TITEL: Eine formal fundierte Architektur für graphenorientiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion von Angriffsketten

1. Einleitung

Die Disziplin Digital Forensics and Incident Response (DFIR) hat sich im vergangenen Jahrzehnt erheblich weiterentwickelt, als Reaktion auf die zunehmende Komplexität digitaler Infrastrukturen und die substanzielle Vergrößerung der Angriffsfläche in Unternehmensumgebungen. Zeitgenössische Rechenökosysteme integrieren Cloud-Dienste, hybride Umgebungen, Mikroservice-Architekturen und verteilte Geräte und erzeugen dadurch massive Mengen an Sicherheitstelemetrie. In diesem Kontext ist die digitale forensische Untersuchung zu einem Problem im großen Maßstab geworden, das automatisierte Methoden erfordert, welche kausale Beziehungen und zeitliche Konsistenz zwischen Ereignissen bewahren können (BISHOP, 2018).

Weit dokumentierte Vorfälle veranschaulichen diese operative Komplexität. Die massenhafte Ausnutzung der Schwachstelle CVE‑2021‑44228, bekannt als Log4Shell, zeigte, wie Schwachstellen in weit verbreiteten Bibliotheken Remote-Code-Ausführung und eine schnelle Ausbreitung in Unternehmensumgebungen ermöglichen können (NIST, 2021). Angriffe auf die Lieferkette, wie die Kompromittierung der Software SolarWinds Orion, machten deutlich, dass fortgeschrittene Angreifer durch persistente mehrstufige Kampagnen operieren, die Erstkompromittierung, laterale Bewegung und Datenexfiltration umfassen (MANDIANT, 2023). In zeitgenössischen Ransomware-Kampagnen, die von Gruppen wie LockBit und ALPHV/BlackCat durchgeführt werden, beobachtet man zudem die Kombination aus Persistenztechniken, dem Missbrauch gültiger Zugangsdaten und der Deaktivierung von Audit-Mechanismen.

Ein Großteil dieser Aktivitäten kann mithilfe des MITRE-ATT&CK-Frameworks beschrieben werden, das adversarielle Taktiken und Techniken systematisiert, die empirisch in realen Kampagnen beobachtet wurden (MITRE, 2024). Techniken wie T1059 (Command and Scripting Interpreter), T1021 (Remote Services), T1078 (Valid Accounts) und T1070 (Indicator Removal) treten bei fortgeschrittenen Angriffen häufig in Sequenz auf. Allerdings stellt, obwohl ATT&CK eine nützliche Taxonomie für die Bedrohungsanalyse bereitstellt, die formale Rekonstruktion von Angriffsketten aus heterogenen Logs weiterhin eine bedeutende Herausforderung dar.

Das zentrale Problem im zeitgenössischen DFIR besteht darin, die kausale Sequenz von Ereignissen, die einen Sicherheitsvorfall ausmachen, konsistent und verifizierbar zu rekonstruieren. Große Organisationen erzeugen häufig Milliarden von Ereignissen pro Tag aus EDR-Systemen, Firewalls, Proxys, Identitätsplattformen und Cloud-Diensten. Die manuelle Analyse dieser Daten wird unpraktikabel, während automatisierte Ansätze auf Basis von Regeln oder heuristischer Korrelation häufig Fehlalarme erzeugen oder relevante kausale Beziehungen verlieren (ANDERSON, 2020).

Empirische Berichte untermauern diese operative Lücke. Der Verizon Data Breach Investigations Report dokumentiert, dass Angreifer oft lange Zeiträume in kompromittierten Umgebungen verbleiben, bevor die erste Erkennung erfolgt (VERIZON, 2023). In ähnlicher Weise zeigen operative Analysen von Mandiant, dass ein signifikanter Anteil der untersuchten Vorfälle beträchtliche laterale Bewegung umfasst, bevor der Angriff identifiziert wird (MANDIANT, 2023).

Vor diesem Hintergrund untersuchen wir die folgenden Forschungsfragen:

RQ1: Wie lassen sich forensische Ereignisse formal modellieren, um Kausalität und zeitliche Konsistenz zu bewahren?

RQ2: Ist es möglich, komplexe Angriffsketten mit höherer Genauigkeit unter Verwendung graphorientierter probabilistischer Inferenz zu rekonstruieren?

RQ3: Welche Auswirkungen auf Leistung und Skalierbarkeit ergeben sich bei der Anwendung solcher Modelle in Umgebungen mit Telemetrie im großen Maßstab?

Unsere zentralen Beiträge sind:

C1: Formale Definition eines zeitlichen Graphmodells zur Repräsentation digitaler Beweise mit expliziten Eigenschaften der Integrität und zeitlichen Konsistenz.

