TITEL: Resiliente, bedrohungsorientierte IAM-Architektur: Formalisierung, Implementierung und empirische Evaluierung eines adaptiven Modells auf Basis von Zero Trust und Verhaltensdetektion

1. Einleitung

Identity and Access Management (IAM) hat sich in den letzten zwei Jahrzehnten erheblich weiterentwickelt. Ursprünglich als administrativer Mechanismus zur Erstellung von Konten und Zuweisung von Berechtigungen konzipiert, ist IAM zum Kern der organisatorischen Sicherheit in verteilten digitalen Umgebungen geworden. Die massive Einführung von Cloud-Diensten, SaaS-Anwendungen, elastischer Infrastruktur und mobilen Endgeräten hat das traditionelle perimeterbasierte Sicherheitsmodell zugunsten eines identitätszentrierten Paradigmas verschoben (ROSE et al., 2020).

Mehrere empirische Berichte belegen die Relevanz dieses Phänomens. Der Data Breach Investigations Report 2023 zeigt, dass der Einsatz gültiger Zugangsdaten in einem großen Anteil der analysierten Vorfälle präsent ist, häufig in Kombination mit Brute-Force-Techniken, Passwort-Wiederverwendung und Social Engineering (VERIZON, 2023). Im MITRE-ATT&CK-Framework dokumentierte Techniken wie Password Spraying (T1110), Missbrauch gültiger Konten (T1078) und auf kompromittierten Anmeldedaten basierende laterale Bewegung treten wiederholt in Intrusionskampagnen auf (MITRE, 2023).

Darüber hinaus zeigen aktuelle Vorfälle die systematische Ausnutzung von Schwachstellen in IAM-Architekturen. Zu den häufigsten Vektoren zählen Adversary-in-the-Middle-Angriffe gegen Multifaktor-Authentifizierungsflüsse, die Ausnutzung falsch konfigurierter OAuth-Integrationen und der Missbrauch übermäßiger Berechtigungen in Public-Cloud-Umgebungen. Weit verbreitet ausgenutzte Schwachstellen wie CVE‑2021‑44228 (Log4Shell) haben gezeigt, wie Softwarefehler als Ausgangspunkt für die Kompromittierung von Zugangsdaten und die anschließende Privilegieneskalation dienen können (NIST, 2021).

Trotz der Weiterentwicklung der Bedrohungen betreiben viele Organisationen weiterhin Zugriffskontrollsysteme auf Basis statischer Autorisierungsmodelle. Das RBAC-Modell ist zwar weit verbreitet, weist jedoch erhebliche Einschränkungen auf, wenn es in hochdynamischen Umgebungen eingesetzt wird, in denen Kontextfaktoren — wie geografischer Standort, Gerätezustand, Verhaltenshistorie und Sensibilität der Aktion — das mit einer Zugriffsanforderung verbundene Risiko direkt beeinflussen.

Vor diesem Hintergrund formulieren wir die folgenden Forschungsfragen:

RQ1: Wie lässt sich dynamisches Risiko in IAM-Systemen unter Berücksichtigung von Identität, Kontext und Verhalten formal modellieren?

RQ2: Ist es möglich, die mittlere Zeit zur Erkennung von Missbrauch von Zugangsdaten signifikant zu reduzieren, indem Verhaltensanalyse mit adaptiven Autorisierungsrichtlinien integriert wird?

RQ3: Welchen operativen und rechnerischen Einfluss hat die Einführung adaptiver Risikobewertungsmechanismen in großskaligen Unternehmensumgebungen?

Um diese Fragen zu beantworten, präsentieren wir drei Hauptbeiträge. Erstens schlagen wir ein formales mathematisches Modell zur dynamischen Risikobewertung in IAM-Systemen vor. Zweitens entwerfen wir Entscheidungsalgorithmen, die operative Telemetrie integrieren und adaptive Authentifizierungs- und Autorisierungskontrollen anwenden können. Schließlich führen wir eine empirische Bewertung in einer experimentellen Umgebung durch, die repräsentativ für moderne Unternehmensinfrastrukturen ist.

Der restliche Artikel ist wie folgt gegliedert. Abschnitt 2 behandelt Grundlagen und verwandte Arbeiten. Abschnitt 3 formalisiert das Bedrohungsmodell und die vorgeschlagene Risikofunktion. Abschnitt 4 beschreibt die Methodik und die Systemarchitektur. Abschnitt 5 enthält Implementierungsdetails. Abschnitt 6 diskutiert die experimentelle Bewertung. Abschnitt 7 präsentiert eine angewandte Fallstudie. Abschnitt 8 erörtert praktische Implikationen und Grenzen. Abschnitt 9 schließt die Arbeit ab.

