Paper Files / Research
Skalierbare hybride Architektur für die Erkennung und Jagd auf Bedrohungen auf Basis von mehrschichtiger Telemetrie und MITRE-ATT&CK-orientierter Korrelation
Skalierbare hybride Architektur für die Erkennung und Jagd auf Bedrohungen auf Basis von mehrschichtiger Telemetrie und MITRE-ATT&CK-orientierter Korrelation ABSTRACT: Die beschleunigte Expansion digitaler Unternehmensumgebungen, angetrieben durch die Einführung von Cloud-Computing, hybriden Architekturen, Microservices und Integrationen über APIs, hat die Informationssicherheitslandschaft tiefgreifend verändert. Die heutige Angriffsfläche ist stark verteilt und dynamisch geworden, was die frühzeitige Erkennung von Intrusionen durch traditionelle, ausschließlich auf Signaturen basierende Mechanismen erschwert. Moderne Angriffe folgen häufig komplexen Ketten von Taktiken, Techniken und Verfahren (TTPs), die sich oft über mehrere Infrastrukturebenen verteilen, darunter Endpunkte, Netzwerke, Identitäten und Cloud-Dienste. In diesem Kontext erweisen sich isolierte Erkennungsansätze – wie auf statischen Regeln basierende SIEMs oder EDR-Lösungen ohne kontextuelle Korrelation – als unzureichend.
- Einleitung
Die Unternehmensangriffsfläche hat sich im vergangenen Jahrzehnt exponentiell erweitert, bedingt durch die massive Einführung von Cloud-Computing, hybriden Architekturen, Remote Work, SaaS-Plattformen und umfangreichen Integrationen über APIs. Diese digitale Transformation hat die operative Komplexität von IT-Umgebungen erheblich erhöht und folglich auch die Herausforderungen im Zusammenhang mit der Erkennung von Bedrohungen.
Aktuelle Berichte weisen darauf hin, dass der menschliche Faktor weiterhin einer der wichtigsten Kompromittierungsvektoren ist. Der Data Breach Investigations Report 2024 zeigt, dass ungefähr 68 % der Sicherheitsverletzungen irgendeine Form menschlicher Interaktion beinhalten, häufig im Zusammenhang mit dem Missbrauch oder der Kompromittierung gültiger Zugangsdaten (VERIZON, 2024). Dieses Szenario zeigt, dass Angreifer häufig legitime Identitäten ausnutzen, um sich lateral innerhalb von Unternehmensnetzen zu bewegen.
Zeitgenössische Angriffe beschränken sich selten auf eine einzelne Technik. Stattdessen folgen sie strukturierten Sequenzen von TTPs (Tactics, Techniques and Procedures), die den operativen Fortschritt des Gegners innerhalb der kompromittierten Umgebung widerspiegeln. Das MITRE-ATT&CK-Framework hat sich als eine der zentralen Taxonomien zur Modellierung dieser adversarialen Aktivitäten etabliert und bietet eine strukturierte Grundlage für Verhaltensanalyse und Ereigniskorrelation (MITRE, 2023).
Weit dokumentierte Vorfälle veranschaulichen diese Entwicklung. Die Kompromittierung der SolarWinds-Lieferkette zeigte, wie Angreifer bösartigen Code in legitime Softwareverteilungsprozesse einschleusen können, gefolgt von unauffälliger lateraler Bewegung und dem Missbrauch föderierter Authentifizierungstoken. In ähnlicher Weise demonstrierte die Schwachstelle Log4Shell (CVE-2021-44228), wie eine Ferncodeausführungsschwachstelle ausgenutzt werden kann, um zusätzliche Payloads wie Web Shells, Kryptominer oder Frameworks zur Post-Exploitation bereitzustellen.
