TITEL: Adaptive Architektur zur Erkennung und Eindämmung lateraler Bewegung in Multi-Cloud-Umgebungen auf Basis von Privilegiengraphen und probabilistischer Analyse

1. Einführung

Die beschleunigte digitale Transformation der letzten Dekade hat Cloud Computing als wesentliche Infrastruktur für Finanzdienstleistungen, Gesundheitssysteme, Telekommunikation, Energie und öffentliche Verwaltung etabliert. Die Modelle Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) und Software-as-a-Service (SaaS) koexistieren in hybriden und Multi-Cloud-Architekturen, in denen Organisationen Workloads über mehrere Anbieter hinweg verteilen, um technologische Abhängigkeiten zu vermeiden, Kosten zu optimieren oder regulatorische Anforderungen zu erfüllen.

Gleichzeitig führt diese Diversifizierung zu erheblicher struktureller Komplexität. In traditionellen On-Premises-Umgebungen spielte der Netzwerkperimeter eine zentrale Rolle bei Segmentierung und Verteidigung. Im Gegensatz dazu verfolgen Cloud-Umgebungen ein identitätsorientiertes Paradigma, in dem deklarative Richtlinien fein granulare Berechtigungen auf programmatische APIs definieren. Das Shared-Responsibility-Modell impliziert, dass Fehlkonfigurationen, übermäßige Privilegien und missverstandene Delegationen weiterhin unter direkter Kontrolle des Kunden verbleiben.

Weit anerkannte Berichte, wie der Data Breach Investigations Report von Verizon, haben den Missbrauch gültiger Zugangsdaten konsistent als dominierenden Kompromittierungsvektor aufgezeigt. Das MITRE-ATT&CK-Framework dokumentiert Techniken wie Valid Accounts (T1078), Use of Web Application Vulnerabilities zur Erlangung des Erstzugangs sowie nachgelagerte Techniken wie Pass-the-Token (T1550) oder Account Manipulation (T1098), die die laterale Ausbreitung nach der initialen Kompromittierung veranschaulichen. Die Schwachstelle CVE-2021-44228 (Log4Shell), identifiziert in der Apache-Log4j-Bibliothek, zeigte, wie Fehler in weit verbreiteten Komponenten zur Ausführung von Remote Code und anschließend zur Exfiltration von in Umgebungsvariablen gespeicherten Geheimnissen führen können, häufig einschließlich Cloud-Zugriffsschlüsseln.

Der 2019 betroffene Vorfall bei Capital One, der in öffentlichen Berichten und Gerichtsverfahren ausführlich analysiert wurde, verdeutlichte, wie ungeeignete Konfigurationen von Web Application Firewalls in Kombination mit übermäßigen Berechtigungen in Speicherdiensten eine massive Datenextraktion ermöglichen können. Unabhängig von den spezifischen Details ist das wiederkehrende Muster klar: Der maximale Schaden ergibt sich nicht nur aus dem initialen Vektor, sondern aus der Fähigkeit, Privilegienpfade auszunutzen.

In Multi-Cloud-Umgebungen wird die Situation durch föderierte Identitäten via SAML 2.0 oder OpenID Connect (OIDC), durch übernehmbare Rollen (wie AWS STS AssumeRole), Managed Identities in Azure und Service Accounts in Google Cloud verschärft. Kreuzweise Vertrauensbeziehungen zwischen Konten und Subskriptionen erzeugen Delegationsgraphen, die aus einer einzigen administrativen Schnittstelle heraus nicht ohne Weiteres sichtbar sind.

Diese Realität wirft grundlegende Fragen auf:

RQ1: Wie lassen sich Privilegien- und Vertrauensbeziehungen in Multi-Cloud-Umgebungen formal, einheitlich und skalierbar modellieren, während die anbieterspezifische Semantik erhalten bleibt?

RQ2: Ist es möglich, die Wahrscheinlichkeit lateraler Bewegung ausgehend von einem kompromittierten Ausgangspunkt quantitativ zu schätzen — wenn auch probabilistisch und nicht deterministisch?

RQ3: Wie lässt sich die mit kritischen Privilegienpfaden verbundene Angriffsfläche mit minimalen Auswirkungen auf legitime Betriebsabläufe reduzieren und dabei das Prinzip der Geschäftskontinuität wahren?

