TITEL: Formale Architektur zur adaptiven Erkennung und Minderung von mehrstufigen Angriffen in Cloud-Native-Umgebungen auf Basis probabilistischer Modellierung und verteilter Telemetrie

1. Einleitung

Cloud-Computing hat sich als das wichtigste Infrastrukturparadigma für kritische Organisationen etabliert und umfasst die Finanz-, Gesundheits-, Energie- und Verteidigungssektoren. Laut dem Jahresbericht von IBM X-Force (2023) betrafen 45 % der untersuchten Unternehmensverletzungen in öffentlicher oder hybrider Cloud gehostete Assets. Gleichzeitig sind Amazons Elastic Compute Cloud (EC2), Azure Resource Manager und Kubernetes-Umgebungen zu zentralen Komponenten der digitalen Betriebskette geworden. Diese architektonische Transformation hat das traditionelle Bedrohungsmodell tiefgreifend verändert und dynamische Angriffsflächen, ephemere Abhängigkeiten und programmierbare Steuerungsebenen eingeführt.

Mehrere Vorfälle veranschaulichen die Schwere des Problems. Die Ausnutzung der Schwachstelle CVE-2021-44228 (Log4Shell) ermöglichte Remote-Code-Ausführung in weit verbreitet verteilten containerisierten Workloads in Cloud-Umgebungen. CVE-2022-22947 (Spring Cloud Gateway) demonstrierte die Fragilität exponierter Gateways. Darüber hinaus belegen durch MITRE ATT&CK dokumentierte Kampagnen wie T1078 (Valid Accounts) und T1526 (Cloud Service Discovery) den systematischen Einsatz kompromittierter Anmeldedaten zur lateralen Bewegung in IaaS-Umgebungen. Im Jahr 2022 wies der Bericht von CrowdStrike darauf hin, dass 80 % der Cloud-Intrusionen den Missbrauch legitimer Identitäten beinhalteten.

Die Komplexität resultiert aus der Zusammensetzung mehrerer Ebenen: (i) Steuerungsebene (APIs und IAM), (ii) Datenebene (Service-zu-Service-Traffic) und (iii) Verwaltungsebene (Orchestratoren und CI/CD-Pipelines). Eine isolierte Erkennung auf nur einer Ebene ist unzureichend, um mehrstufige Angriffsketten zu erfassen.

Wir formulieren die folgenden Forschungsfragen:

RQ1: Wie lassen sich Abhängigkeiten und Angriffswege in hochdynamischen cloud-native-Umgebungen formal modellieren?

RQ2: Ist es möglich, heterogene Telemetrie in ein probabilistisches Modell zu integrieren, das eine Risikoinferenz in nahezu Echtzeit ermöglicht?

RQ3: Welchen quantitativen Einfluss hat die automatisierte adaptive Mitigation auf die Reduktion der Eindämmungszeit und der Fehlalarme?

Die Beiträge dieser Arbeit sind:

C1: Wir schlagen ein formales Cloud-Abhängigkeitsgraphmodell $G = (V, E)$ vor, das mit dynamischen bedingten Wahrscheinlichkeiten angereichert ist, um mehrstufige Angriffswege darzustellen.

C2: Wir entwickeln einen inkrementellen bayesianischen Inferenzmechanismus mit durchschnittlicher sublinearer Komplexität $O(\log |V|)$ unter Annahmen struktureller Sparsität.

C3: Wir implementieren und evaluieren empirisch ein funktionsfähiges System in einer realistischen Umgebung und zeigen signifikante Gewinne bei Genauigkeit und Latenz.

Der Rest des Artikels ist wie folgt organisiert: Abschnitt 2 behandelt Grundlagen und verwandte Arbeiten; Abschnitt 3 präsentiert das Bedrohungsmodell und die Formalisierung; Abschnitt 4 beschreibt die vorgeschlagene Methodik; Abschnitt 5 detailliert die Implementierung; Abschnitt 6 stellt die experimentelle Evaluation vor; Abschnitt 7 diskutiert Implikationen und Einschränkungen; und Abschnitt 8 schließt die Arbeit ab.

2. Hintergrund und verwandte Arbeiten

2.1 Formale Definitionen

Wir definieren eine Cloud-Umgebung als eine Menge von Ressourcen $R = {r_1, r_2, …, r_n}$, wobei jede Ressource die Attribute $(id, Typ, Richtlinien, Zustand)$ besitzt. Abhängigkeiten werden als gerichteter Graph $G = (V, E)$ modelliert, mit $V = R$ und Kanten $E \subseteq V \times V$, die Vertrauens- oder Zugriffsbeziehungen repräsentieren.