In beiden Fällen erwiesen sich traditionelle, ausschließlich auf Signaturen basierende Erkennungsmechanismen als unzureichend, um die frühen Phasen des Eindringens zu identifizieren. SIEM-Systeme sind häufig von statischen Regeln abhängig — etwa Sigma Rules, die in spezifische Abfragesprachen konvertiert werden — und können ein hohes Volumen an Fehlalarmen erzeugen oder hochentwickelte Angriffe nicht erkennen.
Darüber hinaus arbeiten Endpoint Detection and Response (EDR)-Lösungen häufig isoliert, ohne direkte Korrelation mit Netzwerk-, Authentifizierungs- oder Cloud-Infrastrukturereignissen. Diese Fragmentierung reduziert die analytische Leistungsfähigkeit der Teams in Security Operations Centers (SOC).
Vor diesem Hintergrund formulieren wir die folgenden Forschungsfragen:
RQ1: Wie lässt sich die Korrelation heterogener Sicherheitsereignisse formal modellieren, um reale Angriffsprogressionen abzubilden?
RQ2: Welchen quantitativen Einfluss hat die Integration mehrschichtiger Telemetrie auf die Reduktion der mittleren Zeit bis zur Erkennung (MTTD) und der Fehlalarmrate?
RQ3: Ist es möglich, die operative Skalierbarkeit in Umgebungen mit großen Datenvolumina aufrechtzuerhalten, ohne die analytische Leistung zu beeinträchtigen?
Die wesentlichen Beiträge dieser Arbeit sind:
C1: Wir schlagen ein mathematisches Modell auf Basis gewichteter gerichteter Graphen vor, um auf MITRE ATT&CK ausgerichtete Angriffsketten darzustellen.
C2: Wir entwickeln Algorithmen zur zeitlichen Aggregation und Berechnung des kumulativen Risikos für die Korrelation verteilter Ereignisse.
C3: Wir implementieren eine funktionale Architektur auf Basis in der Industrie weit verbreiteter Werkzeuge und bewerten ihre Leistung empirisch in realistischen Intrusionsszenarien.
Der restliche Artikel ist wie folgt organisiert: Abschnitt 2 präsentiert theoretische Grundlagen und verwandte Arbeiten; Abschnitt 3 beschreibt das Bedrohungsmodell und die Formalisierung des Problems; Abschnitt 4 erläutert die vorgeschlagene Methodik; Abschnitt 5 beschreibt die Implementierung der Architektur; Abschnitt 6 präsentiert die experimentelle Evaluierung; Abschnitt 7 beschreibt eine Fallstudie; Abschnitt 8 diskutiert Implikationen und Grenzen; Abschnitt 9 schließt die Arbeit ab.
- Hintergrund und verwandte Arbeiten
Die Erkennung von Intrusionen kann formal als ein Klassifikationsproblem über eine Menge beobachtbarer Ereignisse aus mehreren Telemetriequellen modelliert werden. Betrachten wir eine Menge von Ereignissen:
$E = {e_1, e_2, …, e_n}$
wobei jedes Ereignis $e_i$ durch einen Merkmalsvektor beschrieben wird:
$(a_1, a_2, …, a_k)$
Traditionelle Erkennungsmodelle wenden eine Klassifikationsfunktion an:
$f: E \rightarrow {0,1}$
wobei $0$ benignes Verhalten und $1$ bösartige Aktivität repräsentiert.
Signaturbasierte Systeme
Signaturbasierte Erkennungssysteme hängen von der Identifizierung bereits bekannter Muster im Traffic oder in Logs ab. Eines der bekanntesten Beispiele ist Snort, vorgestellt von Roesch (1999), das strukturierte Regeln verwendet, um bösartigen Netzwerkverkehr zu erkennen.
Obwohl sie gegen bekannte Bedrohungen wirksam sind, weisen solche Systeme erhebliche Einschränkungen gegenüber polymorphen Angriffen oder Umgehungstechniken auf.
Anomaliebasierte Erkennung
Anomaliebasierte Ansätze zielen darauf ab, Abweichungen von normalen Verhaltensmustern zu identifizieren. Diese Techniken können statistische Verfahren, maschinelles Lernen oder tiefe neuronale Netze einsetzen.
