Research / Paper Files
Paper Files
Paper Files sind eine persönliche Praxis des kontinuierlichen Studiums in der Cybersecurity, die die wissenschaftliche Methode als Lernwerkzeug anwendet. Jeder Artikel wird nicht für eine akademische Veröffentlichung geschrieben, sondern als bewusste Übung, um die Axt zu schärfen — Wissen zu bestimmten Themen zu vertiefen, Ideen mit Strenge zu strukturieren und zu beobachten, wie sich das Verständnis bestimmter Themen im Laufe der Zeit entwickelt. Es ist das intellektuelle Äquivalent eines Trainingsjournals: Jeder Eintrag hält fest, was studiert wurde, wie es analysiert wurde und welche Schlussfolgerungen entstanden sind.
Ich empfehle Security-Profis dringend, diese Methode anzuwenden. Wählen Sie ein Thema, das Sie meistern möchten, recherchieren Sie Primärquellen (RFCs, Papers, offizielle Dokumentation), strukturieren Sie Ihren Text mit Einleitung, Methodik, Analyse und Schlussfolgerung und schreiben Sie so, als würden Sie es einem Kollegen erklären. Der Akt des Schreibens erzwingt Klarheit des Denkens und legt Lücken im Verständnis offen, die passives Lesen nicht aufdecken kann. Nutzen Sie die Artikel auf dieser Website als Beispiele für Format und Tiefe und bauen Sie Ihre eigene Sammlung auf — mit der Zeit werden Sie ein persönliches Repository verfeinerten Wissens haben, das kein Kurs und keine Zertifizierung ersetzen kann.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →24 papers
TITEL: Eine formale und operative Architektur für bedrohungsorientierte AppSec: Integration von SAST, DAST, SCA, Runtime-Telemetrie und ATT&CK-Intelligenz zur risikobasierten Priorisierung auf Grundlage ausnutzbarer Risiken
TITEL: Eine formale und operative Architektur für bedrohungsorientierte AppSec: Integration von SAST, DAST, SCA, Runtime-Telemetrie und ATT&CK-Intelligenz zur risikobasierten Priorisierung auf Grundlage ausnutzbarer Risiken ABSTRAKT: Die Angriffsfläche moderner Anwendungen hat sich durch die Einführung von Architekturen auf Basis von Microservices, APIs, Containern und Continuous-Integration- und Continuous-Delivery-Pipelines erheblich erweitert. Obwohl Anwendungssicherheitswerkzeuge wie Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) und Software Composition Analysis (SCA) weit verbreitet eingesetzt werden, arbeiten diese Mechanismen häufig isoliert und erzeugen große Mengen an Warnungen, denen es an operativer Kontextualisierung mangelt. Folglich haben Sicherheitsteams Schwierigkeiten, Schwachstellen auf Grundlage der tatsächlichen Wahrscheinlichkeit einer Ausnutzung zu priorisieren. In dieser Arbeit präsentieren wir eine formale und operative Architektur für bedrohungsorientierte Anwendungssicherheit, die Ergebnisse aus SAST, DAST und SCA mit Laufzeit-Telemetrie integriert, die zur Ausführungszeit mittels Netzwerksensoren und eBPF-basiertem Monitoring erfasst wird. Die vorgeschlagene Architektur verwendet eine von bayesianischen Modellen inspirierte probabilistische Korrelation, um das ausnutzbare Risiko identifizierter Schwachstellen zu schätzen, wobei empirische Evidenzen aus beobachteten Runtime-Ereignissen einbezogen und diese Evidenzen an das MITRE ATT&CK-Framework angeglichen werden. Wir formalisieren mathematisch das Konzept des ausnutzbaren Risikos und zeigen, wie mehrere Evidenzquellen kombiniert werden können, um Fehlalarme zu reduzieren und die Priorisierung von Behebungsmaßnahmen zu verbessern. Die experimentelle Implementierung wurde in einer Kubernetes-Umgebung mit Integration in eine CI/CD-Pipeline durchgeführt, unter Verwendung in der Industrie weit verbreiteter Werkzeuge, darunter Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco und Suricata. Wir bewerteten den Ansatz an einer Reihe verwundbarer Anwendungen und beobachteten signifikante Verbesserungen bei der Genauigkeit der Identifizierung ausnutzbarer Schwachstellen. Die experimentellen Ergebnisse zeigen eine Steigerung des F1-Scores von 0,67–0,63 bei isolierten Ansätzen auf 0,85 im integrierten Modell sowie eine Reduktion der Fehlalarme um 37,4 % und eine Verringerung der durchschnittlichen Zeit für die Triagierung von Schwachstellen. Wir diskutieren die Grenzen des probabilistischen Modells, die operativen Implikationen für DevSecOps-Praktiken und mögliche Erweiterungen, einschließlich der Integration mit Ausnutzungsmetriken wie EPSS und maschinell lernunterstützter Analyse zur adaptiven Priorisierung. Die vorgeschlagene Architektur zeigt, dass die Korrelation zwischen statischer Analyse, dynamischen Tests, Abhängigkeitsanalyse und operativer Telemetrie einen vielversprechenden Weg darstellt, um die Lücke zwischen der Erkennung von Schwachstellen und der Erkennung tatsächlicher Ausnutzung zu schließen.
Read paper →AppSecTITEL: Eine formale und operative Architektur für Threat-Driven AppSec: Integration von SAST, DAST, SCA, Runtime-Telemetrie und ATT&CK-Intelligence zur risikobasierten Priorisierung auf Grundlage ausnutzbarer Risiken
TITEL: Eine formale und operative Architektur für Threat-Driven AppSec: Integration von SAST, DAST, SCA, Runtime-Telemetrie und ATT&CK-Intelligence zur risikobasierten Priorisierung auf Grundlage ausnutzbarer Risiken ABSTRAKT: Die Angriffsfläche moderner Anwendungen hat sich durch die Einführung von Architekturen auf Basis von Microservices, APIs, Containern und Continuous-Integration- und Continuous-Delivery-Pipelines erheblich erweitert. Obwohl Anwendungssicherheitswerkzeuge wie Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) und Software Composition Analysis (SCA) weit verbreitet eingesetzt werden, arbeiten diese Mechanismen häufig isoliert und erzeugen große Mengen an Warnungen, denen es an operativer Kontextualisierung fehlt. Folglich haben Sicherheitsteams Schwierigkeiten, Schwachstellen auf Grundlage der tatsächlichen Wahrscheinlichkeit einer Ausnutzung zu priorisieren. In dieser Arbeit प्रस्तुतieren wir eine formale und operative Architektur für Threat-Driven Application Security, die Ergebnisse aus SAST, DAST und SCA mit zur Laufzeit erfasster Ausführungstelemetrie integriert, die durch Netzwerksensoren und eBPF-basiertes Monitoring gesammelt wird. Die vorgeschlagene Architektur nutzt eine probabilistische Korrelation, inspiriert von Bayes’schen Modellen, um das ausnutzbare Risiko identifizierter Schwachstellen zu schätzen, wobei empirische Evidenz aus beobachteten Ereignissen zur Laufzeit einbezogen und diese Evidenz an das MITRE-ATT&CK-Framework ausgerichtet wird. Wir formalisieren mathematisch das Konzept des ausnutzbaren Risikos und zeigen, wie mehrere Evidenzquellen kombiniert werden können, um Fehlalarme zu reduzieren und die Priorisierung von Remediations zu verbessern. Die experimentelle Implementierung wurde in einer Kubernetes-Umgebung mit Integration in eine CI/CD-Pipeline durchgeführt und nutzte in der Industrie weit verbreitete Werkzeuge, darunter Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco und Suricata. Wir bewerteten den Ansatz anhand eines Satzes verwundbarer Anwendungen und beobachteten signifikante Verbesserungen bei der Genauigkeit der Identifikation ausnutzbarer Schwachstellen. Die experimentellen Ergebnisse zeigen eine Steigerung des F1-Scores von 0,67–0,63 bei isolierten Ansätzen auf 0,85 im integrierten Modell sowie eine Reduktion der Fehlalarme um 37,4 % und eine Verringerung der durchschnittlichen Zeit für die Triage von Schwachstellen. Wir diskutieren die Grenzen des probabilistischen Modells, operative Implikationen für DevSecOps-Praktiken und mögliche Erweiterungen, einschließlich der Integration mit Exploitabilitätsmetriken wie EPSS und maschinell lernunterstützter Analyse für eine adaptive Priorisierung. Die vorgeschlagene Architektur zeigt, dass die Korrelation zwischen statischer Analyse, dynamischen Tests, Abhängigkeitsanalyse und operativer Telemetrie einen vielversprechenden Weg darstellt, um die Lücke zwischen der Erkennung von Schwachstellen und der Erkennung tatsächlicher Ausnutzung zu verringern.
