Paper Files / DFIR

TITEL: Evidenzorientierte Architektur für modernes DFIR: Mehrschichtige Korrelation, mathematische Formalisierung von Zeitachsen und automatisierte Orchestrierung in hybriden Umgebungen

2008-04-10DFIRDE

TITEL: Evidenzorientierte Architektur für modernes DFIR: Mehrschichtige Korrelation, mathematische Formalisierung von Zeitachsen und automatisierte Orchestrierung in hybriden Umgebungen ABSTRAKT: Die zunehmende Komplexität zeitgenössischer Rechenumgebungen — gekennzeichnet durch hybride Infrastrukturen, Cloud-Workloads, Container und verteilte Systeme — stellt die Disziplin Digital Forensics and Incident Response (DFIR) vor neue Herausforderungen. Traditionelle Ermittlungsverfahren, die überwiegend auf manueller Sammlung von Artefakten und ad-hoc-Korrelation von Logs basieren, zeigen angesichts des Umfangs, der Flüchtigkeit und der Heterogenität der von modernen Systemen erzeugten Daten deutliche Grenzen. Darüber hinaus verkürzen Advanced-Persistent-Threat-(APT)-Kampagnen, Ransomware-as-a-Service-(RaaS)-Operationen und die automatisierte Ausnutzung kritischer Schwachstellen das Zeitintervall zwischen Erstkompromittierung und lateraler Bewegung drastisch. In diesem Kontext wird es unerlässlich, formalisierte und skalierbare Ansätze zu entwickeln, die mehrere Telemetriequellen integrieren und Angriffsketten mit zeitlicher Präzision rekonstruieren können. In dieser Arbeit schlagen wir eine evidenzorientierte Architektur für modernes DFIR vor, die auf drei Hauptsäulen basiert: (i) mathematische Formalisierung der Rekonstruktion forensischer Zeitachsen unter Verwendung gerichteter azyklischer Graphen, (ii) ein automatisierter Pipeline-Ansatz zur Ingestion, Normalisierung und Korrelation von Ereignissen aus Netzwerk-, Endpoint-, Identitäts- und Cloud-Ebenen sowie (iii) die operative Integration mit Plattformen zur Orchestrierung und Automatisierung der Reaktion auf Vorfälle. Das vorgeschlagene Modell repräsentiert Sicherheitsereignisse als strukturierte Entitäten und etabliert probabilistische kausale Beziehungen zwischen korrelierten Ereignissen. Die experimentelle Implementierung verwendet einen Technologiestack bestehend aus Elastic Stack, Suricata, Zeek, Sysmon, Volatility 3 und einer auf TheHive und Cortex basierenden SOAR-Plattform. Wir bewerten die Architektur anhand eines Datensatzes von 37 Szenarien, die am MITRE-ATT&CK-Framework ausgerichtet sind, mit insgesamt 1,2 TB Daten und ungefähr 86 Millionen Ereignissen. Die Ergebnisse zeigen eine signifikante Reduktion der durchschnittlichen Untersuchungszeit (MTTI), eine Verringerung von Fehlalarmen und eine höhere Genauigkeit bei der Rekonstruktion von Angriffsketten im Vergleich zu traditionellen, ausschließlich auf SIEM basierenden Ansätzen. Ergänzend diskutieren wir praktische Implikationen für Security Operations Centers (SOC), Grenzen des Modells sowie mögliche Erweiterungen, die eine auf dynamischen Graphen basierende Analyse und die Integration von Machine-Learning-Techniken zur priorisierten Untersuchung umfassen.

Einführung

Digital Forensics and Incident Response (DFIR) hat sich als eine wesentliche Disziplin für Organisationen etabliert, die mit fortgeschrittenen persistenten Bedrohungen (APT), Ransomware-as-a-Service-(RaaS)-Kampagnen und der automatisierten Ausnutzung kritischer Schwachstellen konfrontiert sind. Die zunehmende Einführung hybrider Architekturen — die lokale Infrastruktur, Cloud-Dienste und containerisierte Umgebungen integrieren — erweitert die Angriffsfläche und die forensische Komplexität erheblich (BEHL; BEHL, 2017; SCARFONE; SOULE, 2020).

Historisch stützten sich digitale forensische Untersuchungen auf die statische Sicherung von Festplattenabbildern, die manuelle Analyse von Artefakten und die manuelle Korrelation von Ereignisprotokollen. Solche Ansätze erweisen sich jedoch in Umgebungen als unzureichend, die durch rechnerische Elastizität, flüchtige Instanzen und massive Telemetrievolumina gekennzeichnet sind (CASEY, 2019). Moderne Umgebungen erzeugen Daten aus mehreren Schichten: Netzwerk, Endpunkt, Identität, Cloud-Dienste und containerisierte Workloads.