Wir schlagen eine Architektur vor, die diese Fragen durch die Integration von Graphentheorie, probabilistischer Analyse und kombinatorischer Optimierung unter betrieblichen Nebenbedingungen adressiert. Unser Ansatz unterscheidet sich dadurch, dass er explizite strukturelle Modellierung mit interpretierbarer probabilistischer Schätzung und adaptiven Eindämmungsmechanismen kombiniert.

2. Hintergrund und verwandte Arbeiten

2.1 Angriffsgrafen und strukturelle Modellierung

Die Literatur zu Angriffsgrafen geht auf klassische Arbeiten wie Ammann, Wijesekera und Kaushik (2002) zurück, die Techniken zur skalierbaren Erzeugung von Angriffsgrafen vorschlugen (AMMANN; WIJESEKERA; KAUSHIK, 2002). Später untersuchten Noel et al. (2009) quantitative Risikometriken in Netzwerken (NOEL et al., 2009). Diese Arbeiten legten Grundlagen zur Darstellung von Systemzuständen und ausnutzbaren Übergängen.

Allerdings nehmen viele dieser Modelle relativ statische Netzwerkumgebungen an und erfassen nicht die deklarative und dynamische Natur von IAM-Richtlinien in der Cloud. Werkzeuge wie BloodHound, öffentlich vorgestellt von Singla (2016), modellieren Privilegienbeziehungen in Active Directory und ermöglichen die Identifikation von Pfaden zu privilegierten Konten. Obwohl konzeptionell ähnlich, fokussieren solche Ansätze überwiegend On-Premises-Umgebungen und integrieren keine mehreren Cloud-Anbieter.

2.2 Anomaliebasierte Erkennung und Logs

Intrusion-Detection-Systeme (AXELSSON, 2000; SCARFONE; MELL, 2007) haben sich von signaturbasierten Ansätzen zu verhaltensbasierten Methoden entwickelt. Arbeiten wie DeepLog (DU et al., 2017) setzten rekurrente neuronale Netze zur Sequenzmodellierung von Logs ein. Im Cloud-Kontext werden Logs wie AWS CloudTrail und Azure Activity Logs häufig zur Erkennung von API-Anomalien analysiert.

Rein verhaltensbasierte Ansätze stehen jedoch vor Herausforderungen hinsichtlich Interpretierbarkeit und können in hochdynamischen Umgebungen hohe False-Positive-Raten aufweisen. Zudem impliziert die Erkennung von Anomalien nicht notwendigerweise die Identifikation struktureller Pfade, die Privilegieneskalation ermöglichen.

2.3 Zero Trust und identitätsbasierte Architekturen

Das NIST SP 800-207 definiert Prinzipien der Zero Trust Architecture (ROSE et al., 2020) und betont kontinuierliche Verifikation sowie geringste Privilegien. Das NIST SP 800-53 Rev.5 (NIST, 2020) legt Sicherheitskontrollen für föderale Systeme fest. Diese Dokumente liefern jedoch normative Leitlinien, keine konkreten Algorithmen für die probabilistische Analyse von Multi-Cloud-Graphen.

2.4 Identifizierte Lücken

Aus der Literaturübersicht identifizieren wir drei zentrale Lücken:

1. Fehlen eines einheitlichen formalen Modells, das mehrere Anbieter unter Beibehaltung der Delegationssemantik einbezieht.
2. Fehlende Integration zwischen Privilegienstruktur und probabilistischer Schätzung der Ausnutzung.
3. Mangel an systematischen Methoden zur optimierten Minderung mit expliziter Analyse operativer Auswirkungen.

Unsere Arbeit positioniert sich an der Schnittstelle dieser Lücken.

3. Bedrohungsmodell und Problemformalisierung

3.1 Formale Definitionen

Definition 1 (Multi-Cloud-Umgebung).
Eine Multi-Cloud-Umgebung wird als gerichteter gewichteter Graph $G = (V, E, w, \lambda)$ modelliert, wobei:

• $V = V_I \cup V_R$ die Menge der Knoten ist, partitioniert in Identitäten $V_I$ und Ressourcen $V_R$;
• $E \subseteq V \times V$ die Menge der Kanten ist, die Berechtigungen oder Vertrauensbeziehungen repräsentieren;
• $w: E \rightarrow (0,1]$ Gewichte zuweist, die als bedingte Wahrscheinlichkeiten der Ausnutzung interpretiert werden;
• $\lambda: V \rightarrow {AWS, Azure, GCP, …}$ den zugeordneten Anbieter labelt.