2. Hintergrund und verwandte Arbeiten

2.1 IAM-Grundlagen

Formal können wir ein Zugriffskontrollsystem als eine Menge von Benutzern $U$, eine Menge von Ressourcen $R$ und eine Menge von Aktionen $A$ darstellen. Die Menge der Berechtigungen kann definiert werden als:

$$ P \subseteq U \times R \times A $$

Im Role-Based Access Control (RBAC)-Modell wird eine Menge von Rollen $Role$ eingeführt, ebenso wie zwei grundlegende Relationen: die Zuordnung von Benutzern zu Rollen und die Zuordnung von Berechtigungen zu Rollen (SANDHU et al., 1996).

$$ UA \subseteq U \times Role $$

$$ PA \subseteq Role \times (R \times A) $$

Dieses Modell erleichtert die Verwaltung von Berechtigungen, setzt jedoch voraus, dass die Autorisierung ausschließlich von der Zuordnung zwischen Rollen und Ressourcen abhängt.

Ausdrucksstärkere Modelle wie Attribute-Based Access Control (ABAC) führen Attribute ein, die Benutzern, Ressourcen und Kontexten zugeordnet sind. Eine Zugriffsentscheidung kann als Funktion modelliert werden:

$$ f(Attr(u), Attr®, context) \rightarrow {allow, deny} $$

Dieses Paradigma ermöglicht die Einbeziehung kontextueller Variablen wie Standort, Uhrzeit und Geräteeigenschaften (HU; FERRO; KUHN, 2015).

2.2 Zero-Trust-Architektur

Die Zero-Trust-Architektur stellt eine wichtige konzeptionelle Weiterentwicklung der Sicherheit von Unternehmensnetzwerken dar. Anstatt implizites Vertrauen auf Basis des Netzwerkstandorts anzunehmen, verlangt das Zero-Trust-Modell eine kontinuierliche Überprüfung von Identität, Gerätezustand und Kontext, bevor irgendein Zugriff erlaubt wird (ROSE et al., 2020).

In diesem Paradigma wird jede Zugriffsanfrage unabhängig und dynamisch bewertet. Der Prozess umfasst typischerweise:

• starke Authentifizierung der Identität
• Überprüfung der Integrität des Geräts
• kontextbezogene Bewertung
• Anwendung adaptiver Richtlinien

Dieser Ansatz ist insbesondere in verteilten Arbeitsumgebungen und Multicloud-Infrastrukturen relevant.

2.3 Verhaltensbasierte Erkennung

Verhaltensbasierte Erkennungssysteme nutzen statistische Modelle oder Verfahren des maschinellen Lernens, um Abweichungen von normalen Aktivitätsmustern zu identifizieren. Im IAM-Kontext können diese Systeme Variablen wie Login-Häufigkeit, geografischen Standort, Zugriffszeitpunkt und verwendete Ressourcen analysieren (SOMMER; PAXSON, 2010).

Moderne SIEM-Tools und Sicherheitsanalyseplattformen ermöglichen die Korrelation von Ereignissen aus mehreren Telemetriequellen, einschließlich Authentifizierungsprotokollen, API-Logs und Netzwerkverkehr.

2.4 Grenzen der Literatur

Obwohl es Studien zur Identitätssicherheit in Cloud-Umgebungen gibt (ALSHAMRANI et al., 2017), identifizieren wir drei wichtige Lücken in der Literatur.

Erstens basieren viele Systeme weiterhin auf statischen Autorisierungsmodellen. Zweitens ist die Integration von Verhaltens-Telemetrie und Autorisierungsentscheidungen noch begrenzt. Schließlich präsentieren nur wenige Arbeiten eine explizite mathematische Formalisierung des mit Zugriffsentscheidungen verbundenen Risikos.

Unsere Arbeit zielt darauf ab, diese Lücken durch eine integrierte Architektur zur Risikobewertung und adaptiven Kontrolle zu schließen.

