Research / Paper Files
Paper Files
Paper Files sind eine persönliche Praxis des kontinuierlichen Studiums in der Cybersecurity, die die wissenschaftliche Methode als Lernwerkzeug anwendet. Jeder Artikel wird nicht für eine akademische Veröffentlichung geschrieben, sondern als bewusste Übung, um die Axt zu schärfen — Wissen zu bestimmten Themen zu vertiefen, Ideen mit Strenge zu strukturieren und zu beobachten, wie sich das Verständnis bestimmter Themen im Laufe der Zeit entwickelt. Es ist das intellektuelle Äquivalent eines Trainingsjournals: Jeder Eintrag hält fest, was studiert wurde, wie es analysiert wurde und welche Schlussfolgerungen entstanden sind.
Ich empfehle Security-Profis dringend, diese Methode anzuwenden. Wählen Sie ein Thema, das Sie meistern möchten, recherchieren Sie Primärquellen (RFCs, Papers, offizielle Dokumentation), strukturieren Sie Ihren Text mit Einleitung, Methodik, Analyse und Schlussfolgerung und schreiben Sie so, als würden Sie es einem Kollegen erklären. Der Akt des Schreibens erzwingt Klarheit des Denkens und legt Lücken im Verständnis offen, die passives Lesen nicht aufdecken kann. Nutzen Sie die Artikel auf dieser Website als Beispiele für Format und Tiefe und bauen Sie Ihre eigene Sammlung auf — mit der Zeit werden Sie ein persönliches Repository verfeinerten Wissens haben, das kein Kurs und keine Zertifizierung ersetzen kann.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →13 papers
Sicherheit von Containern in Cloud-Native-Umgebungen: Bedrohungsmodellierung, Ausnutzungstechniken und Verteidigungsstrategien in Docker- und Kubernetes-Ökosystemen (2023)
TITLE: Sicherheit von Containern in Cloud-Native-Umgebungen: Bedrohungsmodellierung, Ausnutzungstechniken und Verteidigungsstrategien in Docker- und Kubernetes-Ökosystemen (2023) ABSTRACT: Die Einführung von Containern hat die Softwareentwicklung und die operative Sicherheit in cloud-nativen Umgebungen tiefgreifend verändert. Technologien wie Docker und Kubernetes sind zur Grundlage moderner Infrastruktur geworden und ermöglichen Portabilität, Skalierbarkeit und Automatisierung in großem Maßstab. Gleichzeitig führt diese neue Architektur jedoch auch eine besondere Angriffsfläche ein, die durch eine auf gemeinsam genutztem Kernel basierende Isolation, komplexe Image-Abhängigkeiten und potenziell verwundbare Software-Lieferketten gekennzeichnet ist. Diese Arbeit präsentiert eine eingehende Analyse der Containersicherheit aus offensiver und defensiver Perspektive unter Berücksichtigung des Stands der Technik bis 2023. Zunächst untersuchen wir die technischen Grundlagen des Linux-Container-Modells, einschließlich Namespaces, cgroups und der OCI-Runtime. Anschließend analysieren wir wiederkehrende Angriffsvektoren, die in realen Vorfällen beobachtet wurden, wie Container-Escapes, die Ausnutzung von Runtimes, die Kompromittierung der Build-Kette und Angriffe auf Kubernetes-Cluster. Wir schlagen ein formales Bedrohungsmodell vor, das Beziehungen zwischen Workload, Runtime, Host und Control Plane erfasst und eine Risikokvantifizierung auf Basis der Exploit-Wahrscheinlichkeit und des operativen Einflusses ermöglicht. Die vorgestellte Methodik kombiniert statische Image-Analyse, verhaltensbasierte Überwachung auf Basis von eBPF und Isolationsrichtlinien, die durch seccomp, AppArmor und Pod Security Standards verstärkt werden. Die experimentelle Implementierung wurde in einem Kubernetes-Cluster mit Instrumentierung unter Verwendung weit verbreiteter Werkzeuge im Jahr 2023 durchgeführt, darunter Falco, Trivy und kube-bench. Die Ergebnisse zeigen eine deutliche Verringerung der Exposition gegenüber bekannten Schwachstellen sowie eine verbesserte Erkennung anomalen Verhaltens in nahezu Echtzeit. Außerdem präsentieren wir eine Fallstudie, die auf Cryptomining-Kampagnen basiert, die in kompromittierten Kubernetes-Clustern beobachtet wurden. Die Diskussion beleuchtet praktische Einschränkungen, Herausforderungen der Governance und Implikationen der Sicherheit der Container-Lieferkette. Abschließend heben wir zukünftige Richtungen hervor, darunter die Integration mit Zero-Trust-Modellen, eBPF-basierte Observability und die Automatisierung der Incident Response in cloud-nativen Umgebungen. Diese Studie bietet eine operative und technische Sicht für Sicherheitsfachleute, Infrastrukturarchitekten und Forschende, die an der Verteidigung von Container-Ökosystemen interessiert sind.
