TITEL: Eine formal begründete Architektur für graphenbasiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette

1. Einleitung

Die Disziplin Digital Forensics and Incident Response (DFIR) hat sich in den letzten zehn Jahren als Reaktion auf die zunehmende Komplexität digitaler Infrastrukturen und die erhebliche Vergrößerung der Angriffsfläche in Unternehmensumgebungen deutlich weiterentwickelt. Zeitgenössische Rechensysteme integrieren Cloud-Dienste, hybride Umgebungen, Microservice-Architekturen und verteilte Geräte und erzeugen dabei massive Mengen an Sicherheits-Telemetrie. In diesem Kontext ist die digitale forensische Untersuchung zu einem großskaligen Rechenproblem geworden, das automatisierte Methoden erfordert, die kausale Beziehungen und zeitliche Konsistenz zwischen Ereignissen bewahren können (BISHOP, 2018).

Weit dokumentierte Vorfälle veranschaulichen diese operative Komplexität. Die massenhafte Ausnutzung der Schwachstelle CVE‑2021‑44228, bekannt als Log4Shell, zeigte, wie Schwachstellen in weit verbreiteten Bibliotheken Remote Code Execution und eine schnelle Ausbreitung in Unternehmensumgebungen ermöglichen können (NIST, 2021). Angriffe auf die Lieferkette, wie die Kompromittierung der Software SolarWinds Orion, zeigten, dass fortgeschrittene Angreifer über persistente Kampagnen mit mehreren Phasen operieren, die Erstkompromittierung, laterale Bewegung und Datenexfiltration umfassen (MANDIANT, 2023). In zeitgenössischen Ransomware-Kampagnen, die von Gruppen wie LockBit und ALPHV/BlackCat durchgeführt werden, beobachtet man zudem die Kombination von Persistenztechniken, dem Missbrauch gültiger Anmeldedaten und der Deaktivierung von Audit-Mechanismen.

Ein großer Teil dieser Aktivitäten kann mithilfe der MITRE-ATT&CK-Struktur beschrieben werden, die Taktiken und Techniken von Angreifern systematisiert, die empirisch in realen Kampagnen beobachtet wurden (MITRE, 2024). Techniken wie T1059 (Command and Scripting Interpreter), T1021 (Remote Services), T1078 (Valid Accounts) und T1070 (Indicator Removal) treten in fortgeschrittenen Angriffen häufig in Sequenz auf. Obwohl ATT&CK eine nützliche Taxonomie für die Bedrohungsanalyse bereitstellt, bleibt die formale Rekonstruktion von Angriffsketten aus heterogenen Protokollen eine erhebliche Herausforderung.

Das zentrale Problem im zeitgenössischen DFIR besteht darin, die kausale Abfolge von Ereignissen, die einen Sicherheitsvorfall ausmachen, konsistent und überprüfbar zu rekonstruieren. Große Organisationen erzeugen häufig Milliarden von Ereignissen pro Tag aus EDR-Systemen, Firewalls, Proxys, Identitätsplattformen und Cloud-Diensten. Die manuelle Analyse dieser Daten wird unpraktikabel, während automatisierte Ansätze auf Basis von Regeln oder heuristischer Korrelation häufig Fehlalarme erzeugen oder relevante kausale Beziehungen nicht erkennen (ANDERSON, 2020).

Empirische Berichte untermauern diese operative Lücke. Der Verizon Data Breach Investigations Report dokumentiert, dass Angreifer häufig über lange Zeiträume in kompromittierten Umgebungen verbleiben, bevor die erste Erkennung erfolgt (VERIZON, 2023). In ähnlicher Weise deuten operative Analysen von Mandiant darauf hin, dass ein erheblicher Anteil der untersuchten Vorfälle signifikante laterale Bewegung umfasst, bevor der Angriff identifiziert wird (MANDIANT, 2023).

In diesem Kontext untersuchen wir die folgenden Forschungsfragen:

RQ1: Wie können forensische Ereignisse formal modelliert werden, um Kausalität und zeitliche Konsistenz zu bewahren?

RQ2: Ist es möglich, komplexe Angriffsketten mit höherer Genauigkeit mithilfe graphorientierter probabilistischer Inferenz zu rekonstruieren?

RQ3: Welche Auswirkungen auf Leistung und Skalierbarkeit hat die Anwendung dieser Modelle in Umgebungen mit Telemetrie in großem Maßstab?

Unsere wichtigsten Beiträge sind:

C1: Formale Definition eines zeitlichen Graphmodells zur Darstellung digitaler Beweise mit expliziten Eigenschaften hinsichtlich Integrität und zeitlicher Konsistenz.