Sommer und Paxson (2010) heben jedoch hervor, dass rein anomaliebasierte Systeme in komplexen Betriebsumgebungen häufig hohe Fehlalarmraten aufweisen, insbesondere wenn die legitime Verhaltensvarianz hoch ist.
Graphbasierte Angriffmodellierung
Angriffsgraphen stellen mögliche Exploit-Pfade dar, denen ein Angreifer innerhalb einer kompromittierten Umgebung folgen kann. Diese Strukturen ermöglichen die Modellierung von Abhängigkeiten zwischen Schwachstellen, Privilegien und Ressourcen.
Neuere Forschungen zeigen, dass Angriffsgraphen die Analyse adversarialer Fortschritte erheblich verbessern können, insbesondere wenn sie mit Verhaltensframeworks wie MITRE ATT&CK kombiniert werden (ZHANG et al., 2021).
Mehrschichtige Telemetrie
Moderne Werkzeuge zur Sicherheitsbeobachtbarkeit bieten granulare Sichtbarkeit auf verschiedenen Systemschichten:
- Sysmon protokolliert detaillierte Ereignisse des Windows-Betriebssystems (RUSSINOVICH; IONESCU, 2023)
- Suricata fungiert als leistungsfähiges IDS/IPS zur Inspektion von Netzwerkverkehr (OISF, 2023)
- Zeek liefert Verhaltensanalysen von Netzwerkprotokollen (PAXSON, 1999)
Trotz der Verfügbarkeit dieser Datenquellen fehlen vielen Organisationen weiterhin effiziente Mechanismen zur Korrelation von Ereignissen über verschiedene Infrastrukturebenen hinweg.
Sicherheit in Cloud-nativen Umgebungen
Mit der massenhaften Einführung cloud-nativer Architekturen sind neue Kategorien von Sicherheitsplattformen entstanden, darunter Cloud-Native Application Protection Platforms (CNAPP). Diese Plattformen integrieren traditionell getrennte Fähigkeiten wie:
- Cloud Security Posture Management (CSPM)
- Cloud Workload Protection Platforms (CWPP)
- Container Security
- Infrastructure-as-Code-Scanning
Die Konvergenz dieser Technologien erweitert die Sichtbarkeit über verteilte Workloads, erzeugt aber zugleich massive Telemetriemengen, die effizient korreliert werden müssen.
Beobachtbarkeit mit eBPF
In jüngerer Zeit hat der Einsatz des extended Berkeley Packet Filter (eBPF) sich zu einem vielversprechenden Ansatz für die Erfassung von Telemetrie mit geringem Overhead in Linux-Umgebungen entwickelt. eBPF-Programme können im Kernel ausgeführt werden, um Ereignisse wie die folgenden zu erfassen:
- Prozess-Erstellung
- Systemaufrufe
- Netzwerkverbindungen
- Dateimanipulation
Diese Fähigkeit ermöglicht die Beobachtung bösartiger Verhaltensweisen mit deutlich höherer Granularität.
Neue mit KI assoziierte Bedrohungen
Das Aufkommen großer Sprachmodelle (LLMs) hat ebenfalls neue Angriffsflächen eingeführt. Zu den entstehenden Vektoren gehören insbesondere:
- Prompt Injection
- Data Poisoning in Trainingspipelines
- Exfiltration sensibler Daten durch adversarielle Abfragen
Diese Bedrohungen unterstreichen die Notwendigkeit fortgeschrittener verhaltensbasierter Erkennungsmechanismen, die über traditionelle, ausschließlich auf Signaturen basierende Modelle hinausgehen.
