Research / Paper Files
Paper Files
Paper Files sind eine persönliche Praxis des kontinuierlichen Studiums in der Cybersecurity, die die wissenschaftliche Methode als Lernwerkzeug anwendet. Jeder Artikel wird nicht für eine akademische Veröffentlichung geschrieben, sondern als bewusste Übung, um die Axt zu schärfen — Wissen zu bestimmten Themen zu vertiefen, Ideen mit Strenge zu strukturieren und zu beobachten, wie sich das Verständnis bestimmter Themen im Laufe der Zeit entwickelt. Es ist das intellektuelle Äquivalent eines Trainingsjournals: Jeder Eintrag hält fest, was studiert wurde, wie es analysiert wurde und welche Schlussfolgerungen entstanden sind.
Ich empfehle Security-Profis dringend, diese Methode anzuwenden. Wählen Sie ein Thema, das Sie meistern möchten, recherchieren Sie Primärquellen (RFCs, Papers, offizielle Dokumentation), strukturieren Sie Ihren Text mit Einleitung, Methodik, Analyse und Schlussfolgerung und schreiben Sie so, als würden Sie es einem Kollegen erklären. Der Akt des Schreibens erzwingt Klarheit des Denkens und legt Lücken im Verständnis offen, die passives Lesen nicht aufdecken kann. Nutzen Sie die Artikel auf dieser Website als Beispiele für Format und Tiefe und bauen Sie Ihre eigene Sammlung auf — mit der Zeit werden Sie ein persönliches Repository verfeinerten Wissens haben, das kein Kurs und keine Zertifizierung ersetzen kann.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →11 papers
TITEL: Eine formale und skalierbare Architektur zur proaktiven Bedrohungserkennung auf Basis mehrschichtiger temporaler Korrelation und robuster statistischer Lernverfahren
TITEL: Eine formale und skalierbare Architektur zur proaktiven Bedrohungserkennung auf Basis mehrschichtiger temporaler Korrelation und robuster statistischer Lernverfahren ABSTRACT: Die zunehmende Raffinesse mehrstufiger Angriffskampagnen, gekennzeichnet durch verdeckte laterale Bewegungen und die Ausnutzung von Zero-Day-Schwachstellen, stellt traditionelle signatur- oder regelbasierte Detektionsmechanismen vor erhebliche Herausforderungen. In dieser Arbeit schlagen wir eine formale Architektur zur proaktiven Bedrohungserkennung vor, die mehrschichtige zeitliche Korrelation mit ereignisorientierter robuster statistischer Modellierung integriert. Unser Ansatz kombiniert kausale Abhängigkeitsgraphen, Verhaltens-Embeddings und bayesische Inferenz, um Angriffsketten zu identifizieren, die mit MITRE ATT&CK-Techniken assoziiert sind, selbst unter Rauschen und adversarialer Evasion. Wir formalisieren das Problem als Inferenzaufgabe über dynamische Graphen G_t = (V_t, E_t) und zeigen, dass die Erkennung als Maximierung der Likelihood unter strukturellen Restriktionen modelliert werden kann. Wir implementierten einen verteilten Prototypen, der in einem 12-Knoten-Cluster 1,8 Millionen Ereignisse pro Sekunde verarbeiten kann. Wir evaluierten das System anhand der Datensätze DARPA TC, UNSW-NB15 sowie realer Unternehmensumgebungs-Traces mit 4,2 Milliarden Ereignissen. Im Vergleich zu traditionellen SIEMs und reinen LSTM-Modellen reduzierte unsere Lösung die False-Positive-Rate um 37,4 %, erhöhte den durchschnittlichen F1-Score von 0,81 auf 0,92 und erkannte laterale Bewegungen mit einer durchschnittlichen Latenz von 4,3 Sekunden. Darüber hinaus demonstrierten wir Robustheit gegenüber Verschleierungstechniken, die mit den Taktiken T1027 und T1070 verbunden sind. Die Ergebnisse zeigen, dass die Kombination aus strenger mathematischer Formalisierung und verteilter Systemtechnik wesentlich ist, um fortgeschrittene persistente Bedrohungen in großskaligen Umgebungen zu bewältigen.
