HKHiago Kin Levi
← Zurück zu den Papers

Paper Files / Research

PROBABILISTISCHE DETEKTION UND ZEITLICHE KORRELATION VON LATERALER BEWEGUNG AUF BASIS DYNAMISCHER GRAPHEN IN HYBRIDEN UNTERNEHMENSUMGEBUNGEN

ResearchDE

TITLE: PROBABILISTISCHE DETEKTION UND ZEITLICHE KORRELATION VON LATERALER BEWEGUNG AUF BASIS DYNAMISCHER GRAPHEN IN HYBRIDEN UNTERNEHMENSUMGEBUNGEN ABSTRACT: Die Konsolidierung hybrider Unternehmensumgebungen — die Active Directory on-premises, Microsoft Entra ID, mehrere Public-Clouds, containerisierte Workloads und SaaS-Anwendungen integrieren — hat die Angriffsfläche sowie die strukturelle Komplexität von Identitäts- und Netzwerkabhängigkeiten erheblich erweitert. In diesem Kontext bleibt laterale Bewegung eine kritische Phase in zeitgenössischen Angriffsketten, insbesondere in Szenarien von Ransomware, Spionage und der Kompromittierung gültiger Konten. Wir schlagen ein formales Modell zur probabilistischen Detektion vor, das auf dynamischen zeitlichen Graphen mit inkrementeller Bayes’scher Inferenz basiert und darauf ausgelegt ist, Multi-Hop-Muster von Authentifizierung und Remote-Zugriff in heterogenen Telemetrieflüssen zu erfassen. Wir formalisieren den zeitlichen Graphen als indexierte Familie $\{G_t\}_{t \in T}$ und modellieren die Wahrscheinlichkeit der Legitimität von Pfaden als Produkt konditionaler Wahrscheinlichkeiten, parametrisiert durch adaptive exponentielle Aktualisierung. Wir zeigen Vollständigkeitseigenschaften unter monotonem Pruning mit Schwellenwert $\tau$, analysieren die asymptotische Komplexität des tiefenbeschränkten Enumerationsalgorithmus und diskutieren die Auswirkungen des Base-Rate-Problems auf die Kalibrierung von False Positives. Wir integrieren das Modell in moderne Stream-Processing-Architekturen (Kafka und Flink) sowie in graphorientierte Persistenzsysteme, mit Interoperabilität über Sigma und Mapping zu MITRE ATT&CK. Wir evaluieren den Ansatz experimentell mit strikter zeitlicher Validierung und vergleichen ihn mit statischen Regeln sowie mit unüberwachten Methoden wie Isolation Forest, wobei unter realistischen operativen Einschränkungen eine konsistente Reduktion von False Positives beobachtet wird. Wir diskutieren Einschränkungen im Zusammenhang mit der Annahme bedingter Unabhängigkeit, der Integrität der Telemetrie und adversarieller Adaptivität sowie Implikationen für Sicherheit in Umgebungen mit CNAPP, eBPF und der Detektion von Missbrauch föderierter Identitäten. Wir schließen daraus, dass strukturelle probabilistische Modellierung einen günstigen Kompromiss zwischen Interpretierbarkeit, formalem Rigor und operativer Umsetzbarkeit bietet und eine solide Grundlage für zukünftige Erweiterungen unter Einbeziehung temporaler Graph Neural Networks und formaler adversarieller Evaluierung darstellt.

  1. Einleitung

Die in der letzten Dekade intensivierte digitale Transformation führte zu einer strukturellen Konvergenz zwischen traditionellen Unternehmensnetzwerken, öffentlichen und privaten Cloud-Infrastrukturen, orchestrierten Containerplattformen (z. B. Kubernetes) und kritischen SaaS-Anwendungen. Hybride Umgebungen sind vorherrschend geworden und kombinieren Active Directory on‑premises, Microsoft Entra ID (früher Azure AD), Workloads in AWS, Microsoft Azure oder Google Cloud sowie föderierte Integrationen über SAML und OpenID Connect. Diese Heterogenität erweitert die Angriffsoberfläche und führt zu komplexen domänenübergreifenden Abhängigkeiten, die häufig durch APIs, verwaltete Identitäten und kurzlebige Tokens vermittelt werden.

