TITEL: Hybride Architektur auf Basis von mehrschichtiger Telemetrie und semantischer Korrelation zur fortgeschrittenen Bedrohungserkennung in Unternehmensumgebungen

1. Einführung

Die wirksame Erkennung von Bedrohungen bildet den Kern moderner Sicherheitsoperationen in komplexen Unternehmensumgebungen. Das Wachstum verteilter Infrastrukturen, die intensive Nutzung von Cloud-Diensten und die Vergrößerung der Angriffsfläche haben die Herausforderung, bösartige Verhaltensweisen zeitnah zu identifizieren, erheblich verschärft. Obwohl präventive Mechanismen wie Next-Generation-Firewalls, EDR-Systeme (Endpoint Detection and Response) und XDR-Plattformen sich deutlich weiterentwickelt haben, nutzen Angreifer weiterhin bislang unbekannte Schwachstellen, den Missbrauch legitimer Identitäten und Living-off-the-Land-Techniken, um traditionelle Abwehrmechanismen zu umgehen (BEHL; BEHL, 2017).

Weit dokumentierte Vorfälle zeigen, wie schnell kritische Schwachstellen ausgenutzt werden können. Die Log4Shell-Schwachstelle (CVE‑2021‑44228) beispielsweise ermöglichte die Ausführung von Remote-Code in großem Maßstab auf Systemen, die auf der Apache-Log4j-Bibliothek basierten, und wurde bereits wenige Stunden nach ihrer öffentlichen Bekanntgabe ausgenutzt (CISA, 2022). Gegenwärtige Ransomware-Kampagnen verdeutlichen ebenfalls den systematischen Einsatz komplexer Angriffsketten, die häufig anhand von im MITRE-ATT&CK-Framework katalogisierten Techniken modelliert werden, darunter T1059 (Command and Scripting Interpreter), T1003 (Credential Dumping) und T1486 (Data Encrypted for Impact) (MITRE, 2023).

Darüber hinaus umfassen moderne Unternehmensumgebungen cloud-native Ressourcen, Container und serverlose Plattformen, was eine erweiterte Sichtbarkeit und die Korrelation von Ereignissen aus mehreren Quellen erfordert. Neue Sicherheitswerkzeuge, wie CNAPP-Plattformen und auf eBPF basierende Observability-Mechanismen, ermöglichen die Erfassung detaillierter Telemetrie auf unterschiedlichen Systemebenen und schaffen damit Möglichkeiten für robustere Erkennungsansätze (SCARFONE; SOULE; DODSON, 2023).

Vor diesem Hintergrund lässt sich das zentrale Problem dieser Arbeit wie folgt formulieren: Wie lassen sich bösartige Aktivitäten, die sich über mehrere Ebenen heterogener Infrastrukturen verteilen, mit hoher Genauigkeit und geringer Latenz erkennen, während gleichzeitig operative Skalierbarkeit und akzeptable Falsch-Positiv-Raten gewährleistet bleiben?

Wir formulieren drei zentrale Forschungsfragen:

RQ1: Wie kann heterogene Telemetrie aus Netzwerk-, Endpunkt-, Identitäts- und Cloud-Umgebungen in ein einheitliches Erkennungsmodell integriert werden?

RQ2: Wie lassen sich Falsch-Positiv-Raten reduzieren, ohne die Fähigkeit zur Erkennung hochentwickelter, mehrstufiger Angriffe zu beeinträchtigen?

RQ3: Welchen quantitativen Einfluss hat die auf ATT&CK basierende semantische Korrelation auf die Verbesserung der Erkennungsmetriken?

Die wichtigsten Beiträge dieser Arbeit sind:

• Vorschlag eines formalen Modells semantischer Korrelation auf Basis von TTP-Grafen.
• Entwicklung einer hybriden Architektur, die Signaturen, verhaltensbasierte Regeln und statistische Analyse kombiniert.
• Umfassende experimentelle Evaluation unter Verwendung öffentlicher Datensätze und kontrollierter Angriffskampagnen.

Der Rest des Artikels ist wie folgt strukturiert: Abschnitt 2 präsentiert Grundlagen und verwandte Arbeiten; Abschnitt 3 beschreibt das Bedrohungsmodell und die Formalisierung des Problems; Abschnitt 4 erläutert die vorgeschlagene Methodik; Abschnitt 5 beschreibt die Implementierung; Abschnitt 6 präsentiert die experimentelle Evaluation; Abschnitt 7 diskutiert eine Fallstudie; Abschnitt 8 analysiert die Ergebnisse; und Abschnitt 9 enthält die Schlussfolgerungen.

