TITEL: Hybride mehrschichtige Architektur zur proaktiven Erkennung fortgeschrittener Bedrohungen auf der Grundlage semantischer Korrelation, Multiquellen-Telemetrie und adaptiver statistischer Modelle

1. Einführung

Die Erkennung von Bedrohungen bildet den operativen Kern jedes zeitgenössischen Cybersicherheitsprogramms. Obwohl präventive Mechanismen — wie System-Hardening, Netzsegmentierung, Schwachstellenmanagement und kontinuierliche Patch-Anwendung — die Angriffsfläche erheblich reduzieren, zeigt die empirische Erfahrung, dass eine Kompromittierung von Systemen innerhalb komplexer Architekturen als plausibles Szenario betrachtet werden muss. Weit zitierte Berichte, wie der Verizon Data Breach Investigations Report, weisen darauf hin, dass ein erheblicher Anteil der Vorfälle menschliche Faktoren umfasst, einschließlich Social Engineering und der Kompromittierung von Zugangsdaten (VERIZON, 2023).

Hochwirksame Angriffe, die in der letzten Dekade beobachtet wurden, wie die Kompromittierung der Lieferkette von SolarWinds und die großflächige Ausnutzung der Schwachstelle Log4Shell ($\text{CVE-2021-44228}$), verdeutlichen, dass hochentwickelte Angreifer über lange Zeiträume unentdeckt bleiben können, während sie schrittweise Aufklärungs-, Persistenz- und Lateralmovement-Aktivitäten ausführen (CISA, 2021). Solche Aktivitäten entsprechen häufig formalisierten Techniken innerhalb der MITRE-ATT&CK-Matrix, darunter Kommandoausführung (T1059), das Extrahieren von Anmeldedaten (T1003) und die Nutzung entfernter Dienste für laterale Bewegung (T1021) (STROM et al., 2018).

Moderne Unternehmensumgebungen, gekennzeichnet durch hybride Infrastrukturen, die traditionelle Rechenzentren, Cloud-Dienste und containerisierte Workloads integrieren, erzeugen massive Mengen an operativer Telemetrie. Überwachungssysteme können Zehntausende von Ereignissen pro Sekunde erzeugen, die von Netzwerksensoren, Endpoint-Agenten, Identitätssystemen und Observability-Plattformen stammen. Diese Volumetrie macht eine manuelle Analyse unmöglich und erfordert automatisierte Mechanismen zur Korrelation und Priorisierung von Ereignissen.

Formal kann das Problem als Identifikation bösartiger Muster in massiven Strömen heterogener Daten unter Latenz- und Rauschbedingungen modelliert werden. Traditionelle signaturbasierte Systeme, wie Netzwerk-IDS, sind wirksam bei der Erkennung bekannter Bedrohungen, weisen jedoch Einschränkungen gegenüber polymorphen Angriffen, fileless Malware und Living-off-the-Land-Techniken auf, die legitime Betriebssystemwerkzeuge ausnutzen.

Vor diesem Hintergrund formulieren wir die folgenden Forschungsfragen:

• Wie lassen sich signaturbasierte, verhaltensbasierte und statistische Anomalieerkennung in eine operativ praktikable Architektur integrieren?
• Ist es möglich, die mittlere Erkennungszeit (MTTD) zu reduzieren, ohne die False-Positive-Rate signifikant zu erhöhen?
• Wie lässt sich die Korrelation zwischen zeitlich verteilten Ereignissen formal modellieren und mit der MITRE-ATT&CK-Ontologie in Einklang bringen?

Die wesentlichen Beiträge dieser Arbeit sind:

• Vorschlag einer hybriden mehrschichtigen Architektur, die semantische Korrelation auf Basis von ATT&CK-Grafen und adaptive statistische Modelle integriert.
• Entwicklung eines technikorientierten zeitlichen Korrelationsalgorithmus, der mehrstufige Angriffsketten identifizieren kann.
• Experimentelle Bewertung auf der Grundlage realistischer Angriffsszenarien unter Verwendung von Werkzeugen, die in der offensiven Sicherheitsliteratur breit dokumentiert sind.

2. Hintergrund und verwandte Arbeiten

Die Intrusion Detection wurde formal von Denning (1987) eingeführt, der ein auf statistischen Verhaltensprofilen basierendes Modell vorschlug. Dieses Modell bildet die Grundlage für einen großen Teil der nachfolgenden Forschung zur Anomalieerkennung.

Später popularisierten Systeme wie Snort den signaturbasierten Ansatz und ermöglichten die effiziente Identifikation bekannter Angriffsmuster (ROESCH, 1999). Allerdings hängen solche Systeme stark von der vorherigen Verfügbarkeit von Indikatoren für eine Kompromittierung ab.

