TITEL: Formale und operative Architektur zur Erkennung und Eindämmung von Bedrohungen in Multi-Cloud-Umgebungen auf Basis vereinheitlichter Telemetrie und adversarialer Modellierung

1. Einleitung

Cloud Computing hat sich als das dominante Paradigma für die zeitgenössische digitale Infrastruktur etabliert. Organisationen aus verschiedenen Sektoren haben kritische Arbeitslasten in Umgebungen auf Basis von Infrastructure as a Service (IaaS), Platform as a Service (PaaS) und Software as a Service (SaaS) migriert. Marktprognosen deuten darauf hin, dass das globale Volumen öffentlicher Cloud-Dienste jährlich mehrere hundert Milliarden US-Dollar überschritten hat, was die zentrale Rolle dieses Modells für die digitale Transformation von Unternehmen widerspiegelt (GARTNER, 2023).

Trotz der Vorteile hinsichtlich Skalierbarkeit, Elastizität und Automatisierung führen Cloud-Umgebungen neue Klassen von Sicherheitsrisiken ein. Die Angriffsfläche wird aufgrund der kontinuierlichen Erstellung und Löschung von Ressourcen, der Exposition administrativer APIs sowie der intensiven Nutzung föderierter Identitäten und temporärer Tokens hochdynamisch. Weit dokumentierte Vorfälle verdeutlichen dieses Szenario. Der Kompromittierung von Capital One im Jahr 2019 wurde eine Server-Side Request Forgery (SSRF)-Schwachstelle ausgenutzt, um auf den Instanz-Metadatendienst von EC2 zuzugreifen und temporäre Anmeldeinformationen zu erhalten, die mit übermäßig permissiven IAM-Richtlinien verknüpft waren (SEN; SHARMA, 2020). In ähnlicher Weise zeigte die Schwachstelle Log4Shell (CVE-2021-44228), wie weit verbreitete Komponenten systemische Risiken in containerisierten und serverless Umgebungen einführen können (NIST, 2022).

In Multi-Cloud-Umgebungen wird das Problem noch komplexer. Jeder Anbieter stellt unterschiedliche Mechanismen für Audit und Telemetrie bereit, etwa AWS CloudTrail, Azure Activity Logs und Google Cloud Audit Logs. Darüber hinaus nutzen moderne Workloads Orchestrierungsplattformen wie Kubernetes, die zusätzliche Ebenen von Sicherheitsprotokollen und -ereignissen einführen (BURNS; BEDA; HIGHTOWER, 2019). In vielen Organisationen werden diese Daten von traditionellen SIEM-Tools erfasst, jedoch fragmentiert analysiert, ohne explizite Darstellung der Beziehungen zwischen Identitäten, Ressourcen und Berechtigungen.

Diese Fragmentierung begrenzt die Fähigkeit, Angriffe zu identifizieren, die Ketten verteilter Berechtigungen zwischen Diensten ausnutzen. In Cloud-Umgebungen häufig beobachtete Techniken wie T1078 (Valid Accounts) und T1550 (Use of Web Tokens) umfassen oft mehrere Schritte lateraler Eskalation, die bei isolierter Ereignisanalyse nicht erkannt werden (MITRE, 2023).

Vor diesem Hintergrund untersucht diese Arbeit die folgenden Forschungsfragen:

RQ1: Wie lässt sich die Angriffsfläche von Cloud-Umgebungen mathematisch formalisieren, um eine effiziente Inferenz von Pfaden lateraler Eskalation zu ermöglichen?

RQ2: Ist es möglich, heterogene Telemetrie mehrerer Anbieter in ein gemeinsames analytisches Modell zu integrieren, das auf Taktiken und Techniken von MITRE ATT&CK ausgerichtet ist?

RQ3: Welchen operativen Einfluss hat dieser Ansatz auf die Erkennungsrate und die Reduktion der durchschnittlichen Reaktionszeit auf Vorfälle?

Unsere wesentlichen Beiträge sind drei. Erstens schlagen wir ein formales Modell auf Grundlage gewichteter gerichteter Graphen vor, das Identitäten, Ressourcen und Autorisierungsrichtlinien in Multi-Cloud-Umgebungen abbildet. Zweitens entwickeln wir inkrementelle Korrelationsalgorithmen, die Ereignisse aus mehreren Telemetriequellen integrieren können. Drittens evaluieren wir die vorgeschlagene Architektur experimentell in einer realistischen Multi-Cloud-Umgebung mit Hunderten von Instanzen und mehreren Angriffsszenarien.