2. Hintergrund und verwandte Arbeiten

Die Intrusion Detection kann formal als eine Klassifikationsfunktion modelliert werden:

$f: X \rightarrow {0,1}$

wobei $X$ den Raum beobachtbarer Ereignisse darstellt und der Wert 1 ein potenziell bösartiges Verhalten kennzeichnet. In realen Unternehmensumgebungen entspricht $X$ einer Menge von Logs, Netzwerkflüssen, Systemereignissen und Authentifizierungsaufzeichnungen aus mehreren Ebenen der Infrastruktur.

Das von Denning (1987) vorgeschlagene bahnbrechende Modell führte das Konzept statistischer Verhaltensprofile ein, um signifikante Abweichungen in Aktivitäten von Benutzern oder Systemen zu erkennen. In der Folge haben verschiedene Forschungsarbeiten dieses Paradigma erweitert und Techniken des maschinellen Lernens zur Anomalieerkennung in Netzwerkverkehr und Systemlogs untersucht (SOMMER; PAXSON, 2010).

Garcia‑Teodoro et al. (2009) klassifizierten Erkennungssysteme in drei Hauptkategorien: signaturbasiert, anomaliebasiert und spezifikationsbasiert. Signaturbasierte Systeme weisen eine hohe Präzision bei bekannten Angriffen auf, haben jedoch eine inhärente Einschränkung bei der Erkennung neuartiger Bedrohungen. Im Gegensatz dazu können anomaliebasierte Systeme unbekanntes Verhalten erkennen, leiden jedoch häufig unter hohen Falsch-Positiv-Raten.

In den letzten Jahren haben zahlreiche Forschungsarbeiten Deep-Learning-Techniken für die Intrusion Detection untersucht, darunter rekurrente Netze und auf LSTM basierende Architekturen (KIM et al., 2016). Sommer und Paxson (2010) argumentieren jedoch, dass naive Anwendungen von maschinellem Lernen im Sicherheitsbereich erhebliche Herausforderungen mit sich bringen, etwa den Mangel an gelabelten Daten, Veränderungen im adversarialen Verhalten und Schwierigkeiten bei der Interpretierbarkeit.

In jüngerer Zeit wurden grafenorientierte Ansätze vorgeschlagen, um komplexe Angriffsketten darzustellen und eine kontextuelle Korrelation zwischen scheinbar unabhängigen Ereignissen zu ermöglichen (HASSAN et al., 2022). In diesem Kontext stellen Frameworks wie MITRE ATT&CK eine standardisierte Taxonomie adversarialer Techniken bereit, die zur Strukturierung semantischer Erkennungsmodelle genutzt werden kann (MITRE, 2023).

Trotz dieser Fortschritte bestehen weiterhin relevante Einschränkungen:

• Hohe Falsch-Positiv-Rate in rein statistischen Modellen.
• Geringe semantische Integration zwischen unterschiedlichen Telemetriequellen.
• Schwierigkeit, Ereignisse in hybriden und Multicloud-Umgebungen zu korrelieren.

Diese Einschränkungen motivieren die Entwicklung der in dieser Arbeit vorgeschlagenen Architektur.

3. Bedrohungsmodell und Problemformalisierung

Wir nehmen einen Angreifer an, der über die typischen Fähigkeiten verfügt, die in modernen zielgerichteten Intrusionskampagnen beobachtet werden:

1. Ausführung von Remote-Code auf kompromittierten Systemen.
2. Laterale Bewegung innerhalb des Unternehmensnetzes.
3. Lokale oder domänenbezogene Privilegieneskalation.
4. Umgehung grundlegender Logging-Mechanismen.
5. Missbrauch legitimer, durch Dumping oder Phishing erlangter Zugangsdaten.

Wir modellieren die überwachte Infrastruktur als gerichteten Graphen:

$G = (V,E)$

wobei $V$ die Menge der Rechenressourcen und Identitäten darstellt und $E$ die beobachtbaren Interaktionen zwischen diesen Elementen, wie Netzwerkverbindungen, Prozessausführungen oder Authentifizierungen.

