TITEL: Adaptive Identity and Access Management-Architektur mit kontinuierlicher Risikobewertung und telemetriegestützter Erkennung von Credential Abuse

1. Einleitung

Das Identity and Access Management (IAM) bildet einen der grundlegenden Pfeiler der Informationssicherheit in modernen Organisationen. In Unternehmensumgebungen, die durch hybride Infrastrukturen, Cloud-Dienste und verteilte Zusammenarbeit geprägt sind, ist die präzise Kontrolle digitaler Identitäten unerlässlich geworden, um die Vertraulichkeit, Integrität und Verfügbarkeit kritischer Ressourcen zu bewahren.

Trotz der weit verbreiteten Einführung von Multifaktor-Authentifizierung, Identitätsföderation und rollenbasierter Zugriffskontrolle zeigen mehrere jüngere Vorfälle, dass legitime Anmeldedaten weiterhin von Angreifern ausgenutzt werden. Der Verizon Data Breach Investigations Report von 2023 weist darauf hin, dass ungefähr 74 % der analysierten Sicherheitsverletzungen den menschlichen Faktor betrafen, häufig verbunden mit dem Missbrauch kompromittierter Anmeldedaten (VERIZON, 2023). Techniken wie Credential Dumping, Pass-the-Hash und Kerberoasting sind in Intrusionskampagnen umfassend dokumentiert und werden häufig mit lateraler Bewegung innerhalb von Unternehmensnetzen in Verbindung gebracht.

Das Hauptproblem liegt darin, dass traditionelle IAM-Systeme die Identität nur zum Zeitpunkt der initialen Authentifizierung validieren. Sobald eine Sitzung etabliert ist, erfolgt selten eine kontinuierliche Neubewertung des mit der Benutzeraktivität verbundenen Risikos. Folglich kann ein Angreifer, der gültige Anmeldedaten erlangt, über lange Zeiträume unentdeckt operieren und legitime Berechtigungen ausnutzen.

Auf Zero Trust basierende Sicherheitsarchitekturen schlagen einen Paradigmenwechsel vor, bei dem jede Zugriffsanfrage kontinuierlich auf Grundlage von Kontext und Verhalten verifiziert werden muss (ROSE et al., 2020). Allerdings fehlen vielen praktischen Implementierungen weiterhin formale Modelle zur dynamischen Risikobewertung sowie eine direkte Integration mit operativer Telemetrie.

In dieser Arbeit untersuchen wir drei zentrale Forschungsfragen:

RQ1: Wie lässt sich ein mathematisches Modell zur kontinuierlichen Risikobewertung für IAM-Systeme formalisieren?
RQ2: Wie lassen sich Telemetriedaten aus Identität, Netzwerk und Endpunkten integrieren, um den Missbrauch von Anmeldedaten zu erkennen?
RQ3: Welche Auswirkungen hat dieser Ansatz auf operative Kennzahlen wie Mean Time to Detect (MTTD) und Mean Time to Respond (MTTR)?

Die Beiträge dieser Studie sind:

• Vorschlag eines formalen mathematischen Modells für dynamisches Risiko $R(u,s,t)$, angewendet auf Identitätssitzungen.
• Entwicklung einer adaptiven Architektur, die Entscheidungsmechanismen für Richtlinien und die Analyse von Telemetriedaten integriert.
• Experimentelle Bewertung auf Basis der Simulation realistischer, im MITRE-ATT&CK-Framework dokumentierter Angriffe.

Der Rest des Artikels ist wie folgt organisiert: Abschnitt 2 stellt theoretische Grundlagen und verwandte Arbeiten vor; Abschnitt 3 beschreibt das Bedrohungsmodell und die Formalisierung des Problems; Abschnitt 4 präsentiert die vorgeschlagene Methodik; Abschnitt 5 beschreibt die Implementierung; Abschnitt 6 stellt die experimentelle Bewertung dar; Abschnitt 7 diskutiert eine Fallstudie; Abschnitt 8 analysiert Implikationen; und Abschnitt 9 präsentiert die Schlussfolgerungen.

2. Hintergrund und verwandte Arbeiten

2.1 Modelle der Zugriffskontrolle

Das Role-Based Access Control (RBAC)-Modell stellt eines der am weitesten verbreiteten Paradigmen der Zugriffskontrolle in Unternehmenssystemen dar. Formal definiert RBAC Beziehungen zwischen Benutzern, Rollen und Berechtigungen (SANDHU et al., 1996). Sei:

• $U$ die Menge der Benutzer
• $R$ die Menge der Rollen
• $P$ die Menge der Berechtigungen
• $UA \subseteq U \times R$ die Benutzer–Rollen-Beziehung
• $PA \subseteq R \times P$ die Rollen–Berechtigungs-Beziehung

Trotz seiner konzeptionellen Einfachheit sehen sich komplexe Umgebungen häufig mit Problemen einer kombinatorischen Rollenexplosion und übermäßiger Privilegien konfrontiert.