Read paper →ResearchTITEL: Hybride Architektur auf Basis von mehrschichtiger Telemetrie und zeitlicher Korrelation zur proaktiven Erkennung von Advanced Persistent Threats in Unternehmensumgebungen
TITEL: Hybride Architektur auf Basis von mehrschichtiger Telemetrie und zeitlicher Korrelation zur proaktiven Erkennung von Advanced Persistent Threats in Unternehmensumgebungen ABSTRACT: Die Erkennung von Advanced Persistent Threats (APTs) bleibt eine der größten operativen Herausforderungen in der Cybersicherheit, insbesondere in hybriden Unternehmensumgebungen, die On-Premises-Infrastruktur, Cloud-Workloads und verteilte Endpunkte kombinieren. Jüngste Berichte von Mandiant und Verizon zeigen, dass die durchschnittliche Verweildauer (dwell time) hochentwickelter Angreifer in ausgereiften Umgebungen weiterhin mehr als 16 Tage beträgt und in Organisationen mit geringer Sichtbarkeit 200 Tage überschreiten kann. Diese Arbeit schlägt eine hybride Architektur vor, die auf mehrschichtiger Telemetrie und probabilistischer zeitlicher Korrelation zur proaktiven Erkennung von APTs basiert, indem Netzwerkprotokolle (Suricata), Endpoint-Telemetrie (Sysmon), flüchtiger Speicher (Volatility), Verhaltensregeln (Sigma) und benutzerdefinierte Signaturen (YARA) integriert werden, kombiniert durch ein formales Modell eines gewichteten gerichteten zeitlichen Graphen. Unsere Methodik führt einen Risikobewertungsmechanismus ein, der auf zeitlicher Zentralität und der Verkettung von TTPs basiert, die am MITRE-ATT&CK-Framework ausgerichtet sind, und als Problem der Erkennung kritischer Pfade in dynamischen Graphen modelliert wird. Wir bewerten den vorgeschlagenen Ansatz in einer experimentellen Umgebung mit 12 realen Angriffsszenarien (einschließlich Emulationen von APT29, FIN7 und der Ausnutzung von CVE-2021-44228 – Log4Shell), insgesamt 4,3 TB erfasster Telemetrie über einen Zeitraum von 60 Tagen. Die Ergebnisse zeigen eine Erkennungsrate (TPR) von 94,7 % bei einer False-Positive-Rate (FPR) von 3,2 % und übertreffen damit Ansätze, die ausschließlich auf Regeln basieren (TPR 71,4 %), sowie isolierte Machine-Learning-Modelle (TPR 88,1 %). Die durchschnittliche Zeit bis zur Erkennung wurde von 11,2 Tagen auf 36 Stunden reduziert. Der Hauptbeitrag liegt in der mathematischen Formalisierung der auf TTPs ausgerichteten zeitlichen Korrelation und in der praktischen Validierung in einer realistischen Betriebsumgebung. Wir zeigen, dass die strukturierte Integration heterogener Telemetrie und zeitlicher Modellierung die defensive Fähigkeit signifikant erhöht und direkte praktische Implikationen für SOCs (Security Operations Centers) und Threat-Hunting-Teams bietet.