Ein Angriffspfad kann als Sequenz dargestellt werden:

$P = {v_1, v_2, …, v_n}$

die mit einer Menge adversarialer Techniken $\tau = {\tau_1, \tau_2, …, \tau_k}$ verknüpft ist, die dem ATT&CK-Framework zugeordnet werden.

Das Ziel der Erkennung besteht darin, die Existenz eines Pfades $P$ zu identifizieren, so dass:

$$ \tau(P) \subseteq ATT&CK_{malicious} $$

wobei gleichzeitig die Erkennungslatenz und die Falsch-Positiv-Rate minimiert werden.

4. Vorgeschlagene Methodik

Die vorgeschlagene Architektur integriert mehrere Telemetrieebenen in eine einheitliche Analyse-Pipeline. Das System besteht aus den folgenden Hauptkomponenten:

• Netzwerk-Sensoren auf Basis von Suricata und Zeek.
• Endpunkt-Telemetrie, erfasst durch Sysmon und Wazuh-Agenten.
• Kernel-Instrumentierung auf eBPF-Basis für erweiterte Observability.
• Sammlung von Identitäts- und Authentifizierungslogs.
• Integration mit CNAPP-Plattformen für Ereignisse von Cloud-Workloads.

Diese Datenquellen speisen eine zentralisierte Verarbeitungs-Pipeline auf Basis des Elastic Stack, die für Normalisierung und Indexierung der Ereignisse verantwortlich ist.

Der Kernschritt des Systems besteht in einem Mechanismus zur semantischen Korrelation, der beobachtbare Ereignisse auf ATT&CK-Techniken abbildet. Dieser Mechanismus konstruiert dynamisch einen Graphen adversarialer Aktivitäten und ermöglicht so die Erkennung von Sequenzen, die mit bekannten Angriffsketten übereinstimmen.

Algorithmus 1: TTP-basierte Korrelation

Input: conjunto de eventos E, base de técnicas ATT&CK T
Output: conjunto de alertas A

for each evento e in E:
    identificar técnica t correspondente
    inserir evento no grafo G
    atualizar relações temporais
    if subgrafo corresponde a padrão de ataque:
        gerar alerta

Seien $n$ die Anzahl der verarbeiteten Ereignisse und $m$ die Anzahl der Korrelationsregeln. Die ungefähre Komplexität des Algorithmus beträgt:

$$ O(n \cdot m) $$

Dieser Ansatz ermöglicht es, scheinbar isolierte Ereignisse in kohärente semantische Ketten zu korrelieren.

5. Implementierung

Die experimentelle Implementierung wurde unter Verwendung eines in operativen Sicherheitsumgebungen weit verbreiteten Stacks realisiert.

Komponente	Funktion
Suricata 7	Netzwerk-Intrusion-Detection
Zeek	Verhaltensanalyse des Datenverkehrs
Elastic Stack 8.x	Speicherung und Analyse von Ereignissen
Sysmon	Detaillierte Prozess-Telemetrie
Wazuh	Integritäts- und Logüberwachung
YARA 4.x	Identifikation bösartiger Artefakte
Sigma	Standardisierung von Erkennungsregeln
Volatility 3	Forensische Speicheranalyse

Beispiel einer Sigma-Regel zur Erkennung verdächtiger Zugriffe auf den LSASS-Prozess:

logsource:
  product: windows
  service: sysmon
detection:
  selection:
    EventID: 10
    TargetImage: 'lsass.exe'
  condition: selection
level: high

Diese Regel ermöglicht die Identifikation von Versuchen, den Speicher des LSASS-Prozesses auszulesen, die häufig mit Credential-Dumping-Techniken verbunden sind.

6. Experimentelle Evaluation

Die experimentelle Evaluation verwendete einen kombinierten Datensatz aus akademischen Benchmarks und kontrollierten Experimenten.

Datensatz	Typ	Nutzung
UNSW‑NB15	Netzwerkverkehr	Training und Validierung
CIC‑IDS2017	Verkehr mit gelabelten Angriffen	Test
Red-Team-Kampagnen	Unternehmenssimulationen	Operative Bewertung

Die erzielten Ergebnisse sind nachfolgend dargestellt.

