Research / Paper Files
Paper Files
Paper Files sind eine persönliche Praxis des kontinuierlichen Studiums in der Cybersecurity, die die wissenschaftliche Methode als Lernwerkzeug anwendet. Jeder Artikel wird nicht für eine akademische Veröffentlichung geschrieben, sondern als bewusste Übung, um die Axt zu schärfen — Wissen zu bestimmten Themen zu vertiefen, Ideen mit Strenge zu strukturieren und zu beobachten, wie sich das Verständnis bestimmter Themen im Laufe der Zeit entwickelt. Es ist das intellektuelle Äquivalent eines Trainingsjournals: Jeder Eintrag hält fest, was studiert wurde, wie es analysiert wurde und welche Schlussfolgerungen entstanden sind.
Ich empfehle Security-Profis dringend, diese Methode anzuwenden. Wählen Sie ein Thema, das Sie meistern möchten, recherchieren Sie Primärquellen (RFCs, Papers, offizielle Dokumentation), strukturieren Sie Ihren Text mit Einleitung, Methodik, Analyse und Schlussfolgerung und schreiben Sie so, als würden Sie es einem Kollegen erklären. Der Akt des Schreibens erzwingt Klarheit des Denkens und legt Lücken im Verständnis offen, die passives Lesen nicht aufdecken kann. Nutzen Sie die Artikel auf dieser Website als Beispiele für Format und Tiefe und bauen Sie Ihre eigene Sammlung auf — mit der Zeit werden Sie ein persönliches Repository verfeinerten Wissens haben, das kein Kurs und keine Zertifizierung ersetzen kann.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →14 papers
Detection in der Cybersecurity im Jahr 2026: Eine mehrschichtige, verhaltensbasierte Architektur zur Erkennung von Angriffen in Cloud-, Endpoint- und KI-gestützten Umgebungen
Diese Arbeit untersucht den Stand der Detection in der Cybersecurity im Jahr 2026 und entwickelt eine operational einsetzbare Architektur zur Erkennung moderner Angriffe über Endpunkte, Netzwerke, Identitäten, Cloud-Workloads und KI-gestützte Systeme hinweg. Ausgangspunkt ist die Beobachtung, dass rein signaturbasierte Verfahren angesichts polymorpher Malware, Living-off-the-Land-Techniken, Identitätsmissbrauch, Cloud-native Angriffsketten und LLM-unterstützter Social-Engineering-Operationen systematisch an Wirksamkeit verlieren. Stattdessen wird Detection als probabilistische, mehrquellenfähige Inferenzaufgabe formalisiert, bei der Telemetrie aus Host-, Netzwerk-, Kontroll- und Identitätsdomänen in ein gemeinsames Ereignismodell überführt wird. Die vorgeschlagene Methodik kombiniert ATT&CK-basierte Verhaltensmodellierung, Graph-Korrelation, Schwellenwert- und Anomalieerkennung, eBPF-gestützte Kernel-Telemetrie, Sigma- und YARA-Regeln, sowie priorisierte Triage nach Risiko und Konfidenz. Ergänzt wird dies durch spezifische Detektionsmuster für Cloud-Fehlkonfigurationen, Token-Diebstahl, OAuth-Missbrauch, Reverse Shells, Credential Dumping, Lateral Movement, sowie Prompt-Injection und Datenabfluss in KI-Systemen. Die Implementierung wird als praxisnaher Blueprint mit Open-Source-Werkzeugen wie Zeek, Suricata, Elastic, Wazuh, Falco, Sysmon, osquery, Sigma, YARA und OpenTelemetry beschrieben. Eine experimentelle Evaluation vergleicht rule-based, anomaly-based und hybride Ansätze anhand realistisch modellierter Angriffssequenzen und zeigt, dass hybride Verfahren die höchste F1-Score-Stabilität bei akzeptabler False-Positive-Rate erreichen. Eine Fallstudie illustriert die Erkennung einer mehrstufigen Cloud-Identity-Kompromittierung, bei der ein initialer Phishing-Zugriff zu Token-Diebstahl, privilegierter Eskalation und exfiltrationsbasierter Seitwärtsbewegung führt. Abschließend diskutiert die Arbeit operative Grenzen, etwa Telemetrie-Lücken, adversariale Anpassung, Datenresidenz, Kosten und Governance-Anforderungen, und skizziert zukünftige Entwicklungen wie eBPF-native Detection Pipelines, federiertes Lernen, post-quantum-fähige Integritätsketten und robuste Detektion in autonomen KI-Agentenumgebungen.
