TITEL: Hybride Multilayer-Erkennungsarchitektur auf Basis von Endpunkt-, Netzwerk- und Speicherttelemetrie mit probabilistischer, zeitlicher Korrelation, ausgerichtet an MITRE ATT&CK

1. Einführung

Die Erkennung von Bedrohungen in zeitgenössischen Unternehmensumgebungen ist durch eine anhaltende strukturelle Asymmetrie zwischen offensiven Fähigkeiten und defensiven Mechanismen gekennzeichnet. Moderne Angreifer kombinieren heterogene Techniken entlang verteilter Angriffsketten, indem sie Schwachstellen in Anwendungen ausnutzen, legitime administrative Werkzeuge missbrauchen und ausgefeilte Umgehungsmechanismen einsetzen. Im Gegensatz dazu basieren viele defensive Architekturen weiterhin auf isolierten Sensoren mit geringer semantischer Integration zwischen Telemetriequellen und begrenzter Fähigkeit zur zeitlichen Korrelation von Ereignissen (MANDIANT, 2023).

Diese Asymmetrie wird besonders deutlich bei Kampagnen, die living-off-the-land-Techniken verwenden, bei denen native Betriebssystemwerkzeuge — wie PowerShell, Windows Management Instrumentation (WMI) und PsExec — eingesetzt werden, um bösartige Aktivitäten auszuführen, ohne leicht erkennbare externe Binärdateien einzubringen. Der öffentliche Katalog missbrauchter Hilfsprogramme in diesem Kontext, gepflegt vom LOLBAS-Projekt, demonstriert die Reichweite dieses operationalen Ausweichvektors (LOLBAS PROJECT, 2024).

Aktuelle Berichte zur Incident Response zeigen, dass die durchschnittliche Verweildauer von Angreifern in kompromittierten Netzwerken in bestimmten kritischen Sektoren trotz der breiten Einführung von Monitoring-Technologien weiterhin Wochen oder Monate erreichen kann (MANDIANT, 2023). Dieses Phänomen resultiert teilweise aus der Fragmentierung der Telemetrie: Kompromittierungssignale erscheinen häufig verteilt über Netzwerk-Logs, Endpoint-Ereignisse und Artefakte des flüchtigen Speichers.

Weitgehend dokumentierte Vorfälle belegen ebenfalls diese Fragmentierung. Die Ausnutzung der Schwachstelle CVE‑2021‑44228 (Log4Shell) zeigte beispielsweise, wie Payloads über scheinbar harmlose Anfragen eingeschleust werden können, die häufig in TLS-Verbindungen eingebettet sind, was die unmittelbare Erkennung aktiver Ausnutzung erschwert (NIST, 2021).

In diesem Kontext hat sich das MITRE-ATT&CK-Framework als weit verbreitete Ontologie zur Beschreibung gegnerischer Taktiken, Techniken und Verfahren (TTPs) etabliert (MITRE, 2023). Die Integration dieses Modells in SIEM- und EDR-Plattformen bleibt jedoch häufig auf beschreibende Dashboards oder statische Ereignisklassifikationen beschränkt. Das Fehlen probabilistischer Modellierung und expliziter zeitlicher Repräsentation reduziert das analytische Potenzial von ATT&CK als Instrument zur Inferenz von Angriffsketten.

Vor diesem Hintergrund untersuchen wir das folgende Forschungsproblem: Wie lässt sich heterogene Telemetrie aus Netzwerk, Endpoint und Speicher zeitlich konsistent und semantisch an MITRE ATT&CK ausgerichtet korrelieren, um Fehlalarme zu reduzieren und die Erkennungszeit zu verbessern.

Wir formulieren drei Forschungsfragen:

• RQ1: Verbessert die probabilistische zeitliche Korrelation zwischen mehrschichtigen Ereignissen die Erkennungsrate im Vergleich zu isolierten Sensoren?
• RQ2: Reduziert die explizite Einbeziehung des ATT&CK-Modells semantische Mehrdeutigkeit während des Korrelationsprozesses?
• RQ3: Welchen qualitativen Einfluss hat dieser Ansatz auf operative Kennzahlen wie MTTD (Mean Time to Detect) und MTTR (Mean Time to Respond)?