Read paper →ResearchHybride Architektur auf Basis mehrschichtiger Telemetrie und zeitlicher Korrelation zur proaktiven Erkennung fortgeschrittener persistenter Bedrohungen in Unternehmensumgebungen
TITLE: Hybride Architektur auf Basis mehrschichtiger Telemetrie und zeitlicher Korrelation zur proaktiven Erkennung fortgeschrittener persistenter Bedrohungen in Unternehmensumgebungen ABSTRACT: Die Erkennung fortgeschrittener persistenter Bedrohungen (APTs) bleibt eine der größten operativen Herausforderungen in der Cybersicherheit, insbesondere in hybriden Unternehmensumgebungen, die On-Premises-Infrastruktur, Cloud-Workloads und verteilte Endpunkte kombinieren. Jüngste Berichte von Mandiant und Verizon zeigen, dass die durchschnittliche Verweildauer (dwell time) hochentwickelter Angreifer in ausgereiften Umgebungen weiterhin 16 Tage überschreitet und in Organisationen mit geringer Sichtbarkeit 200 Tage übersteigen kann. Diese Arbeit schlägt eine hybride Architektur auf Basis mehrschichtiger Telemetrie und probabilistischer zeitlicher Korrelation zur proaktiven Erkennung von APTs vor, die Netzwerk-Logs (Suricata), Endpoint-Telemetrie (Sysmon), volatilem Speicher (Volatility), Verhaltensregeln (Sigma) und benutzerdefinierte Signaturen (YARA) integriert, kombiniert durch ein formales Modell eines gewichteten gerichteten zeitlichen Graphen. Unsere Methodik führt einen Risikobewertungsmechanismus ein, der auf zeitlicher Zentralität und der Verkettung von TTPs basiert, ausgerichtet am MITRE-ATT&CK-Framework und modelliert als Problem der Erkennung kritischer Pfade in dynamischen Graphen. Wir bewerteten den Vorschlag in einer experimentellen Umgebung mit 12 realen Angriffsszenarien (einschließlich Emulationen von APT29, FIN7 und der Ausnutzung von CVE-2021-44228 – Log4Shell), insgesamt 4,3 TB an Telemetrie, die über 60 Tage erfasst wurden. Die Ergebnisse zeigen eine Erkennungsrate (TPR) von 94,7 % bei einer Falsch-Positiv-Rate (FPR) von 3,2 % und übertreffen damit Ansätze, die ausschließlich auf Regeln basieren (TPR 71,4 %), sowie isolierte Machine-Learning-Modelle (TPR 88,1 %). Die mittlere Erkennungszeit wurde von 11,2 Tagen auf 36 Stunden reduziert. Der Hauptbeitrag liegt in der mathematischen Formalisierung der auf TTPs ausgerichteten zeitlichen Korrelation und in der praktischen Validierung in einer realistischen Betriebsumgebung. Wir zeigen, dass die strukturierte Integration heterogener Telemetrie und zeitlicher Modellierung die defensive Fähigkeit signifikant erhöht und direkte praktische Implikationen für SOCs (Security Operations Centers) und Threat-Hunting-Teams bietet.
Read paper →ResearchSkalierbare hybride Architektur für die Erkennung und Jagd auf Bedrohungen auf Basis von mehrschichtiger Telemetrie und MITRE-ATT&CK-orientierter Korrelation
Skalierbare hybride Architektur für die Erkennung und Jagd auf Bedrohungen auf Basis von mehrschichtiger Telemetrie und MITRE-ATT&CK-orientierter Korrelation ABSTRACT: Die beschleunigte Expansion digitaler Unternehmensumgebungen, angetrieben durch die Einführung von Cloud-Computing, hybriden Architekturen, Microservices und Integrationen über APIs, hat die Informationssicherheitslandschaft tiefgreifend verändert. Die heutige Angriffsfläche ist stark verteilt und dynamisch geworden, was die frühzeitige Erkennung von Intrusionen durch traditionelle, ausschließlich auf Signaturen basierende Mechanismen erschwert. Moderne Angriffe folgen häufig komplexen Ketten von Taktiken, Techniken und Verfahren (TTPs), die sich oft über mehrere Infrastrukturebenen verteilen, darunter Endpunkte, Netzwerke, Identitäten und Cloud-Dienste. In diesem Kontext erweisen sich isolierte Erkennungsansätze – wie auf statischen Regeln basierende SIEMs oder EDR-Lösungen ohne kontextuelle Korrelation – als unzureichend.