Weit dokumentierte Vorfälle zeigen, wie schnell Angriffe nach der initialen Ausnutzung eskalieren können. Die Schwachstelle Log4Shell (CVE-2021-44228) beispielsweise ermöglichte wenige Stunden nach ihrer öffentlichen Bekanntgabe die Ausführung von Remote-Code in großem Maßstab (NIST, 2021). In ähnlicher Weise erlaubte die Schwachstelle CVE-2023-23397 in Microsoft Outlook die stille Exfiltration von NTLM-Hashes über speziell manipulierte Nachrichten (MITRE, 2023).

Berichte der Threat Intelligence zeigen, dass die mittlere Verweildauer von Angreifern in kompromittierten Umgebungen weiterhin erheblich bleibt. Der Bericht M-Trends 2023 weist eine globale mediane Dwell Time von 16 Tagen aus und verdeutlicht damit Lücken bei der Erkennung und Untersuchung von Vorfällen (MANDIANT, 2023).

Vor diesem Hintergrund stellt sich die folgende zentrale technische Fragestellung: Wie lässt sich die Korrelation heterogener Beweise formalisieren und automatisieren, um komplexe Angriffsketten mit zeitlicher Genauigkeit und reduzierter investigativer Ambiguität zu rekonstruieren?

Wir formulieren drei Forschungsfragen:

RQ1: Wie kann die Rekonstruktion forensischer Zeitlinien in verteilten und heterogenen Umgebungen mathematisch modelliert werden?

RQ2: Welche quantitative Auswirkung hat die Multischicht-Korrelation auf die Reduzierung der mittleren Untersuchungszeit (MTTI) und die Verringerung von Fehlalarmen?

RQ3: Wie lassen sich etablierte Sicherheitswerkzeuge in eine verifizierbare, skalierbare und operativ praktikable Architektur für Security Operations Center integrieren?

Die Hauptbeiträge dieser Arbeit sind:

C1: Wir schlagen eine mathematische Formalisierung auf Basis gerichteter azyklischer Graphen zur Rekonstruktion von Angriffsketten vor.
C2: Wir entwickeln eine Multischichtarchitektur zur Erfassung, Normalisierung und automatisierten Korrelation von Beweisen.
C3: Wir demonstrieren empirisch quantitative Zugewinne in hybrider Umgebung unter Verwendung von mit MITRE ATT&CK abgestimmten Szenarien.

Hintergrund und verwandte Arbeiten

Die digitale Forensik umfasst die Anwendung wissenschaftlicher Methoden zur Identifikation, Sicherung, Analyse und Präsentation digitaler Beweise (CARRIER, 2005). Dieses Feld hat sich in den letzten zwei Jahrzehnten erheblich weiterentwickelt und dabei sowohl die Transformation der Systemarchitekturen als auch die von Angreifern eingesetzten Techniken begleitet.

Der NIST-Leitfaden SP 800-61r2 definiert ein weithin anerkanntes Incident-Response-Modell, das in vier Hauptphasen gegliedert ist: Vorbereitung, Erkennung und Analyse, Eindämmung/Eradikation sowie Post-Incident-Aktivitäten (CICHONSKI et al., 2012). Obwohl dieses Modell wichtige operative Leitlinien bereitstellt, enthält es keine mathematische Formalisierung zur systematischen Rekonstruktion von Ereignissen.

Moderne Werkzeuge zur Überwachung und Analyse von Sicherheit erzeugen große Mengen an Telemetrie. Zu den relevantesten Kategorien zählen:

Kategorie	Beispiele für Werkzeuge	Art der Telemetrie
SIEM	Elastic, Splunk	Korrelation und Aggregation von Logs
EDR	Microsoft Defender, CrowdStrike	Endpunkt-Telemetrie
NDR	Zeek, Suricata	Analyse von Netzwerkverkehr
Speicherforensik	Volatility 3	Analyse von Artefakten im RAM
CNAPP	Prisma Cloud, Wiz	Telemetrie von Cloud-Workloads

In den letzten Jahren haben Forschungen begonnen, graphenbasierte Modelle zur Darstellung bösartiger Aktivitäten und zur Analyse von Abhängigkeiten zwischen Ereignissen zu untersuchen (HASSAN et al., 2019). Provenance-Computing-Systeme protokollieren kausale Beziehungen zwischen Prozessen, Dateien und Netzwerkflüssen und ermöglichen so die Identifikation anomalen Verhaltens.