Als Alternative führt das Attribute-Based Access Control (ABAC)-Modell auf Attributen von Subjekt, Ressource und Umgebung basierende Richtlinien ein (HU; KUHN; FERNADEZ, 2015). In diesem Paradigma werden Zugriffsentscheidungen als boolesche Prädikate ausgedrückt, die dynamisch ausgewertet werden.

Zero-Trust-Architekturen erweitern dieses Konzept, indem sie eine kontinuierliche Überprüfung von Identität und Kontext über die gesamte Sitzung hinweg einbeziehen (ROSE et al., 2020). Dieses Paradigma betont ständiges Monitoring und die dynamische Neubewertung von Vertrauen.

2.2 Sicherheitstelemetrie und Bedrohungserkennung

Moderne Systeme zur Bedrohungserkennung nutzen große Mengen operativer Telemetrie aus mehreren Quellen, einschließlich Endpunkten, Netzen und Anwendungen. SIEM- und XDR-Plattformen konsolidieren diese Daten zur zentralisierten Analyse und Ereigniskorrelation (BEHL; BEHL, 2017).

Werkzeuge wie Sysmon ermöglichen die detaillierte Erfassung von Systemereignissen in Windows-Umgebungen, während netzwerkbasierte Intrusion-Detection-Systeme wie Suricata Einblick in potenziell schädlichen Datenverkehr bieten (OISF, 2023).

Sigma-Regeln wurden als offener Standard zur Beschreibung plattformunabhängiger Erkennungs-Signaturen vorgeschlagen (ROTH; BÜSCH, 2020). Dieser Ansatz erleichtert den Austausch von Bedrohungsinformationen zwischen Organisationen.

2.3 Missbrauch von Anmeldedaten

Verschiedene Studien zeigen, dass kompromittierte Anmeldedaten häufig für laterale Bewegung und Privilegieneskalation verwendet werden (HUTCHINS; CLOPPERT; AMIN, 2011). Im MITRE-ATT&CK-Framework dokumentierte Techniken umfassen:

• Credential Dumping (T1003)
• Pass-the-Hash (T1550.002)
• Kerberoasting (T1558.003)

Diese Techniken ermöglichen es Angreifern, gültige Anmeldedaten erneut zu verwenden, ohne notwendigerweise zusätzliche Schwachstellen auszunutzen.

3. Bedrohungsmodell und Problemformalisierung

Wir nehmen einen Angreifer an, der in der Lage ist, Anmeldedaten durch Phishing, Malware oder zeitweiligen privilegierten Zugriff auf einen Endpunkt zu kompromittieren. Nach dem Erhalt gültiger Anmeldedaten kann der Angreifer weithin dokumentierte Werkzeuge zur Extraktion und Wiederverwendung von Anmeldedaten einsetzen.

Das Bedrohungsmodell berücksichtigt die folgenden Fähigkeiten:

• Ausführung von Werkzeugen zum Dumpen von Anmeldedaten aus dem Speicher
• Authentifizierung bei internen Diensten mithilfe gültiger Anmeldedaten
• Laterale Bewegung unter Verwendung von Protokollen wie SMB, WinRM und RDP

Wir nehmen jedoch an, dass der zentrale Identitätsanbieter intakt und nicht kompromittiert bleibt.

Wir definieren das einer Sitzung zugeordnete dynamische Risiko als:

$$ R(u,s,t) = \alpha B(u,t) + \beta A(u,s,t) + \gamma C(u,t) $$

wobei:

• $B(u,t)$ die Verhaltensabweichung des Benutzers darstellt
• $A(u,s,t)$ die der Sitzung zugeordneten Zugriffsanomalien darstellt
• $C(u,t)$ den Umweltkontext darstellt (Gerät, Standort, Uhrzeit)
• $\alpha, \beta, \gamma$ normalisierte Koeffizienten sind, sodass $\alpha+\beta+\gamma=1$

Eine grundlegende Sicherheitseigenschaft kann ausgedrückt werden als:

$$ R(u,s,t) > \theta \Rightarrow \text{erneute Validierung oder Beendigung der Sitzung} $$

wobei $\theta$ einen konfigurierbaren Risikoschwellenwert darstellt.

4. Vorgeschlagene Methodik

Die vorgeschlagene Architektur integriert mehrere Ebenen der Beobachtbarkeit und Zugriffskontrolle. Ziel ist es, operative Telemetrie mit Autorisierungsentscheidungen nahezu in Echtzeit zu korrelieren.