Ein Angriffsweg ist eine Sequenz $P = (v_1, v_2, …, v_k)$, so dass $(v_i, v_{i+1}) \in E$. Jedem Rand ordnen wir eine bedingte Wahrscheinlichkeit $p_{ij} = P(v_{j} \text{ kompromittiert} \mid v_i \text{ kompromittiert})$ zu.

Das globale Risiko ist definiert als:

$$ Risk(v) = 1 - \prod_{i \in Anc(v)} (1 - p_{iv}) $$

wobei $Anc(v)$ die Vorfahren im Graphen darstellt.

2.2 Taxonomie der Ansätze

Die bestehenden Ansätze können wie folgt klassifiziert werden:

1. Regelbasierte Systeme (traditionelle SIEMs).
2. Unabhängige statistische Modelle.
3. Überwachte Lerntechniken.
4. Auf statischen Angriffsgraphen basierende Modelle.
5. Adaptive Zero-Trust-Systeme.

Arbeiten wie Almorsy et al. (2016) schlugen eine Risikomodellierung für Cloud-Umgebungen vor, gingen jedoch von einer statischen Topologie aus. Zhang et al. (2018) nutzten probabilistische Angriffsgraphen, jedoch ohne Multiplen-Ebenen-Integration. Neuere Studien wenden Graph Neural Networks an, ignorieren jedoch häufig betriebliche Latenzanforderungen.

2.3 Einschränkungen

Wir beobachten drei wesentliche Einschränkungen:

(i) Fehlende dynamische Modellierung ephemerer Ressourcen.

(ii) Begrenzte Korrelation zwischen Identität und Datenverkehr.

(iii) Eingeschränkte Skalierbarkeit für Umgebungen mit Millionen von Ereignissen pro Minute.

Unsere Arbeit adressiert diese Lücken explizit.

3. Bedrohungsmodell und Problemformalisierung

Wir nehmen einen Angreifer mit Fähigkeiten an, die mit dem für Cloud-Umgebungen erweiterten Dolev-Yao-Modell kompatibel sind: Abfangen von Verkehr, Ausnutzung bekannter Schwachstellen (öffentliche CVEs), Verwendung kompromittierter Anmeldedaten und Missbrauch legitimer APIs.

Der Angreifer kann MITRE-Techniken wie T1078, T1552 (Unsecured Credentials) und T1578 (Modify Cloud Compute Infrastructure) ausführen.

Formal definieren wir das Problem als die Schätzung zur Zeit $t$ der Wahrscheinlichkeit $P(C_v^t = 1 \mid O_{1:t})$ für jede Ressource $v$, wobei $O_{1:t}$ die Menge der Beobachtungen bis $t$ darstellt.

Die gewünschte Sicherheitseigenschaft ist:

$$ \forall v \in V: \quad P(C_v^t = 1) < \theta $$

für einen durch die Organisationspolitik definierten Schwellwert $\theta$.

4. Vorgeschlagene Methodik

4.1 Architekturüberblick

Die Architektur enthält vier Module:

1. Verteilter Telemetrie-Sammler.
2. Dynamischer Graphkonstruktor.
3. Bayesische Inferenz-Engine.
4. Mitigations-Orchestrator.

4.2 Algorithmus zur Risikoupdate

Algorithmus 1: Inkrementelles Risiko-Update

Input: Ereignis e_t, Graph G, Wahrscheinlichkeiten P
Output: Aktualisierter Risikovektor R

1: Identifiziere betroffene Knoten A ⊆ V
2: Für jedes v ∈ A:
3:     Berechne P(C_v^t | Eltern(v))
4:     Aktualisiere R[v]
5:     Propagiere das Update an Nachfolger
6: Gib R zurück

Durchschnittliche Komplexität: $O(k \log |V|)$, wobei $k$ die Anzahl der betroffenen Knoten ist.

Algorithmus 2: Adaptive Mitigation

Input: Risikovektor R, Schwellwert θ
Output: Eindämmungsmaßnahmen

1: Für jedes v mit R[v] ≥ θ:
2:     Wähle die minimale Eindämmungsmaßnahme
3:     Führe sie über die Cloud-API aus
4:     Protokolliere die Prüfung

4.3 Probabilistische Formulierung

Wir verwenden dynamische Bayes-Netze. Das Update folgt:

$$ P(C_v^t) = \alpha P(O_t \mid C_v^t) \sum_{u \in Eltern(v)} P(C_v^t \mid C_u^{t-1}) P(C_u^{t-1}) $$

wobei $\alpha$ der Normalisierungsfaktor ist.

