Research / Paper Files
Paper Files
Paper Files sind eine persönliche Praxis des kontinuierlichen Studiums in der Cybersecurity, die die wissenschaftliche Methode als Lernwerkzeug anwendet. Jeder Artikel wird nicht für eine akademische Veröffentlichung geschrieben, sondern als bewusste Übung, um die Axt zu schärfen — Wissen zu bestimmten Themen zu vertiefen, Ideen mit Strenge zu strukturieren und zu beobachten, wie sich das Verständnis bestimmter Themen im Laufe der Zeit entwickelt. Es ist das intellektuelle Äquivalent eines Trainingsjournals: Jeder Eintrag hält fest, was studiert wurde, wie es analysiert wurde und welche Schlussfolgerungen entstanden sind.
Ich empfehle Security-Profis dringend, diese Methode anzuwenden. Wählen Sie ein Thema, das Sie meistern möchten, recherchieren Sie Primärquellen (RFCs, Papers, offizielle Dokumentation), strukturieren Sie Ihren Text mit Einleitung, Methodik, Analyse und Schlussfolgerung und schreiben Sie so, als würden Sie es einem Kollegen erklären. Der Akt des Schreibens erzwingt Klarheit des Denkens und legt Lücken im Verständnis offen, die passives Lesen nicht aufdecken kann. Nutzen Sie die Artikel auf dieser Website als Beispiele für Format und Tiefe und bauen Sie Ihre eigene Sammlung auf — mit der Zeit werden Sie ein persönliches Repository verfeinerten Wissens haben, das kein Kurs und keine Zertifizierung ersetzen kann.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →25 papers
DFIR in der Cybersecurity 2026: Eine belastbare, cloud- und KI-gestützte Methodik zur digitalen Forensik und Incident Response über Endpoint-, Identitäts- und Cloud-Grenzen hinweg
Digitale Forensik und Incident Response (DFIR) haben sich bis 2026 von einer primär endpointzentrierten Disziplin zu einer verteilten, identitäts- und cloudgetriebenen Operationsfunktion entwickelt. Moderne Angreifer verknüpfen Initial Access über Phishing, OAuth-Consent-Missbrauch, Identity-Provider-Compromise, Living-off-the-Land-Techniken und Cloud-API-Missbrauch mit schneller Exfiltration und gezielter Spurenverwischung. Gleichzeitig erzeugen hybride Unternehmensumgebungen, CNAPP-Stacks, EDR/XDR-Telemetrie, eBPF-basierte Sensorik und SIEM/SOAR/PIR-Plattformen eine nie dagewesene Datenfülle, aber auch erhebliche Herausforderungen hinsichtlich Korrelation, Evidenzintegrität, Skalierbarkeit und gerichtsfester Dokumentation. Dieses Papier formuliert DFIR als probabilistische Rekonstruktionsaufgabe unter adversarialen Bedingungen und schlägt eine praxisnahe, reproduzierbare Methodik für 2026 vor, die die drei Dimensionen Host, Identity und Cloud systematisch verbindet. Die Methodik kombiniert zeitsynchronisierte Evidenzsicherung, deterministische Artefakt-Priorisierung, ATT&CK-basierte Hypothesenbildung, mehrstufige Timeline-Korrelation und automatisierte Chain-of-Custody-Kontrollen. Ergänzt wird dies durch ein Implementierungsmodell, das Werkzeuge wie Velociraptor, KAPE, Plaso/log2timeline, Sigma, YARA, Timesketch, osquery, Sysmon, Volatility 3 und cloud-native Audit-Quellen operational integriert. Eine experimentelle Bewertung demonstriert, dass die vorgeschlagene Pipeline die mittlere Zeit bis zur belastbaren Ersthypothese reduziert, die Artefaktverlustquote senkt und die Beweiskohärenz im Vergleich zu ad-hoc-Analysen verbessert. Eine Fallstudie zu einem tokenbasierten Angriffsverlauf mit Identitäts- und Cloud-Komponenten zeigt, wie DFIR in realistischen Szenarien sowohl technische Ursachenanalyse als auch operative Eindämmung unterstützt. Abschließend diskutiert das Papier Grenzen durch Verschlüsselung, SIEM-Latenzen, Datenschutz, KI-gestützte Täuschung und die juristische Verwertbarkeit von Cloud-Evidenz. Es schließt mit einem Ausblick auf eBPF-native Forensik, post-quantenkryptographische Nachweisverfahren und den Einsatz von KI unter strengen Governance- und Audit-Anforderungen.
Read paper →DFIRDFIR in modernen Unternehmensumgebungen 2026: Eine empirische und operative Methodik für cloud-, endpoint- und identity-zentrierte Incident-Response- und Forensik-Workflows
Digitale Forensik und Incident Response (DFIR) haben sich bis 2026 von einer primär hostzentrierten Disziplin zu einem hochintegrierten Betriebsmodell für hybride Infrastrukturen entwickelt, in denen Endpunkte, Identitäten, Cloud-Kontrollen, SaaS-Logs, EDR-Telemetrie, eBPF-basierte Sensorik und KI-gestützte Analysepipelines zusammengeführt werden müssen. Dieser Beitrag formuliert DFIR als messbares, operatives System aus Erkennung, Beweissicherung, Analyse, Eindämmung und Wiederherstellung. Im Mittelpunkt steht eine Methode, die Artefaktpriorisierung, Zeitrekonstruktion, Vertrauensbewertung und Untersuchung unter Ressourcenbeschränkung kombiniert. Die Arbeit berücksichtigt reale Angriffs- und Verteidigungsmuster der Jahre 2020 bis 2026, darunter Identitätsmissbrauch, Living-off-the-Land, Massenexfiltration über Cloud-Speicher, Dateilose Malware, Ransomware-Ökosysteme, Token-Diebstahl, OAuth-Missbrauch und Lateral Movement in Microsoft- und Linux-dominierten Umgebungen. Der Beitrag ist dreifach: Erstens wird ein formales Bedrohungsmodell für DFIR in hybriden Umgebungen definiert, das Beweiszerfall, Protokoll-Lücken, Tenant-Grenzen und die Vertrauenswürdigkeit von Telemetrie erfasst. Zweitens wird eine praxisnahe Methodik vorgeschlagen, die auf priorisierten Artefaktklassen, zeitlicher Korrelation und reproduzierbarer Beweiskette basiert und sowohl klassische Werkzeuge wie KAPE, Velociraptor, Plaso, Volatility, Autopsy und Timesketch als auch moderne Cloud- und Identity-Quellen integriert. Drittens wird die Methode anhand eines realistischen Fallstudien- und Evaluationsdesigns demonstriert, das Erkennungsqualität, Zeitsparen, False-Positive-Rate und Wiederherstellungsfähigkeit quantifiziert. Die Ergebnisse zeigen, dass eine DFIR-Pipeline mit standardisierter Beweiserhebung, normalisierten Ereignismodellen und dedizierter Identity-Telemetrie die mittlere Triage-Zeit signifikant reduziert und die Rekonstruktion komplexer Angriffsketten verbessert. Gleichzeitig wird deutlich, dass KI-gestützte Analyse ohne strenge Evidenzkontrolle und provenance-aware Workflows das Fehlerrisiko erhöht. Abschließend diskutiert der Beitrag Governance, Post-Quantum-Readiness, eBPF-Observability und die organisatorische Einbettung von DFIR als kontinuierliche Fähigkeit statt als reaktive Sonderfunktion.
Read paper →DFIRDFIR im Jahr 2026: Eine operationalisierte Methodik zur forensischen Eindämmung, Beweissicherung und KI-gestützten Analyse moderner Cyberangriffe
Digitale Forensik und Incident Response (DFIR) haben sich bis 2026 von einer reaktiven Sonderdisziplin zu einer zentralen, kontinuierlich operierenden Sicherheitsfunktion entwickelt. Getrieben durch Cloud-Migration, Containerisierung, Hybrid-Identitäten, Ransomware-as-a-Service, Living-off-the-Land-Techniken, KI-gestützte Social Engineering-Kampagnen und die zunehmende Telemetrie moderner Plattformen muss DFIR heute zugleich gerichtsfest, hochautomatisiert und taktisch belastbar sein. Dieser Beitrag formuliert DFIR als operatives System aus Erkennung, Beweissicherung, Analyse, Eindämmung und Wiederherstellung und verknüpft klassische forensische Prinzipien mit modernen Datenquellen wie EDR-/XDR-Telemetrie, Zeek-Netzwerkspuren, Windows Event Logs, Cloud Audit Trails, eBPF-Signalen und Identitätsprotokollen. Dazu wird ein formales Threat Model entwickelt, das sowohl die Angriffsökonomie adversarialer Gruppen als auch die Beweiswertschöpfung in heterogenen Infrastrukturen abbildet. Auf Basis dieses Modells schlagen wir eine integrierte DFIR-Methodik vor, die priorisierte Triage, zeitsynchrone Beweisgraphen, Artefakt-Korrelation und risikobasierte Eingriffsentscheidungen kombiniert. Die Implementierung wird mit realen Werkzeugen wie Velociraptor, KAPE, Sigma, YARA, Volatility 3, Zeek, Timesketch und cloudnativen Audit-APIs beschrieben. Eine experimentelle Evaluation an repräsentativen Angriffsszenarien zeigt, dass die Methodik die mittlere Zeit bis zur belastbaren Hypothese, die Zeit bis zur Eindämmung und die Vollständigkeit der Artefaktkette signifikant verbessert. Abschließend diskutiert der Beitrag Grenzen aktueller DFIR-Praxis, insbesondere Beweisverlust in kurzlebigen Cloud-Workloads, KI-verstärkte Täuschung und die Spannungen zwischen operativer Schnelligkeit und rechtlicher Verwertbarkeit. Der Artikel zielt darauf ab, DFIR als reproduzierbare, messbare und zukunftsfähige Disziplin für die Sicherheitslandschaft des Jahres 2026 zu etablieren.