Read paper →AppSecTITEL: Eine formale und operationale Architektur für bedrohungsorientierte AppSec: Integration von SAST, DAST, SCA, Runtime-Telemetrie und ATT&CK-Intelligenz zur risikobasierten Priorisierung auf Grundlage ausnutzbarer Risiken
TITEL: Eine formale und operationale Architektur für bedrohungsorientierte AppSec: Integration von SAST, DAST, SCA, Runtime-Telemetrie und ATT&CK-Intelligenz zur risikobasierten Priorisierung auf Grundlage ausnutzbarer Risiken ABSTRAKT: Die Angriffsfläche moderner Anwendungen hat sich durch die Einführung von Architekturen auf Basis von Microservices, APIs, Containern und Continuous-Integration-/Continuous-Delivery-Pipelines erheblich erweitert. Obwohl Sicherheitswerkzeuge für Anwendungen wie Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) und Software Composition Analysis (SCA) weit verbreitet sind, arbeiten diese Mechanismen häufig isoliert und erzeugen große Mengen an Warnmeldungen, denen es an operativem Kontext mangelt. Folglich haben Sicherheitsteams Schwierigkeiten, Schwachstellen auf Grundlage der tatsächlichen Exploit-Wahrscheinlichkeit zu priorisieren. In dieser Arbeit stellen wir eine formale und operationale Architektur für bedrohungsorientierte Anwendungssicherheit vor, die Ergebnisse aus SAST, DAST und SCA mit zur Laufzeit erfasster Ausführungstelemetrie durch Netzwerksensoren und eBPF-basiertes Monitoring integriert. Die vorgeschlagene Architektur nutzt eine von bayesschen Modellen inspirierte probabilistische Korrelation, um das ausnutzbare Risiko identifizierter Schwachstellen zu schätzen, wobei empirische Evidenzen aus beobachteten Runtime-Ereignissen einbezogen und diese Evidenzen an das MITRE-ATT&CK-Framework angeglichen werden. Wir formalisieren mathematisch das Konzept des ausnutzbaren Risikos und zeigen, wie mehrere Evidenzquellen kombiniert werden können, um Fehlalarme zu reduzieren und die Priorisierung von Remediations zu verbessern. Die experimentelle Implementierung wurde in einer Kubernetes-Umgebung mit Integration in eine CI/CD-Pipeline durchgeführt und verwendete in der Industrie weit verbreitete Werkzeuge, darunter Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco und Suricata. Wir bewerteten den Ansatz an einer Menge verwundbarer Anwendungen und beobachteten signifikante Verbesserungen bei der Genauigkeit der Identifizierung ausnutzbarer Schwachstellen. Die experimentellen Ergebnisse zeigen eine Steigerung des F1-Scores von 0,67–0,63 bei isolierten Ansätzen auf 0,85 im integrierten Modell sowie eine Reduktion der Fehlalarme um 37,4 % und eine Verringerung der durchschnittlichen Triagierungszeit für Schwachstellen. Wir diskutieren die Grenzen des probabilistischen Modells, operative Implikationen für DevSecOps-Praktiken und mögliche Erweiterungen, einschließlich der Integration mit Exploit-Metriken wie EPSS und maschinell lernunterstützter Analyse zur adaptiven Priorisierung. Die vorgeschlagene Architektur zeigt, dass die Korrelation zwischen statischer Analyse, dynamischem Testen, Abhängigkeitsanalyse und operativer Telemetrie einen vielversprechenden Weg darstellt, um die Lücke zwischen der Erkennung von Schwachstellen und der Erkennung tatsächlicher Ausnutzung zu verringern.
Read paper →AppSecTITEL: Eine formale und operative Architektur für bedrohungsorientiertes AppSec: Integration von SAST, DAST, SCA, Runtime-Telemetrie und ATT&CK-Intelligenz zur risikobasierten Priorisierung ausnutzbarer Risiken
TITEL: Eine formale und operative Architektur für bedrohungsorientiertes AppSec: Integration von SAST, DAST, SCA, Runtime-Telemetrie und ATT&CK-Intelligenz zur risikobasierten Priorisierung ausnutzbarer Risiken ABSTRAKT: Die Angriffsfläche moderner Anwendungen hat sich mit der Einführung von Architekturen auf Basis von Microservices, APIs, Containern und Continuous-Integration- und Continuous-Delivery-Pipelines erheblich erweitert. Obwohl Anwendungssicherheitswerkzeuge wie Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) und Software Composition Analysis (SCA) weit verbreitet eingesetzt werden, arbeiten diese Mechanismen häufig isoliert und erzeugen große Mengen an Warnmeldungen, denen die operative Kontextualisierung fehlt. Infolgedessen stehen Sicherheitsteams vor Schwierigkeiten, Schwachstellen auf Grundlage der tatsächlichen Wahrscheinlichkeit einer Ausnutzung zu priorisieren. In dieser Arbeit प्रस्तुत/ präsentieren wir eine formale und operative Architektur für bedrohungsorientierte Anwendungssicherheit, die Ergebnisse aus SAST, DAST und SCA mit Laufzeittelemetrie integriert, die zur Ausführungszeit mittels Netzwerksensoren und eBPF-basierter Überwachung erfasst wird. Die vorgeschlagene Architektur nutzt eine von bayesschen Modellen inspirierte probabilistische Korrelation, um das ausnutzbare Risiko identifizierter Schwachstellen zu schätzen, indem empirische Evidenzen aus beobachteten Ereignissen im Runtime-Betrieb einbezogen und diese Evidenzen auf das MITRE ATT&CK-Framework abgebildet werden. Wir formalisieren mathematisch den Begriff des ausnutzbaren Risikos und zeigen, wie mehrere Evidenzquellen kombiniert werden können, um Fehlalarme zu reduzieren und die Priorisierung von Abhilfemaßnahmen zu verbessern. Die experimentelle Implementierung wurde in einer Kubernetes-Umgebung mit Integration in eine CI/CD-Pipeline durchgeführt und verwendete in der Industrie weit verbreitete Werkzeuge, darunter Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco und Suricata. Wir bewerteten den Ansatz anhand einer Menge verwundbarer Anwendungen und beobachteten signifikante Verbesserungen bei der Genauigkeit der Identifizierung ausnutzbarer Schwachstellen. Die experimentellen Ergebnisse zeigen eine Erhöhung des F1-Scores von 0,67–0,63 bei isolierten Ansätzen auf 0,85 im integrierten Modell sowie eine Reduktion der False Positives um 37,4 % und eine Verringerung der durchschnittlichen Triagierungszeit für Schwachstellen. Wir diskutieren die Grenzen des probabilistischen Modells, operative Implikationen für DevSecOps-Praktiken und mögliche Erweiterungen, einschließlich der Integration mit Ausnutzungsmetriken wie EPSS und maschinengestützter Analyse zur adaptiven Priorisierung. Die vorgeschlagene Architektur zeigt, dass die Korrelation zwischen statischer Analyse, dynamischen Tests, Abhängigkeitsanalyse und operativer Telemetrie einen vielversprechenden Weg darstellt, um die Lücke zwischen der Erkennung von Schwachstellen und der Erkennung tatsächlicher Ausnutzung zu verringern.
Read paper →AppSecTÍTEL: Eine formale und operative Architektur für threat-orientierte AppSec: Integration von SAST, DAST, SCA, Runtime-Telemetrie und ATT&CK-Intelligenz zur risikobasierten Priorisierung ausnutzbarer Schwachstellen
TÍTEL: Eine formale und operative Architektur für threat-orientierte AppSec: Integration von SAST, DAST, SCA, Runtime-Telemetrie und ATT&CK-Intelligenz zur risikobasierten Priorisierung ausnutzbarer Schwachstellen ABSTRAKT: Die Angriffsfläche moderner Anwendungen hat sich durch die Einführung von Mikroservice-Architekturen, APIs, Containern und Continuous-Integration- und Continuous-Delivery-Pipelines erheblich vergrößert. Obwohl Anwendungssicherheitswerkzeuge wie Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) und Software Composition Analysis (SCA) weit verbreitet sind, arbeiten solche Mechanismen häufig isoliert und erzeugen große Mengen an Alarmen, denen es an operativer Kontextualisierung fehlt. Folglich haben Sicherheitsteams Schwierigkeiten, Schwachstellen auf Grundlage der tatsächlichen Wahrscheinlichkeit einer Ausnutzung zu priorisieren. In dieser Arbeit प्रस्तुतě?
