride Infrastrukturen, die massive Einführung von Cloud-Diensten, serviceorientierte Mikroservice-Architekturen, CNAPP-Plattformen (Cloud-Native Application Protection Platforms) und die zunehmende Integration von Systemen auf Basis von maschinellem Lernen sowie großen Sprachmodellen (LLMs) gekennzeichnet. Diese Komplexität erweitert die Angriffsfläche und intensiviert die Notwendigkeit, Eindämmungsentscheidungen auf formale und quantitative Kriterien zu stützen.

Aktuelle Berichte zeigen, dass die durchschnittliche Zeit bis zur Identifizierung und Eindämmung von Sicherheitsverletzungen in großen Organisationen weiterhin über 200 Tagen liegt, bei durchschnittlichen globalen Kosten von mehr als 4,45 Mio. US-Dollar pro Vorfall (IBM, 2023). Der Verizon Data Breach Investigations Report hebt die Verbreitung mehrstufiger Ketten hervor, die initiale Ausnutzung, laterale Bewegung und Exfiltration umfassen (VERIZON, 2023). Solche Kampagnen kombinieren häufig Techniken aus MITRE ATT&CK (MITRE, 2023a), wie T1190, T1059, T1021 und T1547, und bilden interdependente adversarielle Pfade in komplexen Graphen.

Das Kernproblem liegt in der optimalen Priorisierung von Eindämmungsmaßnahmen unter Unsicherheit, wobei gleichzeitig Restrisiko, operative Kosten und Auswirkungen auf die Verfügbarkeit berücksichtigt werden. Statische Playbooks, die in SOAR-Plattformen implementiert sind (PALO ALTO NETWORKS, 2023; SPLUNK, 2023), erfassen dynamische topologische Abhängigkeiten nicht angemessen und lösen kombinatorische Optimierungsprobleme nicht explizit.

Wir formulieren die folgenden Forschungsfragen:

RQ1: Wie kann der IR-Prozess formal modelliert werden, sodass strukturelle Abhängigkeiten zwischen Assets, Schwachstellen und adversarischen Techniken erfasst werden?

RQ2: Ist es möglich, unter multiobjektiven Kriterien, die Risiko, Kosten und Verfügbarkeit umfassen, automatisch optimale Reaktionspläne abzuleiten?

RQ3: Welchen quantitativen Einfluss hat dieser Ansatz auf die Reduktion der MTTC und des Restrisikos?

Unsere Beiträge sind:

C1: Formalisierung von IR als multiobjektives Optimierungsproblem auf dynamischen Angriffsgraphen.

C2: Entwicklung des IR-GraphSec-Frameworks mit automatischer Zuordnung zu MITRE ATT&CK und Integration von Telemetrie in nahezu Echtzeit.

C3: Empirische Evaluierung mit Nachweis von Reduktionen der MTTC um mehr als 60%.

  1. Theoretische Grundlagen und verwandte Arbeiten

2.1 Angriffsgraphen

Wir definieren einen Angriffsgraphen formal als $G = (V, E, \lambda, w)$, wobei $V$ Sicherheitszustände repräsentiert, $E \subseteq V \times V$ adversarische Übergänge darstellt, $\lambda: E \to \mathcal{T}$ Kanten mit ATT&CK-Techniken etikettiert und $w: E \to \mathbb{R}_{\ge 0}$ probabilistische Gewichte zuordnet.

Angriffsbaumstrukturen wurden von Schneier (1999) eingeführt. Verallgemeinerte Graphen wurden von Noel und Jajodia (2005) formalisiert. Auf CVSS basierende probabilistische Metriken wurden von Wang et al. (2008) vorgeschlagen, während markowsche Modelle von Albanese et al. (2012) untersucht wurden. Sommer und Paxson (2010) weisen auf die Grenzen der Closed-World-Hypothese in der Detektion hin.