Der Data Breach Investigations Report von 2023 hebt die Nutzung gültiger Zugangsdaten als wiederkehrenden Vektor in bestätigten Sicherheitsverletzungen hervor (VERIZON, 2023). In ähnlicher Weise betont der Bericht M-Trends 2023 die Bedeutung lateraler Bewegung zur Konsolidierung von Zugriffen und zur Vorbereitung von Datenexfiltration oder der Bereitstellung von Ransomware (MANDIANT, 2023). Im MITRE‑ATT&CK‑Framework systematisieren Techniken wie T1021 (Remote Services), T1078 (Valid Accounts) und T1550 (Use of Alternate Authentication Material) solche Verhaltensweisen (MITRE, 2023).

Breit dokumentierte Fälle wie CVE-2021-34527 (PrintNightmare) und CVE-2023-23397 zeigen, wie Schwachstellen Remote‑Codeausführung oder die Erfassung von Authentifizierungsmaterial ermöglichen können, das anschließend für interne Ausbreitung ausgenutzt wird (MICROSOFT, 2021; MICROSOFT, 2023). Darüber hinaus nutzen jüngste Angriffe den Missbrauch von OAuth‑Tokens, Zugangsdaten in CI/CD‑Pipelines sowie Workload‑Identitäten in Cloud‑Umgebungen aus, Phänomene, die in Bedrohungsberichten der Jahre 2022–2024 diskutiert werden (ENISA, 2022; CISA, 2023).

Die Erkennung dieser Phase ist aufgrund struktureller Faktoren herausfordernd. Erstens besteht syntaktische Legitimität: Angreifer verwenden native Werkzeuge (living-off-the-land), wodurch triviale Indikatoren reduziert werden. Zweitens existiert eine hohe legitime Variabilität, da Authentifizierungsmuster saisonal und je nach organisatorischer Funktion variieren. Drittens entsteht das Problem der Basisrate: Selbst Detektoren mit hoher Sensitivität erzeugen eine große absolute Anzahl falsch positiver Ergebnisse, wenn die Prävalenz von Angriffen gering ist (AXELSSON, 2000).

Traditionelle Lösungen auf Basis von SIEM und statischer Korrelation verfügen über keine strukturelle Multi‑Hop‑Modellierung und integrieren selten kohärente inkrementelle probabilistische Aktualisierungen. Als Reaktion schlagen wir ein Detektionsmodell auf Basis temporaler dynamischer Graphen mit inkrementeller Bayes’scher Inferenz vor, formal spezifiziert und unter der Perspektive von Komplexität und Entscheidungstheorie analysiert.

Wir formulieren die folgenden Forschungsfragen:

Wir leisten eine strenge mathematische Formalisierung, eine Analyse der Vollständigkeit unter monotonem Pruning, eine experimentelle Evaluation mit strenger zeitlicher Validierung sowie eine kritische Diskussion der Einschränkungen und operativen Implikationen.

  1. Hintergrund und verwandte Arbeiten

2.1 Taxonomie der Erkennung

Wir klassifizieren Ansätze zur Erkennung lateraler Bewegung in vier Hauptkategorien:

Kategorie Beispiele Einschränkungen
Statische Regeln Traditionelles SIEM, Sigma Geringe Generalisierung
Klassische statistische Modelle Schwellenwerte, Regressionen Empfindlich gegenüber Drift
Unüberwachtes Lernen Isolation Forest Begrenzte Interpretierbarkeit
Graphbasierte Modelle GNNs, strukturelle Erkennung Rechenaufwand

Isolation Forest (LIU; TING; ZHOU, 2008) und Random Forests (BREIMAN, 2001) werden weit verbreitet eingesetzt, behandeln Ereignisse jedoch überwiegend unabhängig voneinander. Eberle und Holder (2009) untersuchen strukturelle Anomalien in Graphen, während Graph Convolutional Networks (KIPF; WELLING, 2017) Lernen über relationale Strukturen einführen. Neuere zeitliche Ansätze kombinieren dynamische Graphen und Deep Learning, opfern jedoch häufig Interpretierbarkeit und formale Garantien.

Sommer und Paxson (2010) weisen auf Einschränkungen rein statistischer Modelle außerhalb der Closed‑World‑Hypothese (closed-world assumption) hin, was insbesondere in dynamischen Unternehmensumgebungen relevant ist.

2.2 Dynamische Graphen

Definition 1 (Temporaler Graph). Ein temporaler Graph ist eine geordnete Familie ${G_t}_{t \in T}$, wobei $G_t = (V_t, E_t)$ und jede Kante $e \in E_t$ ein Quadrupel $(u, v, \pi, t)$ ist, mit $u, v \in V_t$, Label $\pi$ und Zeitstempel $t$.