Read paper →AppSecTITEL: Evidenzorientierte AppSec: Ein formaler und skalierbarer Rahmen für die Orchestrierung der Anwendungssicherheit auf Basis von Threat Modeling und kontinuierlicher hybrider Analyse
TITEL: Evidenzorientierte AppSec: Ein formaler und skalierbarer Rahmen für die Orchestrierung der Anwendungssicherheit auf Basis von Threat Modeling und kontinuierlicher hybrider Analyse ABSTRACT: Die Anwendungssicherheit ist zu einem zentralen Bestandteil der modernen Cybersicherheit geworden, bedingt durch die zunehmende Abhängigkeit von verteilten Architekturen, Microservices, öffentlichen APIs und komplexen Open-Source-Abhängigkeitsketten. Die Angriffsfläche heutiger Systeme wächst proportional zur Interkonnektivität zwischen den Komponenten, wodurch traditionelle Ansätze, die Schwachstellen isoliert analysieren, unzureichend werden. In zeitgenössischen DevSecOps-Umgebungen erzeugen Werkzeuge wie statische Analyse (SAST), dynamische Analyse (DAST) und Software Composition Analysis (SCA) große Mengen an Warnmeldungen, die häufig durch hohe False-Positive-Raten und eine unzureichende Risikopriorisierung gekennzeichnet sind. Diese Arbeit schlägt einen formalen Rahmen namens EO-AppSec (Evidence-Oriented Application Security) vor, der mehrere Sicherheits-Evidenzquellen in ein einheitliches probabilistisches Modell zur Priorisierung von Schwachstellen integriert. Wir formalisieren das Problem unter Verwendung bayesianischer Inferenz, kombiniert mit kontextualisierten CVSS-Metriken und der Modellierung von Komponentenabhängigkeiten, dargestellt durch gerichtete Graphen. Der Rahmen korreliert Ergebnisse von SAST-, DAST- und SCA-Werkzeugen sowie operative Telemetrie, um die Exploit-Wahrscheinlichkeit von Schwachstellen zu schätzen und einen bedingten Risikoscore zu berechnen. Die vorgeschlagene Architektur integriert CI/CD-Pipelines und cloud-native Infrastrukturen, einschließlich Kubernetes-Umgebungen und Observability-Plattformen auf Basis von eBPF sowie modernen Telemetrie-Stacks. Wir bewerten das System in einer industriellen Umgebung mit 47 Anwendungen und etwa 3,2 Millionen Codezeilen und vergleichen es mit traditionellen Ansätzen, die auf isolierter Analyse basieren. Die Ergebnisse zeigen eine signifikante Steigerung der Präzision bei der Priorisierung von Schwachstellen (0,89) und eine Reduktion der False Positives um 42,3 % sowie eine Verringerung der durchschnittlichen Remediationszeit von 14,2 auf 8,7 Tage. Wir diskutieren praktische Implikationen für die Governance der Softwaresicherheit und die Integration mit zeitgenössischen Sicherheitsrahmenwerken, einschließlich des NIST Secure Software Development Framework und moderner Sicherheitspraktiken in DevSecOps-Pipelines. Außerdem analysieren wir methodische Einschränkungen und Implikationen für Umgebungen, die Komponenten künstlicher Intelligenz und große Sprachmodelle in modernen Anwendungen integrieren. Die Ergebnisse deuten darauf hin, dass evidenzbasierte Orchestrierung einen praktikablen Weg bietet, operatives Rauschen zu reduzieren und die Wirksamkeit von AppSec-Programmen im industriellen Maßstab zu verbessern.
Read paper →AppSecTITEL: Evidenzorientierte AppSec: Ein formales und skalierbares Framework zur Orchestrierung der Anwendungssicherheit auf Basis von Bedrohungsmodellierung und kontinuierlicher hybrider Analyse
TITEL: Evidenzorientierte AppSec: Ein formales und skalierbares Framework zur Orchestrierung der Anwendungssicherheit auf Basis von Bedrohungsmodellierung und kontinuierlicher hybrider Analyse ABSTRACT: Die Anwendungssicherheit ist zu einem zentralen Bestandteil der modernen Cybersicherheit geworden, bedingt durch die wachsende Abhängigkeit von verteilten Architekturen, Microservices, öffentlichen APIs und komplexen Open-Source-Abhängigkeitsketten. Die Angriffsfläche zeitgenössischer Systeme wächst proportional zur Interkonnektivität zwischen Komponenten, wodurch traditionelle Ansätze, die Schwachstellen isoliert analysieren, unzureichend werden. In zeitgenössischen DevSecOps-Umgebungen erzeugen Werkzeuge wie statische Analyse (SAST), dynamische Analyse (DAST) und Software Composition Analysis (SCA) große Mengen an Warnmeldungen, die häufig durch hohe Fehlalarmraten und unzureichende Risikopriorisierung gekennzeichnet sind. Diese Arbeit schlägt ein formales Framework mit der Bezeichnung EO-AppSec (Evidence-Oriented Application Security) vor, das mehrere Sicherheits-Evidenzquellen in ein einheitliches probabilistisches Modell zur Priorisierung von Schwachstellen integriert. Wir formalisieren das Problem unter Verwendung bayesscher Inferenz in Kombination mit kontextualisierten CVSS-Metriken und der Modellierung von Komponentenabhängigkeiten, dargestellt durch gerichtete Graphen. Das Framework korreliert die Ergebnisse von SAST-, DAST- und SCA-Werkzeugen sowie operative Telemetrie, um die Wahrscheinlichkeit der Ausnutzung von Schwachstellen zu schätzen und einen bedingten Risikoscore zu berechnen. Die vorgeschlagene Architektur integriert CI/CD-Pipelines und cloud-native Infrastrukturen, einschließlich Kubernetes-Umgebungen und Observability-Plattformen auf Basis von eBPF sowie moderner Telemetrie-Stacks. Wir bewerteten das System in einer industriellen Umgebung mit 47 Anwendungen und ungefähr 3,2 Millionen Codezeilen und verglichen es mit traditionellen Ansätzen auf Basis isolierter Analyse. Die Ergebnisse zeigen eine signifikante Steigerung der Genauigkeit der Schwachstellenpriorisierung (0,89) und eine Reduktion der Fehlalarme um 42,3 % sowie eine Verringerung der mittleren Remediationszeit von 14,2 auf 8,7 Tage. Wir diskutieren die praktischen Implikationen für die Governance der Softwaresicherheit und die Integration mit zeitgenössischen Sicherheitsframeworks, einschließlich des NIST Secure Software Development Framework und moderner Sicherheitspraktiken in DevSecOps-Pipelines. Darüber hinaus analysieren wir methodische Einschränkungen und Implikationen für Umgebungen, die Komponenten künstlicher Intelligenz und Large Language Models in modernen Anwendungen integrieren. Die Ergebnisse deuten darauf hin, dass eine evidenzbasierte Orchestrierung einen praktikablen Weg darstellt, um operatives Rauschen zu reduzieren und die Wirksamkeit von AppSec-Programmen im industriellen Maßstab zu verbessern.