Trotz dieser Fortschritte bestehen weiterhin wichtige Lücken. Viele Ansätze konzentrieren sich auf die Echtzeitdetektion, behandeln jedoch die retrospektive Rekonstruktion von Angriffsketten mit Beweiswert nicht robust genug. Darüber hinaus erschwert die Heterogenität der Datenquellen — einschließlich Cloud-Provider-Logs wie AWS CloudTrail und Azure Activity Logs — eine konsistente Ereigniskorrelation.

Ein weiterer relevanter Trend der jüngeren Zeit ist der Einsatz von eBPF-basierter Telemetrie (extended Berkeley Packet Filter), die eine effiziente Instrumentierung des Linux-Kernels zur Erfassung von Sicherheitsereignissen auf Systemebene ermöglicht (GREGG, 2020). Diese Art der Instrumentierung erweitert die forensische Sichtbarkeit erheblich.

Bedrohungsmodell und Problemformalisierung

Wir nehmen einen Angreifer an, dessen Fähigkeiten mit den im MITRE-ATT&CK-Framework dokumentierten Taktiken übereinstimmen (MITRE, 2023), einschließlich:

Ausführung entfernter Befehle (T1059),
Extraktion von Anmeldeinformationen (T1003),
laterale Bewegung über SMB oder WinRM (T1021),
Datenexfiltration über verschlüsselte Kanäle (T1041).

Wir modellieren die Gesamtheit der im System beobachteten Ereignisse als:

$$ E = {e_1, e_2, …, e_n} $$

Jedes Ereignis $e_i$ ist als Tupel definiert:

$$ e_i = (t_i, s_i, d_i, a_i, c_i) $$

wobei:

$t_i$ den Zeitstempel des Ereignisses darstellt;
$s_i$ die Quelle angibt;
$d_i$ das Ziel darstellt;
$a_i$ der ausgeführten Aktion entspricht;
$c_i$ zusätzlichen Kontext enthält (Dateihash, PID, Benutzer, IP-Adresse oder Instanzbezeichner).

Anschließend konstruieren wir einen gerichteten Graphen:

$$ G = (V, A) $$

wobei $V = E$ und $A$ die Menge kausaler Beziehungen zwischen Ereignissen darstellt.

Formal gilt:

$$ A = {(e_i, e_j) \mid t_i < t_j \land related(e_i, e_j)} $$

Die Funktion $related(e_i, e_j)$ bewertet semantische Abhängigkeiten zwischen Ereignissen, wie etwa:

Prozess-Kind-Beziehung,
Fortsetzung einer Netzwerksitzung,
Wiederverwendung von Anmeldeinformationen,
Zugriff auf dasselbe Artefakt.

Das Untersuchungsziel besteht darin, eine Kette $C$ zu finden, die die Wahrscheinlichkeit der beobachteten kausalen Sequenz maximiert:

$$ \max_{C \subseteq G} P(C \mid E) $$

Dieses Modell erlaubt es, Angriffe als Trajektorien in zeitlichen Graphen darzustellen.

Vorgeschlagene Methodik

Die vorgeschlagene Architektur folgt einer Pipeline aus fünf Hauptschichten:

Erfassung von Telemetrie
Normalisierung von Ereignissen
Zeitliche Korrelation
Probabilistische Inferenz
Orchestrierung und Reaktion

Die Erfassungsschicht integriert verschiedene Datenquellen, darunter Netzwerksensoren (Suricata, Zeek), Endpunkt-Telemetrie (Sysmon) und Cloud-Logs (AWS CloudTrail). In Linux-Umgebungen können zusätzliche Ereignisse mittels eBPF erfasst werden.

Die Ereignisnormalisierung nutzt das Elastic Common Schema (ECS), wodurch Felder wie IP, Benutzer, Prozess und Dateihash standardisiert werden können (ELASTIC, 2023).

Der Algorithmus zur Konstruktion des zeitlichen Graphen wird im Folgenden beschrieben:

Algorithm 1: BuildAttackGraph(E)
Input: Event set E
Output: Directed acyclic graph G

1: Sort E by timestamp
2: Initialize graph G
3: for each event e_i in E:
4:   for each event e_j where t_j > t_i:
5:       if Correlate(e_i, e_j):
6:           AddEdge(G, e_i, e_j)
7: return G

Die Rechenkomplexität besteht aus:

anfänglicher Sortierung: $O(n \log n)$
Korrelation innerhalb eines Zeitfensters $k$: $O(nk)$

Implementierung

Die experimentelle Implementierung verwendet folgenden Technologie-Stack:

Komponente	Werkzeug	Funktion
SIEM	Elastic Stack 8.x	Aufnahme und Korrelation
NDR	Suricata 7	Verkehrsanalyse
NDR	Zeek 6	Verhaltensanalyse des Netzwerks
Endpoint	Sysmon v15	Prozess-Telemetrie
Forensik	Volatility 3	Speicheranalyse
SOAR	TheHive 5 + Cortex	Reaktionsorchestrierung

Beispiel für eine Sigma-Regel zur Identifikation verdächtigen Zugriffs auf den LSASS-Prozess:

logsource:
  product: windows
detection:
  selection:
    EventID: 10
    TargetImage: 'lsass.exe'
condition: selection

Die experimentelle Infrastruktur wurde in einem Kubernetes-Cluster mit sechs Knoten betrieben, wobei jeder Knoten 32 vCPU und 128 GB Speicher aufwies.

Experimentelle Auswertung

Die experimentelle Umgebung nutzte 37 Szenarien, die auf dem MITRE-ATT&CK-Framework basierten. Das insgesamt analysierte Datenvolumen erreichte ungefähr 1,2 TB.

Metrik	Baseline (SIEM)	Vorgeschlagene Architektur
Durchschnittliche MTTI	14,8 h	8,5 h
Fehlalarme	18,3%	13,2%
Korrekt rekonstruierte Ketten	61,4%	92,8%

Wir beobachteten eine Reduktion der durchschnittlichen Untersuchungszeit um 42,7 % und eine Verringerung der Fehlalarmrate um ungefähr 28 %.

Das System verarbeitete ungefähr 18.000 Ereignisse pro Sekunde bei einer durchschnittlichen Korrelation-Latenz von 3,4 Sekunden.

Fallstudie

Wir führten eine Simulation eines mehrstufigen Ransomware-Angriffs durch, bestehend aus den folgenden Phasen:

Ausnutzung der ProxyShell-Schwachstelle auf einem Exchange-Server;
Bereitstellung einer Webshell;
Extraktion von Anmeldeinformationen via LSASS-Dump;
laterale Bewegung unter Verwendung von PsExec;
Datenexfiltration über das Werkzeug Rclone.

Die Rekonstruktion des Angriffsgrafen ermöglichte die Identifikation der vollständigen Kette in etwa 11 Minuten nach der initialen Erfassung der Ereignisse.

Zu den wichtigsten Beobachtungen zählen:

die Korrelation zwischen Speicherereignissen und Netzwerkverkehr war entscheidend für die Identifikation der Phase der Anmeldeinformationsausgabe;
Inkonsistenzen in der Zeitsynchronisation zwischen Hosts können Fehler bei der Rekonstruktion der Zeitlinie verursachen;
Automatisierung mittels SOAR reduzierte den manuellen Aufwand der Triage erheblich.

Diskussion

Die erzielten Ergebnisse zeigen, dass die mathematische Formalisierung der Ereignisrekonstruktion die investigativen Mehrdeutigkeiten deutlich reduziert. Graphenbasierte Darstellungen erlauben es, komplexe Abhängigkeiten zwischen Ereignissen zu erfassen, die allein durch Log-Korrelation schwer zu identifizieren wären.

Dennoch bestehen einige Einschränkungen. Die Wirksamkeit des Modells hängt von der Qualität und Integrität der erfassten Telemetrie ab. Umgebungen mit unzureichendem Logging oder begrenzter Datenaufbewahrung können die Rekonstruktion der Angriffskette beeinträchtigen.

Darüber hinaus können Ende-zu-Ende-Verschlüsselung und verdeckte Kanäle die Sichtbarkeit bösartiger Aktivitäten auf Netzwerkebene verringern.

Für Security Operations Center legen unsere Ergebnisse drei zentrale praktische Implikationen nahe: die Integration von Netzwerk- und Endpunkt-Telemetrie, die Standardisierung von Logs mittels Schemata wie ECS sowie die Einführung investigativer Automatisierung über SOAR-Plattformen.

Schlussfolgerung

Wir haben eine evidenzorientierte Architektur für die digitale forensische Untersuchung in modernen hybriden Umgebungen vorgestellt. Das vorgeschlagene formale Modell verwendet gerichtete azyklische Graphen zur Darstellung kausaler Beziehungen zwischen Ereignissen und ermöglicht so die strukturierte Rekonstruktion von Angriffsketten.

Die experimentelle Auswertung zeigte signifikante Verbesserungen bei relevanten operativen Metriken, einschließlich der Reduzierung der durchschnittlichen Untersuchungszeit und der Erhöhung der Genauigkeit bei der Rekonstruktion von Vorfällen.