Read paper →DFIRForensische Detektion und Reaktionsarchitektur für hybride DFIR-Pipelines in Cloud-, Endpunkt- und Identitätsdomänen
Digitale Forensik und Incident Response (DFIR) haben sich bis 2026 von einer überwiegend artefaktzentrierten Nachanalyse hin zu einer kontinuierlichen, telemetry-getriebenen Reaktionsdisziplin entwickelt. Die heutige Angriffslandschaft umfasst identitätsbasierte Kompromittierungen, Living-off-the-Land-Techniken, cloudübergreifende Bewegungsoperationen, unternehmensweite Ransomware-Ökosysteme, Missbrauch generativer KI für Phishing und Social Engineering sowie Angriffe auf SaaS-, EDR- und IAM-Ebenen. Klassische punktuelle Forensikansätze sind unter diesen Bedingungen zu langsam, zu manuell und zu wenig reproduzierbar. Diese Arbeit formuliert DFIR daher als ein optimierungsbasiertes, mehrschichtiges Entscheidungsproblem und entwickelt eine methodische Architektur für hybride Pipelines aus Endpoint-, Identity-, Cloud- und Netzwerk-Telemetrie. Im Zentrum steht ein praktikables Modell, das Beweissicherung, Triage, Korrelation, Zeitleistenrekonstruktion, Hypothesentest und Wiederherstellung in einem konsistenten Arbeitsfluss verbindet. Die vorgeschlagene Methodik kombiniert evidenzgewichtete Priorisierung, graphbasierte Ereignisverknüpfung, standardisierte Artefakt-Extraktion, sektorübergreifende Metriken und AI-gestützte Analytik unter strikter menschlicher Kontrolle. Ergänzend werden Implementierungsdetails für gängige Werkzeuge wie KAPE, Velociraptor, Plaso, Timesketch, Sigma, YARA, osquery, Zeek und Cloud-nativen Auditquellen beschrieben. Eine experimentelle Bewertung demonstriert, wie sich die Methode gegenüber einer rein manuellen Triagierung hinsichtlich Time-to-Containment, Beweisdichte, Rekonstruktionsfehlern und Analystenaufwand verbessert. Ein realitätsnahes Fallbeispiel zeigt die Anwendung auf eine Identitätskompromittierung mit anschließender Cloud-Persistenz und Datenexfiltration. Die Arbeit schließt mit einer kritischen Diskussion zu Skalierbarkeit, Beweiswert, rechtlichen Grenzen, KI-Governance und der Notwendigkeit einer stärker automatisierten, aber auditierbaren DFIR-Architektur für die zweite Hälfte der 2020er Jahre.
Read paper →DFIROperative DFIR im Zeitalter KI‑gestützter Angriffe: Architektur, Methodik und empirische Bewertung moderner Digital Forensics and Incident Response Plattformen (2020–2026)
Digital Forensics and Incident Response (DFIR) hat sich zwischen 2020 und 2026 fundamental verändert. Angreifer nutzen zunehmend Automatisierung, Cloud‑native Infrastruktur und generative KI, um Angriffe zu skalieren, während Verteidiger mit stark fragmentierten Telemetriequellen, hohen Datenvolumina und komplexen hybriden IT‑Umgebungen konfrontiert sind. Klassische forensische Verfahren – etwa manuelle Artefaktanalyse von Disk‑Images – reichen für moderne Unternehmensumgebungen nicht mehr aus. Stattdessen hat sich ein operatives Paradigma etabliert, das Echtzeit‑Telemetrie, verteilte Endpoint‑Sammlung, eBPF‑basierte Kernelbeobachtung sowie automatisierte Timeline‑Analyse kombiniert. Diese Arbeit untersucht den aktuellen Stand operativer DFIR‑Praktiken im Jahr 2026 und präsentiert eine integrierte Methodik zur Untersuchung komplexer Sicherheitsvorfälle in hybriden Umgebungen (On‑Premise, Cloud, Container und SaaS). Der Ansatz kombiniert drei Ebenen: (1) skalierbare Telemetrieaggregation mittels Open‑Source‑Werkzeugen wie Velociraptor, osquery und Zeek, (2) automatisierte Artefaktkorrelation über Timeline‑Frameworks wie Plaso/Timesketch und (3) probabilistische Priorisierung von Ereignissen mittels Bayes‑basierter Evidenzbewertung. Basierend auf experimentellen Untersuchungen in einer simulierten Enterprise‑Umgebung mit über 4 TB Telemetriedaten zeigt die Studie, dass automatisierte Artefaktkorrelation die mittlere Zeit zur Ursachenanalyse (Mean Time To Root Cause, MTRC) um bis zu 46 % reduzieren kann. Gleichzeitig erhöht die Kombination aus Host‑Telemetrie, Netzwerkforensik und Container‑Artefakten die Erkennungsrate komplexer Angriffe wie Supply‑Chain‑Kompromittierungen und Living‑off‑the‑Land‑Techniken signifikant. Eine Fallstudie analysiert einen realitätsnahen Angriffspfad basierend auf Techniken aus den Kampagnen um Log4Shell (CVE‑2021‑44228), MOVEit‑Exploitation (2023) und der XZ‑Backdoor (2024). Dabei wird gezeigt, wie moderne DFIR‑Werkzeuge und strukturierte Analyseprozesse die Rekonstruktion eines mehrstufigen Angriffs ermöglichen. Die Ergebnisse verdeutlichen, dass effektives DFIR im Jahr 2026 weniger eine Frage einzelner Tools als vielmehr eine Frage integrierter Analysepipelines ist. Zukunftsfähige Incident‑Response‑Architekturen müssen hochgradig automatisiert, cloud‑fähig und datengetrieben sein, während gleichzeitig die Integrität forensischer Beweise gewahrt bleibt.
Read paper →DFIRFormale und operative Architektur für die Reaktion auf digitale Vorfälle mit kryptografischen Garantien und überprüfbarer Validierung in modernen Infrastrukturen
TITLE: Formale und operative Architektur für die Reaktion auf digitale Vorfälle mit kryptografischen Garantien und überprüfbarer Validierung in modernen Infrastrukturen ABSTRACT: Formale und operative Architektur für die Reaktion auf digitale Vorfälle mit kryptografischen Garantien und überprüfbarer Validierung in modernen Infrastrukturen Zusammenfassung: Formale und operative Architektur für die Reaktion auf digitale Vorfälle mit kryptografischen Garantien und überprüfbarer Validierung in modernen Infrastrukturen Zusammenfassung: Die zunehmende Komplexität zeitgenössischer digitaler Ökosysteme, verstärkt durch die breite Einführung von Cloud-Computing, Microservice-Architekturen, künstlicher Intelligenz und verteilten Infrastrukturen, erfordert rigorosere Ansätze für Digital Forensics and Incident Response (DFIR). Traditionelle Incident-Response-Strukturen konzentrieren sich überwiegend auf operative Verfahren und organisatorische Governance und lassen wesentliche Lücken in der mathematischen Formalisierung der Integrität von Beweismitteln sowie in der Überprüfbarkeit der Chain of Custody. In dieser Arbeit schlagen wir eine integrierte Architektur vor, die die Grundlagen der angewandten Kryptografie, Methoden der formalen Verifikation und operative Mechanismen zur Erfassung und Korrelation von Telemetriedaten für die Incident Response in Unternehmensumgebungen, kritischen Infrastrukturen und Cloud-Plattformen kombiniert. Wir formalisieren ein spezifisches Bedrohungsmodell für DFIR auf der Grundlage von Klassen adversarialer Fähigkeiten und definieren Sicherheitsspiele, die Eigenschaften der Integrität, Authentizität und Unveränderlichkeit der Beweiskette erfassen. Wir führen einen kryptografischen Verkettungsmechanismus ein, der auf kollisionsresistenten Hash-Funktionen und Merkle-Bäumen basiert und mit modernen digitalen Signaturen sowie unveränderlichem Speicher kombiniert wird. Darüber hinaus präsentieren wir einen forensischen Korrelationsalgorithmus, modelliert als gerichteten azyklischen Graphen, mit Komplexitätsanalyse und beweisbaren Korrektheitseigenschaften. Die Architektur ist für die Integration mit weit verbreiteten Werkzeugen in zeitgenössischen Sicherheitsoperationen ausgelegt, einschließlich YARA, Sigma, Suricata, SIEM/SOAR-Telemetrie-Pipelines und auf eBPF basierenden Observabilitätsmechanismen in Linux-Umgebungen. Wir führten eine qualitative experimentelle Bewertung durch, in der der vorgeschlagene Ansatz mit traditionellen Incident-Response-Workflows verglichen wurde, wobei Ingestion-Latenz, Rechenaufwand und Widerstandsfähigkeit gegenüber adversarialer Manipulation untersucht wurden. Zwei Fallstudien — eine in einer digitalisierten Krankenhausumgebung und eine in einem industriellen ICS/SCADA-Netzwerk — demonstrieren die Anwendbarkeit des Modells in Domänen mit starken regulatorischen und operativen Einschränkungen. Wir schließen, dass die systematische Einbindung kryptografischer Garantien und formaler Spezifikationen in die DFIR-Praxis die Beweiszuverlässigkeit und die Auditierbarkeit von Untersuchungen erheblich erhöht, allerdings auf Kosten eines moderaten Rechenaufwands und einer höheren operativen Komplexität. Die Arbeit trägt zur Konvergenz von angewandter Kryptografie, formaler Verifikation und operativer Sicherheitsengineering bei und richtet sich an den Anforderungen der zeitgenössischen Cybersicherheit im Jahr 2024 aus.
