TITEL: Mehrstufige adaptive Erkennung von Cyberbedrohungen auf Basis bayesscher Fusion von Telemetrie und temporalen Angriffsgrafen

1. Einführung

Die Erkennung von Cyberbedrohungen hat sich in den letzten zwei Jahrzehnten erheblich weiterentwickelt und sich von statischen, signaturbasierten Mechanismen hin zu verteilten Architekturen verlagert, die in der Lage sind, massive Telemetrievolumina nahezu in Echtzeit zu verarbeiten. Diese Transformation wurde durch die zunehmende Komplexität digitaler Infrastrukturen vorangetrieben, insbesondere in hybriden Umgebungen, die Public Clouds, Container, Microservices und flüchtige Workloads kombinieren (SCARFONE; SOUZA, 2018; ENISA, 2023).

Trotz dieser Fortschritte offenbaren groß angelegte Vorfälle weiterhin strukturelle Lücken in den Erkennungsmechanismen. Die Ausnutzung der Schwachstelle Log4Shell (CVE-2021-44228) zeigte, wie Remote-Code-Execution-Vektoren rasch in globalem Maßstab operationalisiert werden können, indem weit verbreitete Bibliotheken in Unternehmensanwendungen ausgenutzt werden (NIST, 2023). Ebenso unterstrich der Angriff auf Colonial Pipeline im Jahr 2021, der mit dem missbräuchlichen Einsatz kompromittierter Zugangsdaten in Verbindung stand, die Bedeutung der Korrelation von Identitätsereignissen und Netzwerkaktivitäten in Erkennungsprozessen (CISA, 2021).

Aktuelle Berichte untermauern diesen Trend. Der Bericht Verizon Data Breach Investigations Report 2023 zeigt, dass etwa 74 % der Sicherheitsverletzungen den menschlichen Faktor betreffen und häufig gültige Zugangsdaten oder Phishing-Kampagnen ausnutzen (VERIZON, 2023). Darüber hinaus deuten Analysen des Berichts M-Trends darauf hin, dass die durchschnittliche Verweildauer von Angreifern in Unternehmensnetzwerken in mehreren Sektoren weiterhin zwei Wochen übersteigt, was auf anhaltende Schwierigkeiten bei der Erkennung von lateraler Bewegung und Persistenzaktivitäten hindeutet (MANDIANT, 2023).

Das zentrale Problem liegt in der Fragmentierung der beobachtbaren Signale. Traditionelle SIEM-Plattformen arbeiten überwiegend mit deterministischen Regeln und sind nicht in der Lage, komplexe zeitliche Abhängigkeiten und probabilistische Beziehungen zwischen Ereignissen zu erfassen, die über mehrere Telemetriedomänen verteilt sind. Andererseits weisen Ansätze, die ausschließlich auf Deep Learning basieren, häufig eine geringe operative Interpretierbarkeit auf und erleiden Leistungsverluste bei Verschiebungen in der Datenverteilung, ein Phänomen, das als Concept Drift bekannt ist (SOMMER; PAXSON, 2010).

In diesem Kontext formulieren wir die folgenden Forschungsfragen:

• RQ1: Wie kann heterogene Telemetrie aus Endpunkten, Netzwerk, Identität und Cloud-Infrastruktur in ein einheitliches probabilistisches Modell integriert werden, das zeitliche Abhängigkeiten bewahrt?

• RQ2: Ist es möglich, die Rate der False Positives erheblich zu reduzieren, ohne die Sensitivität in mehrstufigen Angriffsszenarien zu beeinträchtigen?

• RQ3: Wie lässt sich die Rechen-Skalierbarkeit bei Datenströmen von mehr als $10^6$ Ereignissen pro Minute gewährleisten?

Die wichtigsten Beiträge dieser Arbeit sind:

• C1: Wir schlagen ein formales probabilistisches zeitliches Graphmodell vor, um Angriffsketten darzustellen, die mit dem MITRE-ATT&CK-Framework ausgerichtet sind.

• C2: Wir entwickeln einen inkrementellen bayesianischen Inferenzalgorithmus, der eine adaptive Fusion verteilter Evidenzen in Streaming-Umgebungen ermöglicht.