- Bedrohungsmodell und Problemformalisierung
Wir nehmen einen Angreifer mit den folgenden Fähigkeiten an:
- Erstzugriff über entfernte Schwachstellen
- Arbiträre Codeausführung auf kompromittierten Systemen
- Lokale Privilegieneskalation
- Laterale Bewegung zwischen Hosts
- Exfiltration von Daten über verschlüsselte Kanäle
Wir modellieren die beobachtbare Umgebung als gerichteten Graphen:
$G = (V, E)$
wobei:
- $V$ Techniken des MITRE-ATT&CK-Frameworks repräsentiert
- $E$ mögliche Übergänge zwischen beobachteten Techniken repräsentiert
Jede Technik besitzt ein zugeordnetes Gewicht $w_i$, das ihr potenzielles Ausmaß innerhalb der Angriffskette repräsentiert.
Wir definieren die Funktion des kumulativen Risikos:
$$ R(t) = \sum_{i=1}^{n} w_i \cdot \delta(e_i, t) $$
wobei:
- $w_i$ das mit der erkannten Technik verbundene Gewicht darstellt
- $\delta(e_i, t)$ eine Indikatorfunktion ist, die den Wert 1 annimmt, wenn das Ereignis $e_i$ innerhalb des betrachteten Zeitfensters auftritt.
Ein Alarm wird ausgelöst, wenn:
$$ R(t) \geq \theta $$
wobei $\theta$ einen konfigurierbaren Risikoschwellenwert darstellt.
3.1 Erweiterte Analyse des Bedrohungsmodells
Die zuvor dargestellte traditionelle Modellierung berücksichtigt nur lineare Sequenzen von ATT&CK-Techniken. Moderne Unternehmensumgebungen erfordern jedoch eine umfassendere Darstellung, die Folgendes einschließt:
- mehrere Exploit-Pfade
- bedingte Abhängigkeiten zwischen Techniken
- hybride Angriffsflächen (Endpoint, Netzwerk und Cloud)
Wir können die adversariale Progression als Angriffsbäume darstellen.
graph TD
A[Initial Access]
A --> B[Phishing]
A --> C[Exploit Public-Facing App]
B --> D[Credential Harvesting]
C --> D
D --> E[Privilege Escalation]
E --> F[Lateral Movement]
F --> G[Domain Controller Compromise]
G --> H[Data Exfiltration]
G --> I[Ransomware Deployment]
In diesem Modell können verschiedene Vektoren des Erstzugriffs in einen gemeinsamen Satz post-exploitiver Aktionen konvergieren.
Risikomatrix
Die Risikobewertung kann anhand zweier Hauptdimensionen modelliert werden:
- Eintrittswahrscheinlichkeit
- operatives Ausmaß
Tabelle 3 zeigt eine vereinfachte Matrix.
| ATT&CK-Technik | Wahrscheinlichkeit | Auswirkung | Score |
|---|---|---|---|
| Phishing | Hoch | Mittel | 0.72 |
| Credential Dumping | Mittel | Hoch | 0.81 |
| Lateral Movement | Mittel | Hoch | 0.79 |
| Data Exfiltration | Niedrig | Kritisch | 0.84 |
Wir können das Risiko formal definieren als:
$$ Risk = P(e) \times Impact(e) $$
wobei:
- $P(e)$ die geschätzte Wahrscheinlichkeit des Auftretens des Ereignisses darstellt
- $Impact(e)$ das geschätzte operative Ausmaß darstellt.
Probabilistische Modellierung von Angriffsketten
Betrachten Sie eine Kette von Techniken $T = {t_1, t_2, …, t_n}$.
Die gemeinsame Kompromittierungswahrscheinlichkeit kann approximiert werden durch:
$$ P(T) = \prod_{i=1}^{n} P(t_i | t_{i-1}) $$
Diese Formulierung ermöglicht die Schätzung der Wahrscheinlichkeit einer Angriffsprogression entlang des Graphen.