Read paper →DFIRTITEL: Formale und operationale Architektur für die Reaktion auf digitale Vorfälle mit kryptographischen Garantien und verifizierbarer Validierung in modernen Infrastrukturen
TITEL: Formale und operationale Architektur für die Reaktion auf digitale Vorfälle mit kryptographischen Garantien und verifizierbarer Validierung in modernen Infrastrukturen ABSTRAKT: Die zunehmende Komplexität zeitgenössischer digitaler Ökosysteme, verstärkt durch die massive Einführung von Cloud Computing, Microservices-Architekturen, Künstlicher Intelligenz und verteilten Infrastrukturen, erfordert rigorosere Ansätze für Digital Forensics and Incident Response (DFIR). Traditionelle Incident-Response-Strukturen konzentrieren sich überwiegend auf operative Verfahren und organisatorische Governance und lassen wesentliche Lücken bei der mathematischen Formalisierung der Integrität von Beweismitteln sowie bei der Verifizierbarkeit von Custody Chains. In dieser Arbeit schlagen wir eine integrierte Architektur vor, die Grundlagen der angewandten Kryptographie, formale Verifikationsmethoden und operationale Mechanismen zur Erfassung und Korrelation von Telemetriedaten für die Incident Response in Unternehmensumgebungen, kritischen Infrastrukturen und Cloud-Plattformen kombiniert. Wir formalisieren ein spezifisches Bedrohungsmodell für DFIR auf Basis von Klassen adversarialer Fähigkeiten und definieren Sicherheitsspiele, die Eigenschaften der Integrität, Authentizität und Unveränderlichkeit der Beweiskette erfassen. Wir führen einen kryptographischen Verkettungsmechanismus ein, der auf kollisionsresistenten Hash-Funktionen und Merkle-Bäumen basiert und mit modernen digitalen Signaturen sowie unveränderlicher Speicherung kombiniert wird. Darüber hinaus präsentieren wir einen forensischen Korrelationsalgorithmus, der als gerichteter azyklischer Graph modelliert ist und eine Komplexitätsanalyse sowie beweisbare Korrektheitseigenschaften aufweist. Die Architektur ist für die Integration in weit verbreitete Werkzeuge moderner Sicherheitsoperationen konzipiert, einschließlich YARA, Sigma, Suricata, Telemetrie-Pipelines in SIEM/SOAR und auf eBPF basierende Observability-Mechanismen in Linux-Umgebungen. Wir führen eine qualitative experimentelle Bewertung durch, in der der vorgeschlagene Ansatz mit traditionellen Incident-Response-Workflows verglichen wird, wobei Ingestion-Latenz, Rechenaufwand und Widerstandsfähigkeit gegen adversariale Manipulation untersucht werden. Zwei Fallstudien — eine in einer digitalisierten Krankenhausumgebung und eine in einem industriellen ICS/SCADA-Netzwerk — demonstrieren die Anwendbarkeit des Modells in Domänen mit strengen regulatorischen und operativen Einschränkungen. Wir kommen zu dem Schluss, dass die systematische Einbindung kryptographischer Garantien und formaler Spezifikationen in die DFIR-Praxis die Beweissicherheit und die Auditierbarkeit von Untersuchungen signifikant erhöht, allerdings auf Kosten eines moderaten Rechenaufwands und einer höheren operationellen Komplexität. Die Arbeit trägt zur Konvergenz von angewandter Kryptographie, formaler Verifikation und operativer Sicherheitstechnik bei und steht im Einklang mit den Anforderungen der zeitgenössischen Cybersicherheit im Jahr 2024.
Read paper →DFIRTITEL: Formale und operative Architektur für die Reaktion auf digitale Vorfälle mit kryptografischen Garantien und verifizierbarer Validierung in modernen Infrastrukturen
TITEL: Formale und operative Architektur für die Reaktion auf digitale Vorfälle mit kryptografischen Garantien und verifizierbarer Validierung in modernen Infrastrukturen ABSTRACT: Formale und operative Architektur für die Reaktion auf digitale Vorfälle mit kryptografischen Garantien und verifizierbarer Validierung in modernen Infrastrukturen Zusammenfassung: Formale und operative Architektur für die Reaktion auf digitale Vorfälle mit kryptografischen Garantien und verifizierbarer Validierung in modernen Infrastrukturen Zusammenfassung: Die zunehmende Komplexität zeitgenössischer digitaler Ökosysteme, verstärkt durch die breite Einführung von Cloud Computing, Microservice-Architekturen, künstlicher Intelligenz und verteilten Infrastrukturen, erfordert rigorosere Ansätze für Digital Forensics and Incident Response (DFIR). Traditionelle Strukturen der Incident Response konzentrieren sich überwiegend auf operative Verfahren und organisatorische Governance und lassen wesentliche Lücken in der mathematischen Formalisierung der Beweisintegrität und der Verifizierbarkeit der Chain of Custody. In dieser Arbeit schlagen wir eine integrierte Architektur vor, die die Grundlagen der angewandten Kryptografie, Methoden der formalen Verifikation und operative Mechanismen zur Erfassung und Korrelation von Telemetriedaten für die Reaktion auf Vorfälle in Unternehmensumgebungen, kritischen Infrastrukturen und Cloud-Plattformen kombiniert. Wir formalisieren ein spezifisches Bedrohungsmodell für DFIR auf der Grundlage von Klassen adversarieller Fähigkeiten und definieren Sicherheits- Spiele, die die Eigenschaften der Integrität, Authentizität und Unveränderlichkeit der Beweiskette erfassen. Wir führen einen kryptografischen Verkettungsmechanismus ein, der auf kollisionsresistenten Hash-Funktionen und Merkle-Bäumen basiert, kombiniert mit modernen digitalen Signaturen und unveränderlicher Speicherung. Darüber hinaus präsentieren wir einen forensischen Korrelationsalgorithmus, der als gerichteter azyklischer Graph modelliert ist, mit Komplexitätsanalyse und nachweisbaren Korrektheitseigenschaften. Die Architektur ist für die Integration mit weit verbreiteten Werkzeugen in zeitgenössischen Sicherheitsoperationen ausgelegt, darunter YARA, Sigma, Suricata, SIEM/SOAR-Telemetrie-Pipelines und eBPF-basierte Beobachtbarkeitsmechanismen in Linux-Umgebungen. Wir führen eine qualitative experimentelle Bewertung durch, die den vorgeschlagenen Ansatz mit traditionellen Incident-Response-Workflows vergleicht und Ingestionslatenz, Rechenaufwand und Widerstandsfähigkeit gegen adversariale Manipulation untersucht. Zwei Fallstudien — eine in einer digitalisierten Krankenhausumgebung und eine in einem industriellen ICS/SCADA-Netzwerk — demonstrieren die Anwendbarkeit des Modells in Domänen mit strengen regulatorischen und operativen Einschränkungen. Wir schließen daraus, dass die systematische Einbindung kryptografischer Garantien und formaler Spezifikationen in die DFIR-Praxis die Beweiszuverlässigkeit und Auditierbarkeit von Untersuchungen erheblich erhöht, allerdings um den Preis eines moderaten Rechenaufwands und einer höheren operativen Komplexität. Die Arbeit trägt zur Konvergenz von angewandter Kryptografie, formaler Verifikation und operativer Sicherheitsingenieurwissenschaft bei und steht im Einklang mit den Anforderungen der zeitgenössischen Cybersicherheit im Jahr 2024.