Read paper →ContainersTITEL: Formale und operative Architektur zur Erkennung und Eindämmung von Bedrohungen in containerisierten Kubernetes-basierten Umgebungen
TITEL: Formale und operative Architektur zur Erkennung und Eindämmung von Bedrohungen in containerisierten Kubernetes-basierten Umgebungen ABSTRACT: Die Adaption cloud-native, auf Containern basierender Architekturen hat die Art und Weise, wie verteilte Anwendungen entworfen, bereitgestellt und skaliert werden, grundlegend verändert. Kubernetes hat sich als das führende Orchestrierungssystem für das Management containerisierter Workloads etabliert und bietet deklarative Abstraktionen für Skalierung, Fehlertoleranz und operative Automatisierung. Diese zusätzliche Abstraktionsschicht führt jedoch neue Angriffsvektoren ein und vergrößert die Angriffsfläche, insbesondere in Umgebungen mit hoher Dichte an ephemeren Containern und komplexen Bild-Lieferketten. Ausnutzungen von Schwachstellen in Container-Runtimes, unsichere Konfigurationen von Orchestrierungs-APIs und automatisierte Kryptomining-Kampagnen in schlecht konfigurierten Clustern zeigen, dass traditionelle Sicherheitsmechanismen unzureichend sind, um mit der dynamischen Natur dieser Umgebungen umzugehen. In dieser Arbeit schlagen wir eine formale und operative Architektur zur Erkennung und Eindämmung von Bedrohungen in Kubernetes-Clustern vor, die mathematische Modellierung von Systemzuständen mit praktischen Mechanismen für Beobachtbarkeit und automatisierte Reaktion kombiniert. Wir formalisieren die containerisierte Umgebung als ein System beschrifteter Transitionen $LTS = (S, A, \\rightarrow)$, wodurch sich Eigenschaften der Integrität und Nichtinterferenz in Bezug auf die Interaktion zwischen Containern, Cluster-Knoten und Control Plane ausdrücken lassen. Auf dieser theoretischen Grundlage implementierten wir eine mehrschichtige Sicherheits-Pipeline, bestehend aus statischer Image-Analyse (Trivy und YARA), deklarativen Admission-Policies mit Open Policy Agent/Gatekeeper, verhaltensbasierter Überwachung auf Kernel-Ebene mittels eBPF über Falco sowie automatisierten Isolationsmechanismen unter Verwendung von NetworkPolicies und administrativen Kontrollen von Kubernetes. Die Architektur wurde experimentell in einem Cluster mit 120 Knoten und 2.400 aktiven Pods evaluiert, wobei verschiedene Angriffsszenarien simuliert wurden, darunter Container-Escape-Versuche, die Ausführung von Kryptomining-Programmen und laterale Bewegung über kompromittierte Zugangsdaten. Die Ergebnisse zeigen eine durchschnittliche Erkennungsrate von 96,3 % bei einer Falsch-Positiv-Rate von 3,8 % sowie signifikante Reduktionen der operativen Kennzahlen MTTD und MTTR. Diese Ergebnisse zeigen, dass die Integration theoretischer Formalisierung und niedrigstufiger, auf eBPF basierender Telemetrie einen wirksamen Ansatz zur Stärkung der operativen Sicherheit von Cloud-Native-Plattformen im großen Maßstab darstellt.
Read paper →ContainersTITEL: Formale Architektur und empirische Bewertung eines Modells der Defense in Depth für containerbasierte Umgebungen auf Kubernetes unter fortgeschrittenen persistenten Bedrohungen
TITEL: Formale Architektur und empirische Bewertung eines Modells der Defense in Depth für containerbasierte Umgebungen auf Kubernetes unter fortgeschrittenen persistenten Bedrohungen ABSTRACT: Die Einführung von auf Containern basierenden, durch Kubernetes orchestrierten Architekturen hat sich in nativen Cloud-Infrastrukturen aufgrund ihrer Elastizität, Portabilität und Fähigkeit zur operativen Automatisierung durchgesetzt. Allerdings führt die zunehmende Komplexität dieser Umgebungen zu einer erweiterten Angriffsfläche, die von hochentwickelten Angreifern ausgenutzt werden kann, einschließlich Kampagnen fortgeschrittener persistenter Bedrohungen (Advanced Persistent Threats – APTs). Insbesondere stellen Vektoren wie die Kompromittierung der Lieferkette von Images, die Ausnutzung von Schwachstellen des gemeinsam genutzten Kernels, der Missbrauch von Berechtigungen der Steuerungsebene und die laterale Bewegung zwischen Pods kritische Herausforderungen für Sicherheitsteams dar. In dieser Arbeit präsentieren wir eine formale Architektur der Defense in Depth für Kubernetes-Cluster, die präventive Kontrollmechanismen, verhaltensbasierte Erkennung und automatisierte Reaktion integriert. Wir modellieren das