• C3: Wir demonstrieren empirisch substanzielle Leistungsgewinne in realistischen Szenarien, mit einer Reduktion der False-Positive-Rate um 42 % und einer Steigerung des F1-Scores um 18,7 % gegenüber traditionellen Baselines.

Der Rest des Artikels ist wie folgt gegliedert. Abschnitt 2 überblickt die theoretischen Grundlagen und verwandte Arbeiten. Abschnitt 3 formalisiert das Bedrohungsmodell. Abschnitt 4 stellt die vorgeschlagene Methodik vor. Abschnitt 5 beschreibt die Implementierung des Systems. Abschnitt 6 präsentiert die experimentelle Bewertung. Abschnitt 7 diskutiert Implikationen und Einschränkungen. Abschnitt 8 schließt den Artikel ab.

2. Grundlagen und verwandte Arbeiten

Formal betrachtet, definieren wir einen Sicherheitsereignisstrom als eine geordnete Sequenz

$E = {e_1, e_2, …, e_n}$

in der jedes Ereignis $e_i$ einem Merkmalsvektor in $\mathbb{R}^d$ mit einem Zeitstempel $t_i$ entspricht. Ein Intrusion-Detector kann als Funktion modelliert werden als

$D: E \rightarrow {0,1}$

wobei der Wert 1 das Vorliegen potenziell bösartiger Aktivität anzeigt.

Signaturbasierte Modelle implementieren eine Menge von Regeln $R_j$ so dass

$D(e_i)=1$ wenn $e_i$ $R_j$ erfüllt.

Diese Systeme weisen geringe Latenz und hohe Interpretierbarkeit auf, versagen jedoch bei der Erkennung unbekannter Varianten oder polymorpher Angriffe (HUBBALLI; SURYANARAYANAN, 2014).

Anomaliebasierte Ansätze modellieren die Wahrscheinlichkeitsverteilung $P(X)$ des legitimen Verhaltens und markieren Abweichungen, wenn

$P(x) < \epsilon$.

Zu den weit verbreiteten Techniken gehören Isolation Forest, One-Class SVM und tiefe Autoencoder (PATCHA; PARK, 2007).

Überwachte Verfahren behandeln das Problem als binäre Klassifikation und schätzen

$P(Y|X)$

unter Verwendung von Algorithmen wie Random Forest (BREIMAN, 2001), Gradient Boosting und LSTM-Rekurrenten neuronalen Netzen (HOCHREITER; SCHMIDHUBER, 1997). Allerdings hängen diese Ansätze stark von der Verfügbarkeit gelabelter Daten ab und sind empfindlich gegenüber starkem Klassenungleichgewicht.

In jüngerer Zeit haben graphbasierte Ansätze an Bedeutung gewonnen, da sie strukturelle Beziehungen zwischen Prozessen, Benutzern und Netzwerkressourcen explizit modellieren. Camacho et al. (2019) zeigen, dass Prozessabhängigkeitsgraphen komplexe Angriffsmuster offenlegen können, die in traditionellen vektoriellen Darstellungen unsichtbar bleiben.

Ein Großteil dieser Arbeiten ignoriert jedoch explizit die mit den beobachteten Evidenzen verbundene probabilistische Unsicherheit. Klassische Systeme zur Ereigniskorrelation, wie von Julisch (2003) diskutiert, verwenden heuristische Aggregation, um die Redundanz von Alarmen zu reduzieren, verfügen jedoch nicht über eine rigorose statistische Grundlage.

Daher identifizieren wir eine wichtige Lücke zwischen graphbasierter struktureller Modellierung und formalen Mechanismen probabilistischer Echtzeit-Inferenz.

3. Bedrohungsmodell und Problemformalisierung

Wir betrachten einen Angreifer mit Fähigkeiten, die mit modernen Kampagnen zur Unternehmensintrusion vereinbar sind.

Konkret nehmen wir an, dass der Angreifer:

• beliebigen Code auf kompromittierten Endpunkten ausführen kann;

• gültige Zugangsdaten verwenden kann, die durch Phishing oder Credential Leaks erlangt wurden;

• laterale Bewegung unter Verwendung legitimer administrativer Protokolle durchführen kann;

• absichtlich Rauschen in die Telemetrie einbringen kann, um bösartige Aktivitäten zu verschleiern.