C2: Vorschlag eines Algorithmus zur probabilistischen Angriffrekonstruktion auf Basis bayesischer Inferenz, konditioniert auf Muster des MITRE-ATT&CK-Frameworks.

C3: Implementierung eines skalierbaren Prototyps und experimentelle Evaluation auf repräsentativen Datensätzen, die messbare Gewinne bei der investigativen Genauigkeit und der Rekonstruktionszeit zeigen.

Der Rest des Artikels ist wie folgt organisiert. Abschnitt 2 stellt theoretische Grundlagen und verwandte Arbeiten vor. Abschnitt 3 formalisiert das Bedrohungsmodell und das untersuchte Problem. Abschnitt 4 beschreibt die vorgeschlagene Methodik. Abschnitt 5 erläutert die experimentelle Implementierung. Abschnitt 6 präsentiert die empirische Bewertung. Abschnitt 7 diskutiert Implikationen und Einschränkungen. Schließlich schließt Abschnitt 8 die Arbeit ab.

2. Hintergrund und verwandte Arbeiten

Die digitale Forensik stützt sich auf vier klassische Phasen: Erfassung, Sicherung, Analyse und Präsentation digitaler Beweise (KENT et al., 2006). Formal können wir eine Menge beobachteter Beweise wie folgt darstellen:

$E = {e_1, e_2, …, e_n}$

wobei jedes Ereignis $e_i$ strukturelle Attribute besitzt:

$(t_i, s_i, m_i)$

wobei $t_i$ den Zeitstempel repräsentiert, $s_i$ die Herkunftsquelle angibt (beispielsweise Endpoint, Firewall oder Anwendung) und $m_i$ einer Menge von Metadaten entspricht.

Traditionelle Modelle behandeln Ereignisse häufig als unabhängige Beobachtungen und ordnen sie lediglich nach Zeitstempeln. Dieser Zeitachsenansatz ignoriert kausale Abhängigkeiten zwischen rechnerbasierten Aktionen und erschwert die Rekonstruktion komplexer Angriffsketten (BISHOP, 2018).

Als Alternative wurden Provenienzgraphen (provenance graphs) in der Literatur zur Systemsicherheit umfassend untersucht. In solchen Modellen repräsentiert ein gerichteter Graph $G = (V, E)$ Recheneinheiten und ihre Interaktionen, einschließlich Prozessen, Dateien und Netzwerkverbindungen (BATES et al., 2015).

Dieses Konzept lässt sich zu zeitlichen Graphen erweitern, indem definiert wird:

$G = (V, E, \tau)$

wobei $\tau : V \rightarrow \mathbb{R}$ jedem Scheitelpunkt einen Zeitpunkt zuordnet. Die zeitliche Konsistenz des Graphen erfordert:

$$ \forall (u,v) \in E,\ \tau(u) \leq \tau(v) $$

Diese Eigenschaft verhindert die Bildung inkonsistenter kausaler Abhängigkeiten im Graphen.

Im Laufe des letzten Jahrzehnts wurden verschiedene Provenienz-Erfassungssysteme vorgeschlagen. Das System PASS führte Provenienz-Tracking auf Betriebssystemebene ein, während das Framework SPADE eine verteilte Erfassung von Audit-Ereignissen untersuchte (FREIRE et al., 2008; BATES et al., 2015).

Im spezifischen Kontext der Erkennung mehrstufiger Angriffe schlugen Milajerdi et al. das System HOLMES vor, das Systemereignisse unter Verwendung von durch das ATT&CK-Framework definierten Stufen korreliert (MILAJERDI et al., 2019). Obwohl dieses System bei der Erkennung bösartiger Verhaltensweisen wirksam ist, bietet es keine formalen Garantien für Vollständigkeit oder eine explizite probabilistische Rekonstruktion von Angriffsketten.

In Unternehmensumgebungen verwenden SIEM-Plattformen wie Splunk Enterprise Security und IBM QRadar regelbasierte Korrelation, Heuristiken und statistische Modelle, um verdächtige Muster zu identifizieren (SPLUNK, 2023; IBM, 2023). Solche Systeme arbeiten jedoch häufig als analytische Black Boxes, was die formale Verifikation der erzeugten Inferenz erschwert.

In den letzten Jahren integrieren moderne Observability- und Sicherheitsarchitekturen zudem Telemetrie aus Cloud-Umgebungen und containerisierten Workloads, die häufig auf CNAPP-Plattformen (Cloud-Native Application Protection Platforms) korreliert werden (SCARFONE; SOUPPAYA, 2022). Diese Ausweitung der Überwachungsfläche verstärkt die Notwendigkeit skalierbarer formaler Modelle für die investigative Analyse.