Verteidigungssystem als einen Sicherheitszustandsgraphen $G=(V,E)$, in dem die Knoten Sicherheitskonfigurationen des Clusters darstellen und die Kanten durch adversarielle Aktionen oder Minderungmechanismen induzierte Übergänge repräsentieren. Die vorgeschlagene Architektur kombiniert deklarative Sicherheitsrichtlinien (Open Policy Agent/Gatekeeper und Kyverno), auf eBPF basierende Inspektion von Systemaufrufen (Falco), Netzwerksegmentierung mit Richtlinien der Schicht 7 (Cilium), Schwachstellenanalyse von Images (Trivy) sowie integrierte beobachtbare Telemetrie des Ökosystems der nativen Cloud-Sicherheit. Wir führten eine empirische Bewertung in einer experimentellen Umgebung mit mehreren Kubernetes-Knoten und repräsentativen Workloads verteilter Anwendungen durch. Das experimentelle Szenario reproduzierte im MITRE-ATT&CK-Framework für Container dokumentierte Techniken, einschließlich Privilegieneskalation, Container-Escape und Datenausleitung. Die Ergebnisse zeigen, dass der Defense-in-Depth-Ansatz die beobachtbare Angriffsfläche signifikant reduziert und die mittlere Erkennungszeit (Mean Time To Detect – MTTD) verbessert. Wir stellten fest, dass die Integration von Admission Policies, statischer Image-Analyse und Echtzeitüberwachung auf eBPF-Basis die Erkennung bösartiger Verhaltensmuster mit höherer Genauigkeit ermöglicht und im Vergleich zu isolierten Ansätzen die Zahl falsch-positiver Ergebnisse reduziert. Wir schließen daraus, dass die Formalisierung von Sicherheitsrichtlinien in Kombination mit beobachtbarer Kernel-Instrumentierung einen vielversprechenden Weg zur Stärkung der Resilienz von Kubernetes-Plattformen gegenüber persistierenden Angreifern darstellt. Die Arbeit leistet einen Beitrag mit einem analytischen Modell, einer Referenzarchitektur und experimentellen Ergebnissen, die die Entwicklung von Sicherheitsstrategien für native Cloud-Umgebungen im großen Maßstab leiten können.
Read paper →ContainersCONTAINERSHIELD: Ein formales und empirisches Rahmenwerk zur Erkennung und Minderung von Bedrohungen in Containerumgebungen auf Basis mehrschichtiger Telemetrie
TITLE: CONTAINERSHIELD: Ein formales und empirisches Rahmenwerk zur Erkennung und Minderung von Bedrohungen in Containerumgebungen auf Basis mehrschichtiger Telemetrie ABSTRACT: Die massenhafte Verbreitung von Containern, vorangetrieben durch Plattformen wie Docker und Kubernetes, hat die Architektur verteilter Systeme transformiert, zugleich jedoch eine komplexe und hochdynamische Angriffsfläche eingeführt. Schwachstellen in Images, fehlerhafte Konfigurationen von Namespaces und Kernel-Capabilities sowie Escape-Angriffe und laterale Bewegung wurden systematisch ausgenutzt, wie jüngste CVEs belegen (z. B. CVE-2019-5736, CVE-2022-0492). In dieser Arbeit schlagen wir CONTAINERSHIELD vor, ein formales und empirisches Rahmenwerk zur Erkennung und Minderung von Bedrohungen in Containerumgebungen, basierend auf der Korrelation mehrschichtiger Telemetrie (Kernel, Runtime und Orchestrator). Wir modellieren die Umgebung formal als ein System beschrifteter Transitionen und definieren Sicherheitsproperties in Bezug auf Isolation, Integrität und das Confinement von Capabilities. Wir entwickeln zwei zentrale Algorithmen: (i) einen auf probabilistischer Verhaltensmodellierung mittels Markov-Ketten variabler Ordnung basierenden Erkennungsmechanismus und (ii) ein Modul zur Richtlinienverifikation, das dynamische Restriktionen von Linux-Capabilities und seccomp-Profilen anwendet. Wir implementierten das System auf Kubernetes 1.28 mit eBPF und evaluierten es in einem Cluster mit 48 Knoten (768 vCPUs). Unter Verwendung realer Workloads und 27 Angriffsszenarien, die dem MITRE ATT&CK for Containers zugeordnet sind, erreichten wir eine Erkennungsrate von 96,4% (±1,8%), eine False-Positive-Rate von 2,1% und einen durchschnittlichen Overhead von 3,7% bei der CPU. Im Vergleich zu Werkzeugen wie Falco und Aqua Security in Standardkonfiguration reduzierte unser Verfahren die False-Positives um 38% und verbesserte die mittlere Erkennungszeit um 24%. Wir zeigen, dass die formale Integration von Bedrohungsmodellierung und Echtzeit-Telemetrie robustere Garantien für die operative Sicherheit liefert. CONTAINERSHIELD trägt zur rigorosen Systematisierung der Container-Sicherheit bei und bietet einen skalierbaren und verifizierbaren Weg zum Schutz in Cloud-nativen Umgebungen.