Der Rest des Artikels ist wie folgt gegliedert. Abschnitt 2 stellt Grundlagen und verwandte Arbeiten vor. Abschnitt 3 beschreibt das Bedrohungsmodell und die Problemformalisierung. Abschnitt 4 präsentiert die vorgeschlagene Methodik. Abschnitt 5 beschreibt die Implementierung der Architektur. Abschnitt 6 zeigt die experimentelle Evaluation. Abschnitt 7 beschreibt eine realistische Fallstudie. Abschnitt 8 diskutiert Implikationen und Grenzen. Abschließend präsentiert Abschnitt 9 die Schlussfolgerungen.

2. Hintergrund und verwandte Arbeiten

Das National Institute of Standards and Technology definiert Cloud Computing als ein Modell, das bequemen, bedarfsgesteuerten Zugriff auf einen gemeinsam genutzten Pool konfigurierbarer Rechenressourcen ermöglicht (MELL; GRANCE, 2011). Zu diesen Ressourcen gehören Netzwerke, Server, Speicher und Dienste, die mit minimalem administrativem Aufwand schnell bereitgestellt werden können.

Formal kann eine Cloud-Umgebung durch zwei grundlegende Mengen dargestellt werden:

$R = {r_1, r_2, …, r_n}$, die Rechenressourcen repräsentiert, und
$I = {i_1, i_2, …, i_m}$, die Identitäten repräsentiert.

Die Autorisierungsbeziehungen können modelliert werden als:

$A \subseteq I \times R$

wobei jedes Paar $(i,r)$ angibt, dass die Identität $i$ über einen bestimmten Zugriff auf die Ressource $r$ verfügt.

Die akademische Literatur zur Cloud-Sicherheit lässt sich in drei Hauptkategorien einteilen.

Erstens, auf Log-Analyse basierende Ansätze. Arbeiten wie die von Almorsy, Grundy und Ibrahim analysieren Audit-Protokolle, um anomales Verhalten in Cloud-Infrastrukturen zu erkennen (ALMORSY; GRUNDY; IBRAHIM, 2016). Diese Methoden hängen stark von der Qualität der verfügbaren Telemetrie ab.

Zweitens, auf Konfigurationsanalyse basierende Ansätze. Werkzeuge und Studien zur Erkennung von Fehlkonfigurationen in Infrastructure as Code sind mit der Einführung von DevOps und Infrastrukturautomatisierung besonders relevant geworden (RAHMAN; WILLIAMS, 2020).

Drittens, auf Graphmodellierung basierende Ansätze. Neuere Arbeiten verwenden Graphen, um Privilegienbeziehungen darzustellen und potenzielle Angriffspfade in Cloud-Umgebungen zu identifizieren (LI; YUAN; LI, 2019). Ein Großteil dieser Ansätze konzentriert sich jedoch auf einen einzelnen Anbieter oder integriert operative Telemetrie nicht nahezu in Echtzeit.

Darüber hinaus verwenden kommerzielle Lösungen wie AWS GuardDuty und Microsoft Defender for Cloud Verhaltensanalyse und Machine Learning, arbeiten jedoch als proprietäre Systeme ohne offene Formalisierung ihrer analytischen Modelle (SCARFONE; SOUPPAYA, 2020).

Es bestehen daher weiterhin wichtige Lücken in der Literatur, darunter das Fehlen einer strengen mathematischen Formalisierung der Angriffsfläche in Multi-Cloud-Umgebungen sowie der Mangel an vergleichenden experimentellen Evaluierungen unter Einbeziehung verschiedener Telemetriequellen.

3. Bedrohungsmodell und Problemformalisierung

Wir betrachten ein Angreifermodell, das mit in realen Cloud-Sicherheitsvorfällen beobachteten Szenarien konsistent ist. Der Angreifer verfügt zunächst über eine gültige Anmeldeinformation oder einen temporären Token, der durch Lecks, Phishing oder versehentliche Exposition in öffentlichen Repositories erlangt wurde (MELARA et al., 2021).

Die Fähigkeiten des Angreifers umfassen:

• Nutzung gültiger Anmeldeinformationen für den Zugriff auf Cloud-APIs (T1078).
• Ausnutzung von Schwachstellen in Anwendungen, um auf Instanzmetadaten zuzugreifen.
• Laterale Eskalation mittels übermäßig permissiver IAM-Richtlinien.
• Nutzung von Sitzungstokens oder föderierten Identitätsdiensten.