Wir nehmen keine Kompromittierung der Kontrollebene des Erkennungssystems und keine direkte Manipulation der Telemetrie-Infrastruktur an.

Wir definieren einen probabilistischen zeitlichen Graphen als

$$ G_t = (V_t, E_t, w_t) $$

wobei:

• $V_t$ die Menge der beobachteten Entitäten repräsentiert (Hosts, Benutzer, Prozesse oder Service-Identitäten);

• $E_t$ zeitliche Interaktionen zwischen Entitäten repräsentiert;

• $w_t: E_t \rightarrow [0,1]$ eine Gewichtungsfunktion definiert, die mit der Wahrscheinlichkeit der Bösartigkeit jeder Interaktion verknüpft ist.

Unser Ziel ist es, die bedingte Wahrscheinlichkeit einer Angriffskette $A_k$ gegeben die bis zum Zeitpunkt $t$ beobachteten Evidenzen zu schätzen:

$$ P(A_k | \mathcal{E}_t) $$

wobei $\mathcal{E}_t$ die kumulative Menge der verarbeiteten Ereignisse darstellt.

Probabilistische Konsistenz erfordert, dass

$$ \sum_k P(A_k | \mathcal{E}_t) \leq 1 $$

und dass aufeinanderfolgende Aktualisierungen die Konvergenz unter inkrementeller bayesianischer Inferenz bewahren.

4. Vorgeschlagene Methodik

Die vorgeschlagene Architektur besteht aus vier Hauptschichten:

• verteilte Telemetrieerfassung;
• semantische Normalisierung von Ereignissen;
• inkrementelle bayesianische Inferenz;
• strukturelle Erkennung auf Basis zeitlicher Graphen.

Der probabilistische Aktualisierungsprozess verwendet inkrementelle bayesianische Inferenz für jede modellierte Angriffskette.

Algorithm 1: Incremental Bayesian Update

Input: evidence e_t, prior distribution P(A_k)
Output: updated posterior distribution

1: for each chain A_k:
2:     compute likelihood L = P(e_t | A_k)
3:     update P(A_k) ← (L  P(A_k)) / Z
4: normalize P(A_k)
5: return P(A_k)

Der Normalisierungsfaktor $Z$ stellt sicher, dass die Posterior-Verteilung gültig bleibt:

$$ Z = \sum_k P(e_t|A_k)P(A_k) $$

Um laufende Angriffsketten zu identifizieren, verwenden wir eine Suche im zeitlichen Graphen mit heuristischem Pruning.

Algorithm 2: Attack Chain Detection

Input: graph G_t, threshold θ
Output: correlated alerts

1: for each path π in G_t:
2:     compute score S(π) = ∏ w(e_i)
3:     if S(π) > θ and aligned with ATT&CK:
4:         generate alert

Die Bewertung eines Pfads $\pi$ ist definiert als

$$ S(\pi) = \prod_{e_i \in \pi} w(e_i) $$

Die Komplexität von Algorithm 1 beträgt $O(K)$ pro Ereignis, wobei $K$ die Anzahl der modellierten Angriffshypothesen darstellt. Algorithm 2 verwendet schwellwertbasiertes Pruning und reduziert die durchschnittliche Komplexität auf subexponentielles Verhalten in spärlichen Graphen.

5. Implementierung

Die Implementierung wurde auf einer in modernen Sicherheitsplattformen weit verbreiteten Stream-Processing-Architektur realisiert.

Apache Kafka wurde für die Ereignisaufnahme eingesetzt und unterstützt Ströme von über 1,5 Millionen Ereignissen pro Minute. Die Stream-Verarbeitung wurde mit Apache Flink implementiert, das die parallele Ausführung von Operatoren und ein konsistentes Zustandsmanagement ermöglicht (APACHE SOFTWARE FOUNDATION, 2023a; 2023b).

Die strukturelle Persistenz des zeitlichen Graphen wurde mit Neo4j implementiert und ermöglicht effiziente Abfragen von Beziehungen zwischen Entitäten (NEO4J INC., 2023). Der Verarbeitungszustand wurde in in die Flink-Runtime eingebetteten RocksDB gespeichert.