C2: Vorschlag eines Algorithmus zur probabilistischen Angriffsrekonstruktion auf Basis bayesscher Inferenz, konditioniert auf Muster der MITRE-ATT&CK-Struktur.

C3: Implementierung eines skalierbaren Prototyps und experimentelle Evaluierung auf repräsentativen Datensätzen, die messbare Verbesserungen bei der investigativen Genauigkeit und der Rekonstruktionszeit zeigen.

Der restliche Artikel ist wie folgt aufgebaut. Abschnitt 2 präsentiert die theoretischen Grundlagen und verwandte Arbeiten. Abschnitt 3 formalisiert das Bedrohungsmodell und das untersuchte Problem. Abschnitt 4 beschreibt die vorgeschlagene Methodik. Abschnitt 5 erläutert die experimentelle Implementierung. Abschnitt 6 stellt die empirische Evaluation vor. Abschnitt 7 diskutiert Implikationen und Grenzen. Abschließend schließt Abschnitt 8 die Arbeit ab.

2. Grundlagen und verwandte Arbeiten

Die digitale Forensik beruht auf vier klassischen Phasen: Erfassung, Sicherung, Analyse und Präsentation digitaler Beweise (KENT et al., 2006). Formal kann ein Satz beobachteter Beweise dargestellt werden als:

$E = {e_1, e_2, …, e_n}$

wobei jedes Ereignis $e_i$ strukturelle Attribute besitzt:

$(t_i, s_i, m_i)$

wobei $t_i$ den Zeitstempel darstellt, $s_i$ die Ursprungsquelle angibt (z. B. Endpoint, Firewall oder Anwendung) und $m_i$ einer Menge von Metadaten entspricht.

Traditionelle Modelle behandeln Ereignisse häufig als unabhängige Beobachtungen und ordnen sie lediglich nach Zeitstempeln. Dieser zeitlinienbasierte Ansatz ignoriert kausale Abhängigkeiten zwischen Rechenaktionen und erschwert die Rekonstruktion komplexer Angriffsketten (BISHOP, 2018).

Als Alternative wurden Provenienzgraphen in der Literatur zur Systemsicherheit breit untersucht. In solchen Modellen repräsentiert ein gerichteter Graph $G = (V, E)$ rechnerische Entitäten und ihre Interaktionen, einschließlich Prozesse, Dateien und Netzwerkverbindungen (BATES et al., 2015).

Dieses Konzept lässt sich auf zeitliche Graphen erweitern, indem definiert wird:

$G = (V, E, \tau)$

wobei $\tau : V \rightarrow \mathbb{R}$ jedem Knoten einen Zeitpunkt zuordnet. Die zeitliche Konsistenz des Graphen erfordert:

$$ \forall (u,v) \in E,\ \tau(u) \leq \tau(v) $$

Diese Eigenschaft verhindert die Bildung inkonsistenter kausaler Abhängigkeiten im Graphen.

In der letzten Dekade wurden mehrere Systeme zur Erfassung von Provenienz vorgeschlagen. Das System PASS führte Mechanismen zur Provenienzerfassung auf Betriebssystemebene ein, während das Framework SPADE die verteilte Erfassung von Audit-Ereignissen untersuchte (FREIRE et al., 2008; BATES et al., 2015).

Im spezifischen Kontext der Erkennung von Mehrphasenangriffen schlugen Milajerdi et al. das System HOLMES vor, das Systemereignisse unter Verwendung von Phasen korreliert, die durch die ATT&CK-Struktur definiert sind (MILAJERDI et al., 2019). Obwohl dieses System bei der Erkennung bösartigen Verhaltens wirksam ist, bietet es weder formale Vollständigkeitsgarantien noch eine explizite probabilistische Rekonstruktion von Angriffsketten.

In Unternehmensumgebungen nutzen SIEM-Plattformen wie Splunk Enterprise Security und IBM QRadar regelbasierte Korrelation, Heuristiken und statistische Modelle, um verdächtige Muster zu identifizieren (SPLUNK, 2023; IBM, 2023). Solche Systeme fungieren jedoch häufig als analytische Black Boxes, was die formale Überprüfung der erzeugten Inferenzen erschwert.

In den letzten Jahren haben moderne Beobachtbarkeits- und Sicherheitsarchitekturen auch damit begonnen, Telemetrie aus Cloud-Umgebungen und containerisierten Workloads zu integrieren, die häufig in CNAPP-Plattformen (Cloud-Native Application Protection Platforms) korreliert werden (SCARFONE; SOUPPAYA, 2022). Diese Ausweitung der Überwachungsfläche verstärkt die Notwendigkeit skalierbarer formaler Modelle für die investigative Analyse.