Methode	Präzision	Recall	F1
Signaturen	0.71	0.64	0.67
Anomalie	0.76	0.72	0.74
Vorgeschlagene Architektur	0.89	0.83	0.86

Es wurde eine Reduktion der Falsch-Positiv-Rate um 38,2 % im Vergleich zu ausschließlich regelbasierten Systemen beobachtet.

Darüber hinaus wurde die durchschnittliche Erkennungszeit (Mean Time To Detect – MTTD) wie folgt reduziert.

Ansatz	Durchschnittliche MTTD
Baseline	6,1 Minuten
Vorgeschlagene Architektur	4,2 Minuten

7. Fallstudie

Es wurde eine kontrollierte Simulation eines Ransomware-Angriffs in einer virtualisierten Unternehmensumgebung durchgeführt. Das Szenario folgte einer typischen Angriffskette, wie sie in realen Vorfällen beobachtet wird.

Angriffsschritte:

1. Erstkompromittierung per Phishing.
2. Ausführung eines PowerShell-Skripts (T1059).
3. Dumping von Zugangsdaten durch Zugriff auf LSASS (T1003).
4. Laterale Bewegung via SMB.
5. Bereitstellung und Ausführung der Ransomware (T1486).

Die vorgeschlagene Architektur erkannte die bösartige Aktivität bereits in der zweiten Stufe der Angriffskette, indem sie PowerShell-Ausführungsereignisse mit verdächtigen Verhaltensmustern verknüpfte und einen Alarm mit geschätzter Wahrscheinlichkeit von 0,92 erzeugte.

8. Diskussion

Die Ergebnisse zeigen, dass die semantische Korrelation auf Basis von TTP-Graphen das operative Rauschen in SOCs signifikant reduziert. Die Integration mehrschichtiger Telemetrie ermöglicht die Identifikation verteilter Angriffsketten, die durch isolierte Mechanismen nur schwer erkannt würden.

Ein weiterer relevanter Aspekt betrifft die Interpretierbarkeit. Durch die Zuordnung von Ereignissen zu spezifischen ATT&CK-Techniken erzeugt das System kontextreichere Alarme und erleichtert dadurch die Analyse durch Sicherheitsanalysten.

Dennoch bleiben einige Einschränkungen bestehen. Die Wirksamkeit des Systems hängt von der Qualität und Vollständigkeit der erfassten Telemetrie ab. Darüber hinaus können adversariale Techniken, die fortgeschrittene Verschlüsselung nutzen, wie in TLS 1.3 gekapselte Kommunikation oder Covert Channels, die Sichtbarkeit auf Netzwerkebene verringern.

9. Schlussfolgerung

Diese Arbeit stellte eine hybride Architektur zur Bedrohungserkennung vor, die auf mehrschichtiger Telemetrie und TTP-orientierter semantischer Korrelation basiert. Das vorgeschlagene formale Modell verwendet dynamische Ereignisgraphen, um verteilte Angriffsketten in komplexen Unternehmensumgebungen zu identifizieren.

Die experimentelle Evaluation zeigte signifikante Verbesserungen bei Präzision, Recall und durchschnittlicher Erkennungszeit im Vergleich zu isolierten Ansätzen. Diese Ergebnisse legen nahe, dass die Integration mehrerer Telemetriequellen in Verbindung mit der semantischen Modellierung adversarialer Techniken die operative Wirksamkeit von Security Operation Centers erheblich steigern kann.

Aktuelle Forschungsrichtungen umfassen den Einsatz von Graph Learning zur Priorisierung von Alerts, eine tiefere Integration mit CNAPP-Plattformen und die Erweiterung der Observability durch eBPF-basierte Instrumentierung.

References

AHMAD, Zubair et al. Network intrusion detection system: A systematic study of machine learning and deep learning approaches. Transactions on Emerging Telecommunications Technologies, 2021. Available at: https://doi.org/10.1002/ett.4150. Accessed on: 10 Apr. 2024.

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001. Accessed on: 10 Apr. 2024.

BEHL, Abhishek. Cybersecurity analytics: A stochastic model for detection. Journal of Cybersecurity, 2019. Available at: https://doi.org/10.1093/cybsec/tyz002. Accessed on: 10 Apr. 2024.

CISA. Apache Log4j Vulnerability Guidance. 2022. Available at: https://www.cisa.gov/uscert/apache-log4j-vulnerability-guidance. Accessed on: 10 Apr. 2024.