Read paper →DFIRTITEL: Evidenzorientierte Architektur für hochfidele DFIR: Mehrschichtige Korrelation, mathematische Formalisierung und empirische Bewertung in Unternehmensumgebungen
TITEL: Evidenzorientierte Architektur für hochfidele DFIR: Mehrschichtige Korrelation, mathematische Formalisierung und empirische Bewertung in Unternehmensumgebungen ABSTRACT: Die zunehmende Raffinesse unternehmensbezogener Cyberangriffe erfordert Digital Forensics and Incident Response (DFIR)-Methodiken, die in der Lage sind, komplexe Angriffsketten aus mehreren heterogenen Evidenzquellen zu rekonstruieren. Moderne Unternehmensumgebungen erzeugen große Mengen an Telemetriedaten aus Endpunkten, Netzwerken, Cloud-Diensten und Sicherheitsplattformen, einschließlich EDR, SIEM und Observability-Tools. Die operative Integration und die strikte zeitliche Korrelation dieser Beweise bleiben jedoch erhebliche Herausforderungen. Diese Arbeit schlägt eine evidenzorientierte Architektur für hochfidele digitale Forensik vor, die auf einer formalen Modellierung durch verifizierbare zeitliche Graphen basiert. Das Modell führt eine mathematische Struktur ein, die digitale Artefakte, kausale Beziehungen und Kennzeichnungen adversarialer Techniken gemäß dem MITRE ATT&CK-Framework darstellt und gleichzeitig kryptografische Integritäts- und zeitliche Konsistenz-Eigenschaften bewahrt. Die operative Architektur integriert in der Industrie weit verbreitete Werkzeuge, darunter Sysmon, Suricata, Auditd, Elastic Stack, Volatility 3 und YARA, sowie Mechanismen zur Orchestrierung der Incident Response. Wir schlagen zwei Hauptalgorithmen vor: EviGraph-Builder, der für den Aufbau des forensischen Graphen aus normalisierten Ereignissen verantwortlich ist, und CausalPath-Reconstruct, der auf die probabilistische Rekonstruktion mehrstufiger Angriffsketten abzielt. Die experimentelle Bewertung wurde mit 49 Szenarien durchgeführt, die reale Vorfälle und kontrollierte, auf Atomic Red Team basierende Umgebungen umfassten. Die Ergebnisse zeigen eine durchschnittliche Reduktion der Untersuchungszeit von mehr als 50 % und eine signifikante Steigerung der korrekten Korrelation adversarialer Techniken im Vergleich zu traditionellen manuellen Verfahren. Zusätzlich diskutieren wir operative Implikationen für Security Operations Center (SOC), Anforderungen an die Zeitsynchronisation, die Wahrung der Beweismittelkette (chain of custody) sowie die Integration mit modernen Cloud-Sicherheitsplattformen und hybriden Umgebungen. Die Ergebnisse zeigen, dass die mathematische Formalisierung in Verbindung mit der Automatisierung der Evidenzkorrelation einen bedeutenden Fortschritt für unternehmensbezogenes DFIR darstellt und zu schnelleren, reproduzierbaren und verifizierbaren Untersuchungen beiträgt.
Read paper →DFIRTITEL: Eine formal begründete Architektur für graphenbasiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette
TITEL: Eine formal begründete Architektur für graphenbasiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ABSTRACT: TITEL: Eine formal begründete Architektur für graphenbasiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ZUSAMMENFASSUNG: Die zunehmende Raffinesse moderner Cyberkampagnen stellt die Praktiken von Digital Forensics and Incident Response (DFIR) vor erhebliche Herausforderungen. Zeitgenössische Unternehmensumgebungen erzeugen massive Mengen an Telemetrie auf mehreren Ebenen – Endpunkte, Netzwerke, Anwendungen und Cloud-Infrastrukturen – wodurch eine manuelle Rekonstruktion von Vorfällen praktisch unmöglich wird. Obwohl Überwachungssysteme und SIEM-Plattformen Mechanismen zur Ereigniskorrelation bereitstellen, fehlt solchen Ansätzen häufig eine formale Grundlage, um kausale Beziehungen und zeitliche Konsistenz zwischen digitalen Beweismitteln zu bewahren. In dieser Arbeit präsentieren wir eine formale Architektur für DFIR auf Basis temporaler Graphen, angereichert um probabilistische Inferenz und kryptografische Mechanismen zur Integritätssicherung von Beweismitteln. Wir schlagen ein mathematisches Modell vor, das forensische Ereignisse als typisierte Knoten in einem zeitlich konsistenten gerichteten Graphen repräsentiert und so die Erfassung kausaler Abhängigkeiten zwischen Prozessen, Dateien, Netzwerkverbindungen und Identitäten ermöglicht. Auf diesem Graphen führen wir den Algorithmus Attack Probabilistic Reconstruction (APR) ein, der bayesische Inferenz unter Berücksichtigung von taktischen und technischen Mustern verwendet, wie sie in der MITRE ATT&CK-Struktur beschrieben sind, um die wahrscheinlichste Abfolge der Handlungen des Angreifers zu schätzen. Darüber hinaus implementieren wir einen kryptografischen Hash-Verkettungsmechanismus, der die Integrität und Überprüfbarkeit der Beweismittel entlang der gesamten investigativen Pipeline sicherstellt. Wir evaluieren die vorgeschlagene Architektur experimentell anhand von drei repräsentativen Datensätzen: dem DARPA-Transparent-Computing-Datensatz, umfangreichen realen Unternehmensprotokollen und synthetischen Log4Shell-Ausbeutungsszenarien. Die Ergebnisse zeigen deutliche Verbesserungen bei Präzision, Recall und Rekonstruktionszeit der Angriffskette im Vergleich zu Ansätzen, die ausschließlich auf heuristischer Korrelation oder isolierter statistischer Erkennung beruhen. Wir beobachten eine durchschnittliche Reduktion der investigativen Rekonstruktionszeit um 37,4 % sowie eine signifikante Steigerung der Genauigkeit der Angriffsketteninferenz. Zudem diskutieren wir praktische Implikationen für die Integration in moderne SIEM-Plattformen sowie Einschränkungen im Zusammenhang mit der Protokollqualität und den Speicheraufwänden. Wir kommen zu dem Schluss, dass die Kombination aus formaler Modellierung auf Basis temporaler Graphen, probabilistischer Inferenz und kryptografischen Garantien eine vielversprechende Grundlage für skalierbare und überprüfbare DFIR-Systeme in zeitgenössischen Unternehmensumgebungen darstellt.
Read paper →DFIRTITEL: Eine formal fundierte Architektur für graphbasiertes DFIR mit kryptographischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette
TITEL: Eine formal fundierte Architektur für graphbasiertes DFIR mit kryptographischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ABSTRACT: TITEL: Eine formal fundierte Architektur für graphbasiertes DFIR mit kryptographischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ZUSAMMENFASSUNG: Die zunehmende Raffinesse moderner Cyberkampagnen stellt Digital Forensics and Incident Response (DFIR) vor erhebliche Herausforderungen. Zeitgenössische Unternehmensumgebungen erzeugen massive Telemetriemengen auf mehreren Ebenen — Endpunkte, Netzwerke, Anwendungen und Cloud-Infrastrukturen — wodurch eine manuelle Rekonstruktion von Vorfällen praktisch unmöglich wird. Obwohl Überwachungssysteme und SIEM-Plattformen Mechanismen zur Ereigniskorrelation bereitstellen, fehlen solchen Ansätzen häufig eine formale Grundlage, um kausale Beziehungen und zeitliche Konsistenz zwischen digitalen Beweismitteln zu bewahren. In dieser Arbeit präsentieren wir eine formale Architektur für DFIR auf der Grundlage zeitlicher Graphen, angereichert mit probabilistischer Inferenz und kryptographischen Mechanismen zur Integritätssicherung von Beweismitteln. Wir schlagen ein mathematisches Modell vor, das forensische Ereignisse als typisierte Knoten in einem zeitlich konsistent gerichteten Graphen repräsentiert und es ermöglicht, kausale Abhängigkeiten zwischen Prozessen, Dateien, Netzwerkverbindungen und Identitäten zu erfassen. Auf diesem Graphen führen wir den Algorithmus Attack Probabilistic Reconstruction (APR) ein, der bayesianische Inferenz unter Einbeziehung taktischer und technischer Muster verwendet, wie sie im MITRE-ATT&CK-Framework beschrieben sind, um die wahrscheinlichste Abfolge der Handlungen des Angreifers zu schätzen. Zusätzlich implementieren wir einen kryptographischen Hash-Kettenmechanismus, der die Integrität und Überprüfbarkeit der Beweismittel entlang der gesamten investigativen Pipeline gewährleistet. Wir evaluieren die vorgeschlagene Architektur experimentell anhand dreier repräsentativer Datensätze: des DARPA-Transparent-Computing-Datensatzes, realer Unternehmensprotokolle im großen Maßstab und synthetischer Log4Shell-Exploitszenarien. Die Ergebnisse zeigen deutliche Verbesserungen bei Präzision, Recall und Rekonstruktionszeit der Angriffskette im Vergleich zu Ansätzen, die ausschließlich auf heuristischer Korrelation oder isolierter statistischer Erkennung beruhen. Wir beobachten eine durchschnittliche Reduktion der investigativen Rekonstruktionszeit um 37,4 % und eine signifikante Steigerung der Genauigkeit der Angriffsketteninferenz. Zudem diskutieren wir praktische Implikationen für die Integration in moderne SIEM-Plattformen sowie Einschränkungen im Zusammenhang mit der Logqualität und den Speicherkosten. Wir schließen daraus, dass die Kombination aus formaler graphbasierter Modellierung, probabilistischer Inferenz und kryptographischen Garantien eine vielversprechende Grundlage für skalierbare und überprüfbare DFIR-Systeme in zeitgenössischen Unternehmensumgebungen darstellt.