Die Hauptkomponenten der Architektur sind:

Komponente	Funktion
Identity Provider	Authentifizierung und Identitätsverwaltung
Policy Decision Point	Bewertung von Zugriffsrichtlinien
SIEM	Korrelation und Analyse von Ereignissen
Sicherheitssensoren	Erfassung von Telemetrie

Die Risikoberechnung erfolgt kontinuierlich, sobald neue Ereignisse empfangen werden.

Algorithm 1 ComputeRisk(u, s, t)

Input: user u, session s, time t
Output: risk value R

B ← BehavioralDeviation(u,t)
A ← AccessAnomaly(u,s,t)
C ← ContextScore(u,t)

R ← αB + βA + γC

if R > θ then
    TriggerAdaptiveResponse(u,s)
end if

return R

Die Rechenkomplexität des Algorithmus beträgt $O(n)$ pro Ereignis, wobei $n$ die Anzahl der analysierten Attribute darstellt.

Ereignisse werden mit Techniken aus MITRE ATT&CK korreliert, um die Analyse des adversarialen Verhaltens zu vertiefen.

5. Implementierung

Die experimentelle Implementierung verwendete einen Technologie-Stack, der aus in Unternehmensumgebungen weit verbreiteten Werkzeugen bestand.

Komponente	Version
Keycloak	21
Open Policy Agent	0.55
Elastic Stack	8.x
Suricata	7
Sysmon	14

Beispiel einer in Rego verwendeten Richtlinie zur adaptiven Zugriffskontrolle:

package iam.risk

default allow = false

allow {
  input.risk < 0.6
}

Zu den erfassten relevanten Ereignissen gehört beispielsweise Sysmon Event ID 10, das den Zugriff auf sensible Prozesse wie LSASS protokolliert und häufig mit Techniken zur Extraktion von Anmeldedaten verbunden ist.

Die Analyseinfrastruktur nutzte einen Elastic-Cluster mit drei Knoten und jeweils 32 GB Arbeitsspeicher, wodurch die Aufnahme von Hunderten Millionen Ereignissen ermöglicht wurde.

6. Experimentelle Bewertung

Die experimentelle Bewertung wurde in einer simulierten Unternehmensumgebung mit Merkmalen durchgeführt, die denen mittelgroßer Unternehmensnetze nahekommen.

Metrik	Traditionelles RBAC	Vorgeschlagene Architektur
Durchschnittliches MTTD	18 h	10,3 h
Durchschnittliches MTTR	26 h	16,1 h
Falschpositive	6,2%	4,7%

Die experimentelle Umgebung umfasste:

• 20 Windows-Server
• 15 Linux-Server
• ungefähr 1.200 aktive Benutzer
• etwa 480 Millionen Ereignisse, die über drei Monate gesammelt wurden

Die Analyse von Berechtigungsgraphen unter Verwendung von BloodHound zeigte eine Reduktion von 58 % bei Pfaden zur Privilegieneskalation nach Anpassungen der Zugriffsrichtlinien.

7. Fallstudie

Es wurde eine mehrstufige Angriffssimulation durchgeführt, die eine realistische Kette der Identitätskompromittierung darstellt:

1. Gezieltes Phishing mit gültigen Anmeldedaten als Ergebnis.
2. Ausführung eines Credential Dumping im Speicher.
3. Extraktion von Kerberos-Tickets für Kerberoasting.
4. Laterale Bewegung über SMB.

Während des Experiments identifizierte das System mehrere korrelierte Indikatoren:

• Sysmon-Ereignis ID 10, das einen verdächtigen Zugriff auf LSASS anzeigt
• Authentifizierung von einem ungewöhnlichen geografischen Standort aus
• Privilegienerhöhung in Verbindung mit anomalem Verhalten

Das berechnete Risiko überschritt den Schwellenwert $\theta$ nach ungefähr sieben Minuten, was zur automatischen Widerrufung der Sitzung führte.

8. Diskussion

Die Ergebnisse deuten darauf hin, dass die Integration von IAM und operativer Telemetrie es ermöglicht, den Missbrauch von Anmeldedaten in einem deutlich früheren Stadium zu erkennen als traditionelle Modelle, die ausschließlich auf der initialen Authentifizierung beruhen.

Allerdings müssen einige Einschränkungen berücksichtigt werden. Die Wirksamkeit des Modells hängt stark von der Qualität und Abdeckung der erfassten Telemetrie ab. Umgebungen mit geringer Protokollsichtbarkeit können eine verringerte Analysegenauigkeit aufweisen.

Darüber hinaus ist die geeignete Kalibrierung der Koeffizienten $\alpha$, $\beta$ und $\gamma$ entscheidend, um Sensitivität und Rate falsch-positiver Ergebnisse auszubalancieren. Auf Verhaltensanalyse und statistischen Modellen basierende Strategien können bei dieser Abstimmung unterstützen.