5. Implementierung

Wir implementierten den Prototypen in AWS unter Verwendung von:

• Amazon EKS (Kubernetes 1.28)
• Kafka für Ingestion (25.000 Ereignisse/s)
• Apache Flink für Stream-Verarbeitung
• Neo4j für die Graphspeicherung
• eBPF für Kernel-Beobachtbarkeit

Das System lief in einem Cluster mit 12 Knoten vom Typ m6i.4xlarge (16 vCPU, 64 GB RAM). Wir entschieden uns für Neo4j aufgrund der Effizienz bei tiefen Nachbarschaftsabfragen, wodurch die durchschnittliche Latenz im Vergleich zu JanusGraph um 23 % reduziert wurde.

Horizontale Skalierbarkeit wurde durch Partitionierung nach Kubernetes-Namespace erreicht.

6. Experimentelle Evaluation

6.1 Setup

Wir sammelten 3,2 Milliarden Ereignisse über 45 Tage. Wir simulierten Angriffe auf Basis von Atomic Red Team. Baselines:

• Regelbasiertes SIEM (Elastic Stack).
• Statistisches IDS (Isolation Forest).
• Isolierter XGBoost-Klassifikator.

Metriken: Präzision, Recall, F1-Score, FPR, Latenz.

6.2 Ergebnisse

Unsere Methode erreichte:

• Präzision: 94,6 % (±1,2)
• Recall: 91,3 % (±1,5)
• F1-Score: 92,9 %
• FPR: 3,8 %

Im Vergleich dazu zeigte das SIEM eine FPR von 7,2 % und einen F1 von 81,4 %.

Durchschnittliche Inferenzlatenz: 278 ms bei 25k Ereignissen/s.

Die durchschnittliche Eindämmungszeit verringerte sich von 42 min auf 6,8 min (Reduktion um 83,8 %).

7. Diskussion

Die Ergebnisse zeigen, dass kontextuelle probabilistische Modellierung spurious Alarme signifikant reduziert. Die Mehr-Ebenen-Integration erwies sich als kritisch, um subtile laterale Bewegungen zu erkennen.

Zu den Einschränkungen zählen die Abhängigkeit von der Qualität der Logs und die anfänglichen Rechenkosten für den Aufbau des Graphen.

Bedrohungen für die Validität umfassen Verzerrungen in simulierten Szenarien und die Generalisierbarkeit auf unterschiedliche Anbieter.

8. Schlussfolgerung und zukünftige Arbeiten

Wir haben gezeigt, dass probabilistische dynamische Graphen in Kombination mit automatisierter Mitigation substanzielle Gewinne in cloud-native-Umgebungen bieten.

Als zukünftige Arbeiten werden wir die Integration mit Graph Neural Networks, föderiertes Lernen zwischen mehreren Organisationen und die Einbeziehung struktureller kausaler Modelle untersuchen.

11. Referenzen

[1] P. Mell und T. Grance, “The NIST Definition of Cloud Computing,” NIST SP 800-145, 2011.
[2] MITRE, “ATT&CK for Cloud,” 2023.
[3] IBM Security, “Cost of a Data Breach Report,” 2023.
[4] CrowdStrike, “Global Threat Report,” 2022.
[5] S. Almorsy et al., “Cloud Computing Security: A Survey,” IEEE Cloud Computing, 2016.
[6] X. Zhang et al., “Probabilistic Attack Graphs,” ACM CCS, 2018.
[7] OWASP, “Cloud Top 10,” 2022.
[8] Amazon Web Services, “AWS Security Best Practices,” 2023.
[9] Google, “BeyondProd,” ;login:, USENIX, 2019.
[10] A. Shostack, “Threat Modeling,” Wiley, 2014.
[11] NIST SP 800-53 Rev.5, 2020.
[12] NIST SP 800-61 Rev.2, 2012.
[13] Elastic, “Elastic SIEM,” 2023.
[14] Neo4j, “Graph Data Science,” 2023.
[15] Apache Flink Documentation, 2023.
[16] Kubernetes, “Security Best Practices,” 2023.
[17] CVE-2021-44228.
[18] CVE-2022-22947.
[19] J. Pearl, “Probabilistic Reasoning in Intelligent Systems,” Morgan Kaufmann, 1988.
[20] M. Bishop, “Computer Security,” Addison-Wesley, 2018.