Read paper →ResearchHybride Erkennungs- und Reaktionsarchitektur auf Basis mehrschichtiger Korrelation und statistischem Lernen zur Minderung fortgeschrittener Bedrohungen in Unternehmensumgebungen
TITLE: Hybride Erkennungs- und Reaktionsarchitektur auf Basis mehrschichtiger Korrelation und statistischem Lernen zur Minderung fortgeschrittener Bedrohungen in Unternehmensumgebungen ABSTRACT: Die zunehmende Raffinesse zielgerichteter Infiltrationskampagnen, einschließlich von Menschen gesteuerter Ransomware-Angriffe, der Ausnutzung von Zero-Day-Schwachstellen und heimlicher lateraler Bewegungen, stellt herkömmliche, ausschließlich auf Signaturen oder statischen Regeln basierende Detektionsarchitekturen vor erhebliche Herausforderungen. Aktuelle Vorfälle unter Ausnutzung von Schwachstellen wie CVE-2021-44228 (Log4Shell), CVE-2023-34362 (MOVEit Transfer) sowie MITRE-ATT&CK-Techniken wie T1059 (Command and Scripting Interpreter) und T1021 (Remote Services) verdeutlichen die Notwendigkeit adaptiver, mehrschichtiger Mechanismen. In dieser Arbeit schlagen wir eine hybride Architektur vor, die deterministische, regelbasierte Korrelation (Sigma, Suricata, YARA), statistische Verhaltensanalyse und formale Modellierung von Angriffsketten integriert, mit operativem Fokus auf Unternehmens-SOCs. Unsere Methodik kombiniert ein mathematisches Modell eines gewichteten gerichteten Graphen zur Darstellung von Sicherheitsereignissen mit einem inkrementellen Bayes-Bewertungsmechanismus zur Schätzung der posterioren Kompromittierungswahrscheinlichkeit P(C|E_{1..n}). Wir implementierten einen Prototypen unter Verwendung von Elastic Stack, Suricata, Wazuh, Volatility und benutzerdefinierten Python-Modulen und bewerteten ihn in einer kontrollierten Umgebung mit 12 TB realer Logs und öffentlichen Datensätzen (CIC-IDS2017, UNSW-NB15). Die Ergebnisse zeigen eine Reduktion der False-Positive-Rate um 38,7 % im Vergleich zu einem traditionellen, ausschließlich regelbasierten SIEM, einen Anstieg der Erkennungsrate lateraler Bewegungen um 24,3 % sowie eine Verringerung der mittleren Erkennungszeit (MTTD) von 47 Minuten auf 18 Minuten. Darüber hinaus zeigen wir anhand einer Fallstudie, die eine simulierte Ransomware-Attacke mit Cobalt Strike und Mimikatz umfasst, dass die mehrschichtige Korrelation Prä-Verschlüsselungsmuster im Durchschnitt 11 Minuten im Voraus identifizieren kann. Zu den Beiträgen gehören: (i) die mathematische Formalisierung adaptiver Korrelation, (ii) ein inkrementeller Algorithmus zur Priorisierung von Alarmen mit Komplexitätsanalyse und (iii) eine empirische Validierung mit operativen Metriken. Die Arbeit bietet direkte praktische Implikationen für Blue-Team-Teams und die Architektur von SOCs der nächsten Generation.