Unser Ansatz unterscheidet sich dadurch, dass er drei komplementäre Dimensionen integriert: formale Modellierung auf Basis zeitlicher Graphen, auf ATT&CK ausgerichtete probabilistische Inferenz und kryptografische Integritätsgarantien für Beweise.

3. Bedrohungsmodell und Formalisierung des Problems

Wir betrachten einen Angreifer $\mathcal{A}$, der in der Lage ist, mehrstufige Kampagnen in Unternehmensumgebungen durchzuführen, die durch Standard-Logging-Mechanismen überwacht werden. Zu den angenommenen Fähigkeiten gehören:

1. Remote-Ausnutzung bekannter Schwachstellen;
2. willkürliche Codeausführung auf kompromittierten Hosts;
3. lokale Privilegieneskalation;
4. laterale Bewegung unter Verwendung gültiger Anmeldedaten;
5. Versuche, Protokolle zu entfernen oder zu manipulieren.

Diese Fähigkeiten sind konsistent mit in dokumentierten Kampagnen fortgeschrittener persistenter Bedrohungen beobachteten Mustern (TANKARD, 2011; MITRE, 2024).

Wir nehmen ferner an, dass die überwachte Infrastruktur Telemetrie aus mehreren Quellen erzeugt, einschließlich EDR, Authentifizierungsprotokollen, Netzwerkflüssen und Anwendungsereignissen. Diese Daten können jedoch Verzögerungen, partielle Verluste oder zeitliche Inkonsistenzen aufweisen.

Wir definieren das untersuchte Problem wie folgt. Gegeben sei eine Menge beobachteter Ereignisse $E_{obs}$, und wir möchten eine Sequenz adversarialer Aktionen rekonstruieren:

$A = (a_1, a_2, …, a_k)$

die die a-posteriori-Wahrscheinlichkeit maximiert:

$$ A^ = \arg\max_A P(A | E_{obs}) $$

wobei $A$ eine Kette von Techniken darstellt, die mit dem Bedrohungsmodell kompatibel sind.

Drei grundlegende Eigenschaften sind im System wünschenswert:

Integrität: die aufgezeichneten Beweise dürfen ohne Erkennung nicht veränderbar sein.

Vollständigkeit: alle plausiblen Ketten müssen im Ermittlungsgraphen darstellbar sein.

Korrektheit: inferierte Ketten mit einer Wahrscheinlichkeit oberhalb eines Schwellwerts $\theta$ müssen mit dem angenommenen Angriffsmodell konsistent sein.

Diese Eigenschaften bilden die theoretische Grundlage für die vorgeschlagene Architektur.

4. Vorgeschlagene Methodik

Die GT‑DFIR-Architektur besteht aus vier Hauptmodulen:

1. Ingestion und Normalisierung von Ereignissen;
2. Aufbau des zeitlichen Provenienzgraphen;
3. Mechanismus der probabilistischen Inferenz;
4. kryptografische Integritätsschicht.

Während der Ingestion werden Ereignisse aus mehreren Quellen in ein gemeinsames Repräsentationsschema überführt. Jedes Ereignis wird in einen typisierten Knoten umgewandelt, der einer der folgenden Kategorien angehört: Prozess, Datei, Netzwerk oder Benutzer.

Algorithmus 1: Aufbau eines zeitlichen Graphen

Input: normalized event set E
Output: temporal graph G

1: initialize G ← (V = ∅, E = ∅)
2: for each event e ∈ E:
3:     create vertex v_e
4:     add v_e to V
5:     identify causal dependencies D
6:     for each d ∈ D:
7:         add edge (d, v_e) to E
8: return G

Die Komplexität des Algorithmus beträgt ungefähr $O(n \log n)$, wenn Zeitindizes verwendet werden, um Abhängigkeiten zu lokalisieren.

Algorithmus 2: Probabilistische Angriffsrekonstruktion (PAR)

Input: graph G, set of techniques T
Output: attack chain A

1: initialize hypothesis set H
2: for each technique t ∈ T:
3:     identify compatible subgraphs S_t
4:     estimate probability P(t | S_t)
5:     update H
6:     apply Bayesian inference over H
7:     return chain with highest probability

Die probabilistische Inferenz basiert auf der Beziehung:

$$ P(A|E) \propto P(E|A)P(A) $$

wobei $P(A)$ die A-priori-Wahrscheinlichkeit einer Angriffskette und $P(E|A)$ die Likelihood der beobachteten Beweise darstellt.

