Research / Paper Files

Paper Files

Paper Files sind eine persönliche Praxis des kontinuierlichen Studiums in der Cybersecurity, die die wissenschaftliche Methode als Lernwerkzeug anwendet. Jeder Artikel wird nicht für eine akademische Veröffentlichung geschrieben, sondern als bewusste Übung, um die Axt zu schärfen — Wissen zu bestimmten Themen zu vertiefen, Ideen mit Strenge zu strukturieren und zu beobachten, wie sich das Verständnis bestimmter Themen im Laufe der Zeit entwickelt. Es ist das intellektuelle Äquivalent eines Trainingsjournals: Jeder Eintrag hält fest, was studiert wurde, wie es analysiert wurde und welche Schlussfolgerungen entstanden sind.

Ich empfehle Security-Profis dringend, diese Methode anzuwenden. Wählen Sie ein Thema, das Sie meistern möchten, recherchieren Sie Primärquellen (RFCs, Papers, offizielle Dokumentation), strukturieren Sie Ihren Text mit Einleitung, Methodik, Analyse und Schlussfolgerung und schreiben Sie so, als würden Sie es einem Kollegen erklären. Der Akt des Schreibens erzwingt Klarheit des Denkens und legt Lücken im Verständnis offen, die passives Lesen nicht aufdecken kann. Nutzen Sie die Artikel auf dieser Website als Beispiele für Format und Tiefe und bauen Sie Ihre eigene Sammlung auf — mit der Zeit werden Sie ein persönliches Repository verfeinerten Wissens haben, das kein Kurs und keine Zertifizierung ersetzen kann.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Alle Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

205 papers

DevSecOps

TITEL: Ein formales und quantitativ evaluiertes Framework für die adaptive Orchestrierung von Sicherheitskontrollen in DevSecOps-Pipelines auf Basis von Threat Modeling und kontinuierlicher Risikoanalyse

TITEL: Ein formales und quantitativ evaluiertes Framework für die adaptive Orchestrierung von Sicherheitskontrollen in DevSecOps-Pipelines auf Basis von Threat Modeling und kontinuierlicher Risikoanalyse ABSTRACT: Die zunehmende Einführung von DevOps-Praktiken hat den Softwareentwicklungslebenszyklus grundlegend verändert, jedoch neue Angriffsvektoren eingeführt, die aus umfassender Automatisierung, Infrastructure as Code und komplexen Lieferketten resultieren. Obwohl DevSecOps die kontinuierliche Integration von Sicherheit in die Entwicklungspipeline vorschlägt, bleiben die meisten Implementierungen ad hoc und es fehlt ihnen an mathematischer Formalisierung, rigoroser Bedrohungsmodellierung und adaptiven Mechanismen zur Priorisierung von Kontrollen. In dieser Arbeit schlagen wir ein formales Framework für die adaptive Orchestrierung von Sicherheitskontrollen in DevSecOps-Pipelines vor, das auf probabilistischer Risikomodellierung und der Integration mit der MITRE-ATT&CK-Matrix basiert. Wir definieren das Problem der Minimierung des residualen Risikos unter Nebenbedingungen bezüglich Latenz und Rechenkosten formal und modellieren die Pipeline als einen gerichteten azyklischen Graphen mit risikobezogenen Funktionen für jede Stufe. Wir entwickeln zwei Hauptalgorithmen: (i) einen Mechanismus zur dynamischen Priorisierung von Sicherheitsprüfungen auf Grundlage des erwarteten marginalen Risikos und (ii) einen adaptiven Orchestrator, der die Pipeline in Echtzeit auf Basis von Ausführungs-Telemetrie neu konfiguriert. Wir implementierten das Framework auf GitLab CI/CD, Kubernetes und Werkzeugen wie SAST, DAST, SCA und IaC-Scannern und evaluierten es anhand von 312 Unternehmens-Repositories mit 4,8 Millionen Codezeilen. Die Ergebnisse zeigen eine durchschnittliche Reduktion der gesamten Pipeline-Zeit um 37,4 %, eine Verringerung des geschätzten residualen Risikos um 52,1 % und eine Reduktion der False Positives um 41,3 % im Vergleich zu traditionellen statischen Pipelines. Darüber hinaus beobachteten wir eine Verbesserung der mittleren Behebungszeit (MTTR) um 29,6 %. Die Ergebnisse deuten darauf hin, dass die mathematische Formalisierung der DevSecOps-Orchestrierung gleichzeitige Gewinne in Sicherheit und operativer Effizienz ermöglicht und zur wissenschaftlichen Konsolidierung des Feldes beiträgt.