Read paper →AppSecEvidenzorientierte AppSec: Ein formaler und skalierbarer Rahmen für die Orchestrierung der Anwendungssicherheit auf Basis von Threat Modeling und kontinuierlicher hybrider Analyse
TITLE: Evidenzorientierte AppSec: Ein formaler und skalierbarer Rahmen für die Orchestrierung der Anwendungssicherheit auf Basis von Threat Modeling und kontinuierlicher hybrider Analyse ABSTRACT: Die Anwendungssicherheit ist aufgrund der wachsenden Abhängigkeit von verteilten Architekturen, Microservices, öffentlichen APIs und komplexen Open-Source-Abhängigkeitsketten zu einem zentralen Bestandteil der modernen Cybersicherheit geworden. Die Angriffsfläche zeitgenössischer Systeme wächst proportional zur Interkonnektivität zwischen Komponenten, wodurch traditionelle Ansätze unzureichend werden, die Schwachstellen isoliert analysieren. In modernen DevSecOps-Umgebungen erzeugen Werkzeuge wie statische Analyse (SAST), dynamische Analyse (DAST) und Software Composition Analysis (SCA) große Mengen an Warnmeldungen, die häufig durch hohe Falsch-Positiv-Raten und unzureichende Risikopriorisierung gekennzeichnet sind. Diese Arbeit schlägt einen formalen Rahmen namens EO-AppSec (Evidence-Oriented Application Security) vor, der mehrere Quellen von Sicherheitsnachweisen in ein vereinheitlichtes probabilistisches Modell zur Priorisierung von Schwachstellen integriert. Wir formalisieren das Problem unter Verwendung bayesscher Inferenz in Kombination mit kontextualisierten CVSS-Metriken und der Modellierung von Komponentenabhängigkeiten, dargestellt durch gerichtete Graphen. Der Rahmen korreliert die Ergebnisse von SAST-, DAST- und SCA-Tools sowie operative Telemetrie, um die Wahrscheinlichkeit der Ausnutzung von Schwachstellen zu schätzen und einen bedingten Risikoscore zu berechnen. Die vorgeschlagene Architektur integriert CI/CD-Pipelines und cloud-native Infrastrukturen, einschließlich Kubernetes-Umgebungen und Observability-Plattformen auf Basis von eBPF sowie modernen Telemetrie-Stacks. Wir evaluierten das System in einer industriellen Umgebung mit 47 Anwendungen und ungefähr 3,2 Millionen Codezeilen und verglichen es mit traditionellen Ansätzen, die auf isolierter Analyse basieren. Die Ergebnisse zeigen eine signifikante Verbesserung der Genauigkeit der Schwachstellenpriorisierung (0,89) und eine Reduktion der Falsch-Positiv-Rate um 42,3 % sowie eine Verringerung der durchschnittlichen Remediationszeit von 14,2 auf 8,7 Tage. Wir diskutieren praktische Implikationen für die Governance der Software-Sicherheit und die Integration mit zeitgenössischen Sicherheitsframeworks, einschließlich des NIST Secure Software Development Framework und moderner Sicherheitspraktiken in DevSecOps-Pipelines. Zudem analysieren wir methodische Limitationen und Implikationen für Umgebungen, die Komponenten künstlicher Intelligenz und Large Language Models in modernen Anwendungen integrieren. Die Ergebnisse deuten darauf hin, dass evidenzbasierte Orchestrierung einen praktikablen Weg bietet, operatives Rauschen zu reduzieren und die Wirksamkeit von AppSec-Programmen im industriellen Maßstab zu verbessern.
Read paper →AppSecTITEL: Evidenzorientierte AppSec: Ein formales und skalierbares Framework für die Orchestrierung der Anwendungssicherheit auf Basis von Threat Modeling und kontinuierlicher hybrider Analyse
TITEL: Evidenzorientierte AppSec: Ein formales und skalierbares Framework für die Orchestrierung der Anwendungssicherheit auf Basis von Threat Modeling und kontinuierlicher hybrider Analyse ABSTRACT: Die Anwendungssicherheit ist aufgrund der zunehmenden Abhängigkeit von verteilten Architekturen, Microservices, öffentlichen APIs und komplexen Open-Source-Abhängigkeitsketten zu einem zentralen Bestandteil der modernen Cybersicherheit geworden. Die Angriffsfläche zeitgenössischer Systeme wächst proportional zur Interkonnektivität zwischen den Komponenten, wodurch traditionelle Ansätze, die Schwachstellen isoliert analysieren, unzureichend werden. In zeitgenössischen DevSecOps-Umgebungen erzeugen Werkzeuge wie statische Analyse (SAST), dynamische Analyse (DAST) und Software Composition Analysis (SCA) große Mengen an Alerts, die häufig durch hohe False-Positive-Raten und eine unzureichende Priorisierung von Risiken gekennzeichnet sind. Diese Arbeit schlägt ein formales Framework namens EO-AppSec (Evidence-Oriented Application Security) vor, das mehrere Sicherheits-Evidenzquellen in einem vereinheitlichten probabilistischen Modell zur Priorisierung von Schwachstellen integriert. Wir formalisieren das Problem mithilfe bayesscher Inferenz, kombiniert mit kontextualisierten CVSS-Metriken und einer Modellierung der Komponentenabhängigkeiten, dargestellt durch gerichtete Graphen. Das Framework korreliert die Ergebnisse von SAST-, DAST- und SCA-Tools sowie operative Telemetrie, um die Exploit-Wahrscheinlichkeit von Schwachstellen zu schätzen und einen konditionalen Risiko-Score zu berechnen. Die vorgeschlagene Architektur integriert CI/CD-Pipelines und cloud-native Infrastrukturen, einschließlich Kubernetes-Umgebungen und Observability-Plattformen auf Basis von eBPF sowie moderner Telemetrie-Stacks. Wir bewerteten das System in einer industriellen Umgebung mit 47 Anwendungen und ungefähr 3,2 Millionen Codezeilen und verglichen es mit traditionellen, auf isolierter Analyse basierenden Ansätzen. Die Ergebnisse zeigen eine signifikante Steigerung der Genauigkeit bei der Priorisierung von Schwachstellen (0,89) und eine Reduktion der False Positives um 42,3 % sowie eine Verringerung der mittleren Remediation-Zeit von 14,2 auf 8,7 Tage. Wir diskutieren praktische Implikationen für die Governance der Softwaresicherheit und die Integration mit zeitgenössischen Sicherheitsframeworks, einschließlich des NIST Secure Software Development Framework und moderner Sicherheitspraktiken in DevSecOps-Pipelines. Darüber hinaus analysieren wir methodische Limitationen und Implikationen für Umgebungen, die Komponenten künstlicher Intelligenz und Large Language Models in modernen Anwendungen integrieren. Die Ergebnisse deuten darauf hin, dass evidenzbasierte Orchestrierung einen gangbaren Weg bietet, operatives Rauschen zu reduzieren und die Wirksamkeit von AppSec-Programmen im industriellen Maßstab zu verbessern.
Read paper →AppSecEine quantitative und operative Architektur für Application Security auf Grundlage der Integration von SAST, DAST, SCA und Threat Intelligence im DevSecOps-Zyklus
TITLE: Eine quantitative und operative Architektur für Application Security auf Grundlage der Integration von SAST, DAST, SCA und Threat Intelligence im DevSecOps-Zyklus ABSTRACT: Die Anwendungssicherheit (Application Security – AppSec) ist zu einem zentralen Bestandteil des Risikomanagements in modernen digitalen Umgebungen geworden. Die zunehmende Verbreitung von auf Microservices basierenden Architekturen, exponierten APIs, Containern und Continuous-Delivery-Pipelines hat die Angriffsfläche von Organisationen erheblich erweitert. Obwohl verschiedene Werkzeuge zur Sicherheitsanalyse weit verbreitet verfügbar sind, haben viele Organisationen weiterhin Schwierigkeiten, Schwachstellen anhand des tatsächlichen Ausnutzungsrisikos zu priorisieren. Werkzeuge für statische Analyse (SAST), dynamische Analyse (DAST) und Software Composition Analysis (SCA) erzeugen häufig große Mengen an Befunden, von denen viele nur geringe operative Auswirkungen haben oder eine hohe False-Positive-Rate aufweisen. Diese Arbeit schlägt eine quantitative Architektur für risikoorientierte AppSec-Programme vor, die Ergebnisse aus SAST, DAST und SCA mit externen Quellen der Threat Intelligence integriert. Wir präsentieren ein formales Priorisierungsmodell, das auf einer Risikofunktion basiert und CVSS-Scores, Hinweise auf öffentliche Exploits, den Expositionskontext der Anwendung sowie die Zuordnung zu Techniken des MITRE-ATT&CK-Frameworks kombiniert. Die vorgeschlagene Architektur ist in DevSecOps-Pipelines integriert und nutzt Mechanismen zur Korrelation und Normalisierung von Schwachstellen über Managementplattformen wie DefectDojo. Wir bewerten den Ansatz empirisch anhand eines Korpus von 42 realen Anwendungen, die in Java, Python und Node.js entwickelt wurden. Die Ergebnisse zeigen eine signifikante Reduktion doppelter Schwachstellen, eine Verringerung der False-Positive-Rate und eine deutliche Verbesserung der mittleren Zeit bis zur Behebung (MTTR). Es wurde eine Reduktion des MTTR um 63 % und eine Verringerung des Befundvolumens um 44,7 % nach der Korrelation zwischen Scannern beobachtet. Zudem zeigen wir, dass die Einbeziehung von Threat Intelligence – einschließlich der Präsenz öffentlicher Exploits und der Beobachtung adversarialer Aktivität – die Priorisierung von Remediations verbessert und Ressourcen auf tatsächlich ausnutzbare Schwachstellen lenkt. Die Ergebnisse deuten darauf hin, dass risikoorientierte AppSec-Programme, wenn sie in den DevSecOps-Zyklus integriert werden, messbare Gewinne bei der Reduktion der Angriffsfläche und der operativen Effizienz von Sicherheitsteams bieten.
