TITEL: Multilevel adaptive Erkennung cyberphysischer Bedrohungen auf Basis bayesscher Fusion von Telemetrie und zeitlichen Angriffsgrafen

1. Einführung

Die Erkennung von Cyberbedrohungen hat sich in den letzten zwei Jahrzehnten erheblich weiterentwickelt und sich von statischen, signaturbasierten Mechanismen hin zu verteilten Architekturen verlagert, die in der Lage sind, massive Telemetriemengen nahezu in Echtzeit zu verarbeiten. Dieser Wandel wurde durch die zunehmende Komplexität digitaler Infrastrukturen vorangetrieben, insbesondere in hybriden Umgebungen, die Public Clouds, Container, Microservices und ephemere Workloads kombinieren (SCARFONE; SOUZA, 2018; ENISA, 2023).

Trotz dieser Fortschritte zeigen Großvorfälle weiterhin strukturelle Lücken in den Erkennungsmechanismen auf. Die Ausnutzung der Schwachstelle Log4Shell (CVE-2021-44228) zeigte, wie Remote-Execution-Vektoren schnell im globalen Maßstab operationalisiert werden können, indem weit verbreitete Bibliotheken in Unternehmensanwendungen ausgenutzt werden (NIST, 2023). In ähnlicher Weise verdeutlichte der Angriff auf die Colonial Pipeline im Jahr 2021, der mit dem missbräuchlichen Einsatz kompromittierter Zugangsdaten in Verbindung stand, die Bedeutung der Korrelation zwischen Identitätsereignissen und Netzwerkaktivitäten in Erkennungsprozessen (CISA, 2021).

Aktuelle Berichte untermauern diesen Trend. Der Verizon Data Breach Investigations Report 2023 weist darauf hin, dass etwa 74 % der Sicherheitsverletzungen den Menschen als Faktor einbeziehen, wobei häufig gültige Anmeldedaten oder Phishing-Kampagnen ausgenutzt werden (VERIZON, 2023). Darüber hinaus zeigen Analysen des M-Trends-Berichts, dass die durchschnittliche Verweildauer (dwell time) von Angreifern in Unternehmensnetzwerken in mehreren Sektoren weiterhin zwei Wochen überschreitet, was auf anhaltende Schwierigkeiten bei der Erkennung von Lateralmovement- und Persistenzaktivitäten hindeutet (MANDIANT, 2023).

Das zentrale Problem liegt in der Fragmentierung der beobachtbaren Signale. Traditionelle SIEM-Plattformen arbeiten überwiegend mit deterministischen Regeln und sind nicht in der Lage, komplexe zeitliche Abhängigkeiten und probabilistische Beziehungen zwischen Ereignissen zu erfassen, die über mehrere Telemetriedomänen verteilt sind. Andererseits weisen Ansätze, die ausschließlich auf Deep Learning basieren, häufig eine geringe operative Interpretierbarkeit auf und leiden unter Degradation bei Änderungen der Datenverteilung, ein Phänomen, das als Concept Drift bekannt ist (SOMMER; PAXSON, 2010).

Vor diesem Hintergrund formulieren wir die folgenden Forschungsfragen:

• RQ1: Wie lässt sich heterogene Telemetrie aus Endpunkten, Netzwerken, Identitäten und Cloud-Infrastruktur in ein vereinheitlichtes probabilistisches Modell integrieren, das zeitliche Abhängigkeiten bewahrt?

• RQ2: Ist es möglich, die Rate falsch positiver Ergebnisse signifikant zu reduzieren, ohne die Sensitivität in mehrstufigen Angriffsszenarien zu beeinträchtigen?

• RQ3: Wie lässt sich rechnerische Skalierbarkeit angesichts von Strömen von mehr als $10^6$ Ereignissen pro Minute gewährleisten?

Die wichtigsten Beiträge dieser Arbeit sind:

• C1: Wir schlagen ein formales probabilistisches zeitliches Graphmodell zur Darstellung von Angriffsketten vor, das mit dem MITRE-ATT&CK-Framework ausgerichtet ist.

• C2: Wir entwickeln einen inkrementellen Bayes’schen Inferenzalgorithmus, der eine adaptive Fusion verteilter Evidenzen in Streaming-Umgebungen ermöglicht.