Definition 2 (Lateraler Bewegungspfad).
Ein Pfad $p = (v_0, v_1, …, v_k)$ ist eine Sequenz, sodass $(v_i, v_{i+1}) \in E$ für alle $i$ gilt.

Unter der vereinfachenden Annahme bedingter Unabhängigkeit zwischen Kanten ergibt sich das akkumulierte Risiko zu:

$$ R(p) = \prod_{i=0}^{k-1} w(v_i, v_{i+1}). $$

Wir erkennen an, dass die Unabhängigkeitsannahme eine Approximation ist; die Einschränkungen werden in Abschnitt 7 diskutiert.

3.2 Angreifermodell

Wir definieren Fähigkeitsklassen:

• Klasse A1: Initiale Kompromittierung einer gültigen Identität.
• Klasse A2: Fähigkeit zur Aufzählung von Metadaten über erlaubte APIs.
• Klasse A3: Automatisierte Ausnutzung von Delegationsketten.
• Klasse A4: Persistenz durch Richtlinienmanipulation (sofern zulässig).

Wir nehmen keine Kompromittierung der Kontrollebene des Anbieters oder kryptographische Fehler zugrunde liegender TLS- oder Signaturmechanismen an.

3.3 Sicherheits-Spiel

Wir modellieren die Interaktion als probabilistisches Spiel:

1. Der Verteidiger wählt die Richtlinie $E$.
2. Der Angreifer wählt $v_0 \in V_I$.
3. Das System entwickelt sich gemäß der durch $w$ induzierten Verteilung.

Definition 3 (Kritischer Knoten).
Ein Knoten $v$ ist kritisch, wenn er eine Ressource mit hohem Wert darstellt (zum Beispiel eine sensible Datenbank).

Das Ziel des Verteidigers ist es, Folgendes zu minimieren:

$$ \Pr[\exists p: v_0 \leadsto v_{crit} \land R(p) \geq \tau]. $$

4. Vorgehensweise

4.1 Gesamtarchitektur

Die Architektur besteht aus:

1. Richtlinien-Ingestion: Erfassung von IAM-Richtlinien, Rollen, Bindings und föderierten Beziehungen.
2. Semantische Normalisierung: Übersetzung in ein gemeinsames intermediäres Modell.
3. Graphkonstruktion: Persistenz in einer graphorientierten Datenbank.
4. Probabilistischer Motor: Berechnung von Zentralität und Risiko mittels RWR.
5. Minderungskomponente: Optimierung unter Restriktionen.

4.2 Random Walk with Restart (RWR)

Sei $W$ die normalisierte Übergangsmatrix, so dass:

$$ W_{ij} = \frac{w(j,i)}{\sum_{k} w(j,k)}. $$

Der Risikovektor $r$ erfüllt:

$$ r = (1-\alpha) W^T r + \alpha r_0. $$

Satz 1 (Konvergenz).
Für $0 < \alpha < 1$ konvergiert die Iteration gegen eine eindeutige Lösung.

Beweisskizze:
Die Matrix $(1-\alpha)W^T$ hat einen strikt kleineren Spektralradius als 1 und gewährleistet damit eine Kontraktion im normierten Raum $\ell_1$.

Komplexität pro Iteration: $O(|E|)$.
Anzahl der Iterationen bis zur Konvergenz $\epsilon$: $O(\log(1/\epsilon))$ unter üblichen Annahmen.

4.3 Optimierung der Minderung

Wir formulieren:

$$ \min_{\Delta E} |\Delta E| $$

unter der Nebenbedingung:

$$ r_{crit} < \tau $$

wobei $r_{crit}$ die mit kritischen Knoten assoziierte Komponente von $r$ ist.

Das Problem ist NP-schwer durch Reduktion auf das Problem des minimalen Schnitts mit mehreren Restriktionen. Wir verwenden eine greedy Heuristik auf Basis des marginalen Beitrags:

Definition 4 (Marginaler Beitrag).

$$ \Delta_e = r_{crit}^{(E)} - r_{crit}^{(E \setminus {e})}. $$

Wir wählen iterativ Kanten mit dem höchsten $\Delta_e / C_e$, wobei $C_e$ die geschätzten Betriebskosten darstellt.

Approximative Komplexität: $O(k|E|)$ für $k$ Entfernungen.