Vereinfachtes Beispiel einer Kafka-Ingestion-Konfiguration:

bootstrap.servers=kafka-cluster:9092
group.id=threat-detection
auto.offset.reset=latest
enable.auto.commit=false

Wir verwendeten entitätsbasiertes Partitionieren, um horizontale Skalierbarkeit zu gewährleisten und Zustandskonkurrenz zu minimieren.

In Tests, die in einem 12-Knoten-Cluster mit jeweils 64 vCPUs durchgeführt wurden, beobachteten wir einen nachhaltigen Durchsatz von etwa 920.000 Ereignissen pro Sekunde bei einer durchschnittlichen Latenz von weniger als vier Sekunden.

6. Experimentelle Bewertung

Die experimentelle Umgebung bestand aus Dell PowerEdge R740-Servern, ausgestattet mit zwei Intel Xeon Gold-Prozessoren und 256 GB RAM.

Drei Hauptdatensätze wurden verwendet:

Dataset	Typ	Ungefähres Volumen
UNSW-NB15	Gelabelter Netzwerkverkehr	2,5 Millionen Flows
CIC-IDS2017	Verkehr mit mehreren Angriffen	2,8 Millionen Datensätze
Corporate telemetry	Heterogene Ereignisse	400 Millionen Ereignisse

Zu den verglichenen Methoden gehörten:

Methode	Beschreibung
SIEM	Deterministische Regeln
Random Forest	100 Bäume
LSTM	2 rekurrente Schichten
Vorgeschlagen	Zeitlicher Graph + bayesianische Inferenz

Beobachtete Durchschnittsergebnisse:

Methode	Präzision	Recall	F1-Score
SIEM	0.71	0.64	0.67
Random Forest	0.83	0.78	0.80
LSTM	0.85	0.81	0.83
Vorgeschlagen	0.91	0.88	0.89

Die beobachtete durchschnittliche Standardabweichung lag unter 0.02.

Die False-Positive-Rate wurde von 7,8 % in rein regelbasierten Systemen auf etwa 4,5 % im vorgeschlagenen Ansatz reduziert. Die durchschnittliche Erkennungslatenz blieb bei 3,4 Sekunden.

Unter synthetischer Einbringung von Rauschen, das 20 % zusätzlichen benignen Ereignissen entspricht, sank der F1-Score des vorgeschlagenen Modells nur um 3,1 %, was auf Robustheit gegenüber Verteilungsstörungen hinweist.

7. Diskussion

Die erzielten Ergebnisse zeigen, dass die bayesianische Fusion heterogener Evidenzen wesentlich dazu beiträgt, lokale Unsicherheiten in isolierten Ereignissen zu mindern. Durch die Einbeziehung struktureller Abhängigkeiten in zeitlichen Graphen wird es möglich, vollständige Angriffsketten zu rekonstruieren und so die forensische Analyse durch Sicherheitsanalysten zu erleichtern.

Die explizite Modellierung der Beziehungen zwischen Entitäten erhöht zudem die operative Interpretierbarkeit. Beispielsweise folgen beobachtete Angriffsketten häufig Mustern wie Remote Command Execution ($T1059$), gefolgt von lateraler Bewegung ($T1021$) und schließlich dem Einsatz von Ransomware ($T1486$), wie im MITRE ATT&CK klassifiziert (MITRE, 2023).

Allerdings weist die Methode relevante Einschränkungen auf. Die Abhängigkeit von zuvor modellierten ATT&CK-Kettenhypothesen kann die Fähigkeit zur Erkennung völlig neuer Techniken verringern. Zudem wächst die Anzahl der Angriffshypothesen mit der Komplexität der überwachten Umgebung, was die Rechenkosten der probabilistischen Inferenz erhöht.

Eine weitere Einschränkung betrifft den potenziellen Bias öffentlicher Datensätze, die die Vielfalt der in modernen Unternehmensumgebungen beobachteten Verhaltensweisen oft nicht präzise widerspiegeln. Dennoch mildert die kombinierte Nutzung mehrerer Datenquellen dieses Risiko teilweise.