Unser Ansatz unterscheidet sich dadurch, dass er drei komplementäre Dimensionen integriert: formale Modellierung auf Basis zeitlicher Graphen, ATT&CK-orientierte probabilistische Inferenz und kryptographische Integritätsgarantien für Beweise.

3. Bedrohungsmodell und Problemformalisierung

Wir betrachten einen Angreifer $\mathcal{A}$, der in der Lage ist, mehrstufige Kampagnen in Unternehmensumgebungen auszuführen, die durch Standard-Logging-Mechanismen überwacht werden. Zu den angenommenen Fähigkeiten gehören:

1. Remote-Ausnutzung bekannter Schwachstellen;
2. beliebige Codeausführung auf kompromittierten Hosts;
3. lokale Privilegieneskalation;
4. laterale Bewegung unter Verwendung gültiger Zugangsdaten;
5. Versuch der Entfernung oder Manipulation von Logs.

Diese Fähigkeiten stimmen mit Mustern überein, die in dokumentierten Kampagnen fortgeschrittener persistenter Bedrohungen beobachtet wurden (TANKARD, 2011; MITRE, 2024).

Wir nehmen ferner an, dass die überwachte Infrastruktur Telemetrie aus mehreren Quellen erzeugt, einschließlich EDR, Authentifizierungslogs, Netzwerkflüssen und Anwendungsereignissen. Diese Daten können jedoch Verzögerungen, partielle Verluste oder zeitliche Inkonsistenzen aufweisen.

Wir definieren das untersuchte Problem wie folgt. Gegeben eine Menge beobachteter Ereignisse $E_{obs}$, wollen wir eine Sequenz adversarialer Aktionen rekonstruieren:

$A = (a_1, a_2, …, a_k)$

die die a-posteriori-Wahrscheinlichkeit maximiert:

$$ A^ = \arg\max_A P(A | E_{obs}) $$

wobei $A$ eine Kette von Techniken repräsentiert, die mit dem Bedrohungsmodell kompatibel sind.

Drei grundlegende Eigenschaften sind für das System wünschenswert:

Integrität: Erfasste Beweise dürfen nicht ohne Erkennung veränderbar sein.

Vollständigkeit: Alle plausiblen Ketten müssen im Ermittlungsgraphen darstellbar sein.

Korrektheit: Mit einer Wahrscheinlichkeit über einem Schwellenwert $\theta$ inferierte Ketten müssen mit dem angenommenen Angriffsmodell konsistent sein.

Diese Eigenschaften bilden die theoretische Grundlage für die vorgeschlagene Architektur.

4. Vorgeschlagene Methodik

Die GT‑DFIR-Architektur besteht aus vier Hauptmodulen:

1. Ereignisintegration und -normalisierung;
2. Aufbau des zeitlichen Provenienzgraphen;
3. probabilistische Inferenzmaschine;
4. kryptographische Integritätsschicht.

Während der Ingestion werden Ereignisse aus mehreren Quellen in ein gemeinsames Repräsentationsschema überführt. Jedes Ereignis wird in einen typisierten Scheitelpunkt transformiert, der einer der folgenden Kategorien angehört: Prozess, Datei, Netzwerk oder Benutzer.

Algorithmus 1: Aufbau des zeitlichen Graphen

Input: conjunto de eventos normalizados E
Output: grafo temporal G

1: inicializar G ← (V = ∅, E = ∅)
2: para cada evento e ∈ E:
3:     criar vértice v_e
4:     adicionar v_e a V
5:     identificar dependências causais D
6:     para cada d ∈ D:
7:         adicionar aresta (d, v_e) a E
8: retornar G

Die Komplexität des Algorithmus beträgt ungefähr $O(n \log n)$, wenn Zeitindizes verwendet werden, um Abhängigkeiten zu lokalisieren.

Algorithmus 2: Probabilistische Angriffrekonstruktion (RPA)

Input: grafo G, conjunto de técnicas T
Output: cadeia de ataque A

1: inicializar conjunto de hipóteses H
2: para cada técnica t ∈ T:
3:     identificar subgrafos compatíveis S_t
4:     estimar probabilidade P(t | S_t)
5:     atualizar H
6:     aplicar inferência bayesiana sobre H
7:     retornar cadeia com maior probabilidade

Die probabilistische Inferenz basiert auf der Beziehung:

$$ P(A|E) \propto P(E|A)P(A) $$

wobei $P(A)$ die a-priori-Wahrscheinlichkeit einer Angriffskette darstellt und $P(E|A)$ der Likelihood der beobachteten Beweise entspricht.