Read paper →DFIRTITEL: Formal fundierte Architektur für grafenbasiertes DFIR mit kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette
TITEL: Formal fundierte Architektur für grafenbasiertes DFIR mit kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ABSTRACT: Formal fundierte Architektur für grafenbasiertes DFIR mit kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ZUSAMMENFASSUNG: Die zunehmende Raffinesse moderner Cyberangriffskampagnen stellt erhebliche Herausforderungen für Digital Forensics and Incident Response (DFIR) dar. Zeitgenössische Unternehmensumgebungen erzeugen enorme Mengen an Telemetriedaten auf mehreren Ebenen — Endpunkte, Netzwerke, Anwendungen und Cloud-Infrastrukturen — wodurch eine manuelle Rekonstruktion von Vorfällen praktisch unmöglich wird. Obwohl Überwachungssysteme und SIEM-Plattformen Mechanismen zur Ereigniskorrelation bereitstellen, mangelt es solchen Ansätzen häufig an einer formalen Grundlage, um kausale Beziehungen und zeitliche Konsistenz zwischen digitalen Beweisen zu bewahren. In dieser Arbeit präsentieren wir eine formale Architektur für DFIR auf Basis zeitlicher Graphen, angereichert um probabilistische Inferenz und kryptografische Mechanismen zur Integritätssicherung von Beweismitteln. Wir schlagen ein mathematisches Modell vor, das forensische Ereignisse als typisierte Knoten in einem zeitlich konsistenten gerichteten Graphen repräsentiert und dadurch kausale Abhängigkeiten zwischen Prozessen, Dateien, Netzwerkverbindungen und Identitäten erfasst. Auf diesem Graphen führen wir den Algorithmus Attack Probabilistic Reconstruction (APR) ein, der Bayes-Inferenz unter Berücksichtigung taktischer und technischer Muster aus dem MITRE-ATT&CK-Rahmenwerk nutzt, um die wahrscheinlichste Abfolge der Handlungen des Angreifers zu schätzen. Zusätzlich implementieren wir einen kryptografischen Hash-Chain-Mechanismus, der die Integrität und Verifizierbarkeit der Beweise entlang der gesamten Ermittlungs-Pipeline gewährleistet. Wir evaluieren die vorgeschlagene Architektur experimentell anhand von drei repräsentativen Datensätzen: dem DARPA-Transparent-Computing-Datensatz, großskaligen realen Unternehmenslogs und synthetischen Log4Shell-Exploitszenarien. Die Ergebnisse zeigen deutliche Verbesserungen bei Präzision, Recall und Zeitaufwand für die Rekonstruktion der Angriffskette im Vergleich zu Ansätzen, die ausschließlich auf heuristischer Korrelation oder isolierter statistischer Erkennung beruhen. Wir beobachteten eine durchschnittliche Reduktion von 37,4 % der Zeit für die forensische Rekonstruktion sowie eine signifikante Steigerung der Genauigkeit der Inferenz zur Angriffskette. Zudem diskutieren wir praktische Implikationen für die Integration in moderne SIEM-Plattformen sowie Einschränkungen im Zusammenhang mit der Logqualität und den Speicherkosten. Wir schließen daraus, dass die Kombination aus formaler Modellierung auf Basis zeitlicher Graphen, probabilistischer Inferenz und kryptografischen Garantien eine vielversprechende Grundlage für skalierbare und überprüfbare DFIR-Systeme in zeitgenössischen Unternehmensumgebungen darstellt.
Read paper →DFIRTITEL: Eine formal begründete Architektur für graphbasiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette
TITEL: Eine formal begründete Architektur für graphbasiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ABSTRACT: TÍTULO: Eine formal begründete Architektur für graphbasiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ZUSAMMENFASSUNG: Der zunehmende Grad an Raffinesse moderner Cyberkampagnen stellt die Praktiken von Digital Forensics and Incident Response (DFIR) vor erhebliche Herausforderungen. Zeitgenössische Unternehmensumgebungen erzeugen massive Mengen an Telemetriedaten auf mehreren Ebenen — Endpunkte, Netzwerke, Anwendungen und Cloud-Infrastrukturen — wodurch die manuelle Rekonstruktion von Vorfällen praktisch unmöglich wird. Obwohl Monitoring-Systeme und SIEM-Plattformen Mechanismen zur Ereigniskorrelation bereitstellen, fehlt solchen Ansätzen häufig eine formale Grundlage, um kausale Beziehungen und zeitliche Konsistenz zwischen digitalen Beweismitteln zu erhalten. In dieser Arbeit präsentieren wir eine formale Architektur für DFIR auf der Grundlage zeitlicher Graphen, angereichert mit probabilistischer Inferenz und kryptografischen Mechanismen zur Integritätssicherung von Beweismitteln. Wir schlagen ein mathematisches Modell vor, das forensische Ereignisse als typisierte Knoten in einem zeitlich konsistenten gerichteten Graphen repräsentiert und es ermöglicht, kausale Abhängigkeiten zwischen Prozessen, Dateien, Netzwerkverbindungen und Identitäten zu erfassen. Auf diesem Graphen führen wir den Algorithmus Attack Probabilistic Reconstruction (APR) ein, der eine Bayes’sche Inferenz unter Berücksichtigung taktischer und technischer Muster aus dem MITRE-ATT&CK-Framework verwendet, um die wahrscheinlichste Abfolge der Aktionen des Angreifers zu schätzen. Zusätzlich implementieren wir einen kryptografischen Hash-Kettenmechanismus, der die Integrität und Verifizierbarkeit der Beweismittel entlang des gesamten investigativen Pipelines gewährleistet. Wir evaluieren die vorgeschlagene Architektur experimentell anhand von drei repräsentativen Datensätzen: dem DARPA Transparent Computing-Datensatz, realen unternehmensweiten Groß-Logs und synthetischen Log4Shell-Ausnutzungsszenarien. Die Ergebnisse zeigen deutliche Verbesserungen bei Präzision, Recall und der Zeit zur Rekonstruktion der Angriffskette im Vergleich zu Ansätzen, die ausschließlich auf heuristischer Korrelation oder isolierter statistischer Detektion basieren. Wir beobachteten eine durchschnittliche Reduktion der investigativen Rekonstruktionszeit um 37,4 % sowie einen signifikanten Anstieg der Genauigkeit der Inferenz zur Angriffskette. Darüber hinaus diskutieren wir praktische Implikationen für die Integration in moderne SIEM-Plattformen sowie Einschränkungen im Zusammenhang mit der Logqualität und den Speicheraufwänden. Wir schließen daraus, dass die Kombination aus formaler graphbasierter temporaler Modellierung, probabilistischer Inferenz und kryptografischen Garantien eine vielversprechende Grundlage für skalierbare und verifizierbare DFIR-Systeme in zeitgenössischen Unternehmensumgebungen bildet.
Read paper →DFIRTITEL: Eine formal fundierte Architektur für graphenorientiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion von Angriffsketten
TITEL: Eine formal fundierte Architektur für graphenorientiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion von Angriffsketten ABSTRACT: Die zunehmende Raffinesse moderner Cyberkampagnen stellt erhebliche Herausforderungen für Digital Forensics and Incident Response (DFIR) dar. Zeitgenössische Unternehmensumgebungen erzeugen massive Mengen an Telemetriedaten aus mehreren Ebenen — Endpoints, Netzen, Anwendungen und Cloud-Infrastrukturen — wodurch die manuelle Rekonstruktion von Vorfällen praktisch unmöglich wird. Obwohl Überwachungssysteme und SIEM-Plattformen Mechanismen zur Ereigniskorrelation bereitstellen, fehlt solchen Ansätzen häufig eine formale Fundierung, um kausale Beziehungen und zeitliche Konsistenz zwischen digitalen Beweismitteln zu bewahren. In dieser Arbeit प्रस्तुत мы eine formale Architektur für DFIR auf der Grundlage angereicherter temporaler Graphen mit probabilistischer Inferenz und kryptografischen Mechanismen zur Integrität von Beweismitteln. Wir schlagen ein mathematisches Modell vor, das forensische Ereignisse als typisierte Knoten in einem zeitlich konsistenten gerichteten Graphen repräsentiert und dadurch kausale Abhängigkeiten zwischen Prozessen, Dateien, Netzwerkverbindungen und Identitäten erfassen kann. Auf diesem Graphen führen wir den Algorithmus zur probabilistischen Angriffsrekonstruktion (RPA) ein, der bayesianische Inferenz unter Berücksichtigung taktischer und technischer Muster verwendet, die im MITRE ATT&CK-Framework beschrieben sind, um die wahrscheinlichste Abfolge adversärer Aktionen zu schätzen. Zusätzlich implementieren wir einen kryptografischen Hash-Chaining-Mechanismus, der Integrität und Verifizierbarkeit der Beweismittel entlang des gesamten investigativen Pipelines gewährleistet. Wir evaluieren die vorgeschlagene Architektur experimentell anhand von drei repräsentativen Datensätzen: dem DARPA Transparent Computing-Datensatz, realen Unternehmenslogs im großen Maßstab und synthetischen Szenarien zur Ausnutzung der Log4Shell-Schwachstelle. Die Ergebnisse zeigen substanzielle Verbesserungen bei den Metriken Präzision, Recall und Rekonstruktionszeit von Angriffsketten im Vergleich zu Ansätzen, die ausschließlich auf heuristischer Korrelation oder isolierter statistischer Erkennung basieren. Wir beobachten eine durchschnittliche Reduktion der investigativen Rekonstruktionszeit um 37,4 % sowie eine signifikante Steigerung der Genauigkeit der Angriffsketten-Inferenzen. Zudem diskutieren wir praktische Implikationen für die Integration in moderne SIEM-Plattformen sowie Einschränkungen im Zusammenhang mit der Logqualität und den Speicherkosten. Wir schließen daraus, dass die Kombination aus formaler, auf temporalen Graphen basierender Modellierung, probabilistischer Inferenz und kryptografischen Garantien eine vielversprechende Grundlage für skalierbare und verifizierbare DFIR-Systeme in zeitgenössischen Unternehmensumgebungen darstellt.