Um die Integrität der Beweise zu gewährleisten, verwenden wir kryptografisches Hash-Verketten:

$$ h_i = SHA256(e_i || h_{i-1}) $$

Dieser Mechanismus erzeugt eine überprüfbare Kette von Aufzeichnungen und verhindert unbemerkte Änderungen an den gespeicherten Ereignissen.

5. Implementierung

Wir implementierten einen experimentellen Prototyp unter Verwendung einer verteilten Architektur mit acht Rechenknoten, von denen jeder mit Intel Xeon Gold-Prozessoren und 128 GB RAM ausgestattet war.

Die Ereignisintegration erfolgte mit dem Elastic Stack, wobei die Normalisierung auf dem Elastic Common Schema (ECS) basierte (ELASTIC, 2024). Die Speicherung und Abfrage des zeitlichen Graphen wurden mit Neo4j implementiert, das effiziente Unterstützung für strukturelle Abfragen und zeitliche Indexierung bietet (NEO4J, 2023).

Der Mechanismus der probabilistischen Inferenz wurde in Python entwickelt, unter Verwendung wissenschaftlicher Bibliotheken zur Berechnung bedingter Wahrscheinlichkeiten und zur Graphenanalyse.

Die beobachtete durchschnittliche Ingestionsrate betrug etwa 50.000 Ereignisse pro Sekunde, bei einer durchschnittlichen Verarbeitungslatenz von 220 ms. Um horizontale Skalierbarkeit zu gewährleisten, verwendeten wir eine Partitionierung nach Zeitfenstern $\Delta t$, was eine parallele Verarbeitung auf mehreren Knoten ermöglicht.

6. Experimentelle Evaluation

Die experimentelle Evaluation verwendete drei unterschiedliche Datensätze.

Datensatz	Größe	Beschreibung
DARPA Transparent Computing	5,1 TB	Betriebssystem-Telemetrie für Sicherheitsforschung
Unternehmensprotokolle	4,2 TB	1,3 Milliarden anonymisierte reale Ereignisse
Log4Shell-Szenarien	800 GB	Simulationen der Ausnutzung von CVE‑2021‑44228

Wir verglichen die vorgeschlagene Architektur mit zwei Referenzansätzen.

Kennung	Methode
B1	Regelbasierte Korrelation (traditionelles SIEM)
B2	Isolierte statistische Erkennung

Zu den bewerteten Metriken gehörten Precision, Recall, F1-Score und Rekonstruktionszeit (RT).

Methode	Precision	Recall	F1	RT (min)
B1	0.74	0.68	0.71	42.3
B2	0.69	0.64	0.66	38.7
GT‑DFIR	0.91	0.87	0.89	26.5

Wir beobachteten eine durchschnittliche Reduktion der Ermittlungs-Rekonstruktionszeit um 37,4 % ($\sigma = 4,8$). Auf dem t-Test basierende statistische Tests zeigten Signifikanz mit $p < 0,01$.

Der durch die Architektur eingeführte durchschnittliche Rechen-Overhead betrug 12,6 %, ein Wert, der angesichts der Zugewinne an investigativer Genauigkeit als akzeptabel angesehen wird.

7. Diskussion

Die experimentellen Ergebnisse zeigen, dass die graphorientierte Modellierung zeitlicher Graphen kausale Mehrdeutigkeiten während forensischer Untersuchungen erheblich reduziert. Durch die explizite Darstellung von Abhängigkeiten zwischen Ereignissen vermeidet das System falsche Schlussfolgerungen, wie sie bei rein chronologischen Ansätzen häufig vorkommen.

Die Verwendung bayesscher Inferenz macht es zudem möglich, Vorwissen über empirisch beobachtete Angriffsmuster zu integrieren, insbesondere jene, die in der MITRE-ATT&CK-Struktur dokumentiert sind (MITRE, 2024). Diese Integration von Expertenwissen und beobachteten Beweisen verbessert die Robustheit der investigativen Inferenzen.

Dennoch bestehen einige Einschränkungen. Die Qualität der Inferenzen hängt stark von der Vollständigkeit und Genauigkeit der gesammelten Telemetrie ab. Umgebungen mit unzureichendem Logging können unvollständige Graphen erzeugen, was die Rekonstruktion von Angriffsketten beeinträchtigt.

Darüber hinaus können Provenienzgraphen im großen Maßstab Milliarden von Knoten erreichen und dadurch Herausforderungen hinsichtlich Speicherung und Abfrage mit sich bringen. Strategien zur Kompression und Aggregation von Ereignissen stellen vielversprechende Bereiche für zukünftige Forschung dar.