Read paper →AppSecTITEL: Eine quantitative und operative Architektur für Application Security auf Basis der Integration von SAST, DAST, SCA und Threat Intelligence im DevSecOps-Zyklus
TITEL: Eine quantitative und operative Architektur für Application Security auf Basis der Integration von SAST, DAST, SCA und Threat Intelligence im DevSecOps-Zyklus ABSTRAKT: Die Anwendungssicherheit (Application Security – AppSec) ist zu einer zentralen Komponente des Risikomanagements in modernen digitalen Umgebungen geworden. Die zunehmende Verbreitung von auf Microservices basierenden Architekturen, exponierten APIs, Containern und Continuous-Delivery-Pipelines hat die Angriffsfläche von Organisationen erheblich vergrößert. Obwohl verschiedene Tools zur Sicherheitsanalyse weithin verfügbar sind, haben viele Organisationen weiterhin Schwierigkeiten, Schwachstellen anhand des tatsächlichen Ausnutzungsrisikos zu priorisieren. Werkzeuge für statische Analyse (SAST), dynamische Analyse (DAST) und Software-Composition-Analysis (SCA) erzeugen häufig große Mengen an Findings, von denen viele nur geringe operative Auswirkungen oder eine hohe False-Positive-Rate aufweisen. Diese Arbeit schlägt eine quantitative Architektur für risikoorientierte AppSec-Programme vor, die Ergebnisse aus SAST, DAST und SCA mit externen Threat-Intelligence-Quellen integriert. Wir präsentieren ein formales Priorisierungsmodell auf der Grundlage einer Risikofunktion, die CVSS-Scores, Hinweise auf öffentlich verfügbare Exploits, den Kontext der Anwendungs-Exposition und die Zuordnung zu Techniken des MITRE-ATT&CK-Frameworks kombiniert. Die vorgeschlagene Architektur ist in DevSecOps-Pipelines integriert und nutzt Mechanismen zur Korrelation und Normalisierung von Schwachstellen über Management-Plattformen wie DefectDojo. Wir bewerten den Ansatz empirisch anhand eines Satzes von 42 realen Anwendungen, die in Java, Python und Node.js entwickelt wurden. Die Ergebnisse zeigen eine signifikante Reduktion doppelter Schwachstellen, eine Verringerung der False-Positive-Rate und eine deutliche Verbesserung der durchschnittlichen Zeit bis zur Behebung (MTTR). Es wurde eine Reduktion des MTTR um 63 % und eine Verringerung des Findings-Volumens um 44,7 % nach der Korrelation zwischen Scannern beobachtet. Darüber hinaus zeigen wir, dass die Einbeziehung von Threat Intelligence — einschließlich des Vorhandenseins öffentlicher Exploits und der Beobachtung adversarialer Aktivitäten — die Priorisierung von Remediations verbessert und Ressourcen auf tatsächlich ausnutzbare Schwachstellen lenkt. Die Ergebnisse legen nahe, dass risikoorientierte AppSec-Programme, wenn sie in den DevSecOps-Zyklus integriert werden, messbare Gewinne bei der Reduzierung der Angriffsfläche und der operativen Effizienz von Sicherheitsteams bieten.
Read paper →AppSecTITEL: Eine quantitative Application-Security-Architektur auf Basis formaler Bedrohungsmodellierung, Integration von SAST/DAST/SCA und Runtime-Telemetrie in DevSecOps-Umgebungen
TITEL: Eine quantitative Application-Security-Architektur auf Basis formaler Bedrohungsmodellierung, Integration von SAST/DAST/SCA und Runtime-Telemetrie in DevSecOps-Umgebungen ABSTRAKT: Die wachsende Abhängigkeit von Webanwendungen, APIs und mikroservicebasierten Architekturen hat die Angriffsfläche moderner Systeme erheblich vergrößert. Jüngste Vorfallberichte zeigen, dass die Ausnutzung internetexponierter Anwendungen weiterhin zu den häufigsten Eindringvektoren gehört und dabei oft bekannte Schwachstellen in Bibliotheken, Fehler bei der Eingabevalidierung oder ungeeignete Konfigurationen ausnutzt. Obwohl Anwendungssicherheitswerkzeuge wie statische Analyse (SAST), dynamische Analyse (DAST) und Software Composition Analysis (SCA) in DevSecOps-Pipelines weit verbreitet sind, arbeiten diese Mechanismen typischerweise fragmentiert und ohne einen quantitativen Rahmen, der eine Abschätzung des verbleibenden Risikos des Systems ermöglicht. Diese Arbeit schlägt eine integrierte Application-Security-Architektur auf Basis formaler Bedrohungsmodellierung, Aggregation von Ergebnissen aus mehreren Analysequellen und Einbeziehung von Laufzeittelemetrie in Echtzeit vor. Wir formalisieren das Problem der Priorisierung von Schwachstellen als einen Prozess der Minimierung des gewichteten verbleibenden Risikos, bei dem jede Schwachstelle anhand von Metriken zur Ausnutzungswahrscheinlichkeit, zum potenziellen Impact und zum operativen Kontext bewertet wird. Die vorgeschlagene Architektur integriert Werkzeuge für statische, dynamische und Abhängigkeitsanalyse mit Mechanismen zur Sicherheitsbeobachtbarkeit, einschließlich verhaltensbasierter Erkennung zur Laufzeit und kontinuierlicher Ereigniserfassung. Wir bewerten den Ansatz experimentell in einer Umgebung, die absichtlich verwundbare Anwendungen und reale Mikroservices umfasst, die in containerisierter Infrastruktur ausgeführt werden. Die Ergebnisse zeigen eine signifikante Verbesserung bei der Identifizierung tatsächlich ausnutzbarer Schwachstellen, mit einer Erhöhung des durchschnittlichen Recall auf 91,3 % und einer Reduktion der durchschnittlichen Time to Detect (MTTD) um 63,4 % im Vergleich zu isolierten Ansätzen. Der beobachtete Rechen-Overhead blieb unter 20 % und damit im Einklang mit den betrieblichen Anforderungen moderner CI/CD-Pipelines. Ergänzend diskutieren wir Implikationen für unternehmensweite AppSec-Programme und heben die Bedeutung der Integration von Codeanalyse, operativem Monitoring und Threat Intelligence hervor. Die vorgeschlagene Architektur zeigt, dass die Kombination aus formaler Modellierung und Runtime-Telemetrie eine solide Grundlage für kontextualisierte Schwachstellenpriorisierung und eine wirksame Reduktion des verbleibenden Risikos in zeitgenössischen Softwaresystemen bietet.
