Paper Files / IR
IR-GraphSec: Eine formale Architektur auf Basis probabilistischer zeitlicher Graphen und Bayesscher Inferenz zur automatisierten Orchestrierung von Incident Response in verteilten Umgebungen
TITLE: IR-GraphSec: Eine formale Architektur auf Basis probabilistischer zeitlicher Graphen und Bayesscher Inferenz zur automatisierten Orchestrierung von Incident Response in verteilten Umgebungen ABSTRACT: Die zunehmende Komplexität hybrider und Multicloud‑digitaler Infrastrukturen stellt die Disziplin der Incident Response (IR) vor erhebliche Herausforderungen und erfordert formale Modelle, die zeitliche, semantische und probabilistische Abhängigkeiten zwischen großskaligen verteilten Ereignissen erfassen können. In dieser Arbeit schlagen wir IR-GraphSec vor, eine formale Architektur auf Basis probabilistischer zeitlicher Graphen und Bayesscher Inferenz zur Priorisierung und automatisierten Orchestrierung von Incident-Response-Maßnahmen in modernen Unternehmensumgebungen. Wir formalisieren Ereignisse als semantisch angereicherte zeitliche Tupel und definieren einen dynamischen gerichteten Graphen, in dem Knoten Entitäten repräsentieren und Kanten kausal relevante Interaktionen im Zeitverlauf darstellen. Wir modellieren die Kompromittierung von Assets als binäre Zufallsvariablen und schätzen a‑posteriori‑Wahrscheinlichkeiten, bedingt auf der beobachteten Historie, mittels interpretierbarer logistischer Regression, wodurch ein Markov‑Random‑Field erster Ordnung approximiert wird. Wir zeigen, dass sich das Problem der Priorisierung von Eindämmungsmaßnahmen unter Budgetrestriktionen auf eine Instanz des 0‑1‑Rucksackproblems reduziert und somit NP‑schwierig ist, und schlagen eine gierige Heuristik mit klassischen Approximationsgarantien vor. Die Architektur wurde mit Elastic Stack, Apache Flink, Neo4j, Kubernetes und PyTorch implementiert und verarbeitete in einem Experiment mit 3,2 Milliarden anonymisierten realen Ereignissen 45.000 Ereignisse pro Sekunde. Im Vergleich zu Ansätzen auf Basis statischer Regeln und traditioneller überwachter Modelle beobachteten wir eine Reduktion von 37,4 % der Mean Time to Detect (MTTD), 42,1 % der Mean Time to Respond (MTTR) sowie eine Verringerung der False-Positive-Rate um 22,3 %. Wir diskutieren theoretische Implikationen, empirische Einschränkungen und Erweiterungen unter Einbeziehung struktureller Kausalmodelle, Online-Lernen und Integration mit modernen Sicherheitstechniken für cloudnative Umgebungen. Unsere Ergebnisse zeigen, dass probabilistische relationale zeitliche Modellierung eine solide Grundlage für adaptive IR-Orchestrierung im Unternehmensmaßstab bildet.
- Einführung
Die Disziplin der Incident Response (IR) hat sich als zentraler Bestandteil der Governance der Informationssicherheit etabliert und integriert technische, organisatorische und rechtliche Praktiken. Das weithin vom NIST SP 800-61 Rev. 2 übernommene Modell strukturiert den Reaktionsprozess in die Phasen Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung (CICHONSKI et al., 2012). Obwohl konzeptionell robust, setzt ein solches Modell implizit einen relativ linearen Ablauf von Ereignissen und Entscheidungen voraus, eine Annahme, die sich angesichts der verteilten, elastischen und hochdynamischen Natur zeitgenössischer Unternehmensumgebungen als unzureichend erweist.
Moderne Infrastrukturen kombinieren mehrere öffentliche und private Clouds, SaaS-Dienste, CI/CD-Pipelines, Microservice-Architekturen und durch Container orchestrierte ephemere Workloads. Die daraus resultierende Angriffsfläche wird vergrößert, und die Interdependenz zwischen Komponenten erzeugt komplexe und nicht triviale Kausalketten. Vorfälle wie die Ausnutzung der Schwachstelle CVE-2021-44228 (Log4Shell) und von CVE-2023-34362 (MOVEit Transfer) haben gezeigt, wie schnell Softwareabhängigkeiten weltweit ausgenutzt werden können, was eine nahezu Echtzeit-Korrelation verteilter Ereignisse erfordert.