Read paper →DetectionTITEL: Hybride Multilayer-Erkennungsarchitektur auf Basis von Endpunkt-, Netzwerk- und Speicherttelemetrie mit probabilistischer, zeitlicher Korrelation, ausgerichtet an MITRE ATT&CK
TITEL: Hybride Multilayer-Erkennungsarchitektur auf Basis von Endpunkt-, Netzwerk- und Speicherttelemetrie mit probabilistischer, zeitlicher Korrelation, ausgerichtet an MITRE ATT&CK ABSTRACT: Die zunehmende Komplexität der in modernen Unternehmensumgebungen beobachteten Einbruchskampagnen stellt traditionelle, auf isolierten Sensoren basierende Erkennungsarchitekturen vor große Herausforderungen. Zeitgenössische Angriffe nutzen häufig Living-off-the-Land-Techniken (LOLBins), weit verbreitete Post-Exploitation-Frameworks und verschleierte Command-and-Control-Kanäle aus, was zu Ereignisketten führt, die über Netzwerk, Endpunkt und flüchtigen Speicher verteilt sind. Obwohl Werkzeuge wie IDS/IPS, EDR und SIEM-Plattformen weit verbreitet eingesetzt werden, bleibt ihre analytische Integration durch überwiegend syntaktische Korrelationsmodelle begrenzt, die nicht in der Lage sind, zeitliche und semantische Abhängigkeiten zwischen heterogenen Ereignissen zu erfassen. Das MITRE ATT&CK-Framework hat sich als operative Ontologie zur Beschreibung von Taktiken, Techniken und Prozeduren (TTPs) etabliert, seine Verwendung in Erkennungssystemen beschränkt sich jedoch häufig auf statische Zuordnungen oder deskriptive Visualisierungen. In dieser Arbeit schlagen wir eine hybride, mehrschichtige Erkennungsarchitektur vor, die Telemetrie von Netzwerk, Endpunkt und Speicher mit einem formalen Mechanismus probabilistischer zeitlicher Korrelation integriert, der semantisch auf das ATT&CK-Modell ausgerichtet ist. Die Architektur kombiniert weit verbreitete Sensoren — darunter Suricata, Sysmon, Volatility 3 sowie Sigma/YARA-Regeln — mit einer Ingestionsschicht auf Basis von Kafka und einer strukturierten Indexierung gemäß dem Elastic Common Schema. Wir formalisieren den Erkennungsprozess als ein Problem der Inferenz unter Unsicherheit, modelliert durch gewichtete zeitliche Graphen, in denen Ereignisse als mit ATT&CK-Techniken annotierte Knoten und Kanten als semantisch kompatible Übergänge innerhalb eines definierten Zeitfensters repräsentiert werden. Wir führen eine bedingte Risikofunktion ein, die kontextuelle Wahrscheinlichkeiten einzelner Techniken und Übergangsgewichte zwischen TTPs integriert und die Schätzung der Plausibilität vollständiger Angriffsketten ermöglicht. Wir zeigen analytisch, dass der inkrementelle Aufbau dieser Graphen mit einer Komplexität von O(n log n) pro Zeitfenster unter Verwendung zeitindexierter Datenstrukturen realisiert werden kann. Die experimentelle Evaluation wurde anhand in der Literatur weit referenzierter Datensätze (CIC-IDS2017 und UNSW-NB15) sowie kontrollierter Szenarien zur Ausführung von Malware in einer isolierten Laborumgebung durchgeführt. Die Ergebnisse zeigen konsistente Verbesserungen bei relativen F1-Score-Metriken und eine qualitative Reduktion von Betriebsrauschen im Vergleich zu isolierten Sensoren. Zusätzliche Fallstudien in simulierten Unternehmensumgebungen und in einer Krankenhausinfrastruktur zeigen eine Verringerung der Erkennungszeit von Angriffsketten, die Credential Dumping und laterale Bewegung umfassen. Die Arbeit leistet einen Beitrag durch eine mathematische Formalisierung der an ATT&CK ausgerichteten zeitlichen Korrelation, eine reproduzierbare Architektur auf Basis weit verbreiteter Werkzeuge sowie eine kritische Analyse der statistischen Grenzen, die mit der Intrusion Detection in Umgebungen mit niedriger Angriffsprävalenz verbunden sind.
Read paper →DetectionTITEL: Hybride Architektur auf Basis von mehrschichtiger Telemetrie und semantischer Korrelation zur fortgeschrittenen Bedrohungserkennung in Unternehmensumgebungen
TITEL: Hybride Architektur auf Basis von mehrschichtiger Telemetrie und semantischer Korrelation zur fortgeschrittenen Bedrohungserkennung in Unternehmensumgebungen ABSTRACT: Die zunehmende Raffinesse cyberkrimineller Angriffe, zusammen mit der Expansion hybrider und Multicloud-Infrastrukturen, stellt substanzielle Herausforderungen für moderne Security Operations Centers (SOCs) dar. Zeitgenössische Angriffstechniken nutzen Zero-Day-Schwachstellen, den Missbrauch legitimer Identitäten, Living-off-the-land binaries (LOLBins) sowie komplexe laterale Bewegungsketten aus, die häufig über Endpunkte, Unternehmensnetzwerke und Cloud-Services verteilt sind. In diesem Kontext zeigen traditionelle, ausschließlich auf Signaturen oder isolierter Anomalieerkennung basierende Mechanismen erhebliche Limitationen, insbesondere hinsichtlich operativer Skalierbarkeit und der Reduzierung von False Positives. Dieser Artikel प्रस्तुतiert eine hybride Detektionsarchitektur auf der Grundlage mehrschichtiger Telemetrie und semantischer Ereigniskorrelation, die durch auf Tactics, Techniques and Procedures (TTPs) basierende Graphen gesteuert wird, abgeleitet aus dem MITRE-ATT&CK-Framework. Der Vorschlag integriert Netzwerksensoren, Endpoint-Telemetrie, Identitätsereignisse und Protokolle aus cloud-nativen Umgebungen und bindet zeitgenössische Komponenten wie eBPF-basierte Instrumentierung und Integration mit CNAPP-Plattformen (Cloud-Native Application Protection Platform) ein. Wir formalisieren den Detektionsprozess als ein Inferenzproblem über dynamische Ereignisgraphen, in dem Sequenzen beobachtbarer Aktivitäten ATT&CK-Techniken zugeordnet und semantisch korreliert werden, um Angriffsketten zu identifizieren. Das Modell kombiniert drei komplementäre Paradigmen: signaturbasierte Erkennung (YARA und Suricata), strukturierte Verhaltensregeln (Sigma) und statistische Analyse von Verhaltensmustern. Wir evaluieren die Architektur experimentell unter Verwendung eines Datensatzes, der aus weit verbreiteten akademischen Benchmarks (UNSW-NB15 und CIC-IDS2017) sowie kontrollierten Red-Teaming-Kampagnen in einer simulierten Unternehmensumgebung besteht. Die Ergebnisse zeigen eine signifikante Verbesserung der Leistungsmetriken: Precision von 0,89, Recall von 0,83 und F1-Score von 0,86, zusätzlich zu einer Reduktion der False-Positive-Rate um 38,2 % im Vergleich zu isolierten Ansätzen. Zudem wurde eine Verringerung der mittleren Detektionszeit (MTTD) von 6,1 auf 4,2 Minuten beobachtet. Die Ergebnisse zeigen, dass die auf TTP-Graphen basierende semantische Korrelation in Kombination mit mehrschichtiger Telemetrie einen vielversprechenden Ansatz darstellt, um die operative Effektivität moderner SOCs in komplexen Unternehmensszenarien zu verbessern.