Wir modellieren das System als gerichteten Graphen:

$G = (V, E)$

wobei die Menge der Knoten gegeben ist durch:

$V = I \cup R$

und die Kantenmenge definiert ist als:

$E = {(i,r) \mid i \text{ besitzt eine Berechtigung für } r}$.

Jede Kante besitzt ein zugeordnetes Gewicht $w(e)$, das die geschätzte Wahrscheinlichkeit der Ausnutzung oder des Missbrauchs dieser Berechtigungsbeziehung darstellt.

Wir definieren dann die Risikofunktion eines Pfades $p$ im Graphen als:

$$ Risk(p) = \prod_{e \in p} w(e) $$

wobei $p$ eine Sequenz von Berechtigungen darstellt, die es dem Angreifer ermöglicht, eine sensible Ressource zu erreichen.

Das zentrale Problem besteht darin, Pfade $p$ zu identifizieren, so dass:

$$ Risk(p) > \theta $$

wobei $\theta$ einen Risikoschwellenwert darstellt, der durch die Sicherheitsrichtlinie der Organisation festgelegt ist.

Zusätzliche operative Kriterien umfassen:

• Integrität und Authentizität der erfassten Logs;
• Fähigkeit zur Korrelation über mehrere Ereignisquellen hinweg;
• Erkennung innerhalb von weniger als fünf Minuten nach dem Initialereignis.

4. Vorgeschlagene Methodik

Die vorgeschlagene Architektur besteht aus vier Hauptschichten, die Ingestion, Normalisierung, Korrelation und Reaktion auf Vorfälle ermöglichen.

Erfassungsschicht: verantwortlich für die Ingestion von Telemetrie aus verschiedenen Anbietern und Sensoren. Sie umfasst AWS CloudTrail, Azure Monitor, Google Cloud Audit Logs, VPC Flow Logs und netzwerkbasierte Sensoren auf Suricata-Basis.

Normalisierungsschicht: Ereignisse werden in ein gemeinsames Schema auf Grundlage des Elastic Common Schema (ECS) überführt, wodurch die Korrelation zwischen unterschiedlichen Quellen ermöglicht wird.

Korrelationsschicht: normalisierte Ereignisse werden verwendet, um einen in Neo4j gespeicherten Berechtigungsgraphen dynamisch zu aktualisieren. Regelbasierte Erkennungsmechanismen auf Basis von Sigma werden genutzt, um Ereignisse MITRE ATT&CK-Techniken zuzuordnen.

Reaktionsschicht: Wenn ein Pfad mit hohem Risiko erkannt wird, werden automatisierte Playbooks durch SOAR-Plattformen zur Widerrufung von Anmeldeinformationen, Isolierung von Instanzen oder Sperrung von API-Schlüsseln ausgeführt.

Algorithmus 1 – Inkrementeller Aufbau des Graphen

Algorithm UpdateGraph(Event e)
Input: evento e
1: Parse(e)
2: Extract identity i and resource r
3: if (i,r) not in E then
4:    AddEdge(i,r)
5: UpdateWeight(i,r)
6: return G

Die amortisierte Komplexität des Algorithmus beträgt $O(1)$ pro Ereignis, unter der Annahme einer effizienten Indexierung in der Graphdatenbank.

Algorithmus 2 – Identifikation von Pfaden mit hohem Risiko

Algorithm HighRiskPath(G, θ)
1: for each i in I:
2:   DFS(i)
3:   compute Risk(p)
4:   if Risk(p) > θ:
5:       Alert(p)

Die Komplexität jeder Abfrage beträgt $O(|V| + |E|)$.

5. Implementierung

Die Architektur wurde in einem Kubernetes-Cluster implementiert, der Version 1.27 ausführt und über 12 Knoten mit jeweils 64 vCPU und 256 GB Speicher verteilt ist. Die Umgebung wurde verteilt über drei Cloud-Anbieter bereitgestellt, um Multi-Cloud-Szenarien zu simulieren.

Der verwendete Technologie-Stack ist nachfolgend dargestellt.