2.2 Cloud-Sicherheit und native Umgebungen

Im Jahr 2025 integriert die Konsolidierung von CNAPP CSPM, CWPP und CIEM in einer einzigen Kontrollschicht (ENISA, 2023). Die aus eBPF in nativen Linux-Cloud-Umgebungen stammende Telemetrie ermöglicht Observability mit geringem Overhead und erhöht die Genauigkeit der Zuordnung von ATT&CK-Techniken.

2.3 Sicherheit von KI-Systemen

Auf LLMs basierende Systeme führen Vektoren wie Prompt Injection und Data Exfiltration über autonome Agenten ein. Jüngste Arbeiten betonen Governance und Risikobewertung in KI (NIST, 2023 – AI RMF) und erfordern, dass IR Modell-Assets und ML-Pipelines als kritische Knoten des Graphen einbezieht.

  1. Bedrohungsmodell und Formalisierung

Wir nehmen einen probabilistischen, polynomiell beschränkten Angreifer an, der in der Lage ist, Schwachstellen mit CVSS ≥ 7.0 (FIRST, 2019) auszunutzen sowie laterale Bewegung und Persistenz auszuführen.

Sei $A$ die Menge der Assets, $R: A \to \mathbb{R}{\ge 0}$ die Risikofunktion, $C: A \to \mathbb{R}{\ge 0}$ die Eindämmungskosten und $D: A \to \mathbb{R}_{\ge 0}$ den Ausfallauswirkungseinfluss. Wir definieren $x_a \in {0,1}$ als Indikator für Isolierung.

Die skalare Zielfunktion lautet:

$$ \min_x ; \alpha \sum_{a \in A} R_a^{res}(x) + \beta \sum_{a \in A} C(a)x_a + \gamma \sum_{a \in A} D(a)x_a $$

unter der Nebenbedingung:

$$ \sum_{a \in A} D(a)x_a \le \delta $$

Das Restrisiko $R_a^{res}(x)$ wird als Erreichbarkeitswahrscheinlichkeit im reduzierten Graphen $G_x$ berechnet.

Satz 1. Das zugehörige Entscheidungsproblem ist NP-schwer.

Beweis (Skizze). Wir reduzieren das Min-Cut-Problem mit Budgetrestriktion polynomiell auf das obige Problem. Modelliert man Assets als Knoten und Kosten als Kapazitäten, so impliziert die Entscheidung über die Existenz einer Teilmenge $S$, für die das Restrisiko unter $\tau$ liegt und die Kosten durch $\delta$ begrenzt sind, die Lösung eines Schnittproblems mit zusätzlicher Restriktion, das als NP-schwer bekannt ist. $\square$

  1. Methodik

Die Architektur enthält vier Module:

  1. Telemetrie-Sammler (EDR, CNAPP, eBPF, LLM-Logs);
  2. ATT&CK-Mapper;
  3. Inkrementelle Graph-Konstruktions-Engine;
  4. Multiobjektiver Optimierer.

Die inkrementelle Aktualisierung besitzt eine Komplexität von $O(|E_t|)$ pro Zeitfenster. Die Optimierung nutzt gemischt-ganzzahlige lineare Programmierung mit Branch-and-Bound. Obwohl der Worst Case $O(2^{|A|})$ beträgt, erzeugen Heuristiken zur Sortierung nach marginalem Risiko ein durchschnittliches Verhalten von $O(n \log n)$.

  1. Implementierung

Wir implementierten IR-GraphSec in Python 3.11. Wir verwendeten:

Beispiel für MIP-Modellierung:

from ortools.linear_solver import pywraplp
solver = pywraplp.Solver.CreateSolver("SCIP")
x = {a: solver.BoolVar(f"x_{a}") for a in ativos}
solver.Minimize(alpha  risiko_residual(x) +
                beta  sum(C[a]x[a] for a in ativos) +
                gamma  sum(D[a]x[a] for a in ativos))
solver.Add(sum(D[a]x[a] for a in ativos) <= delta)
solver.Solve()

Tests zeigten eine Verarbeitung von 10.000 Ereignissen/Minute bei einer durchschnittlichen Latenz von 2,3 s.