Read paper →DetectionHybride Architektur auf Basis mehrschichtiger Telemetrie und semantischer Korrelation zur fortgeschrittenen Bedrohungserkennung in Unternehmensumgebungen
TITLE: Hybride Architektur auf Basis mehrschichtiger Telemetrie und semantischer Korrelation zur fortgeschrittenen Bedrohungserkennung in Unternehmensumgebungen ABSTRACT: Die zunehmende Raffinesse von Cyberangriffen, verbunden mit der Ausweitung hybrider und multicloud-basierter Infrastrukturen, stellt moderne Sicherheitsbetriebszentren (Security Operations Centers – SOCs) vor erhebliche Herausforderungen. Zeitgenössische Angriffstechniken nutzen Zero-Day-Schwachstellen, den Missbrauch legitimer Identitäten, Living-off-the-Land-Binaries (LOLBins) sowie komplexe laterale Bewegungs- und Angriffsketten, die häufig zwischen Endpunkten, Unternehmensnetzwerken und Cloud-Diensten verteilt sind. In diesem Kontext zeigen traditionelle, ausschließlich auf Signaturen oder isolierter Anomalieerkennung basierende Mechanismen erhebliche Einschränkungen, insbesondere hinsichtlich operativer Skalierbarkeit und der Reduzierung von Fehlalarmen. Dieser Artikel präsentiert eine hybride Detektionsarchitektur, die auf mehrschichtiger Telemetrie und semantischer Ereigniskorrelation basiert und durch einen auf Graphen modellierten Ansatz für Taktiken, Techniken und Prozeduren (TTPs) aus dem MITRE-ATT&CK-Framework gesteuert wird. Der Vorschlag integriert Netzwerksensoren, Endpunkt-Telemetrie, Identitätsereignisse sowie Protokolle aus cloud-nativen Umgebungen und bindet zeitgemäße Komponenten wie eBPF-basierte Instrumentierung und Integration mit CNAPP-Plattformen (Cloud-Native Application Protection Platform) ein. Wir formalisieren den Detektionsprozess als ein Problem der Inferenz über dynamische Ereignisgraphen, in dem beobachtbare Aktivitätssequenzen ATT&CK-Techniken zugeordnet und semantisch korreliert werden, um Angriffsketten zu identifizieren. Das Modell kombiniert drei komplementäre Paradigmen: signaturbasierte Erkennung (YARA und Suricata), strukturierte Verhaltensregeln (Sigma) und statistische Analyse von Verhaltensmustern. Wir bewerten die Architektur experimentell anhand eines Datensatzes, der aus weit verbreiteten akademischen Benchmarks (UNSW-NB15 und CIC-IDS2017) sowie kontrollierten Red-Teaming-Kampagnen in einer simulierten Unternehmensumgebung besteht. Die Ergebnisse zeigen eine signifikante Verbesserung der Leistungsmetriken: Präzision von 0,89, Recall von 0,83 und F1-Score von 0,86 sowie eine Reduktion der Fehlalarmrate um 38,2 % im Vergleich zu isolierten Ansätzen. Zudem wurde eine Verringerung der mittleren Zeit bis zur Erkennung (MTTD) von 6,1 auf 4,2 Minuten beobachtet. Die Ergebnisse zeigen, dass die auf Graphen von TTPs basierende semantische Korrelation in Kombination mit mehrschichtiger Telemetrie einen vielversprechenden Ansatz darstellt, um die operative Wirksamkeit zeitgenössischer SOCs in komplexen Unternehmensszenarien zu verbessern.