Read paper →DFIRTITEL: Formal fundierte Architektur für graphenbasiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette
TITEL: Formal fundierte Architektur für graphenbasiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ABSTRACT: Formal fundierte Architektur für graphenbasiertes DFIR mit temporalen Graphen, kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ZUSAMMENFASSUNG: Der zunehmende Grad an Raffinesse moderner Cyberkampagnen stellt die Praktiken von Digital Forensics and Incident Response (DFIR) vor erhebliche Herausforderungen. Zeitgenössische Unternehmensumgebungen erzeugen massive Mengen an Telemetrie auf mehreren Ebenen – Endpunkte, Netzwerke, Anwendungen und Cloud-Infrastrukturen – wodurch die manuelle Rekonstruktion von Vorfällen praktisch unhaltbar wird. Obwohl Überwachungssysteme und SIEM-Plattformen Mechanismen zur Ereigniskorrelation bereitstellen, fehlt solchen Ansätzen häufig eine formale Grundlage, um kausale Beziehungen und zeitliche Konsistenz zwischen digitalen Beweismitteln zu bewahren. In dieser Arbeit präsentieren wir eine formale Architektur für DFIR auf der Grundlage temporaler Graphen, angereichert um probabilistische Inferenz und kryptografische Mechanismen zur Integritätssicherung von Beweismitteln. Wir schlagen ein mathematisches Modell vor, das forensische Ereignisse als typisierte Knoten in einem zeitlich konsistenten gerichteten Graphen darstellt und es ermöglicht, kausale Abhängigkeiten zwischen Prozessen, Dateien, Netzwerkverbindungen und Identitäten zu erfassen. Auf diesem Graphen führen wir den Algorithmus Attack Probabilistic Reconstruction (APR) ein, der bayesische Inferenz unter Berücksichtigung taktischer und technischer Muster nutzt, wie sie in der MITRE-ATT&CK-Struktur beschrieben sind, um die wahrscheinlichste Abfolge der Handlungen eines Angreifers zu schätzen. Ergänzend implementieren wir einen kryptografischen Hash-Kettenmechanismus, der die Integrität und Verifizierbarkeit der Beweismittel entlang der gesamten investigativen Pipeline sicherstellt. Wir evaluieren die vorgeschlagene Architektur experimentell anhand von drei repräsentativen Datensätzen: dem DARPA Transparent Computing-Datensatz, realen Unternehmensprotokollen in großem Maßstab und synthetischen Szenarien zur Ausnutzung von Log4Shell. Die Ergebnisse zeigen deutliche Verbesserungen bei Präzision, Recall und der Zeit zur Rekonstruktion der Angriffskette im Vergleich zu Ansätzen, die sich ausschließlich auf heuristische Korrelation oder isolierte statistische Erkennung stützen. Wir beobachten eine durchschnittliche Reduktion der investigativen Rekonstruktionszeit um 37,4 % sowie einen signifikanten Anstieg der Genauigkeit der Angriffsketten-Inferenzen. Zudem diskutieren wir praktische Implikationen für die Integration in moderne SIEM-Plattformen sowie Einschränkungen im Zusammenhang mit der Logqualität und den Speicheraufwendungen. Wir schließen daraus, dass die Kombination aus formaler Modellierung auf Basis temporaler Graphen, probabilistischer Inferenz und kryptografischen Garantien eine vielversprechende Grundlage für skalierbare und überprüfbare DFIR-Systeme in zeitgenössischen Unternehmensumgebungen darstellt.
Read paper →DFIREine formal fundierte Architektur für grafenbasiertes DFIR mit kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette
TITLE: Eine formal fundierte Architektur für grafenbasiertes DFIR mit kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ABSTRACT: Eine formal fundierte Architektur für grafenbasiertes DFIR mit kryptografischen Integritätsgarantien und probabilistischer Rekonstruktion der Angriffskette ZUSAMMENFASSUNG: Die zunehmende Raffinesse moderner Cyberkampagnen stellt die Digital Forensics and Incident Response (DFIR) vor erhebliche Herausforderungen. Zeitgemäße Unternehmensumgebungen erzeugen massive Mengen an Telemetriedaten auf mehreren Ebenen — Endpunkte, Netzwerke, Anwendungen und Cloud-Infrastrukturen —, wodurch die manuelle Rekonstruktion von Vorfällen praktisch unmöglich wird. Obwohl Überwachungssysteme und SIEM-Plattformen Mechanismen zur Ereigniskorrelation bereitstellen, fehlt solchen Ansätzen häufig eine formale Grundlage, um kausale Beziehungen und zeitliche Konsistenz digitaler Beweise zu erhalten. In dieser Arbeit präsentieren wir eine formale Architektur für DFIR auf der Grundlage zeitlicher Graphen, angereichert mit probabilistischer Inferenz und kryptografischen Mechanismen zur Integritätssicherung von Beweismitteln. Wir schlagen ein mathematisches Modell vor, das forensische Ereignisse als typisierte Knoten in einem zeitlich konsistent gerichteten Graphen repräsentiert und so kausale Abhängigkeiten zwischen Prozessen, Dateien, Netzwerkverbindungen und Identitäten erfassen kann. Auf diesem Graphen führen wir den Algorithmus Attack Probabilistic Reconstruction (APR) ein, der bayesianische Inferenz unter Berücksichtigung taktischer und technischer Muster verwendet, die in der MITRE-ATT&CK-Struktur beschrieben sind, um die wahrscheinlichste Abfolge der Aktionen des Gegners zu schätzen. Zusätzlich implementieren wir einen kryptografischen Hash-Kettenmechanismus, der die Integrität und Verifizierbarkeit der Beweise entlang der gesamten Ermittlungs-Pipeline gewährleistet. Wir evaluieren die vorgeschlagene Architektur experimentell anhand von drei repräsentativen Datensätzen: dem DARPA-Transparent-Computing-Datensatz, realen großskaligen Unternehmenslogs und synthetischen Log4Shell-Exploitszenarien. Die Ergebnisse zeigen substanzielle Verbesserungen bei Präzision, Recall und Zeitaufwand für die Rekonstruktion der Angriffskette im Vergleich zu Ansätzen, die sich ausschließlich auf heuristische Korrelation oder isolierte statistische Erkennung stützen. Wir beobachten eine durchschnittliche Reduktion der Zeit für die Ermittlungsrekonstruktion um 37,4 % sowie einen signifikanten Anstieg der Genauigkeit der Schlussfolgerungen zur Angriffskette. Darüber hinaus erörtern wir praktische Implikationen für die Integration in moderne SIEM-Plattformen sowie Einschränkungen im Zusammenhang mit der Logqualität und den Speicherkosten. Wir schließen daraus, dass die Kombination aus formaler Modellierung auf Basis zeitlicher Graphen, probabilistischer Inferenz und kryptografischen Garantien eine vielversprechende Grundlage für skalierbare und verifizierbare DFIR-Systeme in zeitgenössischen Unternehmensumgebungen darstellt.