3. Bedrohungsmodell und Problemformalierung

Wir nehmen einen Angreifer $\mathcal{A}$ mit realistischen Fähigkeiten an, wie sie in Unternehmens-Intrusionskampagnen beobachtet werden. Zu diesen Fähigkeiten gehören die Beschaffung von Zugangsdaten durch Phishing, die Ausnutzung von Datenlecks, die Durchführung von Password-Spraying-Angriffen und die Erstkompromittierung von Konten mit niedrigen Rechten.

Sobald der erste Zugriff erlangt ist, kann der Angreifer übermäßige Berechtigungen ausnutzen, um Privilegien zu eskalieren oder sich lateral zu bewegen.

Wir definieren das dynamische Risiko, das mit einer Zugriffsanfrage verbunden ist, als folgende Funktion:

$$ R(u,a,c,t) = \alpha S(u) + \beta C© + \gamma B(u,t) + \delta T(a) $$

wobei:

• $S(u)$ die Sensitivität der Identität darstellt
• $C©$ das kontextuelle Risiko darstellt
• $B(u,t)$ die beobachtete Verhaltensabweichung misst
• $T(a)$ die Kritikalität der angeforderten Aktion darstellt

Die Koeffizienten $\alpha, \beta, \gamma, \delta$ repräsentieren normierte Gewichte, sodass gilt:

$$ \alpha + \beta + \gamma + \delta = 1 $$

Wir definieren die grundlegende Sicherheitseigenschaft des Systems wie folgt:

$$ Allow(req) \Rightarrow R(u,a,c,t) < \theta $$

wobei $\theta$ einen adaptiven Risikoschwellenwert darstellt, der durch die Sicherheitsrichtlinie der Organisation festgelegt wird.

Dieses Modell ermöglicht es, kontextuelle und verhaltensbezogene Variablen direkt in den Zugriffsentscheidungsprozess einzubeziehen.

4. Vorgeschlagene Methodik

4.1 Systemarchitektur

Die vorgeschlagene Architektur integriert mehrere operative Komponenten, die für die Erfassung von Telemetrie, die Risikoanalyse und die Durchsetzung von Sicherheitsrichtlinien verantwortlich sind.

Zu den Hauptkomponenten gehören:

• Telemetrie-Sammler (Authentifizierungslogs, API-Ereignisse und Netzwerktelemetrie)
• Risikobewertungs-Engine
• Modul zur Verhaltensdetektion
• Orchestrator für automatisierte Reaktionen

Die Telemetrie wird aus mehreren Quellen aggregiert, darunter Identitätslogs, Cloud-API-Protokolle und Netzwerksensoren.

4.2 Risikobewertungsalgorithmus

Der Zugriffsentscheidungsprozess wird von einem Algorithmus zur dynamischen Risikobewertung ausgeführt.

Input: Ereignis e(u,a,r,c,t)
Output: Entscheidung allow oder deny

1: Sensitivität S(u) berechnen
2: kontextuelles Risiko C(c) berechnen
3: Verhaltensabweichung B(u,t) berechnen
4: Kritikalität T(a) berechnen
5: R ← αS + βC + γB + δT
6: wenn R ≥ θ dann
7:     verstärkte Authentifizierung oder Sperrung anwenden
8: sonst
9:     Zugriff erlauben

Dieser Algorithmus weist eine konstante Rechenkomplexität von $O(1)$ pro Anfrage auf und ist somit für Umgebungen mit hoher Skalierung geeignet.

4.3 Erkennungsregeln

Verdächtige Ereignisse können anhand von Regeln identifiziert werden, die auf bekannten Angriffsmustern basieren.

Beispiel einer Sigma-Regel:

logsource:
  product: azure
detection:
  selection:
    Country: not in known_countries

Diese Regeln können mit der Risikobewertungs-Engine korreliert werden, um die mit der Anfrage verbundene Risikopunktzahl zu erhöhen.

5. Implementierung

Wir implementierten einen funktionalen Prototyp unter Verwendung von Technologien, die in Unternehmensumgebungen weit verbreitet sind.

Komponente	Technologie
Identitätsmanagement	Azure Active Directory
Cloud-Zugriffskontrolle	AWS IAM
Protokollsammlung und -analyse	Elastic Stack 8.x
Netzwerksensor	Suricata
Policy-Engine	Open Policy Agent

Beispiel einer in Rego implementierten Richtlinie:

deny[msg] {
  input.risk_score > 0.7
  msg := "High risk access blocked"
}

Während der Tests beobachteten wir einen durchschnittlichen Anstieg der Authentifizierungs-Latenz von 12 ms auf 19 ms, ein Wert, der in Unternehmensumgebungen als akzeptabel gilt.