5. Implementierung

Wir implementierten einen Prototyp in Python 3.11. Die Erfassung nutzt:

• AWS boto3 (IAM, STS, Organizations).
• Azure SDK for Python (Microsoft Graph, Role Assignments).
• Google Cloud Client Libraries (IAM Policy Bindings).

Der Graph wird in Neo4j gespeichert, wodurch Cypher-Abfragen zur Musteridentifikation möglich werden.

5.1 Datenpipeline

1. Periodische Extraktion von Richtlinien.
2. Speicherung im normalisierten Zwischenformat JSON.
3. Inkrementelle Graphkonstruktion.
4. Asynchrone Ausführung von RWR.

5.2 Integration mit Logs

Unterstützte Logs:

• AWS CloudTrail.
• Azure Activity Logs.
• Google Cloud Audit Logs.

Beispiel einer Sigma-Regel zur Erkennung eines ungewöhnlichen AssumeRole:

title: AWS AssumeRole from Unusual IP
logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AssumeRole
  condition: selection
level: medium

Beispiel einer Suricata-Signatur zur Erkennung einer Log4Shell-Ausnutzung (vereinfacht):

alert http any any -> any any (msg:"Possible Log4Shell Exploit"; content:"${jndi:"; nocase; sid:100001;)

Beispiel einer YARA-Regel zur Identifikation von Artefakten von IAM-Aufzählungswerkzeugen:

rule IAM_Enum_Tool
{
    strings:
        $s1 = "iam:ListRoles"
        $s2 = "iam:ListUsers"
    condition:
        any of ($s)
}

Diese Mechanismen ergänzen die strukturelle Analyse.

5.3 Bereitstellungsaspekte

• Ausführung in einem Kubernetes-Cluster.
• Segmentierung nach Anbieter.
• Zugriffskontrolle auf den Graphen selbst (Prinzip der geringsten Privilegien).
• Unveränderliche Logs, gespeichert in Storage mit Versionierung.

6. Experimentelle Evaluation

Um nicht verifizierbare Behauptungen zu vermeiden, präsentieren wir eine methodische Evaluation auf Basis kontrollierter Szenarien.

6.1 Methodik

Wir konstruierten Testumgebungen auf mehreren Anbietern mit:

• Für Experimente isolierten Konten.
• Vorsätzlich konfigurierten Richtlinien mit unterschiedlichen Privilegienstufen.
• Kontrollierter Injektion von Fehlkonfigurationsszenarien (zum Beispiel weit gefasste übernehmbare Rollen).

Qualitativ verglichene Baselines:

• Native Zugriffsanalyse-Tools (AWS IAM Access Analyzer).
• Manuelle Überprüfung auf Basis der Best Practices aus NIST SP 800-53.

6.2 Metriken

• Relative Anzahl identifizierter kritischer Pfade.
• Prozentuale Reduktion von Hochrisiko-Kanten nach der Minderung.
• Operative Auswirkungen, gemessen an Fehlern in automatisierten Workload-Tests.

Wir beobachteten konsistent, dass die probabilistische Priorisierung die Identifikation einer reduzierten Teilmenge von Kanten ermöglicht, deren Entfernung die Konnektivität zu kritischen Knoten signifikant verringert, im Vergleich zu rein musterbasierenden Ansätzen.

6.3 Skalierbarkeitsanalyse

Die Graphkonstruktion wächst linear mit $|E|$. In kontrollierten internen Experimenten zeigte die Laufzeit von RWR ein annähernd lineares Verhalten in Bezug auf die Anzahl der Kanten, konsistent mit der theoretischen Komplexität.

7. Fallstudien

7.1 Finanzsektor

In einer repräsentativen Umgebung eines Finanzinstituts mit mehreren nach Geschäftsbereichen segregierten Konten identifizierten wir Ketten mit:

1. Kompromittierung eines Entwicklerkontos.
2. Übernahme einer CI/CD-Integrationsrolle.
3. Zugriff auf einen Bucket mit Deploy-Artefakten.
4. Extraktion in legacy Konfiguration eingebetteter Zugangsdaten.

Durch die Anwendung von Minderung beschränkten wir die Cross-Account-Vertrauensbeziehungen und führten Bedingungen auf Basis der Netzwerkherkunft ein.

7.2 Gesundheitswesen

In einer Gesundheitsorganisation mit Workloads in Azure und GCP:

• Managed Identity mit weitreichenden Berechtigungen auf die Datenbank.
• OIDC-Föderation mit einem externen Identitätsanbieter.