Read paper →AppSecEine quantitative Architektur für Application Security auf Basis formaler Threat-Modeling, Integration von SAST/DAST/SCA und Runtime-Telemetrie in DevSecOps-Umgebungen
TITLE: Eine quantitative Architektur für Application Security auf Basis formaler Threat-Modeling, Integration von SAST/DAST/SCA und Runtime-Telemetrie in DevSecOps-Umgebungen ABSTRACT: Die wachsende Abhängigkeit von Webanwendungen, APIs und mikroservicebasierten Architekturen hat die Angriffsfläche moderner Systeme erheblich vergrößert. Aktuelle Berichte über Sicherheitsvorfälle zeigen, dass die Ausnutzung internetexponierter Anwendungen weiterhin zu den häufigsten Ingress-Vektoren zählt und dabei häufig bekannte Schwachstellen in Bibliotheken, Fehler bei der Eingabevalidierung oder ungeeignete Konfigurationen ausnutzt. Obwohl Sicherheitswerkzeuge für Anwendungen wie statische Analyse (SAST), dynamische Analyse (DAST) und Software Composition Analysis (SCA) in DevSecOps-Pipelines weit verbreitet sind, arbeiten diese Mechanismen typischerweise fragmentiert und ohne eine quantitative Struktur, die eine Abschätzung des Residualrisikos des Systems ermöglicht. Diese Arbeit schlägt eine integrierte Architektur für Application Security vor, die auf formaler Threat-Modeling, der Aggregation von Ergebnissen aus mehreren Analysequellen und der Einbeziehung von Runtime-Telemetrie in Echtzeit basiert. Wir formalisieren das Problem der Priorisierung von Schwachstellen als einen Prozess der Minimierung des gewichteten Residualrisikos, bei dem jede Schwachstelle anhand von Metriken zur Ausnutzungswahrscheinlichkeit, zum potenziellen Impact und zum operativen Kontext bewertet wird. Die vorgeschlagene Architektur integriert statische, dynamische und Abhängigkeitsanalysewerkzeuge mit Mechanismen zur Sicherheitsbeobachtbarkeit, einschließlich verhaltensbasierter Erkennung zur Laufzeit und kontinuierlicher Ereigniserfassung. Wir bewerten den Ansatz experimentell in einer Umgebung, die aus absichtlich verwundbaren Anwendungen und realen Microservices besteht, die auf containerisierter Infrastruktur ausgeführt werden. Die Ergebnisse zeigen eine signifikante Verbesserung der Fähigkeit, tatsächlich ausnutzbare Schwachstellen zu identifizieren, mit einer durchschnittlichen Recall-Steigerung auf 91,3 % und einer Reduktion der mittleren Detektionszeit (MTTD) um 63,4 % im Vergleich zu isolierten Ansätzen. Der beobachtete Rechen-Overhead blieb unter 20 % und damit kompatibel mit den betrieblichen Anforderungen moderner CI/CD-Pipelines. Ergänzend diskutieren wir Implikationen für unternehmensweite AppSec-Programme und heben die Bedeutung der Integration von Codeanalyse, Betriebsmonitoring und Threat Intelligence hervor. Die vorgeschlagene Architektur zeigt, dass die Kombination aus formaler Modellierung und Runtime-Telemetrie eine solide Grundlage für die kontextualisierte Priorisierung von Schwachstellen und die wirksame Reduzierung des Residualrisikos in zeitgenössischen Softwaresystemen bietet.
Read paper →AppSecEine quantitative Application-Security-Architektur auf Basis formaler Bedrohungsmodellierung, Integration von SAST/DAST/SCA und Runtime-Telemetrie in DevSecOps-Umgebungen
TITLE: Eine quantitative Application-Security-Architektur auf Basis formaler Bedrohungsmodellierung, Integration von SAST/DAST/SCA und Runtime-Telemetrie in DevSecOps-Umgebungen ABSTRACT: Die wachsende Abhängigkeit von Webanwendungen, APIs und auf Microservices basierenden Architekturen hat die Angriffsfläche moderner Systeme erheblich erweitert. Jüngste Berichte über Sicherheitsvorfälle zeigen, dass die Ausnutzung internetexponierter Anwendungen weiterhin zu den häufigsten Intrusionsvektoren gehört und häufig bekannte Schwachstellen in Bibliotheken, Fehler bei der Eingabevalidierung oder fehlerhafte Konfigurationen ausnutzt. Obwohl Sicherheitswerkzeuge für Anwendungen wie statische Analyse (SAST), dynamische Analyse (DAST) und Software Composition Analysis (SCA) in DevSecOps-Pipelines weit verbreitet sind, arbeiten solche Mechanismen in der Regel fragmentiert und ohne eine quantitative Struktur, die eine Schätzung des verbleibenden Risikos des Systems ermöglicht. Diese Arbeit schlägt eine integrierte Application-Security-Architektur vor, die auf formaler Bedrohungsmodellierung, Aggregation von Ergebnissen aus mehreren Analysequellen und der Einbeziehung von Echtzeit-Execution-Telemetrie basiert. Wir formalisieren das Problem der Priorisierung von Schwachstellen als einen Prozess der Minimierung des gewichteten Residualrisikos, bei dem jede Schwachstelle anhand von Metriken zur Ausnutzungswahrscheinlichkeit, zum potenziellen Impact und zum operativen Kontext bewertet wird. Die vorgeschlagene Architektur integriert statische, dynamische und Abhängigkeitsanalyse-Tools mit Sicherheits-Observability-Mechanismen, einschließlich verhaltensbasierter Runtime-Erkennung und kontinuierlicher Ereigniserfassung. Wir evaluieren den Ansatz experimentell in einer Umgebung, die aus absichtlich verwundbaren Anwendungen und realen Microservices besteht, die auf containerisierter Infrastruktur betrieben werden. Die Ergebnisse zeigen eine signifikante Verbesserung der Fähigkeit, tatsächlich ausnutzbare Schwachstellen zu identifizieren, mit einer Steigerung des durchschnittlichen Recalls auf 91,3 % und einer Reduktion der durchschnittlichen Detektionszeit (MTTD) um 63,4 % im Vergleich zu isolierten Ansätzen. Der beobachtete Rechen-Overhead blieb unter 20 % und ist damit mit den betrieblichen Anforderungen moderner CI/CD-Pipelines vereinbar. Zusätzlich diskutieren wir Implikationen für unternehmensweite AppSec-Programme und heben die Bedeutung der Integration von Codeanalyse, operativem Monitoring und Threat Intelligence hervor. Die vorgeschlagene Architektur zeigt, dass die Kombination aus formaler Modellierung und Runtime-Telemetrie eine solide Grundlage für kontextualisierte Schwachstellenpriorisierung und eine effektive Reduktion des Residualrisikos in zeitgenössischen Softwaresystemen bietet.
Read paper →AppSecTITEL: Eine formale Architektur für kontinuierliche AppSec auf der Basis hybrider Analyse, quantitativer Bedrohungsmodellierung und risikoorientierter Orchestrierung
TITEL: Eine formale Architektur für kontinuierliche AppSec auf der Basis hybrider Analyse, quantitativer Bedrohungsmodellierung und risikoorientierter Orchestrierung ABSTRACT: Die wachsende Komplexität moderner Software-Ökosysteme — bestehend aus Microservices, öffentlich exponierten APIs, Open-Source-Abhängigkeiten und hochautomatisierten CI/CD-Pipelines — hat die Angriffsfläche von Anwendungen erheblich vergrößert. Schwachstellen wie Log4Shell (CVE-2021-44228) sowie wiederkehrende Fehler bei Injection und unzureichender Zugriffskontrolle zeigen, dass traditionelle Ansätze der Anwendungssicherheit (AppSec) angesichts adaptiver Angreifer weiterhin unzureichend sind. In dieser Arbeit schlagen wir eine integrierte Architektur für kontinuierliche AppSec vor, die statische Analyse (SAST), dynamische Analyse (DAST), Software Composition Analysis (SCA) und quantitative Bedrohungsmodellierung kombiniert, gekoppelt durch einen risikoorientierten Orchestrierungsmechanismus. Wir formalisieren das Problem der Schwachstellenpriorisierung als eine multizielgerichtete Optimierung unter betrieblichen Nebenbedingungen und modellieren das Risiko als $R = P(E) \times I$, wobei $P(E)$ die geschätzte Ausnutzungswahrscheinlichkeit auf Basis von Threat Intelligence und $I$ die über CVSS-Metriken und die Kritikalität von Assets gemessene Auswirkung ist. Wir implementierten einen Prototypen auf einer DevSecOps-Pipeline mit Integration zu GitHub Actions, SonarQube, OWASP ZAP und dependabot und evaluierten ihn an 47 realen Open-Source-Anwendungen. Unsere Ergebnisse zeigen eine durchschnittliche Reduktion der Remediationszeit (MTTR) um 38,7 %, einen Anstieg der Erkennungsrate kritischer Schwachstellen um 24,3 % und eine Reduktion um 41,2 % bei fälschlicherweise priorisierten False Positives im Vergleich zu konventionellen, nicht risikoorientierten Pipelines. Der zentrale Beitrag liegt in der mathematischen Formalisierung der Priorisierung und der kontinuierlichen operativen Integration, die messbare Garantien für eine verbesserte Sicherheitslage bereitstellt. Die Ergebnisse deuten darauf hin, dass die Einbeziehung quantitativer Modelle in die Orchestrierung von AppSec-Werkzeugen einen substanziellen Fortschritt für die Sicherheitsreife in modernen Entwicklungsumgebungen darstellt.