Read paper →ContainersFormale Architektur und operative Methodik zur Erkennung und Reaktion auf Bedrohungen in Docker- und Kubernetes-basierten Containerumgebungen
TITLE: Formale Architektur und operative Methodik zur Erkennung und Reaktion auf Bedrohungen in Docker- und Kubernetes-basierten Containerumgebungen ABSTRACT: Die massenhafte Einführung von Containern hat die Angriffsfläche moderner Infrastrukturen verändert, insbesondere in Docker- und Kubernetes-basierten Umgebungen. Obwohl Container durch Namespaces und cgroups des Linux-Kernels eine leichtgewichtige Isolation bieten, zeigen mehrere jüngste Vorfälle — einschließlich Container-Escapes im Zusammenhang mit CVE-2019-5736 (runc) und Kryptojacking-Kampagnen, die exponierte Kubernetes-APIs ausnutzen —, dass die Sicherheit dieser Umgebungen weiterhin unzureichend verstanden und operationalisiert ist. In dieser Arbeit schlagen wir eine formale Architektur und eine operative Methodik zur Erkennung und Reaktion auf Bedrohungen in Containerumgebungen vor, die formale Bedrohungsmodellierung, eBPF-basierte Instrumentierung, an MITRE ATT&CK orientierte Verhaltensanalyse und automatisierte Reaktion integriert. Unsere Methodik kombiniert drei Ebenen: (i) formale Modellierung des Containersystems als gerichteter Graph von Entitäten und Flüssen; (ii) hybride, regelbasierte Erkennung (Sigma/YARA) und Anomalieerkennung mittels statistischem Lernen; sowie (iii) Orchestrierung automatisierter Reaktion über Kubernetes Admission Controllers und OPA/Gatekeeper-Richtlinien. Wir evaluieren unseren Ansatz in einem Kubernetes-Cluster mit 48 Knoten, in dem 1.200 Pods unter synthetischer Last und realen Angriffen ausgeführt wurden, die auf dokumentierten TTPs (T1610, T1611, T1525) basieren. Die Ergebnisse zeigen eine durchschnittliche Erkennungsrate von 96,4 % bei einer Falsch-Positiv-Rate von 3,1 %, einer durchschnittlichen Erkennungslatenz von 420 ms und einem CPU-Overhead von unter 4,8 %. Wir leisten folgende Beiträge: (C1) eine mathematische Formalisierung des Sicherheitsproblems in Containerumgebungen; (C2) eine replizierbare operative Pipeline, die weit verbreitete Werkzeuge integriert (Falco, Suricata, Trivy, kube-bench, Volatility); und (C3) quantitative empirische Nachweise für Wirksamkeit und Leistung in realistischem Maßstab. Wir zeigen, dass die kohärente Integration von Kernel-Instrumentierung, Orchestrator-Telemetrie und Threat Intelligence die mittlere Zeit bis zur Erkennung (MTTD) und die mittlere Zeit bis zur Reaktion (MTTR) erheblich reduziert und praktische Leitlinien für offensive und defensive Sicherheitsteams etabliert.
Read paper →ContainersTITEL: Eine formal begründete Architektur zur Erkennung und Eindämmung von Kompromittierungen in Containerumgebungen auf Grundlage mehrschichtiger Telemetrie
TITEL: Eine formal begründete Architektur zur Erkennung und Eindämmung von Kompromittierungen in Containerumgebungen auf Grundlage mehrschichtiger Telemetrie ABSTRAKT: Die massive Einführung von Containern als primäre Einheit für das Packaging und Deployment in cloud-native Umgebungen hat eine Angriffsfläche hervorgebracht, die sich erheblich von der in herkömmlichen virtuellen Maschinen beobachteten unterscheidet. Schwachstellen in Basis-Images, fehlerhafte Namespace-Konfigurationen, Mängel bei der Isolierung von cgroups sowie die Ausnutzung von Runtimes wie runc (z. B. CVE-2019-5736) werden von Angreifern aktiv ausgenutzt. In dieser Arbeit schlagen wir eine formal begründete Architektur zur Erkennung und Eindämmung von Kompromittierungen in Containerumgebungen vor, die auf der Korrelation mehrschichtiger Telemetrie (Kernel, Runtime und Orchestrator) basiert. Unsere Methodik integriert probabilistische Verhaltensmodellierung, die Analyse von Abhängigkeitsgraphen von Prozessen und adaptive Isolierungsrichtlinien. Wir entwickelten ein formales Modell des containerisierten Systems als gerichteten, beschrifteten Graphen G = (V, E, λ), in dem die Knoten Ausführungseinheiten repräsentieren und die Kanten beobachtbare Interaktionen kodieren. Wir definieren Sicherheitsproperties auf der Grundlage von Isolationsinvarianten und Informationsfluss und schlagen zwei Hauptalgorithmen vor: (i) Erkennung auf Basis multivariater statistischer Abweichung mit adaptivem Schwellwert; und (ii) Mechanismus zur automatischen Eindämmung durch dynamische Neukonfiguration von Zugriffs- und Netzwerk-Kontrollrichtlinien. Wir implementierten einen funktionalen Prototyp auf Kubernetes 1.29 unter Verwendung von eBPF zur Kernel-Instrumentierung und des Open Policy Agent (OPA) für die Durchsetzung. Wir evaluierten das System in einem Cluster mit 48 Knoten (Intel Xeon Gold, 256 GB RAM), 1.200 Containern und 17 repräsentativen Angriffsszenarien (MITRE ATT&CK for Containers). Wir erzielten eine durchschnittliche Erkennungsrate von 96,8 % (±1,7 %), eine False-Positive-Rate von 2,3 % und einen CPU-Overhead von weniger als 4,9 %. Im Vergleich zu Lösungen, die ausschließlich auf Signaturen oder statischen Richtlinien basieren, reduzierte unser Verfahren die mittlere Zeit bis zur Eindämmung um 63 %. Die Ergebnisse zeigen, dass die Integration mehrschichtiger Telemetrie mit formaler Modellierung und automatisierter Eindämmung einen signifikanten Fortschritt für die Sicherheit großskaliger containerisierter Umgebungen darstellt.