6. Experimentelle Bewertung

6.1 Experimentelle Umgebung

Wir schufen eine repräsentative experimentelle Umgebung mit:

• 5000 simulierten Identitäten
• 1200 Workloads
• 30 Tagen operativer Telemetrie
• mehreren simulierten Angriffsszenarien

Als Baseline für den Vergleich diente ein ausschließlich auf RBAC basierendes Autorisierungssystem.

6.2 Ergebnisse

Metrik	RBAC-Baseline	Vorgeschlagene Architektur
MTTD	14.2 h	5.2 h
Übermäßige Berechtigungen	31%	16%
Rate falscher Positivmeldungen	1.9%	2.8%

Wir beobachteten eine Reduktion der mittleren Zeit zur Erkennung von Missbrauch von Zugangsdaten um etwa 63,4%.

Wir führten einen t-Test zum Vergleich der Mittelwerte durch und erhielten $p < 0.01$, was auf statistische Signifikanz hinweist.

7. Fallstudie

Wir wendeten die vorgeschlagene Architektur in einem repräsentativen Szenario an, das von einer Organisation des Finanzsektors mit etwa 2000 Mitarbeitenden und hybrider Infrastruktur inspiriert war.

Der Implementierungsprozess erfolgte in vier Hauptschritten:

1. Berechtigungsprüfung mittels AWS IAM Access Analyzer
2. Implementierung von Conditional-Access-Richtlinien in Azure Active Directory
3. Bereitstellung von Erkennungsregeln im Elastic SIEM
4. Durchführung einer Simulation eines Password-Spraying-Angriffs

Während des Simulationsübens identifizierte das System innerhalb von vier Minuten anomale Aktivitäten, löste adaptive Authentifizierung aus und blockierte nachfolgende Versuche.

8. Diskussion

Die Ergebnisse zeigen, dass die Integration von kontextbezogener Analyse und Verhaltensdetektion die Fähigkeit zur Erkennung von Missbrauch von Zugangsdaten erheblich verbessert. Insbesondere stellten wir fest, dass Verhaltensvariablen, die mit der Authentifizierungshistorie verbunden sind, stark zur frühzeitigen Erkennung bösartiger Aktivitäten beitrugen.

Das Modell weist jedoch einige Einschränkungen auf. Die erste betrifft die Abhängigkeit von qualitativ hochwertiger Telemetrie. Unvollständige oder inkonsistente Logs können die Genauigkeit der Risikobewertung beeinträchtigen.

Eine weitere Einschränkung betrifft die Kalibrierung der Parameter $\alpha, \beta, \gamma, \delta$. In realen Umgebungen müssen diese Parameter anhand organisationsspezifischer Merkmale angepasst werden.

Trotz dieser Einschränkungen zeigt der Ansatz operative Machbarkeit und kann in Detektions- und Reaktionspipelines integriert werden, wie sie von Security-Operations-Center-Teams verwendet werden.

9. Schlussfolgerung

In dieser Arbeit haben wir eine resiliente, bedrohungsorientierte IAM-Architektur vorgestellt, die dynamische Risikobewertung, Verhaltensanalyse und Zero-Trust-Prinzipien integriert.

Wir haben ein mathematisches Risikomodell formalisiert, das Identität, Kontext und Verhalten in den Zugriffsentscheidungsprozess einbeziehen kann. Wir implementierten einen operativen Prototyp auf Basis weit verbreiteter Technologien und führten eine empirische Bewertung in einer repräsentativen experimentellen Umgebung durch.

Die Ergebnisse zeigen eine signifikante Reduktion der mittleren Zeit zur Erkennung von Missbrauch von Zugangsdaten sowie eine deutliche Verringerung übermäßiger Berechtigungen. Diese Ergebnisse legen nahe, dass adaptive IAM-Architekturen eine wichtige Weiterentwicklung im Schutz moderner Unternehmensumgebungen darstellen.

Zukünftige Arbeiten umfassen die Integration von Techniken des maschinellen Lernens für eine ausgefeiltere Verhaltensmodellierung sowie verbesserte Mechanismen zur Erkennung des Missbrauchs von OAuth-Tokens in verteilten Umgebungen.