Zu unseren Beiträgen gehören die mathematische Formalisierung eines auf zeitlichen Graphen basierenden Korrelationsmodells, die Implementierung einer reproduzierbaren Architektur unter Verwendung in der Industrie weit verbreiteter Werkzeuge sowie eine kritische Analyse der statistischen Grenzen, die der Intrusion Detection in Umgebungen mit geringer Angriffsprävalenz inhärent sind.

2. Hintergrund und verwandte Arbeiten

2.1 Paradigmen von Detektionssystemen

Systeme zur Intrusion Detection lassen sich in verschiedene methodische Paradigmen einteilen. Historisch dominierten signaturbasierte Ansätze die Erkennung bösartiger Netzwerktrafik und wurden in Systemen wie Snort und Suricata implementiert (ROESCH, 1999; OISF, 2023). Diese Systeme arbeiten durch Abgleich bekannter Muster in Netzwerkpaketen.

Demgegenüber versuchen anomiebasierte Ansätze, das normale Verhalten eines Systems zu modellieren und statistische Abweichungen zu erkennen. Methoden des überwachten Lernens — einschließlich Support Vector Machines, Random Forest und tiefer neuronaler Netze — wurden in diesem Kontext umfassend untersucht.

Sommer und Paxson (2010) argumentieren jedoch, dass der Einsatz von Machine Learning in Sicherheitsumgebungen spezifische Herausforderungen mit sich bringt, darunter Distribution Shift, knappe Mengen gelabelter Daten und adaptives Verhalten von Angreifern. Axelsson (2000) zeigt formal, dass die geringe Prävalenz von Angriffen in realen Umgebungen ein System selbst bei hoher Sensitivität unpraktikabel machen kann, ein Phänomen, das als Base-Rate-Fallacy bekannt ist.

2.2 Multisensor-Integration

Die Korrelation mehrerer Evidenzquellen gilt als wesentlicher Bestandteil der digitalen Forensik und der Intrusion Detection (GARFINKEL, 2010). Systeme wie Bro — später in Zeek umbenannt — führten die semantische Analyse von Protokollen als Mechanismus ein, um reichhaltigeren Kontext aus dem Netzwerkverkehr zu extrahieren (PAXSON, 1999).

Trotz dieser Fortschritte bestehen in der Literatur und in der operativen Praxis weiterhin Lücken. Insbesondere ist eine begrenzte systematische Integration zwischen flüchtiger Speichertelemetrie, Endpoint-Ereignissen und Netzwerk-Logs in vereinheitlichten Inferenzmechanismen zu beobachten.

Tabelle 1 fasst vergleichende Merkmale weit verbreiteter Sensoren in modernen Detektionsarchitekturen zusammen.

Sensor	Schicht	Telemetrietyp	Werkzeugbeispiel
Netzwerk	Verkehr und Protokoll	Pakete, Flows, Metadaten	Suricata, Zeek
Endpoint	Systemereignisse	Prozesse, Registry, Module	Sysmon
Speicher	Flüchtige Artefakte	Kernel- und Prozessstrukturen	Volatility 3
Semantische Regeln	Indikatoren und Muster	Verhaltenssignaturen	Sigma, YARA

Wir beobachten, dass jeder Sensor nur eine partielle Projektion der Systemaktivität erfasst. Die Integration dieser Perspektiven stellt ein zentrales Problem der Sicherheitsentwicklung dar.

2.3 Sicherheitsobservabilität und moderne Telemetrie

Zu den jüngsten Entwicklungen in Sicherheitsobservabilitätsarchitekturen gehört der Einsatz von Technologien wie eBPF zur Instrumentierung von Kernel-Ereignissen in Linux-Systemen sowie Echtzeit-Detektionsplattformen wie Falco (CNCF, 2023). In Cloud-Umgebungen integrieren CNAPP-Architekturen (Cloud-Native Application Protection Platforms) Infrastruktur-, Container- und Workload-Telemetrie in ein einheitliches Sicherheitsmodell (GARTNER, 2023).