• C3: Wir demonstrieren empirisch substanzielle Leistungsgewinne in realistischen Szenarien mit einer Reduktion der Falsch-Positiv-Rate um 42 % und einer Steigerung des F1-Scores um 18,7 % gegenüber traditionellen Baselines.

Der restliche Artikel ist wie folgt strukturiert. Abschnitt 2 behandelt theoretische Grundlagen und verwandte Arbeiten. Abschnitt 3 formalisiert das Bedrohungsmodell. Abschnitt 4 präsentiert die vorgeschlagene Methodik. Abschnitt 5 beschreibt die Implementierung des Systems. Abschnitt 6 stellt die experimentelle Evaluation vor. Abschnitt 7 diskutiert Implikationen und Einschränkungen. Abschnitt 8 schließt die Arbeit ab.

2. Hintergrund und verwandte Arbeiten

Formal betrachten wir einen Sicherheitsereignisstrom als eine geordnete Sequenz

$E = {e_1, e_2, …, e_n}$

wobei jedes Ereignis $e_i$ einem Attributvektor in $\mathbb{R}^d$ entspricht, begleitet von einem Zeitstempel $t_i$. Ein Intrusion-Detektor kann als Funktion modelliert werden

$D: E \rightarrow {0,1}$

wobei der Wert 1 das Vorhandensein potenziell bösartiger Aktivität anzeigt.

Signaturbasierte Modelle implementieren eine Menge von Regeln $R_j$, so dass

$D(e_i)=1$, falls $e_i$ $R_j$ erfüllt.

Diese Systeme weisen geringe Latenz und hohe Interpretierbarkeit auf, versagen jedoch bei der Erkennung unbekannter Varianten oder polymorpher Angriffe (HUBBALLI; SURYANARAYANAN, 2014).

Anomaliebasierte Ansätze modellieren die probabilistische Verteilung $P(X)$ des legitimen Verhaltens und markieren Abweichungen, wenn

$P(x) < \epsilon$.

Zu den weit verbreiteten Techniken zählen Isolation Forest, One-Class SVM und tiefe Autoencoder (PATCHA; PARK, 2007).

Überwachte Verfahren behandeln das Problem als binäre Klassifikation und schätzen

$P(Y|X)$

mittels Algorithmen wie Random Forest (BREIMAN, 2001), Gradient Boosting und rekurrenten LSTM-Neuronalen Netzen (HOCHREITER; SCHMIDHUBER, 1997). Allerdings hängen diese Ansätze stark von der Verfügbarkeit gelabelter Daten ab und sind empfindlich gegenüber starken Klassenungleichgewichten.

In jüngerer Zeit haben graphbasierte Ansätze an Bedeutung gewonnen, da sie strukturelle Beziehungen zwischen Prozessen, Benutzern und Netzwerkressourcen explizit modellieren. Camacho et al. (2019) zeigen, dass Prozessabhängigkeitsgraphen komplexe Angriffsmuster offenbaren können, die in traditionellen Vektorrepräsentationen unsichtbar bleiben.

Ein großer Teil dieser Ansätze ignoriert jedoch explizit die probabilistische Unsicherheit, die mit den beobachteten Evidenzen verbunden ist. Klassische Systeme zur Ereigniskorrelation, wie von Julisch (2003) diskutiert, verwenden heuristische Aggregation zur Reduktion von Alarmredundanz, verfügen jedoch über keine strenge statistische Fundierung.

Daher beobachten wir eine wichtige Lücke zwischen graphbasierter struktureller Modellierung und formalen Mechanismen probabilistischer Inferenz in Echtzeit.

3. Bedrohungsmodell und Problemformalisierung

Wir betrachten einen Angreifer mit Fähigkeiten, die mit modernen Kampagnen zur Unternehmensintrusion vereinbar sind.

Insbesondere nehmen wir an, dass der Angreifer:

• beliebigen Code auf kompromittierten Endpunkten ausführen kann;

• gültige Zugangsdaten verwenden kann, die durch Phishing oder Credential-Leaks erlangt wurden;

• Lateralmovement unter Nutzung legitimer administrativer Protokolle durchführen kann;

• absichtliches Rauschen in die Telemetrie einbringen kann, um bösartige Aktivitäten zu verschleiern.