Read paper →ContainersTITEL: Eine formal fundierte Architektur zur Erkennung und Eindämmung von Kompromittierungen in Container-Umgebungen auf Basis von mehrschichtiger Telemetrie
TITEL: Eine formal fundierte Architektur zur Erkennung und Eindämmung von Kompromittierungen in Container-Umgebungen auf Basis von mehrschichtiger Telemetrie ABSTRACT: Die massive Adoption von Containern als primäre Einheit für Verpackung und Bereitstellung in cloud-nativen Umgebungen hat eine Angriffsfläche eingeführt, die sich erheblich von der in traditionellen virtuellen Maschinen beobachteten unterscheidet. Schwachstellen in Basis-Images, fehlerhafte Namespace-Konfigurationen, Defekte in der Isolierung von cgroups und die Ausnutzung von Runtimes wie runc (z. B. CVE-2019-5736) werden von Angreifern aktiv ausgenutzt. In dieser Arbeit schlagen wir eine formal fundierte Architektur zur Erkennung und Eindämmung von Kompromittierungen in Container-Umgebungen vor, die auf der Korrelation mehrschichtiger Telemetrie (Kernel, Runtime und Orchestrator) basiert. Unsere Methodik integriert probabilistische Verhaltensmodellierung, Analyse von Prozessabhängigkeitsgraphen und adaptive Isolationsrichtlinien. Wir entwickelten ein formales Modell des containerisierten Systems als gerichteten, beschrifteten Graphen G = (V, E, λ), in dem Knoten Ausführungseinheiten repräsentieren und Kanten beobachtbare Interaktionen kodieren. Wir definieren Sicherheitseigenschaften auf Basis von Isolationsinvarianten und Informationsflüssen und schlagen zwei Hauptalgorithmen vor: (i) eine Erkennung auf Basis multivariater statistischer Abweichung mit adaptivem Schwellwert; und (ii) einen Mechanismus zur automatischen Eindämmung durch dynamische Neukonfiguration von Zugriffs- und Netzwerk-Kontrollrichtlinien. Wir implementierten einen funktionsfähigen Prototypen auf Kubernetes 1.29 unter Verwendung von eBPF zur Kernel-Instrumentierung und des Open Policy Agent (OPA) für die Durchsetzung. Wir evaluierten das System in einem Cluster mit 48 Knoten (Intel Xeon Gold, 256 GB RAM), 1.200 Containern und 17 repräsentativen Angriffsszenarien (MITRE ATT&CK for Containers). Wir erzielten eine durchschnittliche Erkennungsrate von 96,8 % (±1,7 %), eine Rate von Fehlalarmen von 2,3 % und einen CPU-Overhead von weniger als 4,9 %. Im Vergleich zu Lösungen, die ausschließlich auf Signaturen oder statischen Richtlinien basieren, reduzierte unsere Methode die mittlere Eindämmungszeit um 63 %. Die Ergebnisse zeigen, dass die Integration mehrschichtiger Telemetrie mit formaler Modellierung und automatisierter Eindämmung einen bedeutenden Fortschritt für die Sicherheit großskaliger containerisierter Umgebungen darstellt.
Read paper →ContainersTITEL: Formale Modellierung und adaptive Überwachungsarchitektur für die Sicherheit von Containern in Cloud-nativen Umgebungen
TITEL: Formale Modellierung und adaptive Überwachungsarchitektur für die Sicherheit von Containern in Cloud-nativen Umgebungen ABSTRAKT: Die massive Verbreitung von Containern und Orchestrierern wie Docker und Kubernetes hat die Softwareentwicklung und den Betrieb kritischer Infrastrukturen verändert, zugleich jedoch eine erweiterte und dynamische Angriffsfläche eingeführt. Schwachstellen wie CVE-2019-5736 (runc) und CVE-2022-0492 (cgroups) verdeutlichen die Fragilität der auf Namespaces basierenden Isolation und der Mechanismen des Linux-Kernels, wenn sie falsch konfiguriert oder von Angreifern mit initialem Zugriff auf den Container ausgenutzt werden. In dieser Arbeit schlagen wir eine formal fundierte Architektur für adaptives Monitoring und die Eindämmung von Bedrohungen in Containerumgebungen vor, die die mathematische Modellierung von Angriffsflächen, verhaltensbasierte Erkennung auf Basis von Systemaufrufgraphen und die dynamische Anwendung von Mitigationsrichtlinien kombiniert. Wir definieren ein Bedrohungsmodell, das auf MITRE ATT&CK for Containers abgestimmt ist, und formalisieren Sicherheitsproperties wie starke Isolation, Runtime-Integrität und Nichtinterferenz zwischen Workloads. Wir entwickeln zwei Hauptalgorithmen: (i) einen Mechanismus zur inkrementellen Inferenz legitimer Verhaltensprofile mit der Komplexität O(n log n) und (ii) ein Modul zur adaptiven Eindämmung mit risikobasierter Analyse auf Grundlage einer bayesischen Bewertung. Wir implementierten einen Prototypen, der in Kubernetes unter Verwendung von eBPF, Falco und benutzerdefinierten Admission Controllern integriert ist. Die Lösung wurde in einem Cluster mit 120 Knoten und 3.500 Pods evaluiert, unter Einsatz realer Workloads und kontrollierter Injektion von Angriffen, die den MITRE-ATT&CK-Techniken T1610, T1611 und T1525 zugeordnet sind. Die Ergebnisse zeigen eine Erkennungsrate von 96,4 % bei einer durchschnittlichen False-Positive-Rate von 2,1 %, einen Overhead von unter 4,8 % CPU und eine durchschnittliche zusätzliche Latenz von 3,7 ms pro überwachten Ereignis. Wir schließen daraus, dass der vorgeschlagene Ansatz das operative Sicherheitsniveau in cloud-nativen Umgebungen signifikant erhöht und zugleich praktische Machbarkeit sowie Skalierbarkeit beibehält.