Um die Integrität der Beweise zu gewährleisten, verwenden wir eine kryptographische Verkettung von Hashes:

$$ h_i = SHA256(e_i || h_{i-1}) $$

Dieser Mechanismus erzeugt eine verifizierbare Kette von Einträgen und verhindert unerkannte Änderungen an gespeicherten Ereignissen.

5. Implementierung

Wir implementierten einen experimentellen Prototyp unter Verwendung einer verteilten Architektur, die aus acht Rechenknoten besteht, von denen jeder mit Intel Xeon Gold-Prozessoren und 128 GB RAM ausgestattet ist.

Die Ereignisintegration wurde mit Elastic Stack durchgeführt, unter Normalisierung auf Basis des Elastic Common Schema (ECS) (ELASTIC, 2024). Die Speicherung und Abfrage des zeitlichen Graphen wurde mit Neo4j implementiert, das effiziente Unterstützung für strukturelle Abfragen und zeitliche Indexierung bietet (NEO4J, 2023).

Die probabilistische Inferenzmaschine wurde in Python entwickelt und nutzte wissenschaftliche Bibliotheken zur Berechnung bedingter Wahrscheinlichkeiten und zur Graphenanalyse.

Die beobachtete durchschnittliche Ingestionsrate lag bei etwa 50.000 Ereignissen pro Sekunde, bei einer durchschnittlichen Verarbeitungslatenz von 220 ms. Um horizontale Skalierbarkeit zu gewährleisten, setzten wir eine Partitionierung nach Zeitfenstern $\Delta t$ ein, wodurch eine parallele Verarbeitung über mehrere Knoten hinweg ermöglicht wurde.

6. Experimentelle Evaluation

Die experimentelle Bewertung verwendete drei unterschiedliche Datensätze.

Dataset	Größe	Beschreibung
DARPA Transparent Computing	5,1 TB	Betriebssystem-Telemetrie für Sicherheitsforschung
Unternehmenslogs	4,2 TB	1,3 Milliarden reale anonymisierte Ereignisse
Log4Shell-Szenarien	800 GB	Simulationen der Ausnutzung von CVE‑2021‑44228

Wir verglichen die vorgeschlagene Architektur mit zwei Referenzansätzen.

Identifier	Methode
B1	Regelbasierte Korrelation (traditionelles SIEM)
B2	Isolierte statistische Erkennung

Die bewerteten Metriken umfassten Präzision, Recall, F1‑Score und Rekonstruktionszeit (TR).

Methode	Präzision	Recall	F1	TR (min)
B1	0,74	0,68	0,71	42,3
B2	0,69	0,64	0,66	38,7
GT‑DFIR	0,91	0,87	0,89	26,5

Wir beobachteten eine durchschnittliche Reduktion der investigativen Rekonstruktionszeit um 37,4 % ($\sigma = 4,8$). Statistische Tests auf Basis des t-Tests zeigten Signifikanz mit $p < 0,01$.

Der durch die Architektur eingeführte durchschnittliche Rechen-Overhead betrug 12,6 %, ein Wert, der angesichts der Gewinne an investigativer Genauigkeit als akzeptabel angesehen wird.

7. Diskussion

Die experimentellen Ergebnisse deuten darauf hin, dass eine graphzentrierte Modellierung mit zeitlichen Graphen kausale Mehrdeutigkeiten während forensischer Untersuchungen erheblich reduziert. Durch die explizite Darstellung von Abhängigkeiten zwischen Ereignissen vermeidet das System falsche Inferenzschlüsse, die bei rein chronologischen Ansätzen häufig auftreten.

Der Einsatz bayesischer Inferenz ermöglicht es zudem, Vorwissen über empirisch beobachtete Angriffsmuster einzubeziehen, insbesondere jene, die im MITRE-ATT&CK-Framework dokumentiert sind (MITRE, 2024). Diese Integration von Expertenwissen und beobachteten Beweisen verbessert die Robustheit der investigativen Inferenz.

Dennoch bleiben einige Einschränkungen bestehen. Die Qualität der Inferenzen hängt stark von der Vollständigkeit und Treue der erfassten Telemetrie ab. Umgebungen mit unzureichendem Logging können unvollständige Graphen erzeugen und dadurch die Rekonstruktion von Angriffsketten beeinträchtigen.

Außerdem können Provenienzgraphen im großen Maßstab Milliarden von Scheitelpunkten erreichen und damit Herausforderungen für Speicherung und Abfrage mit sich bringen. Strategien zur Kompression und Aggregation von Ereignissen stellen vielversprechende Felder für zukünftige Forschung dar.