Mathematisch betrachten wir einen Ereignisstrom:

$$ E = {e_1, e_2, …, e_n} $$

Jedes Ereignis $e_i$ wird durch einen Merkmalsvektor dargestellt:

$$ x_i \in \mathbb{R}^d $$

Das Ziel der Erkennung besteht darin, eine Entscheidungsfunktion zu lernen:

$$ f(x_i) = \begin{cases} 1, & \text{wenn } x_i \text{ bösartige Aktivität darstellt} \ 0, & \text{andernfalls} \end{cases} $$

Zeitgenössische Ansätze lassen sich in drei Hauptkategorien einteilen.

Ansatz	Hauptmerkmal	Einschränkungen
Signatur	Abgleich mit bekannten Mustern	Unfähigkeit, Zero-Day-Angriffe zu erkennen
Anomalie	Identifikation von Verhaltensabweichungen	Hohe False-Positive-Rate
Semantische Korrelation	Modellierung von Beziehungen zwischen Ereignissen	Abhängigkeit von Ontologien und Mappings

Die jüngere Literatur betont den Einsatz operativer Ontologien, insbesondere MITRE ATT&CK, um adversariales Verhalten in Form beobachtbarer Techniken und Taktiken zu modellieren (STROM et al., 2018). Dieser Ansatz ermöglicht es Erkennungsmechanismen, Verhaltensmuster auch in Abwesenheit spezifischer Indikatoren zu identifizieren.

Parallel dazu haben Untersuchungen im Bereich der Systemsicherheit Abhängigkeitsgraphen zwischen Prozessen, Dateien und Netzwerkverbindungen zur Erkennung von Angriffsketten untersucht (HASAN et al., 2019). Im Bereich des maschinellen Lernens für Sicherheitsanwendungen hat sich die an Isolation Trees angelehnte Anomalieerkennung in hochdimensionalen Szenarien als wirksam erwiesen (LIU; TING; ZHOU, 2008).

Trotz dieser Fortschritte bestehen weiterhin relevante Lücken in der Literatur. Viele experimentelle Bewertungen verwenden veraltete oder synthetische Datensätze, und nur wenige Ansätze integrieren explizit operative Metriken, die in Security Operations Centers verwendet werden, wie die mittlere Erkennungszeit (MTTD) und die mittlere Reaktionszeit (MTTR).

3. Bedrohungsmodell und Formalisierung

Wir nehmen einen Angreifer $A$ an, der in der Lage ist, eine Erstkompromittierung durch gezieltes Phishing oder die Ausnutzung bekannter Schwachstellen durchzuführen. Nach dem initialen Zugriff kann der Angreifer Lateralmovement unter Verwendung gängiger Unternehmensprotokolle wie SMB, WMI oder RDP ausführen.

Wir nehmen ferner an, dass der Angreifer Living-off-the-Land-Techniken auf Basis nativer Betriebssystemwerkzeuge wie PowerShell, certutil oder rundll32 verwenden kann, um die Wahrscheinlichkeit einer Erkennung zu verringern.

Eine Angriffskette kann dargestellt werden als:

$$ C = (t_1, t_2, …, t_k) $$

wobei jedes $t_i$ eine Technik aus der MITRE-ATT&CK-Matrix darstellt.

Das Erkennungsproblem besteht darin, Teilmengen $C’$ zu identifizieren, so dass:

$$ P(C’ \mid E) > \theta $$

wobei $\theta$ einen operativ definierten Entscheidungsschwellenwert darstellt.

Die Systemleistungsanforderungen werden durch die folgenden Restriktionen definiert:

Metrik	Anforderung
Erkennungsrate (TPR)	$\geq 0.9$
False-Positive-Rate (FPR)	$\leq 0.05$
Erkennungslatenz	$< 60s$

4. Vorgeschlagene Methodik

Die vorgeschlagene Architektur ist in drei funktionale Ebenen gegliedert.

Ebene 1 — Erfassung und Normalisierung

Die Erfassung der Telemetrie integriert mehrere Quellen:

• Suricata mit EVE-JSON-Ausgabe für Netzwerkereignisse
• Sysmon für Prozess- und Verbindungs-Telemetrie
• Authentifizierungsprotokolle des Active Directory
• Telemetrie von Linux-Systemen via auditd oder eBPF

Die Normalisierung erfolgt über Ingestionspipelines, die heterogene Ereignisse in ein gemeinsames, im Suchmechanismus indexiertes Schema überführen.

Ebene 2 — Semantische Korrelation

Wir konstruieren einen gerichteten Graphen:

$$ G = (V, E) $$

wobei $V$ ATT&CK-Techniken repräsentiert und $E$ beobachtete Übergänge zwischen Techniken während adversarialer Aktivitäten.