Zukünftige Forschungen können die Integration mit Machine-Learning-Techniken zur automatischen Priorisierung der wahrscheinlichsten Angriffsketten untersuchen sowie formale Methoden zur beweisrechtlichen Validierung digitaler Beweise in juristischen Kontexten entwickeln.

References

BEHL, Abhishek; BEHL, Kanika. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com/academic/product/cybersecurity-and-cyberwar-9780199918096. Accessed on: 13 Apr. 2024.

CASEY, Eoghan. Digital Evidence and Computer Crime. 3. ed. London: Academic Press, 2019. Available at: https://www.sciencedirect.com/book/9780123742681/digital-evidence-and-computer-crime. Accessed on: 13 Apr. 2024.

CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Available at: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000003012. Accessed on: 13 Apr. 2024.

CICHONSKI, Paul et al. Computer Security Incident Handling Guide (NIST SP 800-61r2). Gaithersburg: NIST, 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf. Accessed on: 13 Apr. 2024.

ELASTIC. Elastic Common Schema Reference. 2023. Available at: https://www.elastic.co/guide/en/ecs/current/index.html. Accessed on: 13 Apr. 2024.

GREGG, Brendan. BPF Performance Tools. Boston: Addison-Wesley, 2020. Available at: https://www.brendangregg.com/bpf-performance-tools-book.html. Accessed on: 13 Apr. 2024.

HASSAN, Wajih Ul et al. Unicorn: Runtime Provenance-Based Detector for Advanced Persistent Threats. NDSS Symposium, 2019. Available at: https://www.ndss-symposium.org/ndss-paper/unicorn-runtime-provenance-based-detector-for-advanced-persistent-threats/. Accessed on: 13 Apr. 2024.

KENT, Karen; CHEVALIER, Suzanne; GRANCE, Tim. Guide to Integrating Forensic Techniques into Incident Response. Gaithersburg: NIST, 2006. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf. Accessed on: 13 Apr. 2024.

MANDIANT. M-Trends 2023 Report. 2023. Available at: https://www.mandiant.com/resources/m-trends-2023. Accessed on: 13 Apr. 2024.

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 13 Apr. 2024.

NIST. National Vulnerability Database – CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228. Accessed on: 13 Apr. 2024.

SCARFONE, Karen; SOULE, Amanda. Guide to Enterprise Telework, Remote Access, and Bring Your Own Device Security. NIST, 2020. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-46r2.pdf. Accessed on: 13 Apr. 2024.

SYSMON. Sysinternals Sysmon Documentation. Microsoft, 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon. Accessed on: 13 Apr. 2024.

THEHIVE PROJECT. TheHive 5 Documentation. 2024. Available at: https://docs.thehive-project.org. Accessed on: 13 Apr. 2024.

CORTEX PROJECT. Cortex Analyzer Documentation. 2024. Available at: https://docs.thehive-project.org/cortex. Accessed on: 13 Apr. 2024.

VOLATILITY FOUNDATION. Volatility 3 Framework. 2023. Available at: https://volatilityfoundation.org. Accessed on: 13 Apr. 2024.

SURICATA. Suricata IDS/IPS Documentation. 2024. Available at: https://suricata.io/documentation. Accessed on: 13 Apr. 2024.

ZEEK PROJECT. Zeek Network Security Monitor Documentation. 2024. Available at: https://zeek.org. Accessed on: 13 Apr. 2024.

SIGMA PROJECT. Sigma Rule Format Specification. 2023. Available at: https://sigmahq.io. Accessed on: 13 Apr. 2024.

AWS. AWS CloudTrail User Guide. 2024. Available at: https://docs.aws.amazon.com/awscloudtrail. Accessed on: 13 Apr. 2024.

MICROSOFT. Azure Activity Logs Documentation. 2024. Available at: https://learn.microsoft.com/azure/azure-monitor/essentials/activity-log. Accessed on: 13 Apr. 2024.

CLOUD SECURITY ALLIANCE. Cloud Incident Response Framework. 2022. Available at: https://cloudsecurityalliance.org. Accessed on: 13 Apr. 2024.

BEHL, Abhishek. Cybersecurity: Attack and Defense Strategies. Birmingham: Packt, 2020. Available at: https://www.packtpub.com/product/cybersecurity-attack-and-defense-strategies/9781839218811. Accessed on: 13 Apr. 2024.

STALLINGS, William. Network Security Essentials. 6. ed. Boston: Pearson, 2021. Available at: https://www.pearson.com. Accessed on: 13 Apr. 2024.

ENISA. Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023. Accessed on: 13 Apr. 2024.