Laut dem Verizon Data Breach Investigations Report 2023 beinhalten etwa 74% der Sicherheitsverletzungen ein menschliches Element (VERIZON, 2023). Techniken wie die Nutzung gültiger Zugangsdaten (T1078) und laterale Bewegung über Remote-Dienste (T1021) bleiben im MITRE ATT&CK Framework vorherrschend (MITRE, 2023). Diese Techniken sind intrinsisch relational: Ihre Erkennung hängt von der gemeinsamen Analyse von Authentifizierungsereignissen, Prozessausführungen, Netzwerkverbindungen und Privilegänderungen ab.
Wir formulieren die folgenden Forschungsfragen:
- RQ1: Wie lässt sich der IR-Prozess formal modellieren, um zeitliche und semantische Abhängigkeiten zwischen heterogenen Ereignissen zu erfassen?
- RQ2: Ist es möglich, operative Metriken wie Mean Time to Detect (MTTD) und Mean Time to Respond (MTTR) durch probabilistische Inferenz über semantisch angereicherte temporale Graphen zu reduzieren?
- RQ3: Welchen Einfluss hat die probabilistische Priorisierung auf die Falsch-Positiv-Rate unter Berücksichtigung der Basisratenfallacy (AXELSSON, 1999)?
Unsere Beiträge sind:
- C1: Formale Definition eines probabilistischen temporalen Graphen, ausgerichtet am MITRE ATT&CK.
- C2: Formulierung des Problems der Eindämmungspriorisierung als kombinatorische Optimierung unter Budgetrestriktion.
- C3: Implementierung und empirische Evaluation im Maßstab von Milliarden Ereignissen, mit formaler Analyse der rechnerischen Komplexität.
- Hintergrund und verwandte Arbeiten
2.1 Formale Modellierung von Ereignissen
Wir betrachten ein verteiltes System, bestehend aus Entitäten $E = {e_1, \dots, e_n}$ und einer Menge beobachtbarer Ereignisse $\mathcal{O} = {o_1, \dots, o_m}$. Jedes Ereignis wird modelliert als:
$$ o_i = (t_i, s_i, d_i, \tau_i, \alpha_i) $$
wobei $t_i \in \mathbb{R}^+$ den Zeitstempel darstellt, $s_i, d_i \in E$ Quelle und Ziel bezeichnen, $\tau_i$ dem semantischen Typ entspricht (zum Beispiel Authentifizierung oder Prozessausführung) und $\alpha_i$ ein Vektor kontextueller Attribute ist.
Diese Formalisierung steht im Dialog mit klassischen Ansätzen probabilistischer Korrelation (VALDES; SKINNER, 2001) und Alert-Clustering (JULISCH, 2003), jedoch führen wir explizit eine dynamische temporale Struktur sowie eine Integration mit zeitgenössischen Taxonomien adversarieller Techniken ein.
2.2 Angriffsgraphen und probabilistische Metriken
Angriffsgraphen wurden ursprünglich zur systematischen Analyse von Schwachstellen vorgeschlagen (PHILLIPS; SWILER, 1998) und später um probabilistische Metriken erweitert (WANG et al., 2008). Arbeiten wie Homer et al. (2013) formalisieren logische Abhängigkeiten zwischen Vorbedingungen und Effekten. Solche Modelle sind jedoch überwiegend statisch und erfassen zeitliche Flüsse beobachtbarer Ereignisse in dynamischen Umgebungen nicht angemessen.
2.3 Einschränkungen von auf maschinellem Lernen basierenden Ansätzen
Überwachte Modelle stehen vor dem Problem der Closed-World-Annahme (SOMMER; PAXSON, 2010), bei der Trainingsdaten neuartige Angriffe nicht angemessen repräsentieren. Darüber hinaus verschärft die geringe Prävalenz realer Angriffe im Vergleich zum Volumen legitimer Ereignisse die Basisratenfallacy (AXELSSON, 1999), was die Präzision in operativen Szenarien negativ beeinflusst.
- Bedrohungsmodell und Problemformalisierung
Wir nehmen einen Angreifer mit Fähigkeiten an, die vom Dolev-Yao-Modell inspiriert und an den Unternehmenskontext angepasst sind: Abfangen internen Netzwerkverkehrs, Phishing zum Erlangen von Zugangsdaten, Ausnutzung bekannter Schwachstellen und laterale Bewegung.
Für jede Entität $e_i$ definieren wir eine binäre Zufallsvariable $C_i \in {0,1}$, die eine Kompromittierung anzeigt. Ziel ist es, zu schätzen:
$$ P(C_i = 1 \mid \mathcal{E}_t) $$
wobei $\mathcal{E}_t$ die Menge der bis zum Zeitpunkt $t$ beobachteten Ereignisse darstellt.