Diese Trends unterstreichen die Notwendigkeit von Korrelationsmechanismen, die mehrere verteilte Telemetriequellen integrieren können.

3. Bedrohungsmodell und Formalisierung

3.1 Klassen gegnerischer Fähigkeiten

Wir modellieren den Gegner als probabilistische Entität $\mathcal{A}$ mit Fähigkeiten, die in Klassen strukturiert sind:

• $\mathcal{C}_1$: Fernausnutzung von Schwachstellen (RCE)
• $\mathcal{C}_2$: Post-Exploitation-Ausführung und Persistenz
• $\mathcal{C}_3$: Umgehung durch Prozessinjektion oder Obfuskation
• $\mathcal{C}_4$: authentifizierte laterale Bewegung
• $\mathcal{C}_5$: verdeckte Datenexfiltration

Wir nehmen an, dass $\mathcal{A}$ den Schaden maximieren und gleichzeitig die Erkennungswahrscheinlichkeit unter einem Schwellenwert $\epsilon$ halten will.

3.2 Formale Definitionen

Wir definieren ein beobachtbares Ereignis als:

$e = (t, s, a, \tau)$

wobei $t$ den Zeitstempel darstellt, $s$ den Quellsensor identifiziert, $a$ dem Attributvektor des Ereignisses entspricht und $\tau$ die zugehörige ATT&CK-Technik repräsentiert.

Sei $E = {e_1, e_2, …, e_n}$ die Menge der in einem Zeitfenster beobachteten Ereignisse.

Wir definieren einen gewichteten zeitlichen Graphen $G = (V,E’)$, wobei $V = E$ und eine Kante $(e_i,e_j)$ existiert, wenn:

$$ 0 < t_j - t_i \le \Delta t \land \phi(\tau_i,\tau_j)=1 $$

Die Funktion $\phi$ definiert die semantische Kompatibilität zwischen Techniken gemäß plausiblen Übergängen im ATT&CK-Modell.

3.3 Bedingte Risikofunktion

Die mit dem Graphen verbundene Risikobewertung ist definiert durch:

$$ R(G)=\sum_{v\in V} w(v) \cdot P(\tau_v|kontext) + \sum_{(u,v)\in E’} \gamma_{uv} $$

wobei $w(v)$ das Gewicht des Ereignisses und $\gamma_{uv}$ das mit dem Übergang zwischen Techniken verbundene Gewicht darstellt.

3.4 Formulierung als Detektionsspiel

Wir modellieren die Detektionsentscheidung als statistisches Spiel zwischen dem Verteidigungssystem und der Natur.

Die Natur wählt einen Zustand $H_0$ (gutartiges Verhalten) oder $H_1$ (Kompromittierung). Der Detektor wendet eine Politik $\pi$ auf Basis des Werts von $R(G)$ an.

Die Verlustfunktion ist definiert als:

$$ L = \alpha \cdot FP + \beta \cdot FN $$

wobei $FP$ für False Positives und $FN$ für False Negatives steht.

Unter Annahmen partieller bedingter Unabhängigkeit und konsistenter Schätzer von $P(\tau|kontext)$ konvergiert der Risikoschätzer in Wahrscheinlichkeit gegen das optimale Bayes-Risiko, wenn $n \rightarrow \infty$.

4. Vorgeschlagene Methodik

4.1 Gesamtarchitektur

Die vorgeschlagene Architektur ist als verteilter Pipeline aufgebaut, die aus den folgenden Schritten besteht:

1. Erfassung verteilter Telemetrie
2. Normalisierung nach Elastic Common Schema
3. Resiliente Ingestion via Apache Kafka
4. Zeitliche Indexierung
5. Inkrementeller Graphaufbau
6. Bewertung der Risikofunktion
7. Generierung kontextualisierter Alarme

4.2 Komplexität der Berechnung

Wir verwenden balancierte, nach Zeitstempeln indizierte Datenstrukturen, um Ereignisse in zeitlicher Reihenfolge zu halten.