Read paper →ResearchEine formal verifizierbare Architektur zur Detektion und adaptiven Minderung von Living-off-the-Land-basierten Bedrohungen in hybriden Unternehmensumgebungen
TITLE: Eine formal verifizierbare Architektur zur Detektion und adaptiven Minderung von Living-off-the-Land-basierten Bedrohungen in hybriden Unternehmensumgebungen ABSTRACT: Die zunehmende Einführung hybrider und Multicloud-Architekturen, zusammen mit der Konsolidierung von Zero-Trust-Modellen und der Integration traditioneller Workloads mit auf künstlicher Intelligenz basierenden Systemen, hat bis 2025 die organisatorische Angriffsfläche erheblich erweitert. In diesem Kontext sind Living-off-the-Land-(LotL)-Techniken vorherrschend geworden, indem sie legitime Binärdateien und native administrative Schnittstellen ausnutzen, um traditionelle Erkennungsmechanismen zu umgehen. Wir schlagen eine formal fundierte Architektur zur Detektion und adaptiven Minderung von LotL-Bedrohungen vor, die temporale Provenienzgraphen, Kullback–Leibler-Divergenz mit adaptivem Schwellenwert sowie die Modellierung probabilistischer Spiele zwischen einem Detektor und einem polynomiell beschränkten Angreifer kombiniert. Wir formalisieren das Problem als ein Ausweich-Experiment $\mathsf{LotL\text{-}Evasion}(n)$ und definieren Sicherheit in Bezug auf eine vernachlässigbare Ausweichwahrscheinlichkeit unter minimal messbarer statistischer Abweichung. Wir zeigen eine exponentielle obere Schranke für die Ausweichwahrscheinlichkeit als Funktion der Totalvariationsdivergenz und der Größe des Beobachtungsfensters unter Verwendung der Ungleichungen von Hoeffding und Pinsker. Die vorgeschlagene Architektur integriert Telemetrieerfassung über eBPF, ETW und auditd, Stream-Verarbeitung mit Apache Flink, Normalisierung gemäß Elastic Common Schema sowie Integration in CNAPP- und SOAR-Plattformen und bewahrt dabei die Ausrichtung an NIST SP 800-207 und zeitgenössischen Praktiken der KI-Governance. Experimentelle Auswertungen mit Bootstrap-Verfahren und Wilcoxon-Test zeigen eine statistisch signifikante Reduktion relativer Fehlalarme sowie eine Verbesserung der mittleren Erkennungszeit in mehrstufigen Szenarien. Darüber hinaus diskutieren wir Implikationen im Zusammenhang mit concept drift, Telemetrieintegrität und durch Sprachmodelle unterstützten Angriffen sowie Erweiterungen unter Einbeziehung versteckter Markow-Ketten, föderierten Lernens mit differenzieller Privatsphäre und probabilistischer Verifikation mit PRISM. Wir kommen zu dem Schluss, dass die Integration kausaler Modellierung und Informationstheorie formale Garantien und robuste empirische Evidenz für die adaptive Minderung von LotL-Bedrohungen in zeitgenössischen Unternehmensumgebungen ermöglicht.
Read paper →ResearchARCUS: Resiliente und kontextuell vereinheitlichte Architektur zur adaptiven Erkennung und Eindämmung von Bedrohungen in Multicloud-Umgebungen
TITLE: ARCUS: Resiliente und kontextuell vereinheitlichte Architektur zur adaptiven Erkennung und Eindämmung von Bedrohungen in Multicloud-Umgebungen ABSTRACT: Die Konsolidierung von Multicloud-Architekturen, durch Kubernetes orchestrierten Microservices, DevSecOps-Pipelines und Infrastructure-as-Code hat den zeitgenössischen Bedrohungsraum neu definiert. Im Jahr 2025 operieren Organisationen gleichzeitig bei Anbietern wie AWS, Azure und Google Cloud und integrieren verwaltete Dienste, öffentliche APIs, serverlose Funktionen sowie Workloads mit GPU-Beschleunigung für Modelle der künstlichen Intelligenz, einschließlich LLMs. Diese Heterogenität vergrößert die Angriffsfläche und begünstigt Kompromittierungen auf Basis gültiger Anmeldeinformationen, Angriffe auf die Software-Lieferkette sowie die Ausnutzung von Schwachstellen in weit verteilten Komponenten. Wir schlagen die Architektur ARCUS (Arquitetura Resiliente e Contextualmente Unificada de Segurança) vor, die formale Modellierung, Deep Learning auf probabilistischen temporalen Graphen und die Orchestrierung von Reaktionen mit verifizierbaren Garantien integriert. Wir modellieren die Multicloud-Umgebung als probabilistischen temporalen Graphen, in dem Ereignisse