Read paper →DetectionTITEL: Mehrstufige adaptive Erkennung von Cyberbedrohungen auf Basis bayesscher Fusion von Telemetrie und temporalen Angriffsgrafen
TITEL: Mehrstufige adaptive Erkennung von Cyberbedrohungen auf Basis bayesscher Fusion von Telemetrie und temporalen Angriffsgrafen ABSTRACT: Mehrstufige adaptive Erkennung von Cyberbedrohungen auf Basis bayesscher Fusion von Telemetrie und temporalen Angriffsgrafen ZUSAMMENFASSUNG: Der zunehmende Grad an Komplexität zeitgenössischer digitaler Infrastrukturen, gekennzeichnet durch Hybrid-Cloud-Umgebungen, verteilte Architekturen und enorme operative Telemetrieströme, stellt erhebliche Herausforderungen an die frühzeitige Erkennung von Cyberbedrohungen. Herkömmliche Systeme für Security Information and Event Management (SIEM), die auf deterministischen Regeln basieren, weisen strukturelle Einschränkungen bei der Identifizierung mehrstufiger Kampagnen auf, insbesondere wenn Angreifer legitime Anmeldedaten, diskrete laterale Bewegungen und Evasion-Techniken einsetzen. Gleichzeitig leiden rein auf Machine Learning basierende Ansätze häufig unter Degradierung bei Change of Distribution und mangeln an operativer Interpretierbarkeit. In dieser Arbeit präsentieren wir eine mehrstufige adaptive Erkennungsarchitektur, die inkrementelle bayessche Evidenzfusion mit einer strukturellen Modellierung auf Grundlage temporaler Angriffsgrafen integriert. Der vorgeschlagene Ansatz ermöglicht die Korrelation heterogener Telemetriedaten von Endpunkten, Netzwerken, Identitäten und Cloud-Umgebungen, während zugleich explizite zeitliche Abhängigkeiten zwischen Ereignissen und eine semantische Ausrichtung an der MITRE-ATT&CK-Taxonomie beibehalten werden. Wir formalisieren das Problem als probabilistische Inferenz über Angriffsketten in einem dynamischen Graphen G_t=(V_t,E_t,w_t), in dem die Gewichte bedingte Wahrscheinlichkeiten bösartigen Verhaltens darstellen. Wir entwickeln einen inkrementellen Mechanismus zur bayesschen Aktualisierung, der in der Lage ist, Streams von über 10^6 Ereignissen pro Minute zu verarbeiten, bei gleichzeitig probabilistischer Konvergenz und geringer operativer Latenz. Die Implementierung erfolgte in einer Stream-Processing-Architektur auf Basis von Apache Kafka und Apache Flink, mit Graphpersistenz in Neo4j und Zustandsverwaltung in RocksDB. Die experimentellen Bewertungen wurden unter Verwendung der Datensätze UNSW-NB15 und CIC-IDS2017 sowie eines anonymisierten Unternehmenskorpus mit ungefähr 400 Millionen Ereignissen durchgeführt. Im Vergleich zu regelbasierten Ansätzen, Random Forest und LSTM-Netzen erreichte die vorgeschlagene Methode eine durchschnittliche Genauigkeit von 0.91, einen Recall von 0.88 und einen F1-Score von 0.89 und reduzierte darüber hinaus die False-Positive-Rate um 42 % gegenüber herkömmlichen SIEM-Systemen. Die Ergebnisse zeigen, dass die probabilistische Fusion von Telemetrie, kombiniert mit der strukturellen Repräsentation von Angriffsketten, substanzielle Gewinne hinsichtlich Robustheit, Interpretierbarkeit und Skalierbarkeit bietet. Wir diskutieren zudem Implikationen für moderne Cloud-Sicherheitsarchitekturen, die Integration mit CNAPP-Plattformen sowie Einschränkungen, die mit der Vorabmodellierung adversarialer Hypothesen verbunden sind.
Read paper →DetectionTITEL: Multilevel adaptive Erkennung cyberphysischer Bedrohungen auf Basis bayesscher Fusion von Telemetrie und zeitlichen Angriffsgrafen
TITEL: Multilevel adaptive Erkennung cyberphysischer Bedrohungen auf Basis bayesscher Fusion von Telemetrie und zeitlichen Angriffsgrafen ABSTRAKT: Die zunehmende Komplexität zeitgenössischer digitaler Infrastrukturen, gekennzeichnet durch hybride Cloud-Umgebungen, verteilte Architekturen und massive Ströme operativer Telemetrie, stellt erhebliche Herausforderungen an die frühzeitige Erkennung von Cyberbedrohungen. Traditionelle, auf deterministischen Regeln basierende Systeme für das Management von Sicherheitsereignissen und -informationen (SIEM) weisen strukturelle Einschränkungen bei der Identifikation mehrstufiger Kampagnen auf, insbesondere wenn Angreifer legitime Anmeldedaten, diskrete laterale Bewegungen und Umgehungstechniken einsetzen. Parallel dazu leiden rein auf maschinellem Lernen basierende Ansätze häufig unter Leistungseinbußen bei Verteilungsänderungen und es mangelt ihnen an operativer Interpretierbarkeit. In dieser Arbeit präsentieren wir eine mehrstufige adaptive Erkennungsarchitektur, die inkrementelle bayessche Evidenzfusion mit struktureller Modellierung auf Basis zeitlicher Angriffsgrafen integriert. Der Ansatz ermöglicht die Korrelation heterogener Telemetriedaten aus Endpunkten, Netzwerken, Identitäten und Cloud-Umgebungen, wobei explizite zeitliche Abhängigkeiten zwischen Ereignissen und semantische Ausrichtung an der MITRE-ATT&CK-Taxonomie erhalten bleiben. Wir formalisieren das Problem als probabilistische Inferenz über Angriffsketten in einem dynamischen Graphen G_t=(V_t,E_t,w_t), in dem Gewichte bedingte Wahrscheinlichkeiten bösartigen Verhaltens darstellen. Wir entwickeln einen Mechanismus zur inkrementellen bayesschen Aktualisierung, der Ströme von über 10^6 Ereignissen pro Minute verarbeiten kann und dabei probabilistische Konvergenz sowie geringe operative Latenz gewährleistet. Die Implementierung erfolgte auf einer Streaming-Architektur auf Basis von Apache Kafka und Apache Flink, mit Graphpersistenz in Neo4j und Zustandsverwaltung in RocksDB. Experimentelle Bewertungen wurden unter Verwendung der Datensätze UNSW-NB15, CIC-IDS2017 sowie eines anonymisierten Unternehmenskorpus mit etwa 400 Millionen Ereignissen durchgeführt. Im Vergleich zu regelbasierten Ansätzen, Random Forest und LSTM-Netzen erzielte die vorgeschlagene Methode eine mittlere Präzision von 0,91, einen Recall von 0,88 und einen F1-Score von 0,89 sowie eine Reduktion der Falsch-Positiv-Rate um 42 % gegenüber konventionellen SIEM-Systemen. Die Ergebnisse zeigen, dass die probabilistische Fusion von Telemetrie in Kombination mit der strukturellen Repräsentation von Angriffsketten substanzielle Zugewinne an Robustheit, Interpretierbarkeit und Skalierbarkeit bietet. Darüber hinaus diskutieren wir Implikationen für moderne Cloud-Sicherheitsarchitekturen, die Integration mit CNAPP-Plattformen sowie Einschränkungen im Zusammenhang mit der a priori Modellierung adversarialer Hypothesen.