8. Schlussfolgerung

Wir haben eine adaptive mehrstufige Erkennungsarchitektur vorgestellt, die auf bayesianischer Fusion von Telemetrie und struktureller Modellierung mittels zeitlicher Graphen basiert. Der Ansatz integriert Signale aus mehreren Beobachtungsdomänen — Netzwerk, Endpunkt, Identität und Cloud —, bewahrt zeitliche Abhängigkeiten und ermöglicht probabilistische Echtzeit-Inferenz.

Die Experimente zeigen relevante quantitative Zugewinne bei Präzision, Recall und der Reduktion von False Positives, während die operative Skalierbarkeit für massive Ereignisströme erhalten bleibt.

Diese Ergebnisse legen nahe, dass die Kombination aus inkrementeller probabilistischer Inferenz und struktureller Angriffmodellierung einen vielversprechenden Weg für moderne Systeme zur Bedrohungserkennung darstellt, insbesondere in verteilten Unternehmensumgebungen und Cloud-Infrastrukturen.

Referenzen

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2023a. Available at: https://kafka.apache.org/documentation/. Accessed on: 10 Jan. 2024.

APACHE SOFTWARE FOUNDATION. Apache Flink Documentation. 2023b. Available at: https://flink.apache.org/. Accessed on: 10 Jan. 2024.

BISHOP, Christopher M. Pattern Recognition and Machine Learning. New York: Springer, 2006. Available at: https://link.springer.com/book/10.1007/978-0-387-45528-0

BREIMAN, Leo. Random Forests. Machine Learning, v. 45, n. 1, p. 5–32, 2001. Available at: https://link.springer.com/article/10.1023/A:1010933404324

CAMACHO, Jorge et al. Graph-based Intrusion Detection. In: NDSS Symposium. 2019. Available at: https://www.ndss-symposium.org

CISA. DarkSide Ransomware: Best Practices for Preventing Business Disruption. 2021. Available at: https://www.cisa.gov

ENISA. ENISA Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023

HOCHREITER, Sepp; SCHMIDHUBER, Jürgen. Long Short-Term Memory. Neural Computation, v. 9, n. 8, p. 1735–1780, 1997. Available at: https://www.bioinf.jku.at/publications/older/2604.pdf

HUBBALLI, Neminath; SURYANARAYANAN, Venkatesh. False Alarm Minimization Techniques in Intrusion Detection Systems. IEEE Communications Surveys & Tutorials, 2014. Available at: https://ieeexplore.ieee.org/document/6847097

JULISCH, Klaus. Clustering Intrusion Detection Alarms to Support Root Cause Analysis. IEEE Symposium on Security and Privacy. 2003. Available at: https://ieeexplore.ieee.org/document/1201203

KOLLER, Daphne; FRIEDMAN, Nir. Probabilistic Graphical Models. Cambridge: MIT Press, 2009. Available at: https://mitpress.mit.edu/9780262013192

MANDIANT. M-Trends 2023 Report. 2023. Available at: https://www.mandiant.com/resources/m-trends-2023

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NEO4J INC. Neo4j Graph Data Platform. 2023. Available at: https://neo4j.com

NIST. National Vulnerability Database: CVE-2021-44228. 2023. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Computer Security Incident Handling Guide (SP 800-61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

OWASP. OWASP Top 10 – 2021. 2021. Available at: https://owasp.org/www-project-top-ten/

PATCHA, Animesh; PARK, Jung-Min. An Overview of Anomaly Detection Techniques. Computer Networks, v. 51, n. 12, 2007. Available at: https://doi.org/10.1016/j.comnet.2007.02.001

SCARFONE, Karen; SOUZA, Pedro. Guide to Intrusion Detection and Prevention Systems. NIST, 2018. Available at: https://nvlpubs.nist.gov

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali A. Toward Generating a New Intrusion Detection Dataset. ICISSP, 2018. Available at: https://www.unb.ca/cic/datasets/ids-2017.html

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy. 2010. Available at: https://ieeexplore.ieee.org/document/5504793

TAVALLAEE, Mahbod et al. A Detailed Analysis of the UNSW-NB15 Dataset. IEEE MILCOM, 2015. Available at: https://ieeexplore.ieee.org

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/