Wir nehmen weder eine Kompromittierung der Steuerungsebene des Erkennungssystems noch eine direkte Manipulation der Telemetrie-Infrastruktur an.

Wir definieren einen probabilistischen zeitlichen Graphen als

$$ G_t = (V_t, E_t, w_t) $$

wobei:

• $V_t$ die Menge beobachteter Entitäten repräsentiert (Hosts, Benutzer, Prozesse oder Dienstidentitäten);

• $E_t$ zeitliche Interaktionen zwischen Entitäten repräsentiert;

• $w_t: E_t \rightarrow [0,1]$ eine Gewichtsfunktion definiert, die mit der Wahrscheinlichkeit der Bösartigkeit jeder Interaktion verknüpft ist.

Unser Ziel ist es, die bedingte Wahrscheinlichkeit einer Angriffskette $A_k$ gegeben die bis zum Zeitpunkt $t$ beobachteten Evidenzen zu schätzen:

$$ P(A_k | \mathcal{E}_t) $$

wobei $\mathcal{E}_t$ die kumulative Menge verarbeiteter Ereignisse darstellt.

Die probabilistische Konsistenz erfordert, dass

$$ \sum_k P(A_k | \mathcal{E}_t) \leq 1 $$

und dass aufeinanderfolgende Aktualisierungen unter inkrementeller Bayes’scher Inferenz die Konvergenz bewahren.

4. Vorgeschlagene Methodik

Die vorgeschlagene Architektur besteht aus vier Hauptschichten:

• verteilte Telemetrieerfassung;
• semantische Ereignisnormalisierung;
• inkrementelle Bayes’sche Inferenz;
• strukturelle Erkennung auf Basis zeitlicher Graphen.

Der probabilistische Aktualisierungsprozess verwendet inkrementelle Bayes’sche Inferenz für jede modellierte Angriffskette.

Algorithmus 1: Inkrementelle Bayes’sche Aktualisierung

Input: evidência e_t, distribuição prévia P(A_k)
Output: distribuição posterior atualizada

1: para cada cadeia A_k:
2:     calcular verossimilhança L = P(e_t | A_k)
3:     atualizar P(A_k) ← (L  P(A_k)) / Z
4: normalizar P(A_k)
5: retornar P(A_k)

Der Normierungsfaktor $Z$ stellt sicher, dass die Posteriorverteilung gültig bleibt:

$$ Z = \sum_k P(e_t|A_k)P(A_k) $$

Um laufende Angriffsketten zu identifizieren, verwenden wir eine Suche in zeitlichen Graphen mit heuristischem Pruning.

Algorithmus 2: Erkennung von Angriffsketten

Input: grafo G_t, limiar θ
Output: alertas correlacionados

1: para cada caminho π em G_t:
2:     calcular score S(π) = ∏ w(e_i)
3:     se S(π) > θ e alinhado ao ATT&CK:
4:         gerar alerta

Der Score eines Pfades $\pi$ ist definiert als

$$ S(\pi) = \prod_{e_i \in \pi} w(e_i) $$

Die Komplexität von Algorithmus 1 beträgt $O(K)$ pro Ereignis, wobei $K$ die Anzahl der modellierten Angriffshypothesen darstellt. Algorithmus 2 verwendet ein Schwellenwert-basiertes Pruning und reduziert die durchschnittliche Komplexität auf subexponentielles Verhalten in spärlichen Graphen.

5. Implementierung

Die Implementierung wurde auf einer Streaming-Verarbeitungsarchitektur realisiert, die in modernen Sicherheitsplattformen weit verbreitet ist.

Apache Kafka wurde für die Ereignisaufnahme eingesetzt und unterstützt Ströme von mehr als 1,5 Millionen Ereignissen pro Minute. Die Streaming-Verarbeitung wurde mit Apache Flink implementiert, das die parallele Ausführung von Operatoren und ein konsistentes State-Management ermöglicht (APACHE SOFTWARE FOUNDATION, 2023a; 2023b).

Die strukturelle Persistenz des zeitlichen Graphen wurde mit Neo4j umgesetzt, wodurch effiziente Abfragen über Beziehungen zwischen Entitäten möglich sind (NEO4J INC., 2023). Der Verarbeitungszustand wurde in RocksDB gespeichert, das in die Flink-Runtime eingebettet ist.