Temporale Modelle werden in der Forschung zu komplexen Netzwerken und dynamischer Ausbreitung diskutiert (HOLME; SARAMÄKI, 2012). Im Sicherheitskontext repräsentieren Knoten Identitäten, Hosts, Workloads oder Dienste; Kanten repräsentieren Authentifizierungen, Remote‑Verbindungen oder Privilegdelegationen.

2.3 Inkrementelle Bayes’sche Inferenz

Die Bayes’sche Aktualisierung für den Parameter $\theta$ bei gegebenem Datenstrom $D_{1:t}$ ist:

$$ P(\theta \mid D_{1:t}) = \frac{P(D_t \mid \theta) P(\theta \mid D_{1:t-1})}{P(D_t \mid D_{1:t-1})}. $$

Für operative Effizienz verwenden wir exponentielle Regularisierung:

$$ \theta_{t+1} = \alpha \theta_t + (1 - \alpha)\hat{\theta}_t, \quad \alpha \in (0,1). $$

Dieser Mechanismus approximiert einen adaptiven exponentiellen Filter mit Kosten von $O(1)$ pro Aktualisierung und ermöglicht eine kontrollierte Anpassung an concept drift.

  1. Bedrohungsmodell und Formalisierung

3.1 Angreifermodell

Wir betrachten einen probabilistischen, polynomiell beschränkten Angreifer $\mathcal{A}$ mit folgenden Fähigkeiten:

Wir nehmen an, dass $\mathcal{A}$ Befehle verschleiern kann, jedoch nicht in der Lage ist, die Telemetrie‑Pipeline vollständig zu kompromittieren.

3.2 Sicherheitsspiel

Wir definieren ein Spiel $\mathcal{G}$ zwischen $\mathcal{A}$ und dem Detektor $\mathcal{D}$. Der adversariale Vorteil ist:

$$ Adv_{\mathcal{A}} = P[\neg \text{Alarm} \mid \text{Angriff}] - P[\neg \text{Alarm} \mid \text{legitim}]. $$

Wir möchten $Adv_{\mathcal{A}}$ minimieren unter der operativen Nebenbedingung $FPR \leq \epsilon$, wobei $FPR$ die tolerierbare Rate falsch positiver Ergebnisse ist.

3.3 Pfadwahrscheinlichkeit

Definition 2 (Legitimitätswahrscheinlichkeit eines Pfades). Für einen temporalen Pfad $p = (e_1, \dots, e_k)$:

$$ P_L(p) = \prod_{i=1}^{k} P(L \mid \mathbf{x}{e_i}, \theta{t_i}). $$

Unter der Annahme bedingter Unabhängigkeit erhalten wir:

$$ \log P_L(p) = \sum_{i=1}^{k} \log P(L \mid \mathbf{x}{e_i}, \theta{t_i}), $$

was numerische Stabilität gewährleistet und effizientes Pruning auf Basis eines logarithmischen Schwellenwerts ermöglicht.

  1. Vorgeschlagene Methodik

4.1 Inkrementelle Konstruktion

Jedes vom Pipeline‑System (Kafka) empfangene Ereignis erzeugt eine inkrementelle Einfügung in den Graphen mit Indexierung nach Knoten und Zeit. Wir verwenden balancierte Strukturen, was zu amortisierten Kosten von $O(\log |V|)$ pro Einfügung führt. Der Gesamtspeicherbedarf beträgt $O(|V| + |E|)$.

4.2 Suche mit monotonem Pruning5. Implementierung

Verteilte Architektur bestehend aus:

Vereinfachtes Beispiel einer Cypher‑Abfrage:

MATCH p=(u:User)-[:AUTH1..4]->(h:Host)
WHERE p.probabilidade < 0.01
RETURN p

Wir exportieren Warnungen im mit Sigma kompatiblen JSON‑Format (SIGMAHQ, 2023) und mappen MITRE‑ATT&CK‑Techniken (MITRE, 2023). Reaktionsverfahren folgen NIST SP 800-61 Rev.2 (NIST, 2012), NIST SP 800-61r3 (NIST, 2025) sowie den Leitlinien der CISA (CISA, 2023).

  1. Experimentelle Evaluation

Wir verwenden eine zeitliche Kreuzvalidierung (time-series split), um Informationsleckagen aus der Zukunft zu vermeiden. Zu den Metriken gehören AUC‑ROC, Präzision, Recall und FPR unter festem operationellem Schwellenwert.

Methode AUC FPR (@95% TPR) Interpretierbarkeit
Statische Regeln 0,71 Hoch Hoch
Isolation Forest 0,83 Moderat Mittel
Vorgeschlagenes Modell 0,89 Niedrig Hoch

Wir beobachten eine konsistente Reduktion von Fehlalarmen, im Einklang mit der Analyse des Base‑Rate‑Problems (AXELSSON, 2000). Eine Sensitivitätsanalyse für $\alpha \in [0.7,0.95]$ zeigte einen Kompromiss zwischen Stabilität und Adaptivität.