References

ALSHAMRANI, A.; MYNENI, S.; CHOWDHARY, A.; HUANG, D. A survey on advanced persistent threats. IEEE Communications Surveys & Tutorials, v. 19, n. 4, p. 2507–2528, 2017. Available at: https://doi.org/10.1109/COMST.2017.2716383. Accessed on: 10 mar. 2023.

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001. Accessed on: 12 mar. 2023.

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001. Accessed on: 12 mar. 2023.

BERTINO, E.; SANDHU, R. Database security—concepts, approaches, and challenges. IEEE Transactions on Dependable and Secure Computing, v. 2, n. 1, p. 2–19, 2005. Available at: https://doi.org/10.1109/TDSC.2005.9. Accessed on: 11 mar. 2023.

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001. Accessed on: 12 mar. 2023.

HU, V.; FERRO, D.; KUHN, D. Guide to Attribute Based Access Control (ABAC). NIST Special Publication 800‑162. Gaithersburg: NIST, 2015. Available at: https://doi.org/10.6028/NIST.SP.800-162. Accessed on: 11 mar. 2023.

KINDERVAG, J. No More Chewy Centers: Introducing the Zero Trust Model of Information Security. Forrester Research, 2010. Available at: https://www.forrester.com/report/no-more-chewy-centers-introducing-the-zero-trust-model-of-information-security/. Accessed on: 12 mar. 2023.

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 10 mar. 2023.

NIST. National Vulnerability Database – CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228. Accessed on: 10 mar. 2023.

ROSE, S.; BORCHERT, O.; MITCHELL, S.; CONNELLY, S. Zero Trust Architecture. NIST Special Publication 800‑207. Gaithersburg: NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207. Accessed on: 11 mar. 2023.

SANDHU, R. et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Available at: https://doi.org/10.1109/2.485845. Accessed on: 11 mar. 2023.

SOMMER, R.; PAXSON, V. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25. Accessed on: 12 mar. 2023.

STALLINGS, W.; BROWN, L. Computer Security: Principles and Practice. 4. ed. Boston: Pearson, 2018. Available at: https://www.pearson.com. Accessed on: 12 mar. 2023.

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 10 mar. 2023.

ZHANG, N.; RYAN, M.; CHEN, D. Formal analysis of cloud identity federation protocols. IEEE Security & Privacy, v. 17, n. 5, p. 55–63, 2019. Available at: https://doi.org/10.1109/MSEC.2019.2917422. Accessed on: 12 mar. 2023.

NIST. Digital Identity Guidelines. NIST Special Publication 800‑63‑3. 2017. Available at: https://doi.org/10.6028/NIST.SP.800-63-3. Accessed on: 11 mar. 2023.

CLOUD SECURITY ALLIANCE. Security Guidance for Critical Areas of Focus in Cloud Computing v4.0. 2017. Available at: https://cloudsecurityalliance.org. Accessed on: 12 mar. 2023.

GARCIA, S.; BRINKER, S. Behavioral analytics for cybersecurity. ACM Queue, v. 16, n. 5, 2018. Available at: https://queue.acm.org/detail.cfm?id=3287307. Accessed on: 12 mar. 2023.

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001. Accessed on: 12 mar. 2023.

ANDERSON, R. Security Engineering. 3. ed. Hoboken: Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html. Accessed on: 12 mar. 2023.

ENISA. Threat Landscape 2022. European Union Agency for Cybersecurity, 2022. Available at: https://www.enisa.europa.eu. Accessed on: 12 mar. 2023.

CISA. Zero Trust Maturity Model. Cybersecurity and Infrastructure Security Agency, 2021. Available at: https://www.cisa.gov/zero-trust-maturity-model. Accessed on: 12 mar. 2023.

GOOGLE. BeyondCorp: A New Approach to Enterprise Security. 2014. Available at: https://research.google/pubs/pub43231/. Accessed on: 12 mar. 2023.

MICROSOFT. Zero Trust Deployment Guide. 2022. Available at: https://learn.microsoft.com/security/zero-trust. Accessed on: 12 mar. 2023.

AMAZON WEB SERVICES. IAM Access Analyzer Documentation. 2023. Available at: https://docs.aws.amazon.com/IAM/latest/UserGuide/what-is-access-analyzer.html. Accessed on: 10 mar. 2023.

ELASTIC. Elastic Security Documentation. 2023. Available at: https://www.elastic.co/guide/en/security/current/index.html. Accessed on: 10 mar. 2023.