Read paper →ContainersContainerShield++: Ein formales Rahmenwerk und skalierbares System zur Erkennung und Minderung von Bedrohungen in Linux-basierten Containerumgebungen
TITLE: ContainerShield++: Ein formales Rahmenwerk und skalierbares System zur Erkennung und Minderung von Bedrohungen in Linux-basierten Containerumgebungen ABSTRACT: Die leichtgewichtige containerbasierte Virtualisierung hat sich als dominante Infrastruktur für cloudnative Anwendungen etabliert, insbesondere in durch Kubernetes orchestrierten Umgebungen. Die gemeinsame Nutzung des Betriebssystemkerns zwischen mehreren Workloads erweitert jedoch die Angriffsfläche und erfordert strenge Mechanismen für Isolation, Integritätsprüfung und verhaltensbasierte Erkennung. In dieser Arbeit präsentieren wir ContainerShield++, ein formales Rahmenwerk und skalierbares System zur Erkennung und Minderung von Bedrohungen in Linux-Containerumgebungen, das die mathematische Modellierung von Confinement-Eigenschaften, die statische Überprüfung von Images, deklaratives Enforcement über Admission Controller sowie dynamisches Monitoring mit eBPF integriert. Wir formalisieren Isolation als Nichtinterferenz-Eigenschaften über einem Graphen aus Capabilities und Namespaces und definieren überprüfbare Kriterien für starkes Confinement unter einem Bedrohungsmodell, in dem der Angreifer beliebigen Code innerhalb eines kompromittierten Containers ausführt. Wir schlagen Algorithmen zur statischen Risikobewertung sowie zur dynamischen Erkennung auf Basis der Divergenz von Verteilungen von Systemaufrufen vor, wobei $D_{KL}$ als Metrik für Verhaltensabweichungen verwendet wird. Wir implementierten das System in einem Kubernetes‑Cluster v1.29 mit CRI-O und integrierten OPA/Gatekeeper-Richtlinien sowie eBPF-Profile, die vom Kernel-Verifizierer validiert werden. Wir evaluierten das System experimentell auf 120 Knoten und 3.600 Containern unter Berücksichtigung von Techniken aus MITRE ATT&CK for Containers sowie realistischen Exploitationsszenarien, einschließlich CVE-2019-5736 und CVE-2022-0492. Wir erzielten eine durchschnittliche Erkennungsrate von 98,7 % bei einer CPU-Überlast von unter 4 % und einer durchschnittlichen zusätzlichen Latenz von 4,3 μs pro Syscall. Wir zeigen eine Überlegenheit gegenüber ausschließlich signaturbasierten Ansätzen wie Falco und diskutieren Erweiterungen für die Sicherheit von Lieferketten, Sigstore-Signaturen, Post-Quanten-Kryptographie zum Schutz von Artefakten sowie die Integration mit CNAPP-Plattformen. Die Arbeit liefert formale Grundlagen, empirische Validierung im großen Maßstab und praktische Richtlinien für die Containersicherheit auf dem Stand der Technik von 2025.