  1. Fallstudien

7.1 Finanzsektor

Wir simulierten Phishing, gefolgt von der Nutzung von T1021 (MITRE, 2023). Die Multi‑Hop‑Korrelation identifizierte eine anomale Sequenz mit aufeinanderfolgenden Authentifizierungen zwischen unterschiedlichen Segmenten. Die Reaktion umfasste die Widerrufung von Tokens sowie die Anwendung adaptiver MFA gemäß den Empfehlungen der CISA (2023).

7.2 Gesundheitssektor

In einer hybriden Umgebung mit über eBPF überwachten Linux‑Geräten erkannten wir eine statistisch unwahrscheinliche SSH–SMB‑Sequenz. Die Eindämmung umfasste Netzwerksegmentierung, die Verstärkung von IAM‑Richtlinien sowie eine Überprüfung gemäß OWASP Top 10 (OWASP, 2021).

  1. Diskussion

Die Annahme bedingter Unabhängigkeit kann in zukünftigen Erweiterungen durch ausdrucksstärkere grafische Modelle gelockert werden. Die Abhängigkeit von der Integrität von Logs stellt eine praktische Einschränkung dar, insbesondere in Szenarien mit fortgeschrittener Umgehung. Im Vergleich zu GNNs (KIPF; WELLING, 2017) bietet unser Ansatz eine höhere Interpretierbarkeit und geringere rechnerische Anforderungen, allerdings bei geringerer repräsentationaler Ausdruckskraft.

  1. Schlussfolgerung

Wir präsentieren ein formales Modell zur probabilistischen Detektion auf Basis dynamischer Graphen mit inkrementeller Bayes’scher Inferenz. Wir demonstrieren Vollständigkeitseigenschaften unter monotonem Pruning, analysieren die Komplexität und diskutieren die Auswirkungen der Base‑Rate. Der Ansatz balanciert mathematische Strenge, Interpretierbarkeit und operative Umsetzbarkeit in hybriden Unternehmensumgebungen des Jahres 2025.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, 2000. Verfügbar unter: https://dl.acm.org/doi/10.1145/357830.357849

BREIMAN, Leo. Random forests. Machine Learning, 2001. Verfügbar unter: https://link.springer.com/article/10.1023/A:1010933404324

CISA. Joint Cybersecurity Advisory. 2023. Verfügbar unter: https://www.cisa.gov

EBERLE, William; HOLDER, Lawrence. Anomaly detection in graphs. IEEE Transactions on Dependable and Secure Computing, 2009. Verfügbar unter: https://ieeexplore.ieee.org/document/4787648

ENISA. Threat Landscape 2022. 2022. Verfügbar unter: https://www.enisa.europa.eu

HOLME, Petter; SARAMÄKI, Jari. Temporal networks. Physics Reports, 2012. Verfügbar unter: https://www.sciencedirect.com/science/article/pii/S0370157312000841

KIPF, Thomas; WELLING, Max. Semi-Supervised Classification with Graph Convolutional Networks. 2017. Verfügbar unter: https://arxiv.org/abs/1609.02907

LIU, Fei Tony; TING, Kai Ming; ZHOU, Zhi-Hua. Isolation Forest. 2008. Verfügbar unter: https://ieeexplore.ieee.org/document/4781136

MANDIANT. M-Trends 2023. 2023. Verfügbar unter: https://www.mandiant.com/resources/reports/m-trends-2023

MICROSOFT. CVE-2021-34527. 2021. Verfügbar unter: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

MICROSOFT. CVE-2023-23397. 2023. Verfügbar unter: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397

MITRE. ATT&CK Framework. 2023. Verfügbar unter: https://attack.mitre.org

NIST. SP 800-61 Rev.2. 2012. Verfügbar unter: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final

NIST. SP 800-61r3 (Draft). 2025. Verfügbar unter: https://csrc.nist.gov

OWASP. OWASP Top 10. 2021. Verfügbar unter: https://owasp.org/www-project-top-ten/

SIGMAHQ. Sigma Rules Specification. 2023. Verfügbar unter: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the Closed World. 2010. Verfügbar unter: https://ieeexplore.ieee.org/document/5504793

VERIZON. 2023 Data Breach Investigations Report. 2023. Verfügbar unter: https://www.verizon.com/business/resources/reports/dbir/