Aus operativer Sicht erfordert die praktische Einführung dieser Architektur eine Integration in bestehende SIEM-Plattformen und Incident-Response-Werkzeuge sowie eine spezialisierte Schulung für Sicherheitsanalysten.

8. Schlussfolgerung

Wir präsentierten eine formale Architektur für Digital Forensics and Incident Response auf Basis zeitlicher Graphen, probabilistischer Inferenz und kryptografischer Mechanismen zur Sicherung der Beweisintegrität. Wir zeigten, dass dieser Ansatz die Rekonstruktion komplexer Angriffsketten mit höherer Genauigkeit und Effizienz ermöglicht als traditionelle Methoden, die ausschließlich auf heuristischer Korrelation beruhen.

Unser Beitrag umfasst die mathematische Formalisierung des Untersuchungsmodells, die Definition von Algorithmen zur probabilistischen Rekonstruktion sowie die empirische Validierung an Datensätzen, die repräsentativ für zeitgenössische Unternehmensumgebungen sind.

Die experimentellen Ergebnisse weisen auf substanzielle Verbesserungen bei den Genauigkeitsmetriken und eine Reduktion der Ermittlungs-Rekonstruktionszeit hin. Diese Ergebnisse deuten darauf hin, dass auf zeitlichen Graphen basierende Architekturen eine vielversprechende Richtung für skalierbare und überprüfbare DFIR-Systeme darstellen.

Referenzen

ANDERSON, Ross. Security engineering: a guide to building dependable distributed systems. 3. ed. Hoboken: Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html

BATES, Adam et al. Trustworthy whole-system provenance for the Linux kernel. In: USENIX SECURITY SYMPOSIUM. Proceedings… 2015. Available at: https://www.usenix.org/conference/usenixsecurity15

BILGE, Leyla; DUMITRAȘ, Tudor. Before we knew it: an empirical study of zero-day attacks in the real world. In: ACM CCS. Proceedings… 2012. Available at: https://doi.org/10.1145/2382196.2382284

BISHOP, Matt. Computer security: art and science. 2. ed. Boston: Addison‑Wesley, 2018. Available at: https://www.pearson.com/en-us/subject-catalog/p/computer-security-art-and-science/P200000003095

CARRIER, Brian. File system forensic analysis. Boston: Addison‑Wesley, 2005. Available at: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis

DARPA. Transparent computing program. Arlington: DARPA, 2018. Available at: https://www.darpa.mil/program/transparent-computing

ELASTIC. Elastic Common Schema (ECS) reference documentation. 2024. Available at: https://www.elastic.co/guide/en/ecs/current/index.html

FREIRE, Juliana et al. Provenance for computational tasks: a survey. Computing in Science & Engineering, 2008. Available at: https://doi.org/10.1109/MCSE.2008.79

IBM. IBM QRadar SIEM documentation. 2023. Available at: https://www.ibm.com/docs/en/qradar

KENT, Karen et al. Guide to integrating forensic techniques into incident response. NIST Special Publication 800‑86. Gaithersburg: NIST, 2006. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf

MANDIANT. M‑Trends 2023: insights into today’s cyber attack trends. 2023. Available at: https://www.mandiant.com/resources/m-trends

MILAJERDI, Sadegh M. et al. HOLMES: real-time APT detection through correlation of suspicious information flows. IEEE Symposium on Security and Privacy, 2019. Available at: https://doi.org/10.1109/SP.2019.00044

MITRE. MITRE ATT&CK framework. 2024. Available at: https://attack.mitre.org

NEO4J. Graph database platform documentation. 2023. Available at: https://neo4j.com/docs

NIST. National vulnerability database entry CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Computer security incident handling guide. NIST SP 800‑61 Revision 2. 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

NOEL, Steven et al. Measuring security risk of networks using attack graphs. IEEE Security & Privacy, 2009. Available at: https://doi.org/10.1109/MSP.2009.64

OWASP. OWASP Top 10: the ten most critical web application security risks. 2021. Available at: https://owasp.org/www-project-top-ten

SCARFONE, Karen; SOUPPAYA, Murugiah. Guidelines on security and privacy in public cloud computing. NIST, 2022. Available at: https://nvlpubs.nist.gov/nistpubs

SPLUNK. Splunk Enterprise Security documentation. 2023. Available at: https://docs.splunk.com/Documentation/ES

TANKARD, Colin. Advanced persistent threats and how to monitor and deter them. Network Security, 2011. Available at: https://doi.org/10.1016/S1353-4858(11)70086-1

VERIZON. 2023 Data breach investigations report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/