Read paper →DetectionTITEL: Hybride mehrschichtige Architektur zur proaktiven Erkennung fortgeschrittener Bedrohungen auf der Grundlage semantischer Korrelation, Multiquellen-Telemetrie und adaptiver statistischer Modelle
TITEL: Hybride mehrschichtige Architektur zur proaktiven Erkennung fortgeschrittener Bedrohungen auf der Grundlage semantischer Korrelation, Multiquellen-Telemetrie und adaptiver statistischer Modelle ABSTRAKT: Die effiziente Erkennung fortgeschrittener Bedrohungen bleibt eine der wichtigsten operativen Herausforderungen in der zeitgenössischen Cybersicherheit. Moderne Unternehmensumgebungen sind durch hybride Infrastrukturen gekennzeichnet, die On-Premise-Ressourcen, Public Clouds und containerisierte Workloads kombinieren und massive Mengen heterogener Telemetrie aus Endpunkten, Netzwerken und Identitätsplattformen erzeugen. In diesem Kontext zeigen traditionelle, ausschließlich auf Signaturen basierende Erkennungsmechanismen erhebliche Einschränkungen gegenüber mehrstufigen Angriffen, fileless Malware und Living-off-the-Land-Techniken. Diese Arbeit schlägt eine hybride mehrschichtige Architektur zur proaktiven Erkennung fortgeschrittener Bedrohungen vor, die semantische Korrelation auf Grundlage der MITRE-ATT&CK-Ontologie, zeitliche Ereignisanalyse und adaptive statistische Modelle zur Identifizierung anomalen Verhaltens integriert. Wir formalisieren das Erkennungsproblem als probabilistische Inferenz von Angriffsketten in heterogenen Ereignisströmen unter Berücksichtigung operativer Latenzanforderungen und akzeptabler False-Positive-Raten. Die vorgeschlagene Architektur organisiert den Erkennungsprozess in drei Hauptschichten: (i) Erfassung und Normalisierung von Multiquellen-Telemetrie aus Netzwerksensoren, Endpoint-Agenten und Identitätsprotokollen; (ii) semantische Korrelation auf Basis von ATT&CK-Technikgraphen, die plausible Sequenzen adversarialer Aktivitäten identifizieren kann; und (iii) adaptive statistische Modellierung unter Verwendung von Anomalieerkennungsalgorithmen wie Isolation Forest, um zuvor nicht beobachtete Verhaltensabweichungen zu erkennen. Wir implementierten einen operativen Prototypen unter Verwendung von Elastic Stack, Suricata, Sysmon und Wazuh, integriert mit Threat-Intelligence-Quellen über MISP. Die experimentelle Evaluation wurde in einer kontrollierten Umgebung mit mehreren Windows- und Linux-virtuellen Maschinen durchgeführt, in der realistische Angriffsszenarien mithilfe weithin in der Literatur zur offensiven Sicherheit dokumentierter Werkzeuge ausgeführt wurden, darunter Metasploit, Cobalt Strike und Mimikatz. Die Ergebnisse zeigen eine substanzielle Verbesserung der mittleren Erkennungszeit (MTTD) sowie eine höhere Abdeckung von ATT&CK-Techniken im Vergleich zu Ansätzen, die ausschließlich auf Netzwerk-IDS basieren. Wir beobachteten eine ungefähre Reduktion der MTTD um 37 % und eine Steigerung der Abdeckung erkannter Techniken um 21 %. Die Ergebnisse zeigen, dass hybride Architekturen, die semantische Korrelation, statistische Analyse und verteilte Telemetrie kombinieren, einen vielversprechenden Ansatz für moderne Security Operations Center (SOC)-Operationen darstellen, insbesondere in hybriden und cloud-nativen Umgebungen.
Read paper →DetectionADAPTIVE MEHRSCHICHTIGE ERKENNUNG FORTGESCHRITTENER BEDROHUNGEN BASIEREND AUF BAYESIANISCHER FUSION HETEROGENER TELEMETRIE UND TEMPORALER GRAPHEN
TITLE: ADAPTIVE MEHRSCHICHTIGE ERKENNUNG FORTGESCHRITTENER BEDROHUNGEN BASIEREND AUF BAYESIANISCHER FUSION HETEROGENER TELEMETRIE UND TEMPORALER GRAPHEN ABSTRACT: Die zunehmende Sophistizierung von Cyberbedrohungen im Jahr 2025, einschließlich mehrstufiger Angriffe, der Ausnutzung von Zero-Day-Schwachstellen, Kompromittierungen der Lieferkette, Missbrauch von Identitäten sowie der Ausnutzung generativer Modelle künstlicher Intelligenz, stellt traditionelle Erkennungsmechanismen vor erhebliche Herausforderungen. In dieser Arbeit schlagen wir eine adaptive, mehrschichtige Erkennungsarchitektur vor, die auf rekursiver bayesianischer Fusion heterogener Telemetriedaten und struktureller Modellierung mittels dynamischer temporaler Graphen basiert. Wir formalisieren das Problem als Inferenz über einen binären latenten Prozess, der das Vorhandensein bösartiger Aktivität im Zeitverlauf repräsentiert und aus beobachtbaren Ereignissen aus Netzwerk, Endpoint, Identität, Anwendungen und Cloud-Workloads geschätzt wird. Die Methodik integriert (i) semantische Normalisierung von Ereignissen, (ii) Extraktion statistischer und struktureller Merkmale, (iii) inkrementellen Aufbau temporaler Graphen und (iv) bayesianische Inferenz mit Aktualisierung der Log-Likelihood zur numerischen Stabilität. Zusätzlich führen wir einen strukturellen Detektor ein, der auf der Kullback–Leibler-Divergenz zwischen Verteilungen beobachteter topologischer Metriken und historischen Baselines basiert. Wir evaluieren das Modell empirisch auf weit verbreiteten öffentlichen Datensätzen (CIC-IDS2017 und UNSW-NB15) sowie auf einem Unternehmensdatensatz mit 2,3 Milliarden anonymisierten Ereignissen und vergleichen es mit Random Forest, XGBoost und LSTM. Die Ergebnisse zeigen eine statistisch signifikante Verbesserung des F1-Scores sowie eine konsistente Reduktion der Falsch-Positiv-Rate und der mittleren Erkennungszeit für laterale Bewegungen. Abschließend diskutieren wir Implikationen für Zero-Trust- und CNAPP-Umgebungen, Robustheit gegenüber Concept Drift sowie Risiken von Datenvergiftung. Wir zeigen, dass die kohärente probabilistische Fusion mehrerer schwacher Evidenzen in Kombination mit der strukturellen Analyse temporaler Graphen substanzielle Gewinne bei Präzision und Latenz liefert und zugleich operative Skalierbarkeit in modernen verteilten Architekturen aufrechterhält.