Komponente	Technologie	Funktion
Ereignis-Ingestion	Apache Kafka	Verteilte Event-Pipeline
Log-Analyse	Elastic Stack 8.x	Indexierung und Suche
Graphdatenbank	Neo4j 5.x	Modellierung von Berechtigungen
Netzwerksensor	Suricata 7.0	IDS/IPS-Erkennung
Regelbasierte Erkennung	Sigma	Normalisierung von Regeln
Orchestrierung	Kubernetes	Workload-Management

Beispiel einer Sigma-Regel zur Erkennung von Missbrauch von AssumeRole in AWS:

logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AssumeRole
  condition: selection
level: high

Während der Experimente verarbeitete die Pipeline ungefähr 18.000 Ereignisse pro Sekunde bei einer durchschnittlichen Ingestionslatenz von 1,3 Sekunden.

6. Experimentelle Evaluation

Die experimentelle Evaluation wurde in einer Multi-Cloud-Umgebung mit 420 Instanzen durchgeführt, verteilt über AWS, Microsoft Azure und Google Cloud Platform. Es wurden 36 Angriffsszenarien ausgeführt, die von im MITRE ATT&CK dokumentierten Techniken inspiriert waren.

Die verwendeten Metriken umfassen:

• True-Positive-Rate (TPR);
• False-Positive-Rate (FPR);
• mittlere Reaktionszeit (MTTR);
• Rechenaufwand.

System	TPR	FPR	MTTR
Traditionelles SIEM	81,2%	7,4%	41,7 min
Vorgeschlagene Architektur	94,7%	3,8%	16,3 min

Die Reduktion des MTTR betrug ungefähr 61%, was darauf hinweist, dass graphbasierte Korrelation die schnelle Identifikation von Angriffsketten erleichtert.

Der beobachtete durchschnittliche CPU-Overhead betrug 6,8%, was darauf hindeutet, dass die Architektur in Unternehmensumgebungen ohne signifikante Auswirkungen auf die operative Leistung eingesetzt werden kann.

7. Fallstudie

Um das Verhalten der Architektur in einem realistischen Szenario zu bewerten, simulierten wir einen Vorfall mit versehentlicher Exposition von AWS-Anmeldeinformationen in einem öffentlichen Repository.

Die Angriffskette verlief wie folgt:

1. Das Red Team identifiziert einen Access Key mithilfe eines Secret-Scanning-Tools.
2. Der Angreifer führt den Befehl aws sts get-caller-identity aus, um die Anmeldeinformation zu validieren.
3. Anschließend nutzt er vorhandene Berechtigungen, um eine zusätzliche Rolle zu übernehmen.
4. Das System identifiziert die Sequenz von Ereignissen, die den Techniken T1078 und T1550 entspricht.
5. Ein automatisiertes Playbook widerruft die kompromittierte Anmeldeinformation und wendet eine Sperrrichtlinie an.

Die Gesamtzeit zwischen Erkennung und Eindämmung betrug ungefähr 11 Minuten.

8. Diskussion

Die Ergebnisse zeigen, dass graphbasierte Modellierung erhebliche Vorteile für die Sicherheitsanalyse in komplexen Cloud-Umgebungen bietet. Durch die explizite Darstellung von Beziehungen zwischen Identitäten und Ressourcen wird es möglich, Eskalationsketten zu identifizieren, die in Analysen, die nur auf isolierten Ereignissen basieren, nicht sichtbar wären.

Dennoch sind einige Einschränkungen zu berücksichtigen. Erstens hängt die Wirksamkeit des Systems von der Qualität und Vollständigkeit der erfassten Telemetrie ab. Umgebungen mit unvollständigem Logging können die Korrelationsfähigkeit verringern. Darüber hinaus können sehr große Umgebungen Graphen mit Millionen von Knoten erzeugen, was die Rechenkosten von Abfragen erhöht.

Eine weitere Einschränkung betrifft die Tatsache, dass die experimentellen Szenarien, obwohl realistisch, in einer kontrollierten Umgebung durchgeführt wurden. Zusätzliche Studien in groß angelegten Unternehmensumgebungen sind erforderlich, um die Generalisierbarkeit der Ergebnisse zu validieren.

9. Schlussfolgerung

Diese Arbeit präsentierte eine formale und operative Architektur zur Erkennung und Eindämmung von Bedrohungen in Multi-Cloud-Umgebungen auf Basis vereinheitlichter Telemetrie und adversarialer Modellierung. Wir zeigten, dass die Integration mehrerer Ereignisquellen mit graphbasierter Repräsentation die Identifikation lateraler Eskalationspfade ermöglicht, die mit MITRE ATT&CK-Techniken verbunden sind.