Read paper →DFIRTITEL: Evidenzorientierte Architektur für modernes DFIR: Mehrschichtige Korrelation, mathematische Formalisierung von Zeitachsen und automatisierte Orchestrierung in hybriden Umgebungen
TITEL: Evidenzorientierte Architektur für modernes DFIR: Mehrschichtige Korrelation, mathematische Formalisierung von Zeitachsen und automatisierte Orchestrierung in hybriden Umgebungen ABSTRAKT: Die zunehmende Komplexität zeitgenössischer Rechenumgebungen — gekennzeichnet durch hybride Infrastrukturen, Cloud-Workloads, Container und verteilte Systeme — stellt die Disziplin Digital Forensics and Incident Response (DFIR) vor neue Herausforderungen. Traditionelle Ermittlungsverfahren, die überwiegend auf manueller Sammlung von Artefakten und ad-hoc-Korrelation von Logs basieren, zeigen angesichts des Umfangs, der Flüchtigkeit und der Heterogenität der von modernen Systemen erzeugten Daten deutliche Grenzen. Darüber hinaus verkürzen Advanced-Persistent-Threat-(APT)-Kampagnen, Ransomware-as-a-Service-(RaaS)-Operationen und die automatisierte Ausnutzung kritischer Schwachstellen das Zeitintervall zwischen Erstkompromittierung und lateraler Bewegung drastisch. In diesem Kontext wird es unerlässlich, formalisierte und skalierbare Ansätze zu entwickeln, die mehrere Telemetriequellen integrieren und Angriffsketten mit zeitlicher Präzision rekonstruieren können. In dieser Arbeit schlagen wir eine evidenzorientierte Architektur für modernes DFIR vor, die auf drei Hauptsäulen basiert: (i) mathematische Formalisierung der Rekonstruktion forensischer Zeitachsen unter Verwendung gerichteter azyklischer Graphen, (ii) ein automatisierter Pipeline-Ansatz zur Ingestion, Normalisierung und Korrelation von Ereignissen aus Netzwerk-, Endpoint-, Identitäts- und Cloud-Ebenen sowie (iii) die operative Integration mit Plattformen zur Orchestrierung und Automatisierung der Reaktion auf Vorfälle. Das vorgeschlagene Modell repräsentiert Sicherheitsereignisse als strukturierte Entitäten und etabliert probabilistische kausale Beziehungen zwischen korrelierten Ereignissen. Die experimentelle Implementierung verwendet einen Technologiestack bestehend aus Elastic Stack, Suricata, Zeek, Sysmon, Volatility 3 und einer auf TheHive und Cortex basierenden SOAR-Plattform. Wir bewerten die Architektur anhand eines Datensatzes von 37 Szenarien, die am MITRE-ATT&CK-Framework ausgerichtet sind, mit insgesamt 1,2 TB Daten und ungefähr 86 Millionen Ereignissen. Die Ergebnisse zeigen eine signifikante Reduktion der durchschnittlichen Untersuchungszeit (MTTI), eine Verringerung von Fehlalarmen und eine höhere Genauigkeit bei der Rekonstruktion von Angriffsketten im Vergleich zu traditionellen, ausschließlich auf SIEM basierenden Ansätzen. Ergänzend diskutieren wir praktische Implikationen für Security Operations Centers (SOC), Grenzen des Modells sowie mögliche Erweiterungen, die eine auf dynamischen Graphen basierende Analyse und die Integration von Machine-Learning-Techniken zur priorisierten Untersuchung umfassen.
Read paper →DFIRFormale Orchestrierung und probabilistische Analyse von Beweismitteln in DFIR: Eine skalierbare, auf zeitlichen Graphen basierende Architektur für Multiquellen-Korrelation
TITLE: Formale Orchestrierung und probabilistische Analyse von Beweismitteln in DFIR: Eine skalierbare, auf zeitlichen Graphen basierende Architektur für Multiquellen-Korrelation ABSTRACT: Digital Forensics and Incident Response (DFIR) steht vor strukturellen Herausforderungen, die sich aus der zunehmenden Heterogenität von Unternehmensumgebungen, der Volatilität digitaler Beweismittel und der Raffinesse von Angreifern ergeben, die Living-off-the-Land-Techniken und antikforensische Evasionsmethoden einsetzen. Diese Arbeit schlägt eine formale Architektur für die Orchestrierung und probabilistische Korrelation digitaler Beweismittel auf der Grundlage multiquellenbasierter zeitlicher Graphen vor, mit expliziter mathematischer Modellierung des Problems der Rekonstruktion von Vorfällen. Unsere Methodik integriert verteilte Erfassung, semantische Normalisierung nach MITRE ATT&CK, Konstruktion kausaler Graphen und bayessche Inferenz zur Zuordnung von Ereignissen zu Angriffsketten. Wir formalisieren das Problem als die Maximierung der Posteriorwahrscheinlichkeit einer Folge von Kompromittierungszuständen, gegeben eine heterogene Menge forensischer Beobachtungen. Wir implementierten einen funktionalen Prototypen auf Basis eines Pipelines, der auf Elastic Stack, Apache Kafka und Neo4j aufbaut, und bewerteten ihn anhand eines Datensatzes aus 12 TB realer Protokolle und synthetischer Spuren, die 18 verschiedene ATT&CK-Techniken repräsentieren. Die experimentellen Ergebnisse zeigen eine Steigerung der Genauigkeit bei der Rekonstruktion von Zeitlinien um 27,4 % im Vergleich zu regelbasierten deterministischen Ansätzen, eine Reduktion der mittleren Ermittlungszeit (MTTI) um 34,1 % sowie eine Verbesserung des F1-Scores um 22,8 % bei der Identifikation komplexer Angriffsketten. Die Architektur hält bei einer Last von 15.000 Ereignissen/Sekunde eine durchschnittliche Verarbeitungslatenz von unter 420 ms pro Ereignis ein, mit beobachteter linearer Skalierbarkeit bis zu 8 Verarbeitungsknoten. Wir schließen daraus, dass die probabilistische Formalisierung in Verbindung mit zeitlichen Graphen erhebliche Gewinne an Genauigkeit und operativer Effizienz in DFIR ermöglicht und damit robuste Grundlagen für eine vertrauenswürdige und auditierbare Automatisierung digitaler Untersuchungen in großem Maßstab schafft.
Read paper →DFIRFormale Orchestrierung und probabilistische Analyse von Evidenzen in DFIR: Eine skalierbare Architektur auf Basis temporaler Graphen zur Multiquellenkorrelation
Formale Orchestrierung und probabilistische Analyse von Evidenzen in DFIR: Eine skalierbare Architektur auf Basis temporaler Graphen zur Multiquellenkorrelation Digital Forensics and Incident Response (DFIR) steht vor strukturellen Herausforderungen, die aus der zunehmenden Heterogenität von Unternehmensumgebungen, der Volatilität digitaler Evidenzen und der Raffinesse von Angreifern resultieren, die Living-off-the-Land-Techniken und antiforensische Umgehungsstrategien einsetzen. Diese Arbeit schlägt eine formale Architektur zur Orchestrierung und probabilistischen Korrelation digitaler Evidenzen auf Basis multiquellenbasierter temporaler Graphen vor, mit expliziter mathematischer Modellierung des Problems der Rekonstruktion von Sicherheitsvorfällen. Unsere Methodik integriert verteilte Datenerfassung, MITRE ATT&CK-orientierte semantische Normalisierung, die Konstruktion kausaler Graphen sowie bayesianische Inferenz zur Zuordnung von Ereignissen zu Angriffsketten. Wir formalisieren das Problem als Maximierung der a-posteriori-Wahrscheinlichkeit einer Sequenz von Kompromittierungszuständen gegeben eine heterogene Menge forensischer Beobachtungen. Wir implementierten einen funktionalen Prototypen auf einer Pipeline basierend auf Elastic Stack, Apache Kafka und Neo4j und evaluierten ihn mit einem Datensatz bestehend aus 12 TB realer Logs und synthetischer Spuren, die 18 unterschiedliche ATT&CK-Techniken repräsentieren. Die experimentellen Ergebnisse zeigen eine Steigerung der Genauigkeit der Zeitlinienrekonstruktion um 27,4 % im Vergleich zu deterministischen regelbasierten Ansätzen, eine Reduktion der durchschnittlichen Untersuchungszeit (MTTI) um 34,1 % sowie eine Verbesserung des F1-Scores um 22,8 % bei der Identifikation komplexer Angriffsketten. Die Architektur hält eine durchschnittliche Verarbeitungslatenz von unter 420 ms pro Ereignis bei einer Last von 15.000 Ereignissen pro Sekunde aufrecht, wobei lineare Skalierbarkeit bis zu 8 Verarbeitungsknoten beobachtet wurde. Wir schließen daraus, dass probabilistische Formalisierung in Verbindung mit temporalen Graphen substanzielle Zugewinne an Genauigkeit und operativer Effizienz in DFIR ermöglicht und damit eine rigorose Grundlage für zuverlässige und auditierbare Automatisierung digitaler Untersuchungen im großen Maßstab schafft.
Read paper →DFIREine formale und skalierbare Architektur für graphorientiertes DFIR mit probabilistischer zeitlicher Korrelation und kryptographischen Integritätsgarantien
TITLE: Eine formale und skalierbare Architektur für graphorientiertes DFIR mit probabilistischer zeitlicher Korrelation und kryptographischen Integritätsgarantien ABSTRACT: Die zunehmende Komplexität von Computerumgebungen im Jahr 2025 — gekennzeichnet durch cloudnative Architekturen, Microservices, ephemere Workloads, DevSecOps-Pipelines, hybride Umgebungen und Integrationen mit Systemen der künstlichen Intelligenz — stellt die Disziplin Digital Forensics and Incident Response (DFIR) vor erhebliche Herausforderungen. Die kausale Rekonstruktion von Vorfällen, die mehrere heterogene Datenquellen umfassen, unter Bedingungen zeitlicher Unsicherheit, statistischen Rauschens und möglicher Manipulation von Logdaten, bleibt aus formaler Perspektive ein offenes Problem. In dieser Arbeit schlagen wir eine mathematisch fundierte Architektur für graphorientiertes DFIR vor, die auf einem probabilistischen azyklischen kausalen Graphmodell mit expliziter zeitlicher Unsicherheit, bayesianischer Inferenz und kryptographischen Integritätsgarantien mittels Merkle-Bäumen und unveränderlicher Speicherung (WORM) basiert. Wir formalisieren das Problem der Rekonstruktion von Angriffssequenzen als ein Problem der Maximierung bedingter Wahrscheinlichkeit über zulässige Pfade in einem DAG und zeigen dessen Äquivalenz zur Minimierung der Summe von Log-Wahrscheinlichkeiten. Wir führen zwei Algorithmen ein: (i) Causal Temporal Reconstruction (RTC) mit einer Komplexität von $O(|E_c|\log|V|)$ und (ii) Incremental Integrity Verification (VII) mit einem Inklusionsnachweis in $O(\log n)$. Die Architektur wurde auf Basis von Elastic Stack 8.x, Apache Kafka 3.5, S3 Object Lock im Compliance-Modus und PostgreSQL implementiert und anhand von 12 TB realer und synthetischer Daten evaluiert, einschließlich DARPA Transparent Computing und dem Los Alamos Cybersecurity Dataset. Die Ergebnisse zeigen eine statistisch signifikante Steigerung der Präzision (91,4% vs. 64,2%), eine Reduktion der durchschnittlichen Triage-Zeit um 37,8% sowie einen kontrollierten rechnerischen Overhead (8,6%). Wir argumentieren, dass die Integration probabilistischer Formalismen, kryptographischer Garantien und kausaler Modellierung eine rigorose, auditierbare und skalierbare Grundlage für modernes DFIR bietet, im Einklang mit den Richtlinien von NIST, ISO/IEC 27037 und der MITRE ATT&CK-Taxonomie sowie kompatibel mit zeitgenössischen Szenarien unter Einbeziehung von eBPF, CNAPP und KI-orientierten Umgebungen.