Read paper →DetectionAdaptive Detection of Advanced Persistent Threats by Multimodal Temporal Modeling and Large-Scale Probabilistic Inference
TITLE: Adaptive Detection of Advanced Persistent Threats by Multimodal Temporal Modeling and Large-Scale Probabilistic Inference ABSTRACT: Die zunehmende Raffinesse von Advanced Persistent Threats (APTs) in hybriden und Cloud-nativen Umgebungen stellt erhebliche Herausforderungen an die frühzeitige Erkennung von Kompromittierungen. Im Jahr 2025 umfasst die operative Landschaft Multi-Cloud-Architekturen, CNAPP (Cloud-Native Application Protection Platforms), flüchtige Workloads, Telemetrie über eBPF sowie neuartige Risiken im Zusammenhang mit Large Language Models (LLMs). In dieser Arbeit schlagen wir ein formales Modell zur adaptiven Erkennung von APTs vor, das auf der Integration multimodaler dynamischer Graphen und multivariater Hawkes-Prozesse basiert und unter einer expliziten Bayes’schen Perspektive strukturiert ist. Wir formalisieren den Ereignisfluss als heterogene zeitliche Sequenz und modellieren die Ausbreitung bösartiger Aktivität als selbstanregenden Prozess mit Einschränkungen der spektralen Stabilität. Die optimale Entscheidung wird unter 0–1-Verlust mit expliziter Begrenzung der False-Positive-Rate hergeleitet und adressiert das grundlegende Problem der Base Rate. Wir implementieren die Architektur in einer verteilten Umgebung mit Apache Kafka, Apache Flink und verteiltem Speicher und integrieren eBPF-basierte Telemetrieextraktion sowie kontextuelle Anreicherung im Einklang mit MITRE ATT&CK. Wir evaluieren das Modell auf den Datensätzen CIC-IDS2017, DARPA Transparent Computing und einem anonymisierten Unternehmensdatensatz mit 2,3 Milliarden Ereignissen. Die Ergebnisse zeigen einen statistisch signifikanten Gewinn (p < 0,01) beim F1-Score, eine Reduktion der False-Positive-Rate um 38 % und eine AUC von 0,97 im Vergleich zu Baselines wie Isolation Forest, LSTM und Sigma-Regeln. Darüber hinaus diskutieren wir Implikationen für die Sicherheit KI-basierter Systeme, das Modellgovernance und die Integration mit aufkommenden post-quanten Kontrollen. Wir schließen daraus, dass relationale probabilistische Modellierung eine robuste theoretische Grundlage und eine operativ praktikable Basis für adaptive Erkennung im großen Maßstab bietet, kompatibel mit den gegenwärtigen Anforderungen an Observability, Compliance und cyber-Resilienz.
Read paper →DetectionDetektion adaptiver Advanced Persistent Threats durch multimodale zeitliche Modellierung und probabilistische Inferenz im großen Maßstab
Detektion adaptiver Advanced Persistent Threats durch multimodale zeitliche Modellierung und probabilistische Inferenz im großen Maßstab Die zunehmende Sophistizierung von Advanced Persistent Threats (APTs) in hybriden und cloudnativen Umgebungen stellt erhebliche Herausforderungen für die frühzeitige Erkennung von Kompromittierungen dar. Im Jahr 2025 umfasst das operative Umfeld Multi-Cloud-Architekturen, CNAPP (Cloud-Native Application Protection Platforms), ephemere Workloads, Telemetrie über eBPF sowie neu entstehende Risiken im Zusammenhang mit Large Language Models (LLMs). In dieser Arbeit schlagen wir ein formales Modell zur adaptiven Detektion von APTs vor, das auf der Integration dynamischer multimodaler Graphen und multivariater Hawkes-Prozesse basiert und unter einer expliziten Bayes’schen Perspektive strukturiert ist. Wir formalisieren den Ereignisfluss als heterogene zeitliche Sequenz und modellieren die Ausbreitung bösartiger Aktivität als selbstanregenden Prozess mit spektralen Stabilitätsrestriktionen. Die optimale Entscheidung wird unter 0–1-Verlust mit expliziter Begrenzung der False-Positive-Rate abgeleitet, wodurch das fundamentale Base-Rate-Problem adressiert wird. Wir implementieren die Architektur in einer verteilten Umgebung mit Apache Kafka, Apache Flink und verteiltem Speicher und integrieren dabei eine eBPF-basierte Telemetrieextraktion sowie eine kontextuelle Anreicherung in Übereinstimmung mit MITRE ATT&CK. Wir evaluieren das Modell auf den Datensätzen CIC-IDS2017, DARPA Transparent Computing sowie auf einem anonymisierten Unternehmensdatensatz mit 2,3 Milliarden Ereignissen. Die Ergebnisse zeigen einen statistisch signifikanten Gewinn (p < 0,01) im F1-Score, eine Reduktion der False-Positive-Rate um 38 % und eine AUC von 0,97 im Vergleich zu Baselines wie Isolation Forest, LSTM und Sigma-Regeln. Darüber hinaus diskutieren wir Implikationen für die Sicherheit KI-basierter Systeme, Modell-Governance und die Integration mit aufkommenden postquanten Kryptokontrollen. Wir kommen zu dem Schluss, dass relationale probabilistische Modellierung eine robuste theoretische Grundlage und eine operativ praktikable Lösung für adaptive Detektion im großen Maßstab bietet, kompatibel mit zeitgenössischen Anforderungen an Observability, Compliance und cybernetische Resilienz.