- Vorgeschlagene Methodik
Die vorgeschlagene Architektur folgt einem verteilten Pipeline-Modell, das aus vier Hauptschichten besteht:
- Telemetrieerfassung
- Normalisierung und Anreicherung
- Verhaltenskorrelation
- Visualisierung und Untersuchung
Erfassungsschicht
Die Ereigniserfassung erfolgt durch mehrere verteilte Sensoren:
- Sysmon für Prozess- und Systemtelemetrie
- Suricata für Traffic-Inspektion
- Zeek für Protokollanalyse
- Identitäts- und Authentifizierungsprotokolle
Normalisierung
Die Ereignisse werden durch Ingestion-Pipelines auf Basis von Logstash und Kafka verarbeitet, was Folgendes ermöglicht:
- Standardisierung von Feldern
- Anreicherung mit Threat Intelligence
- effiziente Indexierung
Algorithmus zur zeitlichen Aggregation
Input: Ereignisstrom $S$
Output: Menge von Alarmen $A$
Für jedes Ereignis $e$ in $S$:
- $e$ auf die entsprechende ATT&CK-Technik abbilden
- den Risikowert $R(t)$ aktualisieren
- die Alarmbedingung bewerten
Wenn $R(t) \geq \theta$, einen Alarm erzeugen und die korrelierte Ereigniskette protokollieren.
Unter Annahme einer effizienten zeitlichen Indexierung beträgt die ungefähre Komplexität des Algorithmus:
$O(n \log n)$
- Implementierung
Die Implementierung wurde unter Verwendung von in SOC-Umgebungen weit verbreiteten Technologien durchgeführt.
Tabelle 1 zeigt die wichtigsten verwendeten Komponenten.
| Komponente | Version | Funktion |
|---|---|---|
| Elastic Stack | 8.11 | Indexierung und Loganalyse |
| Apache Kafka | 3.5 | Event-Streaming |
| Wazuh | 4.6 | Endpunktüberwachung |
| Sysmon | 15 | Systemtelemetrie |
| Redis | 7 | Cache und Korrelationszustand |
Beispiel für eine Sysmon-Konfiguration
<ProcessCreate onmatch="include">
<CommandLine condition="contains">powershell</CommandLine>
</ProcessCreate>
Dieser Filter ermöglicht die Erfassung von PowerShell-Ausführungen, die häufig mit ATT&CK-Techniken wie T1059 (Command and Scripting Interpreter) assoziiert sind.
Skalierbarkeit
Die Pipeline wurde für den Betrieb in verteilten Umgebungen mit hohem Ereignisaufkommen konzipiert. Der Einsatz von Kafka ermöglicht horizontale Parallelisierung bei der Ingestion und Verarbeitung von Logs.
- Vergleichende Analyse
Die Wirksamkeit der vorgeschlagenen Architektur lässt sich besser verstehen, wenn sie mit traditionellen Ansätzen verglichen wird, die in Security Operations Centern verwendet werden.
Vergleich mit traditionellen SIEM-Systemen
| Kriterium | Traditionelles SIEM | Vorgeschlagene Architektur |
|---|---|---|
| Ereigniskorrelation | Statische Regeln | ATT&CK-Graphen |
| Skalierbarkeit | Begrenzt | Hoch |
| Verhaltensbasierte Erkennung | Teilweise | Fortgeschritten |
| Cloud-Integration | Begrenzt | Nativ |
Vergleich mit isoliertem EDR
| Merkmal | EDR | Mehrschichtige Architektur |
|---|---|---|
| Endpunkt-Sichtbarkeit | Hoch | Hoch |
| Netzwerk-Sichtbarkeit | Niedrig | Hoch |
| Zeitliche Korrelation | Begrenzt | Fortgeschritten |
| Identitätskontext | Teilweise | Vollständig |
Vergleich mit CNAPP-Plattformen
| Aspekt | CNAPP | Vorgeschlagene Architektur |
|---|---|---|
| Workload-Sicherheit | Ja | Ja |
| Endpunkt-Telemetrie | Teilweise | Vollständig |
| TTP-basierte Erkennung | Begrenzt | Stark |
| SOC-Integration | Moderat | Hoch |
Fluss der Ereigniskorrelation
sequenceDiagram
participant Endpoint
participant NetworkSensor
participant Kafka
participant CorrelationEngine
participant SIEM
Endpoint->>Kafka: Sysmon Events
NetworkSensor->>Kafka: Suricata Alerts
Kafka->>CorrelationEngine: Event Stream
CorrelationEngine->>CorrelationEngine: ATT&CK Mapping
CorrelationEngine->>SIEM: Correlated Alert
- Leistungsbenchmarks
Zur Bewertung der Leistung der vorgeschlagenen Architektur wurden zusätzliche Experimente in Umgebungen mit hoher Last durchgeführt.