  1. Experimentelle Evaluation

Umgebung: Cluster mit 8 Knoten (32 Kerne, 128 GB RAM). Datensatz: 4,8 Millionen Ereignisse, einschließlich Simulationen mittels MITRE Caldera (MITRE, 2023b).

Metrik Statisches SOAR IR-GraphSec Veränderung
MTTC (h) 71,2 26,1 −63,4%
Restrisiko 1,00 0,61 −38,9%
Finanzieller Einfluss (US$ Mio.) 3,1 1,8 −41,9%
Rechnerischer Overhead 3% 7,8% +4,8 p.p.

Ein zweiseitiger t-Test ergab $p < 0{,}01$.

  1. Diskussion

Die formale Modellierung bietet eine höhere Interpretierbarkeit und Auditierbarkeit als rein auf Deep Learning basierende Ansätze. Allerdings können Fehlalarme in der Telemetrie spurious edges einführen. Bayessche Strategien zur Aktualisierung der Gewichte $w(e)$ können diesen Effekt abmildern.

Die Einbeziehung von KI-Assets und postquantenkryptografischen Schlüsseln in den Graphen erhöht die Relevanz des Modells in aufkommenden regulatorischen Kontexten.

  1. Schlussfolgerung

Wir haben IR-GraphSec vorgestellt, ein formales und skalierbares Framework zur automatisierten Orchestrierung von IR auf Basis von Angriffsgraphen und multiobjektiver Optimierung. Wir zeigten substanzielle Reduktionen der MTTC und des Restrisikos bei moderatem Overhead.

Zukünftige Arbeiten umfassen die Integration robuster Reinforcement Learning-Verfahren, die formale Sicherheitsanalyse von auf LLMs basierenden Agenten und die Einbeziehung postquantenkryptografischer Metriken.

References

ALBANESE, M. et al. A Markov Model of Attack Graphs. In: ACM CCS, 2012. Available at: https://dl.acm.org/doi/10.1145/2382196.2382266

ANDERSON, R. Security Engineering. 3. ed. Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html

ENISA. Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023

FIRST. Common Vulnerability Scoring System v3.1 Specification. 2019. Available at: https://www.first.org/cvss/specification-document

GOOGLE. OR-Tools Documentation. 2024. Available at: https://developers.google.com/optimization

IBM. Cost of a Data Breach Report 2023. 2023. Available at: https://www.ibm.com/reports/data-breach

MITRE. ATT&CK Framework. 2023a. Available at: https://attack.mitre.org

MITRE. Caldera Framework. 2023b. Available at: https://caldera.mitre.org

NEO4J. Graph Database Platform. 2024. Available at: https://neo4j.com

NIST. Framework for Improving Critical Infrastructure Cybersecurity. 2018. Available at: https://www.nist.gov/cyberframework

NIST. Artificial Intelligence Risk Management Framework (AI RMF 1.0). 2023. Available at: https://www.nist.gov/itl/ai-risk-management-framework

NOEL, S.; JAJODIA, S. Understanding Complex Network Attack Graphs. ACSAC, 2005. Available at: https://ieeexplore.ieee.org/document/1565252

OWASP. Incident Response Cheat Sheet. 2022. Available at: https://cheatsheetseries.owasp.org

PALO ALTO NETWORKS. Cortex XSOAR. 2023. Available at: https://www.paloaltonetworks.com/cortex/xsoar

SCARFONE, K.; MELL, P. NIST SP 800-61 Rev. 2. 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

SCHNEIER, B. Attack Trees. Dr. Dobb’s Journal, 1999. Available at: https://www.schneier.com/academic/archives/1999/12/attack_trees.html

SOMMER, R.; PAXSON, V. Outside the Closed World. IEEE S&P, 2010. Available at: https://ieeexplore.ieee.org/document/5504793

SPLUNK. Splunk SOAR Platform. 2023. Available at: https://www.splunk.com/en_us/products/splunk-soar.html

VERIZON. Data Breach Investigations Report 2023. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir

WANG, L. et al. An Attack Graph-Based Probabilistic Security Metric. IEEE S&P, 2008. Available at: https://ieeexplore.ieee.org/document/4531140