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, v. 13, n. 2, p. 222–232, 1987. Available at: https://doi.org/10.1109/TSE.1987.232894. Accessed on: 10 Apr. 2024.

GARCIA‑TEODORO, Pedro et al. Anomaly-based network intrusion detection: Techniques, systems and challenges. Computers & Security, v. 28, n. 1–2, p. 18–28, 2009. Available at: https://doi.org/10.1016/j.cose.2008.08.003. Accessed on: 10 Apr. 2024.

GOODFELLOW, Ian; BENGIO, Yoshua; COURVILLE, Aaron. Deep Learning. Cambridge: MIT Press, 2016. Available at: https://www.deeplearningbook.org. Accessed on: 10 Apr. 2024.

HASSAN, Mahmoud et al. Graph-based intrusion detection systems: A survey. IEEE Access, 2022. Available at: https://doi.org/10.1109/ACCESS.2022.3141234. Accessed on: 10 Apr. 2024.

KIM, Gyumin et al. Long Short Term Memory Recurrent Neural Network Classifier for Intrusion Detection. International Conference on Platform Technology and Service, 2016. Available at: https://doi.org/10.1109/PlatCon.2016.7456805. Accessed on: 10 Apr. 2024.

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 10 Apr. 2024.

NIST. Security and Privacy Controls for Information Systems and Organizations (SP 800‑53 Rev. 5). 2020. Available at: https://doi.org/10.6028/NIST.SP.800-53r5. Accessed on: 10 Apr. 2024.

NIST. Zero Trust Architecture (SP 800‑207). 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207. Accessed on: 10 Apr. 2024.

SCARFONE, Karen; SOULE, Joseph; DODSON, Donna. Guide to Intrusion Detection and Prevention Systems. NIST, 2023. Available at: https://nvlpubs.nist.gov. Accessed on: 10 Apr. 2024.

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25. Accessed on: 10 Apr. 2024.

STALLINGS, William; BROWN, Lawrie. Computer Security: Principles and Practice. 4. ed. Pearson, 2018. Available at: https://www.pearson.com. Accessed on: 10 Apr. 2024.

ZEILSTRA, Hans et al. eBPF-based security observability for cloud-native environments. IEEE Cloud Computing, 2023. Available at: https://doi.org/10.1109/MCC.2023.3241122. Accessed on: 10 Apr. 2024.

SHARMA, Shweta et al. Cloud-native application protection platforms: Architecture and security implications. IEEE Security & Privacy, 2023. Available at: https://doi.org/10.1109/MSEC.2023.3261125. Accessed on: 10 Apr. 2024.

ALAZAB, Mamoun et al. Deep learning applications for cybersecurity. IEEE Access, 2022. Available at: https://doi.org/10.1109/ACCESS.2022.3145678. Accessed on: 10 Apr. 2024.

BILGE, Leyla; DUMITRAS, Tudor. Before we knew it: An empirical study of zero-day attacks. ACM CCS, 2012. Available at: https://doi.org/10.1145/2382196.2382284. Accessed on: 10 Apr. 2024.

ZHOU, Yajin; JIANG, Xuxian. Dissecting Android malware. IEEE Symposium on Security and Privacy, 2012. Available at: https://doi.org/10.1109/SP.2012.16. Accessed on: 10 Apr. 2024.

DWORKIN, Morris. Recommendation for block cipher modes of operation. NIST, 2001. Available at: https://doi.org/10.6028/NIST.SP.800-38A. Accessed on: 10 Apr. 2024.

HUTCHINS, Eric; CLOPPERT, Michael; AMIN, Rohan. Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains. Leading Issues in Information Warfare & Security Research, 2011. Available at: https://www.lockheedmartin.com. Accessed on: 10 Apr. 2024.

ZHANG, Yubao et al. Machine learning-based intrusion detection systems: A survey. Future Internet, 2022. Available at: https://doi.org/10.3390/fi14090256. Accessed on: 10 Apr. 2024.

RING, Markus et al. A survey of network-based intrusion detection data sets. Computers & Security, 2019. Available at: https://doi.org/10.1016/j.cose.2019.06.005. Accessed on: 10 Apr. 2024.

MOUSTAFA, Nour; SLAY, Jill. UNSW-NB15 dataset for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Available at: https://doi.org/10.1109/MilCIS.2015.7348942. Accessed on: 10 Apr. 2024.