Ingestion-Durchsatz
| Ereignisse/s | Durchschnittliche Latenz | CPU-Auslastung |
|---|---|---|
| 10k | 120 ms | 35% |
| 50k | 210 ms | 52% |
| 100k | 390 ms | 73% |
Erkennungseffizienz nach Angriffskategorie
| Angriffstyp | Erkennungsrate |
|---|---|
| Phishing | 95% |
| Lateral Movement | 97% |
| Credential Dumping | 94% |
| Data Exfiltration | 92% |
Verteilung der Alarmtypen
pie
title Verteilung erkannter Alarme
"Laterale Bewegung" : 35
"Remote-Ausführung" : 22
"Datenausleitung" : 18
"Privilegieneskalation" : 25
- Experimentelle Evaluierung
Die experimentelle Evaluierung wurde in einer kontrollierten Umgebung durchgeführt, bestehend aus:
- 120 virtuellen Maschinen
- hybrider Infrastruktur zur Simulation von Unternehmensdiensten
- drei Knoten, die der Analyse-Pipeline gewidmet waren
Der Datensatz umfasste 18 vollständige Angriffsketten, die verschiedene Intrusionsvektoren repräsentierten.
Tabelle 2 zeigt die vergleichenden Ergebnisse.
| Metrik | SIEM-Baseline | Vorgeschlagene Architektur |
|---|---|---|
| Erkennungsrate | 82.3% | 96.4% |
| Fehlalarme | 14.7% | 9.1% |
| MTTD | 4h12 | 37 min |
Wir beobachteten eine signifikante Verbesserung der Fähigkeit, vollständige Angriffsketten zu identifizieren, insbesondere in Szenarien lateraler Bewegung.
- Bereitstellungs-Fallstudie
Um die Anwendbarkeit in realen Unternehmensumgebungen zu bewerten, führten wir eine Bereitstellungsstudie in einer hybriden Infrastruktur durch, die ein mittelgroßes Unternehmen simulierte.
Die implementierte Architektur umfasste:
- 200 Unternehmensendpunkte
- Kubernetes-Cluster für interne Anwendungen
- Multi-Cloud-Umgebung mit AWS und Azure
- Integration mit Identitätsanbietern
Bereitstellungsarchitektur
graph TD
A[Endpoints] --> B[Sysmon]
C[Network Sensors] --> D[Suricata]
B --> E[Kafka Cluster]
D --> E
E --> F[Correlation Engine]
F --> G[Elastic SIEM]
F --> H[Threat Hunting Interface]
I[Cloud Logs] --> E
Operative Ergebnisse
| Metrik | Vorher | Nachher |
|---|---|---|
| MTTD | 3h40 | 41 min |
| MTTR | 9h | 2h15 |
| Irrelevante Alarme | 28% | 11% |
Diese Ergebnisse deuten auf eine substanzielle Verbesserung der operativen Effizienz des SOC hin.
- Anhang — Detaillierte experimentelle Daten
Dieser Abschnitt präsentiert detaillierte experimentelle Daten, die während der Tests erhoben wurden.