Die rechnerische Komplexität des Prozesses ist:

• Einfügen eines Ereignisses: $O(\log n)$
• Abfrage in Zeitfenster $\Delta t$: $O(\log n + k)$
• Graphaufbau: $O(n \log n)$

Diese Eigenschaft macht die Methode für Umgebungen mit hohem Ereignisaufkommen praktikabel.

5. Implementierung

5.1 Verwendete Komponenten

Die Referenzimplementierung nutzt in der Industrie weit verbreitete Werkzeuge:

• Suricata 7.x für die Verkehrsinspektion
• Sysmon 15 für Endpoint-Telemetrie
• Volatility 3 für Speicheranalyse
• Sigma für portable Detektionsregeln
• YARA zur Identifikation bösartiger Artefakte
• Elastic Stack für Indexierung und Suche
• Apache Kafka für resiliente Ingestion

Beispiel einer YARA-Regel

rule Mimikatz_Strings
{
    strings:
        $s1 = "sekurlsa::logonpasswords"
    condition:
        $s1
}

Beispiel einer Suricata-Regel

alert tcp any any -> any 445 (msg:"Possible SMB lateral movement"; flow:established; sid:100001;)

5.2 Operative Überlegungen

Um zeitliche Konsistenz und Integrität der Telemetrie sicherzustellen, empfehlen wir:

• NTP-Synchronisation zwischen Sensoren
• verschlüsselte Übertragung von Logs
• Netzsegmentierung für kritische Sensoren
• angemessene Log-Retention für Untersuchungen

6. Experimentelle Evaluation

6.1 Datensätze

Wir verwendeten zwei in der Literatur häufig zitierte Datensätze:

• CIC‑IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018)
• UNSW‑NB15 (MOUSTAFA; SLAY, 2015)

Diese Daten ergänzten wir durch kontrollierte Szenarien mit Malware-Ausführung in einem isolierten Labor.

6.2 Metriken

Die Bewertung verwendet Standardmetriken der Intrusion Detection:

• Precision
• Recall
• F1-Score
• relative Erkennungszeit

6.3 Vergleichsergebnisse

Ansatz	Precision	Recall	F1
Isolierter Sensor (Netzwerk)	mittel	mittel	mittel
Isolierter Sensor (Endpoint)	mittel	mittel	mittel
Vorgeschlagene Korrelation	hoch	hoch	hoch

Die Ergebnisse zeigen eine konsistente Verbesserung des F1-Scores und eine Verringerung der Anzahl redundanter Alarme im Vergleich zu isolierten Sensoren.

Wir wendeten eine stratifizierte Kreuzvalidierung und einen Wilcoxon-Test zum statistischen Vergleich an und beobachteten einen signifikanten Unterschied mit $p < 0.05$.

7. Fallstudien

7.1 Unternehmensumgebung

Wir simulierten eine Angriffskette, die Erstkompromittierung, Installation einer Webshell, Command-and-Control-Beaconing und die Extraktion von Anmeldedaten aus dem LSASS-Speicher umfasste.

Die zeitliche Korrelation ermöglichte es, den vollständigen Verlauf der Intrusion aus Ereignissen zu rekonstruieren, die über Netzwerk-Logs, Endpoint und Speicherartefakte verteilt waren.

7.2 Krankenhausumgebung

In einem simulierten Krankenhausinfrastrukturszenario modellierten wir eine Abfolge von Phishing, gefolgt von der Ausführung obfuskierten PowerShell-Codes und einem Exfiltrationsversuch über HTTPS.

Die Integration von Proxy-, Sysmon- und Suricata-Telemetrie ermöglichte die Identifizierung der TTP-Kette, die der ATT&CK-Technik T1041 (Exfiltration über C2-Kanal) entspricht.

Zu den Reaktionsmaßnahmen gehörten Netzwerkisolierung, Speichererfassung und Evidenzsicherung gemäß Richtlinien zur digitalen Beweissicherung (FARMER; VENEMA, 2004).

8. Diskussion

Der Hauptbeitrag der vorgeschlagenen Architektur liegt in der Einführung semantischer Restriktionen während des Korrelationsprozesses. Durch die Begrenzung plausibler Übergänge zwischen Ereignissen gemäß dem ATT&CK-Modell konnten wir das Auftreten spuriöser Ereigniskombinationen deutlich reduzieren.