durch Tupel dargestellt werden, die mit kontextuellen und probabilistischen Attributen angereichert sind. Die Erkennung wird als Problem der bayesianischen Inferenz über temporale Subgraphen formuliert, implementiert durch Graph Attention Networks mit Einbindung kontextueller Signale und dynamischer Embeddings. Die Eindämmung wird als Problem der gemischt-ganzzahligen linearen Programmierung (MILP) behandelt, unter formalen Nebenbedingungen, die aus Sicherheitsrichtlinien und operativen Invarianten abgeleitet sind, wodurch partielle Korrektheit und Latenzgrenzen sichergestellt werden. Wir evaluieren den Vorschlag empirisch anhand weithin anerkannter öffentlicher Datensätze sowie synthetischer Multicloud-Szenarien und vergleichen ihn mit traditionellen signaturbasierten Ansätzen und sequenziellen Modellen. Die Ergebnisse zeigen statistisch signifikante Verbesserungen bei AUC-ROC, F1-Score und Reduktion der Erkennungslatenz, bei gleichzeitig kontrollierten Falsch-Positiv-Raten. Darüber hinaus diskutieren wir Implikationen für Umgebungen mit generativen KI-Workloads, die Integration mit CNAPP sowie den Einsatz von eBPF für Telemetrie auf niedriger Ebene. Wir kommen zu dem Schluss, dass die Kombination aus formaler Modellierung, Graph-Learning und verifizierbarer Optimierung einen vielversprechenden Ansatz für adaptive Sicherheit in zeitgenössischen Multicloud-Ökosystemen darstellt.
Read paper →ResearchPROBABILISTISCHE DETEKTION UND ZEITLICHE KORRELATION VON LATERALER BEWEGUNG AUF BASIS DYNAMISCHER GRAPHEN IN HYBRIDEN UNTERNEHMENSUMGEBUNGEN
TITLE: PROBABILISTISCHE DETEKTION UND ZEITLICHE KORRELATION VON LATERALER BEWEGUNG AUF BASIS DYNAMISCHER GRAPHEN IN HYBRIDEN UNTERNEHMENSUMGEBUNGEN ABSTRACT: Die Konsolidierung hybrider Unternehmensumgebungen — die Active Directory on-premises, Microsoft Entra ID, mehrere Public-Clouds, containerisierte Workloads und SaaS-Anwendungen integrieren — hat die Angriffsfläche sowie die strukturelle Komplexität von Identitäts- und Netzwerkabhängigkeiten erheblich erweitert. In diesem Kontext bleibt laterale Bewegung eine kritische Phase in zeitgenössischen Angriffsketten, insbesondere in Szenarien von Ransomware, Spionage und der Kompromittierung gültiger Konten. Wir schlagen ein formales Modell zur probabilistischen Detektion vor, das auf dynamischen zeitlichen Graphen mit inkrementeller Bayes’scher Inferenz basiert und darauf ausgelegt ist, Multi-Hop-Muster von Authentifizierung und Remote-Zugriff in heterogenen Telemetrieflüssen zu erfassen. Wir formalisieren den zeitlichen Graphen als indexierte Familie $\{G_t\}_{t \in T}$ und modellieren die Wahrscheinlichkeit der Legitimität von Pfaden als Produkt konditionaler Wahrscheinlichkeiten, parametrisiert durch adaptive exponentielle Aktualisierung. Wir zeigen Vollständigkeitseigenschaften unter monotonem Pruning mit Schwellenwert $\tau$, analysieren die asymptotische Komplexität des tiefenbeschränkten Enumerationsalgorithmus und diskutieren die Auswirkungen des Base-Rate-Problems auf die Kalibrierung von False Positives. Wir integrieren das Modell in moderne Stream-Processing-Architekturen (Kafka und Flink) sowie in graphorientierte Persistenzsysteme, mit Interoperabilität über Sigma und Mapping zu MITRE ATT&CK. Wir evaluieren den Ansatz experimentell mit strikter zeitlicher Validierung und vergleichen ihn mit statischen Regeln sowie mit unüberwachten Methoden wie Isolation Forest, wobei unter realistischen operativen Einschränkungen eine konsistente Reduktion von False Positives beobachtet wird. Wir diskutieren Einschränkungen im Zusammenhang mit der Annahme bedingter Unabhängigkeit, der Integrität der Telemetrie und adversarieller Adaptivität sowie Implikationen für Sicherheit in Umgebungen mit CNAPP, eBPF und der Detektion von Missbrauch föderierter Identitäten. Wir schließen daraus, dass strukturelle probabilistische Modellierung einen günstigen Kompromiss zwischen Interpretierbarkeit, formalem Rigor und operativer Umsetzbarkeit bietet und eine solide Grundlage für zukünftige Erweiterungen unter Einbeziehung temporaler Graph Neural Networks und formaler adversarieller Evaluierung darstellt.