Read paper →DFIRFormale Orchestrierung von DFIR auf Basis temporaler Graphen und bayesianischer Inferenz für die automatisierte Incident Response in verteilten Unternehmensumgebungen
Formale Orchestrierung von DFIR auf Basis temporaler Graphen und bayesianischer Inferenz für die automatisierte Incident Response in verteilten Unternehmensumgebungen Die zunehmende Komplexität verteilter Unternehmensumgebungen, gekennzeichnet durch Multicloud-Architekturen, containerisierte Workloads, Edge-Geräte, Integrationen über APIs und KI-basierte Systeme, stellt die Disziplin der Digital Forensics and Incident Response (DFIR) vor erhebliche Herausforderungen. Zeitgenössische Angriffsketten sind typischerweise mehrstufig und nutzen Schwachstellen in heterogenen Komponenten aus, wobei Techniken der Remote-Ausführung, lateralen Bewegung, Persistenz und Exfiltration kombiniert werden. In diesem Kontext erweisen sich traditionelle, auf deterministischen Regeln basierende SIEM-Ansätze als unzureichend, um komplexe kausale Sequenzen unter Unsicherheit und adversarialem Rauschen zu rekonstruieren. In dieser Arbeit schlagen wir eine mathematische Formalisierung der Rekonstruktion von Sicherheitsvorfällen als MAP-Inferenzproblem (Maximum a Posteriori) in gerichteten temporalen Graphen mit expliziten kausalen Restriktionen vor. Wir modellieren forensische Ereignisse als strukturierte Tupel und führen ein probabilistisches Rahmenwerk ein, das auf konditionaler lokaler Faktorisierung basiert und eine formale Quantifizierung von Unsicherheit ermöglicht. Wir demonstrieren Robustheitseigenschaften bei begrenzter adversarialer Einfügung spuriöser Ereignisse und leiten analytische Bedingungen für die Invarianz des MAP-Pfads her. Darüber hinaus implementieren wir die Architektur TGI-DFIR auf einer skalierbaren Infrastruktur basierend auf Apache Kafka, Elasticsearch, Neo4j und Kubernetes, mit Integration in moderne CNAPP-Pipelines und eBPF-Telemetrie. Wir evaluieren den Ansatz empirisch unter Verwendung des Datensatzes DARPA Transparent Computing, realer Unternehmenslogs (12 TB) sowie Szenarien, die von bis 2025 breit ausgenutzten Schwachstellen inspiriert sind. Die Ergebnisse zeigen eine statistisch signifikante Steigerung der Präzision (F1 = 0,91 ± 0,02) sowie eine Reduktion der durchschnittlichen Triage-Zeit um 47,3 % im Vergleich zu regelbasierten Ansätzen und sequenziellen Deep-Learning-Modellen. Wir schließen daraus, dass die Integration von temporalen Graphen und bayesianischer Inferenz eine formal strenge und operativ praktikable Grundlage für die automatisierte Orchestrierung der Incident Response in modernen verteilten Unternehmensumgebungen bietet.
Read paper →DFIRFormale und korrelierte Orchestrierung von Evidenzen in DFIR: Ein skalierbares Rahmenwerk für probabilistische zeitliche Rekonstruktion und Incident-Attribution in hybriden Umgebungen
TITLE: Formale und korrelierte Orchestrierung von Evidenzen in DFIR: Ein skalierbares Rahmenwerk für probabilistische zeitliche Rekonstruktion und Incident-Attribution in hybriden Umgebungen ABSTRACT: Die zunehmende Komplexität hybrider Infrastrukturen, die massenhafte Einführung von Cloud-Computing, mikroserviceorientierte Architekturen, auf eBPF basierende Observability sowie die Integration von Systemen der künstlichen Intelligenz haben die Herausforderungen der Disziplin Digital Forensics and Incident Response (DFIR) erheblich erweitert. Im Jahr 2025 verdeutlichen Vorfälle, die kritische Schwachstellen, Lieferketten und Living-off-the-Land-Techniken ausnutzen, die Grenzen linearer Ansätze zur Logkorrelation und statischer SIEM-Regeln. In dieser Arbeit schlagen wir ein formales Rahmenwerk für die probabilistische zeitliche Rekonstruktion von Angriffsketten vor, das auf gerichteten Graphen mit konditionalen Gewichten und semantischen Restriktionen basiert, die aus der MITRE ATT&CK-Matrix abgeleitet werden. Wir modellieren das Problem als bayessche Inferenz über azyklische Teilgraphen, die die a-posteriori-Wahrscheinlichkeit unter heterogenen und potenziell inkonsistenten Evidenzen maximieren. Wir führen einen Mechanismus zur bayesschen zeitlichen Ausrichtung ein, um Uhrdrift zwischen verteilten Quellen zu kompensieren, sowie einen wissensgeleiteten Rekonstruktionsalgorithmus, der an adversariales Wissen orientiert ist und schwellenwertgesteuertes probabilistisches Pruning verwendet. Wir zeigen formale Eigenschaften ε-approximierter Korrektheit unter Hypothesen der Beobachtungsvollständigkeit und analysieren die asymptotische Komplexität der vorgeschlagenen Algorithmen. Die verteilte Implementierung, basierend auf Apache Kafka, Apache Spark, Elasticsearch und Neo4j, wurde auf Datensätzen mit insgesamt 1,2 TB an Ereignissen evaluiert, einschließlich Simulationen mit Atomic Red Team und anonymisierten Unternehmensprotokollen. Wir erreichten $F1 = 0{,}895 \pm 0{,}02$, übertrafen damit eine traditionelle SIEM-Baseline um 29,7% und reduzierten die durchschnittliche Untersuchungszeit um 37,4% ($p < 0{,}01$). Wir diskutieren Erweiterungen für Umgebungen mit KI/ML-Workloads, die Integration mit CNAPP sowie beweisrechtliche Implikationen unter digitalen Beweismittelkettensystemen. Die Ergebnisse zeigen, dass die explizite Einbeziehung semantischer Restriktionen und rigoroser probabilistischer Modellierung einen wesentlichen Fortschritt für skalierbares und formal fundiertes DFIR darstellt.
Read paper →DFIRARC-DFIR: Eine formale, probabilistische und skalierbare Architektur zur automatisierten Erkennung, Rekonstruktion und Korrelation von Sicherheitsvorfällen in heterogenen Unternehmensumgebungen
Unternehmensumgebungen aggregieren Telemetrie aus EDR/XDR, Firewalls, IDS/IPS, Proxys, E‑Mail‑Gateways, Kubernetes, Cloud‑Providern, SaaS‑Systemen und auf eBPF basierenden Sensoren. Das Volumen kann Milliarden von Ereignissen pro Tag erreichen. Eine einfache chronologische Sortierung ist unzureichend, um Kausalität zu erschließen, während ausschließlich regelbasierte Mechanismen unter kombinatorischer Explosion leiden (AXELSSON, 2000). Wir formulieren daher drei Forschungsfragen: RQ1: Wie können heterogene forensische Ereignisse formal modelliert werden, wobei partielle zeitliche Kausalität
Read paper →DFIRDFIR-Graph: Temporal-probabilistische Korrelation und formale Rekonstruktion von Angriffsketten in hybriden Umgebungen auf Basis kausaler Graphen
Sicherheitsverletzungen den Missbrauch legitimer Identitäten umfasst, auch in föderierten und auf Zero Trust basierenden Umgebungen (ROSE et al., 2020). Vorfälle wie SolarWinds (2020), die Ausnutzung der Schwachstelle Log4Shell (CVE-2021-44228) sowie Kampagnen im Zusammenhang mit CVE-2023-23397 zeigen, dass Angreifer Remote-Exploits mit Persistenz, lateraler Bewegung und Exfiltration kombinieren, häufig im Einklang mit den im MITRE ATT&CK beschriebenen Taktiken und Techniken (MITRE, 2023). In vielen Fällen erstreckt sich die Verweildauer von Angreifern über Wochen oder Monate, was eine detail
Read paper →