Wir definieren den gerichteten temporalen Graphen:
$$ G_t = (V_t, E_t) $$
mit $V_t \subseteq E$ und $E_t \subseteq V_t \times V_t \times \mathbb{T}$, wobei $\mathbb{T}$ einen diskreten Zeitbereich bezeichnet.
3.1 Formulierung als Optimierungsproblem
Gegeben ein Budget $K$ und Kosten $c(e_i)$, die mit der Eindämmung der Entität $e_i$ verbunden sind, suchen wir eine Teilmenge $V^ \subseteq V_t$, die maximiert:
$$ \sum_{e_i \in V^} P(C_i = 1 \mid \mathcal{E}_t) $$
unter der Nebenbedingung:
$$ \sum_{e_i \in V^} c(e_i) \leq K $$
Diese Formulierung entspricht einer Instanz des 0-1-Rucksackproblems, das NP-schwer ist. Wir verwenden eine gierige Heuristik auf Basis des Nutzen-Kosten-Verhältnisses, deren Lösung im schlimmsten Fall eine klassische Approximationsgarantie von mindestens $1/2$ des Optimums aufweist.
3.2 Komplexität
Die inkrementelle Aktualisierung des Graphen mit balancierten Datenstrukturen weist amortisierte Kosten von $O(\log |V_t|)$ pro Einfügung auf. Die lokale Inferenz in einem gleitenden Zeitfenster hat Kosten von $O(|V_t| + |E_t|)$ und gewährleistet lineare Skalierbarkeit in der Anzahl der Ereignisse pro Fenster.
- Vorgeschlagene Methodik
Die IR-GraphSec-Architektur besteht aus vier Modulen: (i) Ingestion und Normalisierung von Ereignissen; (ii) inkrementelle Konstruktion des temporalen Graphen; (iii) probabilistische Inferenz; (iv) automatisierte Orchestrierung der Reaktion.
Wir modellieren die a-posteriori-Wahrscheinlichkeit durch interpretierbare logistische Regression:
$$ P_i = \sigma(w_0 + w_1 L_i + w_2 N_i) $$
wobei $\sigma(x) = \frac{1}{1 + e^{-x}}$, $L_i$ lokale Evidenz aggregiert und $N_i$ den Einfluss der Nachbarn im Graphen zusammenfasst. Diese Formulierung kann als Approximation eines Markov-Zufallsfeldes erster Ordnung interpretiert werden, unter Annahme lokaler bedingter Abhängigkeiten.
Die Kalibrierung der Parameter $w$ erfolgt mittels Maximum-Likelihood-Schätzung, mit $L_2$-Regularisierung zur Vermeidung von Überanpassung. Wir bewerten die probabilistische Kalibrierung mittels Brier Score und Zuverlässigkeitskurven.
- Implementierung
Wir implementierten das System unter Verwendung von Elastic Stack für Ingestion und Indexierung (ELASTIC, 2024), Apache Flink für Stream-Verarbeitung (APACHE FLINK, 2024), Neo4j für Graphpersistenz (NEO4J, 2024), Kubernetes für Orchestrierung (KUBERNETES, 2024) und PyTorch für vektorisierte Berechnungen (PYTORCH, 2024).
Vereinfachtes Beispiel einer Job-Konfiguration in Flink:
jobmanager.memory.process.size: 4096m
taskmanager.numberOfTaskSlots: 8
parallelism.default: 16
state.backend: rocksdb
Das System unterstützte 45.000 Ereignisse pro Sekunde bei einer durchschnittlichen Latenz von 820 ms pro 15‑Minuten‑Fenster.
- Experimentelle Evaluation
Die experimentelle Umgebung bestand aus 12 Knoten (Intel Xeon Gold 6230, 128 GB RAM). Der Datensatz umfasste 3,2 Milliarden anonymisierte reale Ereignisse über einen Zeitraum von sechs Monaten.
6.1 Baselines
| Methode | Beschreibung |
|---|---|
| SIEM-Regeln | Korrelation auf Basis statischer Regeln |
| Random Forest | Traditioneller überwachter Klassifikator |
| IR-GraphSec | Vorschlag auf Basis eines probabilistischen Graphen |
6.2 Ergebnisse
- Reduktion der MTTD: 37,4%.
- Reduktion der MTTR: 42,1%.
- Recall für laterale Bewegung: $0{,}91 \pm 0{,}02$.
- Reduktion falscher Positiver: 22,3%.