Read paper →ContainersEine formal fundierte Architektur zur Überwachung und Härtung von Containern basierend auf Verhaltensmodellierung und Laufzeit-Integritätsprüfung
TITLE: Eine formal fundierte Architektur zur Überwachung und Härtung von Containern basierend auf Verhaltensmodellierung und Laufzeit-Integritätsprüfung ABSTRACT: Die massenhafte Einführung von Containern als primäre Einheit für Verpackung und Ausführung in Cloud‑Native‑Umgebungen hat die Angriffsfläche moderner verteilter Systeme tiefgreifend verändert. Im Jahr 2025 bilden Infrastrukturen auf Basis von Kubernetes, CNAPP (Cloud-Native Application Protection Platforms), eBPF und digital signierten Lieferketten den Stand der Praxis. Dennoch bleiben die meisten industriellen Ansätze fragmentiert zwischen statischer Bildverifikation und reaktiver, regelbasierter Überwachung und entbehren einer einheitlichen formalen Grundlage. In dieser Arbeit schlagen wir eine formal spezifizierte Architektur vor, die (i) kryptographische Verifikation struktureller Integrität mittels Merkle-Bäumen und mit sicheren Software‑Lieferketten kompatiblen Signaturen sowie (ii) probabilistische Modellierung des Laufzeitverhaltens auf Basis diskreter Markov‑Ketten über Sequenzen von Systemereignissen integriert, die über eBPF gesammelt werden. Wir formalisieren Container als durch Namespaces und cgroups eingeschränkte Prozesse, modellieren den globalen Zustand als dynamisches System $S(t)$ und definieren Eigenschaften von Integrität, Einschließung und Nichtinterferenz. Die Anomalieerkennung wird als Hypothesentest über die Log‑Likelihood beobachteter Trajektorien formuliert, mit statistisch kalibriertem Schwellenwert $\theta$. Wir zeigen, dass die orthogonale Komposition zwischen kryptographischen Invarianten und probabilistischen Eigenschaften Umgehungsversuche reduziert und die Robustheit gegenüber im MITRE ATT&CK for Containers dokumentierten Techniken verbessert. Wir implementierten einen Prototyp in Kubernetes 1.29 mit Agenten pro Knoten und evaluierten ihn in einem Cluster mit 40 Knoten, der 120 heterogene Workloads ausführt, einschließlich Lasten mit KI‑Komponenten. Die Ergebnisse zeigen eine durchschnittliche Erkennungsrate von 96,7% (KI 95%), falsch positive von 2,3% und einen CPU‑Overhead von unter 5% bei erhaltener Skalierbarkeit. Zusätzlich liefern wir eine formale Komplexitätsanalyse, eine Diskussion zur Konvergenz des Online‑Lernens sowie eine Integration mit TPM‑2.0‑basierter Remote‑Attestation. Die vorgeschlagene Architektur etabliert eine theoretisch fundierte und operativ praktikable Grundlage für die Härtung von Containern in zeitgenössischen Cloud‑Native‑Umgebungen.
Read paper →ContainersEine formale Architektur zur Erkennung und Eindämmung von Angriffen in Container-Umgebungen basierend auf kompositioneller Modellierung der Angriffsoberfläche
TITLE: Eine formale Architektur zur Erkennung und Eindämmung von Angriffen in Container-Umgebungen basierend auf kompositioneller Modellierung der Angriffsoberfläche ABSTRACT: Die massenhafte Einführung von Containern und Orchestratoren wie Kubernetes hat das cloud-native Paradigma bis 2025 als vorherrschende Infrastruktur in Unternehmensumgebungen etabliert. Obwohl das leichtgewichtige Virtualisierungsmodell operative Effizienz und Elastizität bietet, erweitern die gemeinsame Nutzung des Kernels und die dynamische Natur von Clustern die Angriffsoberfläche erheblich. Jüngste Vorfälle mit Container-Escape, der Ausnutzung von Schwachstellen im Linux-Kernel und lateraler Bewegung innerhalb von Clustern verdeutlichen die Notwendigkeit von Erkennungs- und Eindämmungsmechanismen mit formaler Grundlage und expliziten Garantien. In dieser Arbeit schlagen wir eine formale Architektur zur Erkennung und Eindämmung von Angriffen in Container-Umgebungen vor, die auf einer kompositionellen Modellierung der Angriffsoberfläche basiert. Wir formalisieren die Umgebung als annotierten gerichteten Graphen, der Container, Infrastrukturknoten und Interaktionskanäle integriert, und definieren die Angriffsoberfläche als kompositionellen Operator über Knoten und Kanten. Wir führen eine Erkennungsmethode ein, die auf strukturellen Abweichungen von Systemaufruf-Graphen basiert und die spektrale Divergenz zwischen beobachteten Adjazenzmatrizen und in der Baseline-Phase erlernten Referenzmodellen nutzt. Unter expliziten Hypothesen zeigen wir formale Eigenschaften, einschließlich eines Satzes über bedingte Vollständigkeit. Wir implementierten einen Prototyp, der in Kubernetes 1.29 integriert ist, mit Monitoring über eBPF/libbpf, und evaluierten das System in einem Cluster mit 64 Knoten, auf dem 1.200 Container ausgeführt werden. Die Ergebnisse zeigen eine durchschnittliche Erkennungsrate von über 95 % für Szenarien, die am MITRE ATT&CK for Containers ausgerichtet sind, bei einer Falsch-Positiv-Rate von unter 3 % und einem durchschnittlichen CPU-Overhead von 3,8 %. Wir diskutieren Implikationen für die Integration mit CNAPP-Plattformen und Sicherheits-Governance-Mechanismen sowie Einschränkungen und mögliche Umgehungsvektoren. Wir kommen zu dem Schluss, dass formale kompositionelle Modellierung in Kombination mit effizientem Monitoring auf Kernel-Ebene eine rigorose und skalierbare Grundlage für den Schutz großskaliger containerisierter Umgebungen bietet.