Read paper →AppSecTitel: Eine formale Architektur für kontinuierliche AppSec basierend auf hybrider Analyse, quantitativer Bedrohungsmodellierung und risikoorientierter Orchestrierung
Titel: Eine formale Architektur für kontinuierliche AppSec basierend auf hybrider Analyse, quantitativer Bedrohungsmodellierung und risikoorientierter Orchestrierung Abstract: Die zunehmende Komplexität moderner Softwareökosysteme — bestehend aus Microservices, öffentlich exponierten APIs, Open-Source-Abhängigkeiten und hochautomatisierten CI/CD-Pipelines — hat die Angriffsfläche von Anwendungen erheblich vergrößert. Schwachstellen wie Log4Shell (CVE-2021-44228) sowie wiederkehrende Fehler bei Injection und unzureichender Zugriffskontrolle zeigen, dass traditionelle Ansätze der Anwendungssicherheit (AppSec) gegenüber adaptiven Angreifern weiterhin unzureichend sind. In dieser Arbeit schlagen wir eine integrierte Architektur für kontinuierliche AppSec vor, die statische Analyse (SAST), dynamische Analyse (DAST), Software Composition Analysis (SCA) und quantitative Bedrohungsmodellierung kombiniert, gekoppelt über einen risikoorientierten Orchestrierungsmechanismus. Wir formalisieren das Problem der Priorisierung von Schwachstellen als Multiobjektiv-Optimierung unter operativen Nebenbedingungen und modellieren Risiko als R = P(E) × I, wobei P(E) die geschätzte Ausnutzungswahrscheinlichkeit auf Basis von Threat Intelligence darstellt und I den über CVSS-Metriken und Asset-Kritikalität gemessenen Einfluss beschreibt. Wir implementierten einen Prototyp auf einer DevSecOps-Pipeline mit Integration in GitHub Actions, SonarQube, OWASP ZAP und Dependabot und evaluierten ihn an 47 realen Open-Source-Anwendungen. Unsere Ergebnisse zeigen eine durchschnittliche Reduktion der Behebungszeit (MTTR) um 38,7 %, eine Steigerung der Erkennungsrate kritischer Schwachstellen um 24,3 % sowie eine Reduktion von 41,2 % bei fälschlicherweise priorisierten False Positives im Vergleich zu konventionellen, nicht risikoorientierten Pipelines. Der zentrale Beitrag liegt in der mathematischen Formalisierung der Priorisierung und der kontinuierlichen operativen Integration, wodurch messbare Verbesserungen der Sicherheitslage ermöglicht werden. Die Ergebnisse zeigen, dass die Einbindung quantitativer Modelle in die Orchestrierung von AppSec-Werkzeugen einen wesentlichen Fortschritt für die Sicherheitsreife moderner Entwicklungsumgebungen darstellt.
Read paper →AppSecEine formal fundierte Architektur für kontinuierliche Application Security: Bedrohungsmodellierung, hybride Analyse und quantitative Risikopriorisierung in DevSecOps-Pipelines
TITLE: Eine formal fundierte Architektur für kontinuierliche Application Security: Bedrohungsmodellierung, hybride Analyse und quantitative Risikopriorisierung in DevSecOps-Pipelines ABSTRACT: Die zunehmende Komplexität von Softwareökosystemen, gekennzeichnet durch verteilte Architekturen, Microservices, Abhängigkeiten von Drittanbietern und kontinuierliche Lieferzyklen, hat die Angriffsfläche moderner Anwendungen erheblich vergrößert. Jüngste Berichte des Verizon Data Breach Investigations Report (DBIR) zeigen, dass mehr als 43% der Sicherheitsverletzungen Schwachstellen in Webanwendungen ausnutzen, während die NVD im Jahr 2023 mehr als 28.000 CVEs registrierte, von denen viele mit aus der Ferne ausnutzbaren Fehlern verbunden sind. In dieser Arbeit untersuchen wir das Problem der Anwendungssicherheit (AppSec) aus einer formalen und systematischen Perspektive und schlagen eine integrierte Architektur zur kontinuierlichen Erkennung, Priorisierung und Behebung von Schwachstellen in DevSecOps-Pipelines vor. Unsere Methodik kombiniert statische Analyse (SAST), dynamische Analyse (DAST), Software Composition Analysis (SCA) sowie eine probabilistische Risikomodellierung auf Basis von CVSS und organisatorischen Kontextmetriken. Wir führen ein mathematisches Modell zur Priorisierung von Schwachstellen ein, das auf der Funktion $R(v) = P_e(v) \cdot I(v) \cdot C(v)$ basiert, wobei $P_e$ die Ausnutzungswahrscheinlichkeit, $I$ die technische Auswirkung und $C$ die kontextuelle Kritikalität darstellt. Wir evaluieren unseren Ansatz anhand von 42 Open-Source-Anwendungen und 8 realen Unternehmenssystemen mit insgesamt 3,2 Millionen Codezeilen. Die Ergebnisse zeigen eine durchschnittliche Reduktion der Behebungszeit (MTTR) um 37,4%, eine Steigerung der Erkennungsrate kritischer Schwachstellen um 29,1% sowie eine Verringerung der Fehlalarme um 41,8% im Vergleich zu traditionellen Pipelines, die ausschließlich auf SAST basieren. Die vorgeschlagene Architektur weist einen durchschnittlichen Overhead von 8,6% in der Build-Zeit auf und bleibt damit operativ praktikabel. Wir schließen daraus, dass die formal ausgerichtete Integration hybrider Techniken in Verbindung mit einer kontextualisierten quantitativen Priorisierung die Effektivität von AppSec-Programmen in Umgebungen mit hoher Entwicklungsgeschwindigkeit erheblich steigert.
Read paper →AppSecEvidenzorientierte AppSec: Ein formales und skalierbares Framework für die kontinuierliche Analyse von Schwachstellen in DevSecOps-Pipelines
TITLE: Evidenzorientierte AppSec: Ein formales und skalierbares Framework für die kontinuierliche Analyse von Schwachstellen in DevSecOps-Pipelines ABSTRACT: Anwendungssicherheit (Application Security – AppSec) ist zu einem der wichtigsten Risikofaktoren im zeitgenössischen digitalen Ökosystem geworden, angetrieben durch die breite Einführung von Microservice-Architekturen, kontinuierlicher Integration und Open-Source-Abhängigkeiten. In großem Maßstab ausgenutzte Schwachstellen wie Log4Shell (CVE-2021-44228) und Spring4Shell (CVE-2022-22965) verdeutlichen strukturelle Einschränkungen traditioneller Ansätze der statischen Analyse (SAST), dynamischen Analyse (DAST) und Softwarekompositionsanalyse (SCA). In dieser Arbeit schlagen wir ein formales und evidenzorientiertes Framework für kontinuierliche AppSec vor, bezeichnet als EASE (Evidence-Aware Security Enforcement), das inkrementelle statische Analyse, formale Modellierung von Datenflüssen und probabilistische risikobasierte Priorisierung auf Grundlage operativer Telemetrie integriert. Unsere Methodik kombiniert ein mathematisches Risikomodell R(v) = P_e(v) · I(v) · E(v), wobei P_e die durch statistisches Lernen geschätzte Exploitationswahrscheinlichkeit darstellt, I den kontextuellen Einfluss und E die dynamische Exposition, gemessen durch Laufzeitdaten. Wir implementierten das Framework in realen CI/CD-Pipelines mit 312 Repositorien (Java, Python und Node.js), insgesamt 48 Millionen Codezeilen. Die experimentellen Ergebnisse zeigen eine durchschnittliche Reduktion von 37,4 % an Fehlalarmen im Vergleich zu konventionellen SAST-Werkzeugen, eine Verringerung der mittleren Behebungszeit (MTTR) um 42,1 % sowie eine frühzeitige Erkennung von 91 % der später als kritisch katalogisierten Schwachstellen (CVSS ≥ 9.0). Darüber hinaus reduzierte die inkrementelle Analyse die Ausführungszeit um 58 % im Vergleich zu vollständigen Scans. Wir leisten Beiträge durch (i) eine rigorose Formalisierung des Problems der Schwachstellenpriorisierung in DevSecOps-Umgebungen, (ii) effiziente Algorithmen für inkrementelle Analyse mit Korrektheitsgarantien und (iii) eine großskalige empirische Evaluation, die substanzielle Gewinne in Präzision und Leistung demonstriert. Das vorgeschlagene Framework schafft quantitative Grundlagen für eine auf realem Risiko basierende AppSec und bringt Anwendungssicherheit näher an evidenzorientierte Ingenieurpraktiken heran.