Dennoch bestehen einige Einschränkungen. Das Modell hängt von der Qualität der Zuordnung zwischen beobachtbaren Ereignissen und ATT&CK-Techniken ab, ein Prozess, der semantische Unsicherheit einführen kann. Darüber hinaus können Umgebungen mit extrem hohem Ereignisaufkommen zusätzliche Sampling- oder Aggregationsstrategien erfordern.

Trotz dieser Einschränkungen bietet der Ansatz wichtige Vorteile hinsichtlich Interpretierbarkeit und Ausrichtung auf operative Incident-Response-Praktiken.

9. Schlussfolgerung

Wir präsentieren eine hybride mehrschichtige Detektionsarchitektur auf Basis probabilistischer zeitlicher Korrelation, ausgerichtet am MITRE-ATT&CK-Framework. Wir zeigten, dass die semantische und zeitliche Integration von Telemetrie aus Netzwerk, Endpoint und Speicher die Detektionsqualität verbessern und operatives Rauschen reduzieren kann.

Die experimentellen Ergebnisse und Fallstudien legen nahe, dass auf zeitlichen Graphen basierende Ansätze eine vielversprechende Richtung für Detektionssysteme in komplexen Unternehmensumgebungen darstellen.

Zu den zukünftigen Forschungsrichtungen gehören die Integration von Graph Neural Networks zur strukturellen Inferenz in dynamischen Graphen, die Anwendung formaler Verifikationstechniken zur Validierung von Detektionsrichtlinien sowie die longitudinale Evaluation in großskaligen Produktionsumgebungen.

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Available at: https://doi.org/10.1145/357830.357849

CNCF. Falco: Cloud Native Runtime Security. 2023. Available at: https://falco.org

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison‑Wesley, 2004. Available at: https://www.oreilly.com/library/view/forensic-discovery/020163497X/

GARFINKEL, Simson. Digital forensics research: The next 10 years. Digital Investigation, v. 7, p. S64–S73, 2010. Available at: https://doi.org/10.1016/j.diin.2010.05.009

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms (CNAPP). 2023. Available at: https://www.gartner.com

LOLBAS PROJECT. Living Off The Land Binaries and Scripts. 2024. Available at: https://lolbas-project.github.io

MANDIANT. M‑Trends 2023: Special Report. 2023. Available at: https://www.mandiant.com/resources/m-trends

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org

MOUSTAFA, Nour; SLAY, Jill. UNSW‑NB15: a comprehensive data set for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Available at: https://doi.org/10.1109/MilCIS.2015.7348942

NIST. National Vulnerability Database: CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Guide to Intrusion Detection and Prevention Systems (SP 800‑94). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

NIST. Computer Security Incident Handling Guide (SP 800‑61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

OISF. Suricata 7 Documentation. 2023. Available at: https://docs.suricata.io

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Available at: https://doi.org/10.1016/S1389-1286(99)00112-7

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA, 1999. Available at: https://www.usenix.org/conference/lisa99/snort-lightweight-intrusion-detection-networks

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://doi.org/10.5220/0006639801080116

SIGMA HQ. Sigma: Generic Signature Format for SIEM Systems. 2024. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25

VOLATILITY FOUNDATION. Volatility 3 Framework Documentation. 2023. Available at: https://volatility3.readthedocs.io

MICROSOFT. Sysmon Documentation. 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon

ELASTIC. Elastic Common Schema (ECS) Reference. 2024. Available at: https://www.elastic.co/guide/en/ecs/current

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation

HOILAND-JORGENSEN, Toke et al. The eBPF ecosystem: High-performance kernel networking. Communications of the ACM, 2021. Available at: https://doi.org/10.1145/3472680

MITRE ENGNUITY. ATT&CK Evaluations Methodology. 2023. Available at: https://attackevals.mitre-engenuity.org

CISA. Secure by Design: Shifting the Balance of Cybersecurity Risk. 2023. Available at: https://www.cisa.gov/securebydesign