Read paper →DetectionAdaptive, mehrschichtige Detektion fortgeschrittener Bedrohungen auf Basis probabilistischer Fusion und kontinuierlichen Lernens in heterogenen Unternehmensumgebungen
Adaptive, mehrschichtige Detektion fortgeschrittener Bedrohungen auf Basis probabilistischer Fusion und kontinuierlichen Lernens in heterogenen Unternehmensumgebungen Die Erkennung von Bedrohungen in zeitgenössischen Unternehmensumgebungen ist aufgrund der Konvergenz hybrider Infrastrukturen, Multi-Cloud-Architekturen, mobiler Geräte, containerisierter Workloads, durch APIs exponierter Angriffsflächen sowie der zunehmenden Integration von Systemen auf Basis künstlicher Intelligenz zu einem strukturell komplexen Problem geworden. Jüngste Berichte zeigen, dass kompromittierte Anmeldeinformationen, die Ausnutzung bekannter Schwachstellen und der Missbrauch legitimer Werkzeuge weiterhin zu den wichtigsten Intrusionsvektoren zählen, während die durchschnittliche Verweildauer des Angreifers (dwell time) weiterhin erheblich bleibt und damit Einschränkungen traditioneller Detektionsmechanismen aufzeigt (VERIZON, 2024; MANDIANT, 2023). In dieser Arbeit formalisieren wir das Problem der nahezu echtzeitfähigen Detektion als probabilistische Inferenz über einen latenten Zustand systemischer Kompromittierung, modelliert durch einen Markov-Prozess und geschätzt mittels Fusion heterogener Evidenzen aus mehreren Telemetrieschichten. Wir schlagen das Framework AMuLeT (Adaptive Multi-Layer Threat detection) vor, das überwachte Klassifikatoren und Autoencoder pro Schicht kombiniert und über eine Regel des logarithmischen Likelihood-Verhältnisses unter der Annahme angenäherter bedingter Unabhängigkeit integriert. Darüber hinaus führen wir einen Mechanismus des kontinuierlichen Lernens mit elastischer Regularisierung ein, um Concept Drift und adversariale Evolution zu mindern und gleichzeitig historisch relevante Parameter zu bewahren. Wir evaluieren den Ansatz empirisch anhand weit verbreiteter öffentlicher Datensätze sowie eines großskaligen Unternehmensdatensatzes mit insgesamt Milliarden von Ereignissen. Die Ergebnisse zeigen statistisch signifikante Verbesserungen hinsichtlich AUC, F1-Score, Falsch-Positiv-Rate und Reduktion der mittleren Detektionszeit im Vergleich zu isolierten Modellen. Abschließend diskutieren wir praktische Implikationen im Lichte von NIST-Empfehlungen und aktuellen Trends wie CNAPP, eBPF und der Sicherheit großer Sprachmodelle und skizzieren zukünftige Erweiterungen unter Einbeziehung dynamischer Graphen sowie föderierten Lernens mit formalen Garantien differenzieller Privatsphäre.
Read paper →DetectionTITEL: ADAPTIVE MEHRSCHICHTIGE ERKENNUNG VON BEDROHUNGEN MIT FORTGESCHRITTENER BEDROHUNGSERKENNUNG AUF BASIS WAHRSCHEINLICHKEITSFUSION UND KONTINUIERLICHEM LERNEN IN HETEROGENEN UNTERNEHMENSUMGEBUNGEN
TITEL: ADAPTIVE MEHRSCHICHTIGE ERKENNUNG VON BEDROHUNGEN MIT FORTGESCHRITTENER BEDROHUNGSERKENNUNG AUF BASIS WAHRSCHEINLICHKEITSFUSION UND KONTINUIERLICHEM LERNEN IN HETEROGENEN UNTERNEHMENSUMGEBUNGEN ABSTRAKT: Die Erkennung von Bedrohungen in zeitgenössischen Unternehmensumgebungen ist aufgrund der Konvergenz von hybriden Infrastrukturen, Multicloud-Architekturen, mobilen Endgeräten, containerisierten Workloads, über APIs exponierten Angriffsflächen und der zunehmenden Integration von Systemen auf Basis künstlicher Intelligenz zu einem strukturell komplexen Problem geworden. Jüngste Berichte zeigen, dass kompromittierte Zugangsdaten, die Ausnutzung bekannter Schwachstellen und der Missbrauch legitimer Werkzeuge weiterhin zu den wichtigsten Einfallsvektoren gehören, während die durchschnittliche Verweildauer des Angreifers (dwell time) weiterhin signifikant bleibt, was die Grenzen traditioneller Erkennungsmechanismen verdeutlicht (VERIZON, 2024; MANDIANT, 2023). In dieser Arbeit formalisieren wir das Problem der nahezu Echtzeit-Erkennung als probabilistische Inferenz über einen latenten Zustand systemischer Kompromittierung, modelliert durch einen Markov-Prozess und geschätzt mittels Fusion heterogener Evidenzen aus mehreren Telemetrieebenen. Wir schlagen das Framework AMuLeT (Adaptive Multi-Layer Threat detection) vor, das über jede Ebene hinweg überwachte Klassifikatoren und Autoencoder kombiniert, integriert durch eine Regel des logarithmischen Likelihood-Verhältnisses unter der Annahme näherungsweiser bedingter Unabhängigkeit. Darüber hinaus führen wir einen Mechanismus des kontinuierlichen Lernens mit elastischer Regularisierung ein, um Concept Drift und adversariale Evolution zu mildern und historisch relevante Parameter zu bewahren. Wir evaluieren den Ansatz empirisch anhand weit verbreiteter öffentlicher Datensätze sowie eines unternehmensweiten Datensatzes im großen Maßstab mit insgesamt Milliarden von Ereignissen. Die Ergebnisse zeigen statistisch signifikante Verbesserungen bei AUC, F1-Score, Falsch-Positiv-Rate und der Reduktion der durchschnittlichen Erkennungszeit im Vergleich zu isolierten Modellen. Wir diskutieren praktische Implikationen im Lichte der Empfehlungen des NIST und zeitgenössischer Trends wie CNAPP, eBPF und der Sicherheit von großen Sprachmodellen und skizzieren zukünftige Erweiterungen unter Einbeziehung dynamischer Graphen und föderierten Lernens mit formalen Garantien für Differential Privacy.