Read paper →ResearchARCUS: Resiliente Architektur mit vereinheitlichter semantischer Korrelation zur adaptiven Erkennung fortgeschrittener Bedrohungen in hybriden Umgebungen
TITLE: ARCUS: Resiliente Architektur mit vereinheitlichter semantischer Korrelation zur adaptiven Erkennung fortgeschrittener Bedrohungen in hybriden Umgebungen ABSTRACT: Die beschleunigte Ausbreitung hybrider und Multi-Cloud-Architekturen, kombiniert mit der Einführung von DevSecOps‑Praktiken, ephemeren Workloads und der Integration von auf künstlicher Intelligenz basierenden Komponenten, hat die organisatorische Angriffsfläche bis 2025 erheblich vergrößert. Jüngste Berichte zeigen, dass Sicherheitsverletzungen weiterhin bekannte Schwachstellen, Social Engineering und Lieferketten ausnutzen, während neue Bedrohungen im Umfeld von Large Language Models (LLMs), exponierten APIs und föderierten Identitäten entstehen. In diesem Kontext zeigen traditionelle SIEM-Mechanismen, die überwiegend auf syntaktischer Korrelation und statischen Regeln basieren, strukturelle Einschränkungen bei der Erfassung verteilter zeitlicher und semantischer Abhängigkeiten. Wir schlagen ARCUS vor, eine formal fundierte Architektur, die eine am MITRE ATT&CK und an NIST SP 800-61 ausgerichtete semantische Ontologie, dynamische zeitliche Graphen und hybride Inferenz kombiniert, bestehend aus Graph Neural Networks (GNNs) und inkrementeller statistischer Detektion. Wir formalisieren Ereignisse als strukturierte Tupel und modellieren die Systementwicklung mittels eines zeitlichen Graphen $G_t$, wobei Eigenschaften inkrementeller Aktualisierung mit amortisierter konstanter Komplexität unter realistischen Indexierungsannahmen erhalten bleiben. Wir definieren das Detektionsproblem als bayesianische Entscheidung unter einem Schwellenwert $\tau$, mit einer zusammengesetzten Verlustfunktion, die überwachte Klassifikation und Anomaliebewertung ausbalanciert. Wir evaluieren ARCUS anhand anonymisierter realer Daten, DARPA Transparent Computing und Atomic Red Team und erreichen eine durchschnittliche Präzision von 96,9 %, einen Recall von 97,8 % sowie eine Reduktion der False-Positive-Rate um 43 % im Vergleich zu einem industriellen SIEM-Baseline-System, zusätzlich zu einer Verringerung der mittleren Detektionszeit um 79 %. Wir diskutieren wünschenswerte probabilistische Eigenschaften, operative Skalierbarkeit (3,2 Milliarden Ereignisse/Tag) sowie die Integration mit CNAPP und SOAR. Wir kommen zu dem Schluss, dass graphbasierte semantische Korrelation in Kombination mit inkrementeller Inferenz eine rigorose und operativ tragfähige Grundlage für die adaptive Erkennung fortgeschrittener Bedrohungen in zeitgenössischen hybriden Umgebungen bietet.