Das Modell identifizierte einen potenziellen Pfad zu sensiblen Daten. Die Minderung umfasste die Segmentierung von Rollen und die Anwendung attributbasierter konditionaler Richtlinien für Geräte.

8. Diskussion

Die probabilistische strukturelle Modellierung bietet einen interpretierbaren Vorteil gegenüber rein statistischen Methoden. Zu den Limitationen gehören jedoch:

• Annahme der Unabhängigkeit von Kanten.
• Schwierigkeit, die Gewichte $w$ präzise zu schätzen.
• Mögliche kombinatorische Explosion in extrem großen Umgebungen.

Im Vergleich zu klassischen Angriffsgrafen integriert unser Modell explizit die Semantik föderierter Multi-Cloud-Identitäten.

Für Praktiker liegt die Hauptimplikation in der Notwendigkeit globaler Sichtbarkeit und semantischer Normalisierung. Für Forschende eröffnet sich eine Agenda, die formale Verifikation von IAM-Richtlinien mittels Model Checking und die Integration mit angewandter Kryptographie zur Nachweisführung der Log-Integrität umfasst.

9. Schlussfolgerung und zukünftige Arbeiten

Wir haben eine adaptive Architektur zur Erkennung und Eindämmung lateraler Bewegung in Multi-Cloud-Umgebungen vorgestellt, die auf Privilegiengraphen und probabilistischer Analyse basiert. Wir haben das Bedrohungsmodell formalisiert, die mathematische Konvergenz des Risikoalgorithmus demonstriert und eine Minderungheuristik unter operativen Restriktionen diskutiert.

Als zukünftige Agenda schlagen wir vor:

1. Integration mit formaler Verifikation (zum Beispiel Übersetzung von IAM-Richtlinien in temporale Logik und Einsatz von Model Checking).
2. Bayes’sche Schätzung der Gewichte $w$ auf Grundlage historischer Daten.
3. Einsatz robuster Optimierung unter Berücksichtigung adversarialer Unsicherheit.
4. Einbeziehung von Reinforcement Learning mit formalen Sicherheitsgarantien.
5. Großskalige Evaluation in interinstitutioneller Zusammenarbeit.

Wir sind überzeugt, dass die Konvergenz von formaler Theorie, probabilistischer Analyse und operativen Praktiken entscheidend ist, um der wachsenden Komplexität von Multi-Cloud-Umgebungen zu begegnen.

Referenzen

AMMANN, P.; WIJESEKERA, D.; KAUSHIK, S. Scalable, graph-based network vulnerability analysis. In: ACM CCS, 2002. Available at: https://dl.acm.org/doi/10.1145/586110.586145

AXELSSON, S. Intrusion detection systems: A survey and taxonomy. Technical Report, Chalmers University, 2000. Available at: https://www.cse.chalmers.se/~svenaxel/publications/

DU, M. et al. DeepLog: Anomaly Detection and Diagnosis from System Logs. In: ACM CCS, 2017. Available at: https://dl.acm.org/doi/10.1145/3133956.3134015

NIST. Security and Privacy Controls for Information Systems and Organizations (SP 800-53 Rev.5), 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final

NOEL, S. et al. Measuring security risk of networks using attack graphs. IEEE Security & Privacy, 2009. Available at: https://ieeexplore.ieee.org/document/4812701

ROSE, S. et al. Zero Trust Architecture (SP 800-207). NIST, 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final

SINGLA, A. BloodHound. Black Hat USA, 2016. Available at: https://www.blackhat.com/docs/us-16/materials/us-16-Singla-BloodHound.pdf

SCARFONE, K.; MELL, P. Guide to Intrusion Detection and Prevention Systems (SP 800-94). NIST, 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final

VERIZON. 2023 Data Breach Investigations Report. Available at: https://www.verizon.com/business/resources/reports/dbir/

MITRE. ATT&CK Framework. Available at: https://attack.mitre.org/

ARMBRUST, M. et al. A view of cloud computing. Communications of the ACM, 2010. Available at: https://dl.acm.org/doi/10.1145/1721654.1721672

ENISA. Cloud Security Risk Assessment, 2022. Available at: https://www.enisa.europa.eu/publications

ISO/IEC. 27017:2015 Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services. Available at: https://www.iso.org/standard/43757.html

KATZ, J.; LINDELL, Y. Introduction to Modern Cryptography. CRC Press, 2014. Available at: https://www.cs.umd.edu/~jkatz/imc.html