Aus operativer Sicht erfordert die praktische Einführung dieser Architektur die Integration mit bestehenden SIEM-Plattformen und Incident-Response-Werkzeugen sowie eine spezialisierte Schulung für Sicherheitsanalysten.

8. Schlussfolgerung

Wir haben eine formale Architektur für Digital Forensics and Incident Response vorgestellt, die auf zeitlichen Graphen, probabilistischer Inferenz und kryptographischen Mechanismen zur Integrität von Beweisen basiert. Wir zeigten, dass dieser Ansatz die Rekonstruktion komplexer Angriffsketten mit höherer Genauigkeit und Effizienz ermöglicht als traditionelle, ausschließlich auf heuristischer Korrelation basierende Methoden.

Unser Beitrag umfasst die mathematische Formalisierung des Untersuchungsmodells, die Definition probabilistischer Rekonstruktionsalgorithmen und die empirische Validierung auf Datensätzen, die für zeitgenössische Unternehmensumgebungen repräsentativ sind.

Die experimentellen Ergebnisse zeigen substanzielle Verbesserungen bei Genauigkeitsmetriken und eine Verringerung der investigativen Rekonstruktionszeit. Diese Ergebnisse legen nahe, dass architektur- und graphbasierte Ansätze eine vielversprechende Richtung für skalierbare und verifizierbare DFIR-Systeme darstellen.

Referenzen

ANDERSON, Ross. Security engineering: a guide to building dependable distributed systems. 3. ed. Hoboken: Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html

BATES, Adam et al. Trustworthy whole-system provenance for the Linux kernel. In: USENIX SECURITY SYMPOSIUM. Proceedings… 2015. Available at: https://www.usenix.org/conference/usenixsecurity15

BILGE, Leyla; DUMITRAȘ, Tudor. Before we knew it: an empirical study of zero-day attacks in the real world. In: ACM CCS. Proceedings… 2012. Available at: https://doi.org/10.1145/2382196.2382284

BISHOP, Matt. Computer security: art and science. 2. ed. Boston: Addison‑Wesley, 2018. Available at: https://www.pearson.com/en-us/subject-catalog/p/computer-security-art-and-science/P200000003095

CARRIER, Brian. File system forensic analysis. Boston: Addison‑Wesley, 2005. Available at: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis

DARPA. Transparent computing program. Arlington: DARPA, 2018. Available at: https://www.darpa.mil/program/transparent-computing

ELASTIC. Elastic Common Schema (ECS) reference documentation. 2024. Available at: https://www.elastic.co/guide/en/ecs/current/index.html

FREIRE, Juliana et al. Provenance for computational tasks: a survey. Computing in Science & Engineering, 2008. Available at: https://doi.org/10.1109/MCSE.2008.79

IBM. IBM QRadar SIEM documentation. 2023. Available at: https://www.ibm.com/docs/en/qradar

KENT, Karen et al. Guide to integrating forensic techniques into incident response. NIST Special Publication 800‑86. Gaithersburg: NIST, 2006. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf

MANDIANT. M‑Trends 2023: insights into today’s cyber attack trends. 2023. Available at: https://www.mandiant.com/resources/m-trends

MILAJERDI, Sadegh M. et al. HOLMES: real-time APT detection through correlation of suspicious information flows. IEEE Symposium on Security and Privacy, 2019. Available at: https://doi.org/10.1109/SP.2019.00044

MITRE. MITRE ATT&CK framework. 2024. Available at: https://attack.mitre.org

NEO4J. Graph database platform documentation. 2023. Available at: https://neo4j.com/docs

NIST. National vulnerability database entry CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Computer security incident handling guide. NIST SP 800‑61 Revision 2. 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

NOEL, Steven et al. Measuring security risk of networks using attack graphs. IEEE Security & Privacy, 2009. Available at: https://doi.org/10.1109/MSP.2009.64

OWASP. OWASP Top 10: the ten most critical web application security risks. 2021. Available at: https://owasp.org/www-project-top-ten

SCARFONE, Karen; SOUPPAYA, Murugiah. Guidelines on security and privacy in public cloud computing. NIST, 2022. Available at: https://nvlpubs.nist.gov/nistpubs

SPLUNK. Splunk Enterprise Security documentation. 2023. Available at: https://docs.splunk.com/Documentation/ES

TANKARD, Colin. Advanced persistent threats and how to monitor and deter them. Network Security, 2011. Available at: https://doi.org/10.1016/S1353-4858(11)70086-1

VERIZON. 2023 Data breach investigations report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/