Read paper →ResearchAdaptive Architektur zur Proaktiven Erkennung von Advanced Persistent Threats auf Basis Mehrschichtiger Zeitlicher Korrelation und Robuster Statistischer Inferenz
TITLE: Adaptive Architektur zur Proaktiven Erkennung von Advanced Persistent Threats auf Basis Mehrschichtiger Zeitlicher Korrelation und Robuster Statistischer Inferenz ABSTRACT: Die zunehmende Komplexität digitaler Infrastrukturen im Jahr 2025 — gekennzeichnet durch hybride Architekturen, Multi-Cloud-Umgebungen, Microservices, ereignisorientiertes Computing, Container-Workloads sowie die Integration von Machine-Learning-Modellen und LLMs — hat die unternehmerische Angriffsfläche erheblich erweitert. Advanced Persistent Threats (APTs) nutzen mehrstufige Angriffsketten, die Netzwerk-, Host-, Anwendungs- und Identitätsschichten durchqueren, und kombinieren dabei häufig die Ausnutzung bekannter Schwachstellen, den Missbrauch gültiger Anmeldeinformationen sowie die partielle Manipulation von Protokollen. Traditionelle Detektionssysteme, die auf Signaturen oder isolierten überwachten Klassifikatoren basieren, zeigen Einschränkungen bei der Erfassung komplexer zeitlicher Abhängigkeiten sowie hinsichtlich ihrer Robustheit gegenüber adversarialer Kontamination. In dieser Arbeit schlagen wir eine adaptive Architektur vor, die auf mehrschichtiger zeitlicher Korrelation basiert, modelliert durch gewichtete dynamische Graphen mit robusten M‑Schätzern, kombiniert mit dynamischer bayesischer Inferenz, strukturiert durch Vorwissen aus dem MITRE ATT&CK-Framework. Wir formalisieren das Problem unter einem $\epsilon$-adversarialen Kontaminationsmodell und demonstrieren Bedingungen für die statistische Konsistenz der verwendeten Schätzer. Wir implementieren die Architektur in einer verteilten Umgebung mit Ingestion im großen Maßstab, Integration von auf eBPF basierender Telemetrie und Container-Orchestrierung und erreichen eine nachhaltige Verarbeitung von 95.000 Ereignissen pro Sekunde bei einer durchschnittlichen Latenz von unter 500 ms. Wir evaluieren die Methode auf öffentlichen Datensätzen (CIC-IDS2017, UNSW-NB15), dem Datensatz CIC-IDS2018 sowie einem unternehmensinternen Datensatz mit 4,2 Milliarden Ereignissen. Die Ergebnisse zeigen eine signifikante Erhöhung der TPR (96,4%) und eine Reduktion der FPR (2,1%) im Vergleich zu Random Forest, LSTM und Isolation Forest, mit überlegener Robustheit unter Kontamination $\epsilon=0{,}15$. Darüber hinaus demonstrieren wir eine Reduktion der mittleren Erkennungszeit (MTTD) sowie eine höhere operative Interpretierbarkeit. Wir schließen daraus, dass die formale Integration von robuster Statistik, zeitlicher grafischer Modellierung und strukturiertem Wissen über adversariale Taktiken einen vielversprechenden Ansatz für die proaktive Erkennung von APTs in zeitgenössischen Unternehmensumgebungen darstellt.
Read paper →ResearchProbabilistische angriffsgraphbasierte Priorisierung von Sicherheitslücken in cloud‑nativen Unternehmensnetzen unter Berücksichtigung adversarieller Bewegungsmuster
Sicherheitsarchitektur moderner Unternehmensnetze befindet sich in einem fundamentalen Wandel. Traditionelle, klar segmentierte Perimeter‑Modelle werden zunehmend durch cloud‑native, hochgradig verteilte Architekturen ersetzt. Container‑Orchestrierungssysteme wie Kubernetes, Infrastructure‑as‑Code‑Werkzeuge wie Terraform, serverlose Plattformen sowie hybride Multi‑Cloud‑Szenarien führen zu einer starken Dynamisierung der IT‑Landschaft. Assets entstehen und verschwinden automatisiert; Identitäten werden über föderierte Mechanismen verwaltet; Netzwerkgrenzen sind logisch statt physisch definiert
Read paper →