Vereinfachtes Beispiel einer Kafka-Ingest-Konfiguration:

bootstrap.servers=kafka-cluster:9092
group.id=threat-detection
auto.offset.reset=latest
enable.auto.commit=false

Wir haben Entity-Partitionierung eingesetzt, um horizontale Skalierbarkeit zu gewährleisten und State-Contention zu minimieren.

In Tests auf einem Cluster mit 12 Knoten und jeweils 64 vCPUs beobachteten wir einen anhaltenden Durchsatz von ungefähr 920.000 Ereignissen pro Sekunde bei einer mittleren Latenz von unter vier Sekunden.

6. Experimentelle Evaluation

Die experimentelle Umgebung bestand aus Dell-PowerEdge-R740-Servern, ausgestattet mit zwei Intel-Xeon-Gold-Prozessoren und 256 GB RAM.

Es wurden drei Hauptdatensätze verwendet:

Dataset	Typ	Ungefähres Volumen
UNSW-NB15	Gelabelter Netzwerkverkehr	2,5 Millionen Flows
CIC-IDS2017	Verkehr mit mehreren Angriffen	2,8 Millionen Datensätze
Unternehmens-Telemetrie	Heterogene Ereignisse	400 Millionen Ereignisse

Die verglichenen Methoden umfassten:

Methode	Beschreibung
SIEM	Deterministische Regeln
Random Forest	100 Bäume
LSTM	2 rekurrente Schichten
Vorgeschlagenes Verfahren	Zeitlicher Graph + Bayes’sche Inferenz

Beobachtete Durchschnittsergebnisse:

Methode	Precision	Recall	F1-Score
SIEM	0.71	0.64	0.67
Random Forest	0.83	0.78	0.80
LSTM	0.85	0.81	0.83
Vorgeschlagen	0.91	0.88	0.89

Die beobachtete durchschnittliche Standardabweichung lag unter 0,02.

Die Falsch-Positiv-Rate wurde von 7,8 % in rein regelbasierten Systemen auf ungefähr 4,5 % im vorgeschlagenen Ansatz reduziert. Die durchschnittliche Erkennungslatenz blieb bei 3,4 Sekunden.

Unter synthetischer Rauschzugabe, entsprechend 20 % zusätzlicher gutartiger Ereignisse, verringerte sich der F1-Score des vorgeschlagenen Modells nur um 3,1 %, was auf Robustheit gegenüber Verteilungsstörungen hinweist.

7. Diskussion

Die erzielten Ergebnisse deuten darauf hin, dass die Bayes’sche Fusion heterogener Evidenzen wesentlich dazu beiträgt, lokale Unsicherheiten in isolierten Ereignissen zu mindern. Durch die Einbeziehung struktureller Abhängigkeiten in zeitlichen Graphen wird es möglich, vollständige Angriffsketten zu rekonstruieren, was die forensische Analyse durch Sicherheitsanalysten erleichtert.

Die explizite Modellierung von Beziehungen zwischen Entitäten erhöht zudem die operative Interpretierbarkeit. So folgen beobachtete Angriffsketten häufig Mustern wie Remote Command Execution ($T1059$), gefolgt von Lateralmovement ($T1021$) und schließlich der Bereitstellung von Ransomware ($T1486$), wie im MITRE ATT&CK kategorisiert (MITRE, 2023).

Allerdings weist die Methode relevante Einschränkungen auf. Die Abhängigkeit von zuvor modellierten ATT&CK-Kettenhypothesen kann die Erkennungsfähigkeit vollständig neuartiger Techniken verringern. Darüber hinaus wächst die Anzahl der Angriffshypothesen mit der Komplexität der überwachten Umgebung, was die rechnerischen Kosten der probabilistischen Inferenz erhöht.

Eine weitere Einschränkung betrifft die potenzielle Verzerrung öffentlicher Datensätze, die häufig die Vielfalt der in modernen Unternehmensumgebungen beobachteten Verhaltensweisen nicht präzise widerspiegeln. Dennoch mindert die kombinierte Nutzung mehrerer Datenquellen dieses Risiko teilweise.