Read paper →ContainersTITEL: Eine formale Architektur zur Erkennung und Eindämmung von Angriffen in Container-Umgebungen auf der Grundlage einer kompositionalen Modellierung der Angriffsfläche
TITEL: Eine formale Architektur zur Erkennung und Eindämmung von Angriffen in Container-Umgebungen auf der Grundlage einer kompositionalen Modellierung der Angriffsfläche ABSTRACT: Die massenhafte Einführung von Containern und Orchestratoren wie Kubernetes hat das cloud-native Paradigma bis 2025 als vorherrschende Infrastruktur in Unternehmensumgebungen etabliert. Obwohl das Modell der leichtgewichtigen Virtualisierung operative Effizienz und Elastizität bietet, vergrößern die gemeinsame Nutzung des Kernels und die dynamische Natur der Cluster die Angriffsfläche erheblich. Jüngste Vorfälle, die Container-Escape, die Ausnutzung von Schwachstellen im Linux-Kernel und laterale Bewegung innerhalb des Clusters betreffen, zeigen die Notwendigkeit von Erkennungs- und Eindämmungsmechanismen mit formaler Fundierung und expliziten Garantien. In dieser Arbeit schlagen wir eine formale Architektur zur Erkennung und Eindämmung von Angriffen in Container-Umgebungen auf der Grundlage einer kompositionalen Modellierung der Angriffsfläche vor. Wir formalisieren die Umgebung als annotierten gerichteten Graphen, der Container, Infrastrukturknoten und Interaktionskanäle integriert, und definieren die Angriffsfläche als kompositorischen Operator über Knoten und Kanten. Wir führen ein Detektionsverfahren ein, das auf strukturellen Abweichungen von Systemaufrufgraphen basiert und spektrale Divergenz zwischen beobachteten Adjazenzmatrizen und in der Baseline-Phase erlernten Referenzmodellen verwendet. Unter expliziten Annahmen demonstrieren wir formale Eigenschaften, einschließlich eines bedingten Vollständigkeitssatzes. Wir implementierten einen Prototyp, der in Kubernetes 1.29 integriert ist, mit Überwachung via eBPF/libbpf, und evaluierten das System in einem Cluster mit 64 Knoten, auf dem 1.200 Container betrieben wurden. Die Ergebnisse zeigen eine durchschnittliche Erkennungsrate von über 95 % für Szenarien, die am MITRE ATT&CK for Containers ausgerichtet sind, bei einer Falsch-Positiv-Rate von unter 3 % und einem durchschnittlichen CPU-Overhead von 3,8 %. Wir diskutieren die Implikationen für die Integration mit CNAPP-Plattformen und Sicherheits-Governance-Mechanismen sowie Einschränkungen und Umgehungsvektoren. Wir schließen daraus, dass formale kompositionale Modellierung in Verbindung mit effizientem Monitoring auf Kernel-Ebene eine rigorose und skalierbare Grundlage für den Schutz großskaliger containerisierter Umgebungen bietet.
Read paper →ContainersEine formale Architektur zur Erkennung und Minderung von Container-Escapes basierend auf probabilistischen Verhaltensprofilen und Richtlinienverifikation im Kernel
TITLE: Eine formale Architektur zur Erkennung und Minderung von Container-Escapes basierend auf probabilistischen Verhaltensprofilen und Richtlinienverifikation im Kernel ABSTRACT: Containerbasierte Virtualisierung hat sich als Grundlage cloudnativer Infrastrukturen etabliert, doch ihre Abhängigkeit von einem gemeinsam genutzten Kernel bringt strukturelle Sicherheitsherausforderungen mit sich. Container-Escapes bleiben kritische Kompromittierungsvektoren, insbesondere in großskaligen Kubernetes-Umgebungen, in denen Schwachstellen in der Runtime, im cgroups-Subsystem oder im Kernel selbst zu einer Verletzung der Isolation führen können. In dieser Arbeit schlagen wir eine formale Architektur zur Erkennung und Minderung von Container-Escapes vor, die auf der probabilistischen Modellierung von Systemaufrufsequenzen und der automatischen Synthese von Sicherheitsrichtlinien auf Kernel-Ebene basiert. Wir modellieren das legitime Verhalten von Anwendungen als eine probabilistische Sprache über dem Alphabet der Syscalls, instanziiert durch Markov-Ketten variabler Ordnung mit bayesianischer Glättung. Wir leiten formale Grenzen der Korrektheit und Vollständigkeit unter Parametern $(\epsilon, \delta)$ her und führen ein Entscheidungskriterium ein, das auf akkumulierten Log-Likelihood-Werten basiert. Auf Grundlage der beobachteten empirischen Unterstützung synthetisieren wir automatisch minimale seccomp-Profile sowie mit modernen LSMs (AppArmor oder SELinux) kompatible Richtlinien und reduzieren dadurch quantifizierbar die Angriffsfläche. Wir implementierten die Architektur mit eBPF, gekoppelt an Tracepoints des Linux-Kernels 6.x, und integrierten sie in einen Kubernetes‑Cluster 1.28 mit containerd 1.7. In einer experimentellen Evaluation mit 120 Knoten und 1.800 Containern erzielten wir eine durchschnittliche Reduktion von 72,4 % der erlaubten Syscalls, eine Erkennungsrate von 96,1 % und eine durchschnittliche CPU-Überlast von 3,7 %. Darüber hinaus zeigen wir, dass der Ansatz Mechanismen übertrifft, die ausschließlich auf heuristischen Regeln basieren, während Skalierbarkeit und geringe Latenz erhalten bleiben. Wir schließen daraus, dass die Kombination aus formaler probabilistischer Modellierung, effizienter Verifikation im Kernel und automatischer Richtliniensynthese eine robuste Strategie zur dynamischen Härtung containerisierter Umgebungen im Jahr 2025 darstellt.
Read paper →