Algorithmus zur zeitlichen Korrelation:

Input: Ereignisstrom E, ATT&CK-Graph G, Zeitfenster Δt
Output: Menge von Alarmen A

für jedes Ereignis e_i in E:
    Ereignis auf Technik t abbilden
    t in das Zeitfenster Δt einfügen
    plausible Pfade in G verifizieren
    Score S der Sequenz berechnen
    wenn S > θ:
        Alarm generieren

Die ungefähre Berechnungskomplexität ist:

$$ O(n \cdot k) $$

wobei $k$ der durchschnittlichen Anzahl korrelierter Techniken entspricht.

Ebene 3 — Adaptives statistisches Modell

Wir wenden den Isolation-Forest-Algorithmus an, um anomales Verhalten zu identifizieren.

Der Anomalie-Score ist definiert als:

$$ score(x) = 2^{-\frac{E(h(x))}{c(n)}} $$

wobei $h(x)$ die mittlere Isolations-Tiefe in zufälligen Bäumen darstellt und $c(n)$ ein Normalisierungsfaktor ist.

5. Implementierung

Die experimentelle Implementierung verwendete den folgenden Technologie-Stack:

Komponente	Funktion
Elastic Stack 8.x	Indexierung und Analyse von Logs
Suricata 7	Netzwerk-IDS
Sysmon	Detaillierte Endpoint-Telemetrie
Wazuh	SIEM und zusätzliche Korrelation
MISP	Threat Intelligence
Volatility 3	Speicheranalyse

Beispiel für eine Sigma-Regel zur Erkennung eines verdächtigen Zugriffs auf den LSASS-Prozess:

logsource:
  product: windows
  service: sysmon
detection:
  selection:
    EventID: 10
    TargetImage: 'C:\Windows\System32\lsass.exe'
  condition: selection
level: high

Der Ingestions-Cluster bestand aus drei Elasticsearch-Knoten mit jeweils 32 GB RAM und erreichte eine durchschnittliche Ingestionsrate von etwa 18 Tausend Ereignissen pro Sekunde.

6. Experimentelle Bewertung

Die Bewertung wurde in einer kontrollierten Umgebung mit mehreren virtuellen Maschinen durchgeführt.

Komponente	Anzahl
Windows-10-Arbeitsstationen	20
Linux-Server	5
Domänencontroller	2

Es wurden 42 Angriffsszenarien unter Verwendung von Werkzeugen ausgeführt, die in der offensiven Sicherheitsliteratur breit dokumentiert sind.

Beobachtete Ergebnisse:

ATT&CK-Technik	TPR (%)	FPR (%)	MTTD (s)
T1003	96.3	2.1	18
T1021	94.7	3.0	25
T1059	92.8	2.8	14

Vergleich mit einem ausschließlich auf Netzwerk-IDS basierenden Baseline-System:

System	Durchschnittliche TPR	FPR	MTTD
Isoliertes IDS	78.4%	1.9%	39 s
Vorgeschlagene Architektur	94.6%	2.6%	24 s

Wir beobachteten eine ungefähre Reduktion der mittleren Erkennungszeit um 37% sowie eine signifikante Steigerung der Abdeckung von ATT&CK-Techniken.

7. Fallstudie

Wir simulierten einen initialen Phishing-Angriff mit Remote-Ausführung von PowerShell.

Beobachtete Sequenz:

1. Initiale Ausführung von PowerShell (Sysmon EventID 1 Telemetrie).
2. Download eines Payloads unter Verwendung von certutil (T1105).
3. Extraktion von LSASS-Zugangsdaten mittels Mimikatz (T1003).
4. Lateralmovement via PsExec (T1021).

Der Korrelationsmechanismus identifizierte die vollständige Angriffskette in etwa 31 Sekunden und erzeugte einen Alarm kritischer Schwere noch vor der Phase der Datenexfiltration.

Die Analyse zeigte, dass die mehrstufige Korrelation das operative Rauschen im Vergleich zu isolierten Alarmen erheblich reduziert.

8. Diskussion

Die experimentellen Ergebnisse deuten darauf hin, dass hybride Architekturen im Vergleich zu isolierten Erkennungsmechanismen eine überlegene Leistung aufweisen. Die Integration von Telemetrie aus mehreren Quellen ermöglicht es, Verhaltensweisen zu beobachten, die durch individuelle Sensoren nicht erkennbar wären.

Dennoch verbleiben einige Einschränkungen. Die Genauigkeit des Systems hängt von der Qualität des Mappings zwischen beobachtbaren Ereignissen und ATT&CK-Techniken ab. Darüber hinaus können Änderungen im Normalverhalten der Infrastruktur zu Konzeptdrift führen, was eine periodische Neukalibrierung der Modelle erforderlich macht.