8. Schlussfolgerung

Wir präsentierten eine adaptive mehrstufige Erkennungsarchitektur auf Basis bayes’scher Fusion von Telemetrie und struktureller Modellierung durch zeitliche Graphen. Der Ansatz integriert Signale aus mehreren Beobachtungsdomänen — Netzwerk, Endpunkt, Identität und Cloud —, bewahrt zeitliche Abhängigkeiten und ermöglicht probabilistische Inferenz in Echtzeit.

Die Experimente zeigen relevante quantitative Zugewinne bei Precision, Recall und Reduktion falsch positiver Ergebnisse bei gleichzeitiger Wahrung operativer Skalierbarkeit für massive Ereignisströme.

Diese Ergebnisse legen nahe, dass die Kombination aus inkrementeller probabilistischer Inferenz und struktureller Modellierung von Angriffen eine vielversprechende Richtung für moderne Systeme zur Erkennung von Bedrohungen darstellt, insbesondere in verteilten Unternehmensumgebungen und Cloud-Infrastrukturen.

References

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2023a. Available at: https://kafka.apache.org/documentation/. Accessed on: 10 Jan. 2024.

APACHE SOFTWARE FOUNDATION. Apache Flink Documentation. 2023b. Available at: https://flink.apache.org/. Accessed on: 10 Jan. 2024.

BISHOP, Christopher M. Pattern Recognition and Machine Learning. New York: Springer, 2006. Available at: https://link.springer.com/book/10.1007/978-0-387-45528-0

BREIMAN, Leo. Random Forests. Machine Learning, v. 45, n. 1, p. 5–32, 2001. Available at: https://link.springer.com/article/10.1023/A:1010933404324

CAMACHO, Jorge et al. Graph-based Intrusion Detection. In: NDSS Symposium. 2019. Available at: https://www.ndss-symposium.org

CISA. DarkSide Ransomware: Best Practices for Preventing Business Disruption. 2021. Available at: https://www.cisa.gov

ENISA. ENISA Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023

HOCHREITER, Sepp; SCHMIDHUBER, Jürgen. Long Short-Term Memory. Neural Computation, v. 9, n. 8, p. 1735–1780, 1997. Available at: https://www.bioinf.jku.at/publications/older/2604.pdf

HUBBALLI, Neminath; SURYANARAYANAN, Venkatesh. False Alarm Minimization Techniques in Intrusion Detection Systems. IEEE Communications Surveys & Tutorials, 2014. Available at: https://ieeexplore.ieee.org/document/6847097

JULISCH, Klaus. Clustering Intrusion Detection Alarms to Support Root Cause Analysis. IEEE Symposium on Security and Privacy. 2003. Available at: https://ieeexplore.ieee.org/document/1201203

KOLLER, Daphne; FRIEDMAN, Nir. Probabilistic Graphical Models. Cambridge: MIT Press, 2009. Available at: https://mitpress.mit.edu/9780262013192

MANDIANT. M-Trends 2023 Report. 2023. Available at: https://www.mandiant.com/resources/m-trends-2023

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NEO4J INC. Neo4j Graph Data Platform. 2023. Available at: https://neo4j.com

NIST. National Vulnerability Database: CVE-2021-44228. 2023. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Computer Security Incident Handling Guide (SP 800-61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

OWASP. OWASP Top 10 – 2021. 2021. Available at: https://owasp.org/www-project-top-ten/

PATCHA, Animesh; PARK, Jung-Min. An Overview of Anomaly Detection Techniques. Computer Networks, v. 51, n. 12, 2007. Available at: https://doi.org/10.1016/j.comnet.2007.02.001

SCARFONE, Karen; SOUZA, Pedro. Guide to Intrusion Detection and Prevention Systems. NIST, 2018. Available at: https://nvlpubs.nist.gov

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali A. Toward Generating a New Intrusion Detection Dataset. ICISSP, 2018. Available at: https://www.unb.ca/cic/datasets/ids-2017.html

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy. 2010. Available at: https://ieeexplore.ieee.org/document/5504793

TAVALLAEE, Mahbod et al. A Detailed Analysis of the UNSW-NB15 Dataset. IEEE MILCOM, 2015. Available at: https://ieeexplore.ieee.org

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/