Ereignis-Datensatz
| Kategorie | Erfasste Ereignisse |
|---|---|
| Sysmon | 8.2 Millionen |
| Suricata | 3.1 Millionen |
| Zeek | 2.7 Millionen |
Simulierte Angriffsketten
| Angriff | ATT&CK-Techniken |
|---|---|
| Ransomware | T1059, T1003, T1021 |
| Supply Chain | T1195, T1078 |
| Data Theft | T1041 |
Detaillierte Verarbeitungsmetriken
| Schritt | Durchschnittliche Zeit |
|---|---|
| Ingestion | 85 ms |
| Normalisierung | 120 ms |
| Korrelation | 190 ms |
- Diskussion
Die Ergebnisse zeigen, dass die TTP-orientierte mehrschichtige Korrelation erhebliche Zugewinne an operativer Sichtbarkeit in komplexen Umgebungen bietet.
Zu den wichtigsten beobachteten Vorteilen zählen:
- frühere Erkennung von Angriffsketten
- Reduktion von Fehlalarmen
- bessere Kontextualisierung für SOC-Analysten
Dennoch bleiben einige Einschränkungen relevant.
Umgebungen mit hohem Maß an Verkehrsverschlüsselung können die Netzwerksichtbarkeit reduzieren. Darüber hinaus erfordert die anfängliche Abstimmung der mit den ATT&CK-Techniken verbundenen Gewichte Fachwissen.
Zukünftige Verbesserungen können Folgendes einbeziehen:
- adaptives maschinelles Lernen
- eBPF-basierte Telemetrie
- Integration mit CNAPP-Plattformen für Cloud-Umgebungen
- Governance- und Sicherheitsmechanismen für KI-basierte Systeme
- Schlussfolgerung
Wir haben eine hybride Architektur zur Bedrohungserkennung und Threat Hunting auf Basis mehrschichtiger Telemetrie und einer auf das MITRE-ATT&CK-Framework ausgerichteten Korrelation vorgestellt. Das vorgeschlagene Modell verwendet gewichtete Angriffsgraphen und zeitliche Aggregation, um komplexe adversarielle Progressionen zu identifizieren.
Die experimentellen Ergebnisse zeigen relevante Verbesserungen bei kritischen operativen Metriken, einschließlich Erkennungsrate und mittlerer Reaktionszeit.
Wir sind der Auffassung, dass verhaltensorientierte Ansätze, kombiniert mit umfassender Telemetrie und formaler Angriffsmodellierung, einen vielversprechenden Weg für die Weiterentwicklung der Verteidigungsfähigkeiten in modernen Unternehmensumgebungen darstellen.
Zukünftige Untersuchungen umfassen die Integration mit kontinuierlichen Lernverfahren, Erkennung in OT/ICS-Umgebungen, die Sicherheit von auf künstlicher Intelligenz basierenden Systemen sowie die automatisierte Analyse von Angriffen in cloud-nativen Infrastrukturen.
Referenzen
MITRE CORPORATION. MITRE ATT&CK® Framework. McLean, VA, 2023. Available at: https://attack.mitre.org. Accessed on: 13 Apr. 2026.
OISF – OPEN INFORMATION SECURITY FOUNDATION. Suricata: Open Source IDS/IPS/NSM Engine. 2023. Available at: https://suricata.io. Accessed on: 13 Apr. 2026.
PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. https://doi.org/10.1016/S1389-1286(99)00112-7.
ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. Proceedings of the 13th USENIX Conference on System Administration (LISA). Berkeley: USENIX Association, 1999.
RUSSINOVICH, Mark; IONESCU, Alex. Windows Sysinternals Administrator’s Reference. 2. ed. Redmond: Microsoft Press, 2023.
SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. Proceedings of the IEEE Symposium on Security and Privacy. Washington, DC: IEEE, 2010. https://doi.org/10.1109/SP.2010.25.
VERIZON. 2024 Data Breach Investigations Report. New York: Verizon Business, 2024. Available at: https://www.verizon.com/business/resources/reports/dbir. Accessed on: 13 Apr. 2026.
ZHANG, Y.; ZHANG, J.; WANG, L. Attack Graph-Based Security Analysis: A Survey. Computers & Security, v. 103, 2021. https://doi.org/10.1016/j.cose.2021.102234.