Die Experimente zeigten deutliche Verbesserungen gegenüber traditionellen SIEM-Ansätzen, mit erhöhter Erkennungsrate und einer erheblichen Reduktion der mittleren Reaktionszeit. Diese Ergebnisse legen nahe, dass die formale Modellierung der Angriffsfläche einen relevanten Beitrag zur Verteidigung moderner Cloud-Infrastrukturen leisten kann.

Zukünftige Untersuchungen können den Einsatz von Machine-Learning-Methoden zur dynamischen Schätzung der mit Berechtigungsbeziehungen verbundenen Gewichte $w(e)$ sowie fortgeschrittene Graphanalyseverfahren zur Identifikation komplexer adversarialer Muster untersuchen.

Referenzen

ALMORSY, Mohamed; GRUNDY, John; IBRAHIM, Ingo. Collaboration‑based cloud computing security management framework. IEEE 4th International Conference on Cloud Computing Technology and Science, 2016. Available at: https://doi.org/10.1109/CloudCom.2016.0064

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com

BURNS, Brendan; BEDA, Joe; HIGHTOWER, Kelsey. Kubernetes: Up and Running. 2. ed. Sebastopol: O’Reilly Media, 2019. Available at: https://www.oreilly.com/library/view/kubernetes-up-and/9781492046523/

CLOUD SECURITY ALLIANCE. Top Threats to Cloud Computing: Pandemic Eleven. 2022. Available at: https://cloudsecurityalliance.org

GARTNER. Forecast Analysis: Public Cloud Services Worldwide. 2023. Available at: https://www.gartner.com

HUMBLE, Jez; FARLEY, David. Continuous Delivery. Boston: Addison‑Wesley, 2011. Available at: https://www.pearson.com

LI, Ang; YUAN, Xinyu; LI, Xiaowei. Graph‑based security analysis of cloud environments. IEEE Access, 2019. Available at: https://doi.org/10.1109/ACCESS.2019.2934547

MELL, Peter; GRANCE, Timothy. The NIST Definition of Cloud Computing. NIST SP 800‑145, 2011. Available at: https://doi.org/10.6028/NIST.SP.800-145

MELARA, Marcella et al. Measuring credential exposure in public repositories. IEEE Symposium on Security and Privacy Workshops, 2021. Available at: https://doi.org/10.1109/SPW53761.2021.00025

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NIST. NVD Entry CVE‑2021‑44228. 2022. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

RAHMAN, Md; WILLIAMS, Laurie. Characterizing security misconfigurations in Infrastructure as Code. ACM CCS Workshop on Cloud Computing Security, 2020. Available at: https://doi.org/10.1145/3411495.3421355

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-94

SEN, Jaydip; SHARMA, Ritu. Cloud security threats and vulnerabilities. Journal of Cloud Computing, 2020. Available at: https://doi.org/10.1186/s13677-020-00170-5

STALLINGS, William. Effective Cybersecurity. Boston: Addison‑Wesley, 2018. Available at: https://www.pearson.com

SYED, Zainab et al. Detecting lateral movement in cloud environments. IEEE Access, 2021. Available at: https://doi.org/10.1109/ACCESS.2021.3050153

ZHANG, Qi; CHENG, Lu; BOUTABA, Raouf. Cloud computing: state‑of‑the‑art and research challenges. Journal of Internet Services and Applications, 2012. Available at: https://doi.org/10.1007/s13174-010-0007-6

BEHL, Abhishek. Cybersecurity Analytics. Springer, 2017. Available at: https://doi.org/10.1007/978-3-319-44260-6

CHEN, Peng et al. A survey of cloud security issues and solutions. ACM Computing Surveys, 2020. Available at: https://doi.org/10.1145/3366374

DURUMERIC, Zakir et al. The Security Impact of HTTPS Interception. NDSS Symposium, 2017. Available at: https://www.ndss-symposium.org

GOOGLE. Google Cloud Audit Logs Overview. 2023. Available at: https://cloud.google.com/logging/docs/audit

MICROSOFT. Azure Monitor Logs Documentation. 2023. Available at: https://learn.microsoft.com/azure/azure-monitor/

AMAZON WEB SERVICES. AWS CloudTrail User Guide. 2023. Available at: https://docs.aws.amazon.com/awscloudtrail/

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar. Oxford University Press, 2017. Available at: https://global.oup.com

KOTZ, David et al. Security for mobile and cloud computing. Communications of the ACM, 2019. Available at: https://doi.org/10.1145/3301260