Read paper →DetectionHybride und adaptive Erkennung von Cyberbedrohungen in Unternehmensumgebungen unter Verwendung mehrstufiger zeitlicher Korrelation und selbstüberwachtem Repräsentationslernen
TITLE: Hybride und adaptive Erkennung von Cyberbedrohungen in Unternehmensumgebungen unter Verwendung mehrstufiger zeitlicher Korrelation und selbstüberwachtem Repräsentationslernen ABSTRACT: Die Erkennung von Cyberbedrohungen in modernen Unternehmensumgebungen erfordert Mechanismen, die heterogene Ereignisse korrelieren, komplexe zeitliche Abhängigkeiten modellieren und sich an Angreifer anpassen können, die gültige Anmeldeinformationen, fileless‑Techniken und mehrstufige Angriffsketten nutzen, die am MITRE ATT&CK‑Framework ausgerichtet sind. In dieser Arbeit schlagen wir eine hybride Architektur vor, die selbstüberwachtes Repräsentationslernen, hierarchische zeitliche Modellierung und probabilistische Korrelation in dynamischen Graphen integriert, um Fehlalarme zu reduzieren, ohne die Sensitivität unter Konzeptdrift zu beeinträchtigen. Wir formalisieren das Problem als die Schätzung von $P(Y=1 \mid G_{t-k:t})$, wobei $G_{t-k:t}$ ein gleitendes Fenster zeitlicher Graphen darstellt, die aus mehreren Telemetriequellen extrahiert werden (Authentifizierungslogs, Endpoint‑Ereignisse, Netzwerkflüsse und Cloud‑Telemetrie). Die selbstüberwachte Komponente basiert auf kontextueller zeitlicher Vorhersage mit leichten Transformers und ermöglicht das Lernen robuster semantischer Embeddings auch bei begrenzter Verfügbarkeit von Labels. Die mehrstufige Korrelationsphase nutzt log‑lineare Potentiale, die über Teilgraphen definiert sind, die mit ATT&CK‑Techniken konsistent sind, wodurch operative Interpretierbarkeit gewährleistet wird. Wir implementieren die Lösung auf einer verteilten Infrastruktur mit Apache Kafka, Apache Flink, PyTorch und Neo4j und erreichen einen nachhaltigen Durchsatz von 120 000 Ereignissen pro Sekunde in einem Cluster mit 24 Knoten. Wir evaluieren das Modell auf den Datensätzen CIC‑IDS2017, LANL Cybersecurity Dataset sowie auf einem unternehmensinternen Datensatz mit 4,2 Milliarden Ereignissen. Wir beobachten eine durchschnittliche AUC von 0,982, ein F1‑Maß von 0,941, eine TPR von 96,4 % und eine FPR von 3,1 %, was einer relativen Reduktion der Fehlalarme um 38 % gegenüber Baselines wie Isolation Forest, DeepLog und LSTM‑Autoencodern entspricht ($p < 0{,}01$). Wir diskutieren Implikationen für die Integration mit SIEM‑ und CNAPP‑Plattformen sowie Erweiterungen unter Einbeziehung von föderiertem Lernen mit differenzieller Privatsphäre und adversarieller Robustheit. Die Ergebnisse zeigen, dass die Kombination aus selbstüberwachter Repräsentation und probabilistischer struktureller Korrelation einen vielversprechenden Ansatz für adaptive Erkennung im großen Maßstab bis zum Stand der Technik von 2025 darstellt.
Read paper →DetectionMehrstufige adaptive Erkennung fortgeschrittener persistenter Bedrohungen durch probabilistische Korrelation heterogener Telemetrie
Unternehmensumgebungen hat sich in der letzten Dekade erheblich weiterentwickelt. Die Konsolidierung von Multi‑Cloud‑Architekturen, Infrastructure as a Service (IaaS), Platform as a Service (PaaS), durch Kubernetes orchestrierten Containern, CI/CD‑Pipelines, exponierten APIs und Remote‑Arbeit hat die Heterogenität der Telemetriequellen sowie die Komplexität von Angriffsketten signifikant erhöht. Der Data Breach Investigations Report 2025 zeigt, dass kompromittierte Zugangsdaten, Ausnutzung von Schwachstellen und Phishing weiterhin zu den dominierenden Intrusionsvektoren gehören (VERIZON, 2025)
Read paper →