Read paper →AppSecFormale und skalierbare Architektur für Application Security (AppSec) basierend auf graphorientierter hybrider Analyse und quantitativer Risikopriorisierung
TITLE: Formale und skalierbare Architektur für Application Security (AppSec) basierend auf graphorientierter hybrider Analyse und quantitativer Risikopriorisierung ABSTRACT: Die zunehmende Komplexität verteilter Anwendungen, die auf Microservices basieren und in umfangreiche Open-Source-Abhängigkeitsketten integriert sind, hat die Angriffsfläche sowie die Häufigkeit ausnutzbarer Schwachstellen erheblich vergrößert. Jüngste Vorfälle im Zusammenhang mit Schwachstellen wie Log4Shell (CVE-2021-44228) und unsicheren Deserialisierungsfehlern verdeutlichen die Unzulänglichkeit traditioneller Ansätze der Application Security (AppSec), die sich ausschließlich auf isolierte statische oder dynamische Scans stützen. In dieser Arbeit schlagen wir eine formale und skalierbare AppSec-Architektur vor, die auf graphorientierter hybrider Analyse basiert und statische Analyse (SAST), dynamische Analyse (DAST), Software Composition Analysis (SCA) sowie automatisierte Bedrohungsmodellierung durch semantische Abhängigkeitsgraphen und interprozedurale Datenflussanalyse kombiniert. Wir führen ein mathematisches Modell zur quantitativen Risikopriorisierung ein, das CVSS-Metriken, eine durch statistisches Lernen geschätzte Ausnutzungswahrscheinlichkeit sowie strukturelle Zentralität im Aufrufgraphen integriert. Wir implementierten einen verteilten Prototyp, der Anwendungen mit mehr als 5 Millionen Codezeilen analysieren kann und 1,2 Millionen Graphknoten mit einer durchschnittlichen Latenz von 38 Minuten pro CI/CD-Pipeline verarbeitet. Wir evaluierten das System anhand von 42 kritischen Open-Source-Projekten (darunter Apache Struts, Spring PetClinic und NodeGoat) mit insgesamt 9.317 bekannten Schwachstellen. Unser Ansatz reduzierte falsch positive Ergebnisse um 37,4 % im Vergleich zu traditionellen SAST-Werkzeugen und erhöhte die Erkennung tatsächlich ausnutzbarer Flüsse um 28,9 %. Der Priorisierungsmechanismus steigerte die Behebungsrate kritischer Schwachstellen in kontrollierten Testumgebungen innerhalb von zweiwöchigen Sprintzyklen um 41 %. Die Ergebnisse zeigen, dass die formale Integration mehrerer Techniken unter einem einheitlichen graphorientierten Modell erhebliche Verbesserungen in Bezug auf Präzision, Skalierbarkeit und operative Relevanz bietet und somit zur Weiterentwicklung des Stands der Technik in AppSec sowie zur effektiven Integration von Sicherheit in den DevSecOps-Zyklus beiträgt.
Read paper →AppSecTITEL: Sicherheitsengineering von Anwendungen in Cloud-Native-Umgebungen: Bedrohungsmodellierung, Runtime-Instrumentierung und telemetriebasierte Erkennung im Jahr 2026
Anwendungssicherheit (AppSec) hat sich in den letzten zwei Jahrzehnten erheblich weiterentwickelt und ist von manuellen Code-Reviews und punktuellen Penetrationstests zu einem integrierten Ökosystem aus DevSecOps-Praktiken, Testautomatisierung und kontinuierlichem Monitoring übergegangen. Im Jahr 2026 bestehen moderne Anwendungen aus Hunderten von Microservices, externen APIs, Open-Source-Abhängigkeiten und Infrastruktur, die durch Cloud-Plattformen verwaltet wird. Dieses Szenario hat die Angriffsfläche drastisch erweitert und traditionelle Sicherheitsansätze unzureichend gemacht, um Bedrohung
Read paper →AppSecEine formal fundierte Architektur für kontinuierliche AppSec: Integration statischer, dynamischer Analyse und bedrohungsorientierter Observability mit quantifizierbaren Garantien
Bedrohungslandschaftsanalyse der ENISA hebt die anhaltende Ausnutzung bekannter Schwachstellen und von Lieferketten als systemische Risiken hervor (ENISA, 2022). Die NVD-Datenbank verzeichnet ein kontinuierliches Wachstum der jährlich gemeldeten CVEs (NVD, 2023). Spezifische Prozentwerte werden hier nicht wiedergegeben, da sie je nach Sektor und Ausgabe variieren, doch der strukturelle Trend ist eindeutig. Vorfälle mit großer Auswirkung illustrieren dieses Phänomen. Log4Shell (CVE-2021-44228) ermöglichte Remote-Code-Ausführung durch JNDI-Injektion in Apache Log4j (MITRE, 2021). Spring4Shell (
Read paper →AppSecEine formale und skalierbare Architektur für kontinuierliche AppSec: Integration modellgeleiteter statischer Analyse, adaptiver dynamischer Instrumentierung und Richtlinienverifikation mit quantifizierbaren Garantien
Unternehmensumgebungen dar. Die Konsolidierung von Architekturen auf Basis von Microservices, Containern, Kubernetes und CI/CD-Pipelines hat die Angriffsfläche erheblich erweitert, insbesondere bei öffentlichen APIs und Integrationen zwischen Diensten. Laut dem Verizon Data Breach Investigations Report 2023 waren etwa 49 % der analysierten Sicherheitsverletzungen mit Webanwendungen verbunden (VERIZON, 2023). Nachfolgende Berichte zeigen bis 2025 eine ähnliche Tendenz und unterstreichen damit die zentrale Bedeutung von AppSec. Der Katalog Known Exploited Vulnerabilities (KEV) der CISA dokument
Read paper →AppSecEine formale und skalierbare Architektur für kontinuierliche AppSec basierend auf hybrider Analyse, MITRE-ATT&CK-orientierter Bedrohungsmodellierung und quantitativer Risikopriorisierung
Sicherheitsstrategie dar. Die beschleunigte digitale Transformation, die Einführung von Architekturen auf Basis von Microservices, RESTful- und GraphQL-APIs, Serverless-Computing und Kubernetes-Plattformen haben die Angriffsfläche, die Angreifern ausgesetzt ist, erheblich vergrößert. Darüber hinaus hat die Integration von Komponenten künstlicher Intelligenz, einschließlich großer Sprachmodelle (LLMs), die in Unternehmensanwendungen eingebettet sind, zusätzliche Bedrohungsvektoren eingeführt, wie Prompt-Injection, indirekte Datenexfiltration und den Missbrauch autonomer Agenten, wie in aktuelle
Read paper →AppSecEin formalisiertes, risikogewichtetes Framework für Continuous Application Security (CRAF-AppSec): Semantisch angereicherte Schwachstellenanalyse und adaptive Härtung entlang der Software-Supply-Chain
Entwicklungsprozesse zu einem dominanten Risikofaktor geworden. Der Verizon Data Breach Investigations Report (DBIR) analysiert jährlich tausende bestätigte Sicherheitsvorfälle und zeigt konsistent, dass Schwachstellen in Anwendungen, Fehlkonfigurationen sowie kompromittierte Zugangsdaten zentrale Initialvektoren darstellen (VERIZON, 2024). Parallel dokumentiert der ENISA Threat Landscape Report die zunehmende Professionalisierung von Angreifern, insbesondere im Bereich Ransomware-as-a-Service und Supply-Chain-Angriffe (ENISA, 2023). Prominente Ereignisse unterstreichen die systemische
Read paper →