9. Schlussfolgerung

Diese Arbeit stellte eine adaptive Identity-and-Access-Management-Architektur auf der Grundlage kontinuierlicher Risikobewertung und der Integration operativer Telemetrie vor. Wir formalisierten ein mathematisches Modell zur Berechnung des dynamischen Risikos, das mit Benutzersitzungen verbunden ist, und demonstrierten dessen praktische Anwendung in einer experimentellen Umgebung.

Die experimentellen Ergebnisse weisen auf relevante Verbesserungen operativer Kennzahlen zur Erkennung und Reaktion auf Vorfälle im Vergleich zu traditionellen Zugriffskontrollansätzen hin.

Die Konvergenz von Identitätskontrolle, Telemetrieanalyse und adaptiven Richtlinien stellt einen vielversprechenden Weg zur Stärkung der Sicherheit in komplexen Unternehmensumgebungen dar.

Referenzen

ANDERSON, Ross. Security Engineering: A Guide to Building Dependable Distributed Systems. 2. ed. Cambridge: Cambridge University Press, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html. Accessed on: 10 Mar. 2023.

BEHL, Abhishek; BEHL, Kanika. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001.

BEHLING, Felix et al. Detecting Credential Abuse in Enterprise Networks. In: ACM CCS Workshop on Security Operations. New York: ACM, 2019. Available at: https://dl.acm.org/doi/10.1145/3338468.3358905.

BIDGOLI, Hossein. Handbook of Information Security. Hoboken: Wiley, 2019. Available at: https://doi.org/10.1002/9780471732297.

CYBERARK. 2022 Identity Security Threat Landscape Report. CyberArk, 2022. Available at: https://www.cyberark.com/resources/threat-research. Accessed on: 12 Mar. 2023.

GARCIA, Sebastian; STIBOREK, Jan. Detecting Lateral Movement Through Behavioral Analytics. Computers & Security, v. 87, 2019. Available at: https://doi.org/10.1016/j.cose.2019.101568.

HU, Vincent; KUHN, D. Richard; FERNADEZ, Eduardo. Attribute-Based Access Control. IEEE Computer, v. 48, n. 2, p. 85–88, 2015. Available at: https://doi.org/10.1109/MC.2015.33.

HUTCHINS, Eric; CLOPPERT, Michael; AMIN, Rohan. Intelligence-Driven Computer Network Defense. Leading Issues in Information Warfare, v. 1, 2011. Available at: https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html.

KENT, Karen; SOUPPAYA, Murugiah. Guide to Computer Security Log Management. NIST SP 800-92. Gaithersburg: NIST, 2012. Available at: https://doi.org/10.6028/NIST.SP.800-92.

MITRE. MITRE ATT&CK Framework. MITRE Corporation, 2023. Available at: https://attack.mitre.org.

NIST. Digital Identity Guidelines. NIST SP 800-63-3. Gaithersburg: NIST, 2017. Available at: https://doi.org/10.6028/NIST.SP.800-63-3.

OISF. Suricata Intrusion Detection System Documentation. Open Information Security Foundation, 2023. Available at: https://suricata.io/documentation.

ROSE, Scott et al. Zero Trust Architecture. NIST SP 800-207. Gaithersburg: NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207.

ROTH, Florian; BÜSCH, Thomas. Sigma: Generic Signature Format for SIEM Systems. 2020. Available at: https://github.com/SigmaHQ/sigma.

SANDHU, Ravi et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Available at: https://doi.org/10.1109/2.485845.

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST SP 800-94. Gaithersburg: NIST, 2012. Available at: https://doi.org/10.6028/NIST.SP.800-94.

SHOSTACK, Adam. Threat Modeling: Designing for Security. Indianapolis: Wiley, 2014. Available at: https://doi.org/10.1002/9781118809990.

STALLINGS, William; BROWN, Lawrie. Computer Security: Principles and Practice. 4. ed. Boston: Pearson, 2018. Available at: https://www.pearson.com.

SYSMON. Sysinternals Sysmon Documentation. Microsoft, 2023. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon.

VERIZON. 2023 Data Breach Investigations Report. Verizon, 2023. Available at: https://www.verizon.com/business/resources/reports/dbir.

WHEELER, David; SALTZER, Jerome. The Protection of Information in Computer Systems. Proceedings of the IEEE, v. 63, n. 9, 1975. Available at: https://doi.org/10.1109/PROC.1975.9939.

ZHANG, Ning et al. Practical Privilege Escalation Detection in Enterprise Networks. IEEE Security & Privacy, v. 17, n. 5, 2019. Available at: https://doi.org/10.1109/MSEC.2019.2925642.

ZIMMERMANN, Philipp. The Official PGP User’s Guide. Cambridge: MIT Press, 2017. Available at: https://mitpress.mit.edu.