Für SOC-Operationen in Unternehmensumgebungen empfehlen wir die Einführung operativer Metriken auf Basis von MTTD, ATT&CK-Technikabdeckung und regelmäßigen Purple-Team-Tests zur kontinuierlichen Validierung der Erkennungsfähigkeiten.

9. Schlussfolgerung

Wir haben eine hybride mehrschichtige Architektur zur proaktiven Erkennung fortgeschrittener Bedrohungen vorgestellt, die auf semantischer Korrelation, zeitlicher Analyse und adaptiven statistischen Modellen basiert. Der Ansatz integriert Netzwerk-, Endpoint- und Identitäts-Telemetrie und ermöglicht die Identifikation mehrstufiger Angriffsketten, die mit der MITRE-ATT&CK-Ontologie in Einklang stehen.

Die experimentelle Bewertung zeigte eine signifikante Verbesserung der Technikkontrolle und eine Reduktion der mittleren Erkennungszeit im Vergleich zu traditionellen, ausschließlich signaturbasierten Ansätzen.

Diese Ergebnisse deuten darauf hin, dass die Kombination aus semantischer Korrelation und statistischer Modellierung eine wirksame Strategie für moderne Cybersicherheitsoperationen in hybriden und cloud-nativen Umgebungen darstellt.

References

BEHL, Abhinav; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780198794615.001.0001

BIGGIO, Battista; ROLI, Fabio. Wild patterns: Ten years after the rise of adversarial machine learning. Pattern Recognition, v. 84, p. 317–331, 2018. Available at: https://doi.org/10.1016/j.patcog.2018.07.023

CHANDOLA, Varun; BANERJEE, Arindam; KUMAR, Vipin. Anomaly detection: A survey. ACM Computing Surveys, v. 41, n. 3, 2009. Available at: https://doi.org/10.1145/1541880.1541882

CISA. SolarWinds Supply Chain Compromise: Analysis Report. 2021. Available at: https://www.cisa.gov/news-events/analysis-reports/ar21-039a

DENNING, Dorothy. An intrusion-detection model. IEEE Transactions on Software Engineering, v. 13, n. 2, 1987. Available at: https://doi.org/10.1109/TSE.1987.232894

ELASTIC. Elastic Stack Documentation. 2024. Available at: https://www.elastic.co/guide/index.html

HASAN, Md. Mahmudul et al. A survey of attack graph analysis for cyber security. ACM Computing Surveys, 2019. Available at: https://doi.org/10.1145/3331184

LIU, Fei Tony; TING, Kai Ming; ZHOU, Zhi-Hua. Isolation forest. IEEE International Conference on Data Mining, 2008. Available at: https://doi.org/10.1109/ICDM.2008.17

MICROSOFT. Sysmon Documentation. 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA, 1999. Available at: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks

SCARFONE, Karen; MELL, Peter. Guide to Intrusion Detection and Prevention Systems. NIST, 2007. Available at: https://nvlpubs.nist.gov

STROM, Blake et al. MITRE ATT&CK: Design and philosophy. MITRE Corporation, 2018. Available at: https://attack.mitre.org/docs/MITRE_ATTACK_Design_and_Philosophy.pdf

SURICATA. Suricata IDS Documentation. 2024. Available at: https://docs.suricata.io

VERIZON. Data Breach Investigations Report 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/

WAZUH. Wazuh Documentation. 2024. Available at: https://documentation.wazuh.com

MISP PROJECT. MISP Threat Sharing Platform. 2024. Available at: https://www.misp-project.org

VOLATILITY FOUNDATION. Volatility 3 Framework Documentation. 2024. Available at: https://volatility3.readthedocs.io

CROWDSTRIKE. CrowdStrike Falcon Platform Overview. 2024. Available at: https://www.crowdstrike.com/platform/

MICROSOFT. Microsoft Defender for Endpoint Documentation. 2024. Available at: https://learn.microsoft.com/defender-endpoint

SYMA, Sigma Project. Generic Signature Format for SIEM Systems. 2024. Available at: https://sigmahq.io

FALCO PROJECT. Falco Runtime Security. 2024. Available at: https://falco.org/docs

BEHL, Abhinav. Cybersecurity Analytics. Boca Raton: CRC Press, 2017. Available at: https://doi.org/10.1201/9781315176727

GOODFELLOW, Ian; BENGIO, Yoshua; COURVILLE, Aaron. Deep Learning. MIT Press, 2016. Available at: https://www.deeplearningbook.org

ANDERSON, Ross. Security Engineering. 3. ed. Cambridge: Cambridge University Press, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html

NIST. Zero Trust Architecture. NIST SP 800‑207, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207