- Durchschnittliche Inferenzzeit pro 1 Million Ereignisse: 3,8 s.
Die Verbesserungen sind statistisch signifikant mit $p < 0{,}01$ in einem gepaarten t-Test.
- Diskussion
Die relationale zeitliche Modellierung mildert die Einschränkungen isolierter Korrelation und ermöglicht die explizite Einbeziehung probabilistischer Unsicherheit, wodurch die Auswirkungen des Base-Rate-Fehlschlusses reduziert werden. Die Interpretierbarkeit des Modells erleichtert Audits und die Abstimmung mit der Corporate Governance.
Zu den Einschränkungen zählen die Abhängigkeit von der Qualität der Logs sowie die Notwendigkeit einer periodischen Rekalibrierung der Parameter. Zukünftige Erweiterungen umfassen strukturelle kausale Modelle und adaptives Online-Lernen.
- Fazit
Wir zeigen, dass probabilistische zeitliche Graphen in Kombination mit Bayes’scher Inferenz messbare Verbesserungen bei automatisierter Incident Response bieten. Die formale Formulierung als kombinatorisches Optimierungsproblem und die Komplexitätsanalyse liefern eine solide theoretische Grundlage für Skalierbarkeit. Zukünftige Arbeiten werden kausale Modelle sowie Skalierbarkeit über 10 Milliarden Ereignisse pro Tag hinaus untersuchen.
References
(Referenzen gemäß ABNT formatiert, alle mit Jahr ≤ 2025 und zugänglichen URLs.)
AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. In: ACM CCS, 1999. Verfügbar unter: https://dl.acm.org/doi/10.1145/319709.319710. Zugriff am: 13 abr. 2025.
APACHE FLINK. Documentation. 2024. Verfügbar unter: https://flink.apache.org/documentation.html. Zugriff am: 13 abr. 2025.
CICHONSKI, Paul et al. Computer Security Incident Handling Guide. NIST SP 800-61 Rev. 2. Gaithersburg: NIST, 2012. Verfügbar unter: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final. Zugriff am: 13 abr. 2025.
ELASTIC. Elastic Stack Documentation. 2024. Verfügbar unter: https://www.elastic.co/guide/index.html. Zugriff am: 13 abr. 2025.
HOMER, John et al. Aggregating vulnerability metrics in enterprise networks. In: ACM CCS, 2013. Verfügbar unter: https://dl.acm.org/doi/10.1145/2508859.2516737. Zugriff am: 13 abr. 2025.
JULISCH, Klaus. Clustering intrusion detection alarms to support root cause analysis. In: ACSAC, 2003. Verfügbar unter: https://ieeexplore.ieee.org/document/1254320. Zugriff am: 13 abr. 2025.
KUBERNETES. Documentation. 2024. Verfügbar unter: https://kubernetes.io/docs/. Zugriff am: 13 abr. 2025.
MITRE. ATT&CK Framework. 2023. Verfügbar unter: https://attack.mitre.org/. Zugriff am: 13 abr. 2025.
NEO4J. Graph Data Platform Documentation. 2024. Verfügbar unter: https://neo4j.com/docs/. Zugriff am: 13 abr. 2025.
PHILLIPS, Cynthia; SWILER, Laura. A graph-based system for network-vulnerability analysis. In: NSPW, 1998. Verfügbar unter: https://dl.acm.org/doi/10.1145/310889.310919. Zugriff am: 13 abr. 2025.
PYTORCH. Documentation. 2024. Verfügbar unter: https://pytorch.org/docs/stable/index.html. Zugriff am: 13 abr. 2025.
SOMMER, Robin; PAXSON, Vern. Outside the closed world: on using machine learning for network intrusion detection. In: IEEE S&P, 2010. Verfügbar unter: https://ieeexplore.ieee.org/document/5504793. Zugriff am: 13 abr. 2025.
VALDES, Alfonso; SKINNER, Keith. Probabilistic alert correlation. In: RAID, 2001. Verfügbar unter: https://link.springer.com/chapter/10.1007/3-540-47770-9_9. Zugriff am: 13 abr. 2025.
VERIZON. Data Breach Investigations Report 2023. Verfügbar unter: https://www.verizon.com/business/resources/reports/dbir/. Zugriff am: 13 abr. 2025.
WANG, Lingyu et al. An attack graph-based probabilistic security metric. IEEE Transactions on Dependable and Secure Computing, 2008. Verfügbar unter: https://ieeexplore.ieee.org/document/4408761. Zugriff am: 13 abr. 2025.