2007-07-20Read paper →DevSecOps

Eine formale und quantitativ evaluierte Architektur für die adaptive Orchestrierung von Sicherheitskontrollen in cloudnativen DevSecOps-Pipelines

TITLE: Eine formale und quantitativ evaluierte Architektur für die adaptive Orchestrierung von Sicherheitskontrollen in cloudnativen DevSecOps-Pipelines ABSTRACT: Die Beschleunigung der Software-Release-Zyklen, angetrieben durch DevOps-Praktiken, hat ein strukturelles Paradoxon eingeführt: Die Verringerung der Entwicklungszeit hat die Angriffsfläche und die Häufigkeit der Einführung von Schwachstellen vergrößert. DevSecOps entsteht als Antwort darauf, indem Sicherheitskontrollen über die gesamte Continuous-Integration- und Continuous-Delivery-Pipeline (CI/CD) hinweg integriert werden. Bestehende Ansätze bleiben jedoch überwiegend heuristisch, es fehlt ihnen an strenger Formalisierung, systematischer Bedrohungsmodellierung und umfassender quantitativer Bewertung. In dieser Arbeit schlagen wir eine formale Architektur für die adaptive Orchestrierung von Sicherheitskontrollen in cloudnativen DevSecOps-Pipelines vor, die auf mathematischer Risikomodellierung und Mehrzieloptimierung basiert. Unsere Methodik kombiniert statische Analyse (SAST), dynamische Analyse (DAST), Abhängigkeitsprüfung (SCA), Analyse von Infrastructure as Code (IaC) und verhaltensbasierte Erkennung, orientiert an MITRE ATT&CK, integriert durch einen Priorisierungsmechanismus auf Grundlage der Risikofunktion R = P · I · E, wobei P die ausnutzbare Wahrscheinlichkeit, I die Auswirkung und E die zeitliche Exposition darstellt. Wir implementierten einen Prototyp in Kubernetes mit GitLab CI, SonarQube, OWASP ZAP, Trivy und Open Policy Agent und bewerteten ihn an 42 realen Microservices (≈1,8 Millionen Codezeilen). Die Ergebnisse zeigen eine durchschnittliche Reduktion der Remediationszeit (MTTR) um 37,4 %, eine Verringerung kritischer Schwachstellen in Produktion (CVSS ≥ 9.0) um 29,1 % sowie einen durchschnittlichen Pipeline-Overhead von weniger als 11,6 %. Im Vergleich zu konventionellen DevSecOps-Pipelines beobachteten wir einen Zuwachs von 22,8 % bei der Priorisierungsgenauigkeit und eine Reduktion um 31,5 % bei verwertbaren False Positives. Wir zeigen, dass die mathematische Formalisierung der Sicherheitsorchestrierung es ermöglicht, Strenge und Agilität auszubalancieren und messbare Garantien für die Risikoreduktion zu liefern, ohne den Delivery-Throughput zu beeinträchtigen. Diese Arbeit trägt bei durch (i) ein formales Modell für kontinuierliches Risiko in DevSecOps, (ii) adaptive Orchestrierungsalgorithmen mit Komplexitätsanalyse und (iii) eine empirische Großstudie mit reproduzierbaren quantitativen Daten.

2007-07-13Read paper →DevSecOps

Formale Orchestrierung und quantitative Bewertung von DevSecOps-Pipelines auf Basis von Policy-as-Code mit messbaren Sicherheitsgarantien

Formale Orchestrierung und quantitative Bewertung von DevSecOps-Pipelines auf Basis von Policy-as-Code mit messbaren Sicherheitsgarantien Die zunehmende Einführung von DevOps-Praktiken hat den Lebenszyklus der Softwareentwicklung transformiert, jedoch gleichzeitig die Angriffsfläche erheblich vergrößert, indem hochgradig automatisierte Pipelines, ephemere Infrastruktur und die kontinuierliche Integration von Drittanbieter-Abhängigkeiten eingeführt wurden. Jüngste Vorfälle im Zusammenhang mit der Kompromittierung von Lieferketten — wie SolarWinds und Log4Shell (CVE-2021-44228) — zeigen, dass das Fehlen von in den Entwicklungsfluss integrierten Sicherheitskontrollen zu systemischen Auswirkungen großen Ausmaßes führt. In dieser Arbeit schlagen wir ein formales Rahmenwerk für DevSecOps vor, das auf Policy-as-Code basiert und messbare Garantien für Compliance und Risikoreduktion bietet. Unser Ansatz kombiniert die formale Modellierung der Pipeline als gerichteten azyklischen Graphen, die Verifikation von Sicherheitseigenschaften mittels deklarativer Restriktionen sowie einen adaptiven Mechanismus zur Priorisierung von Schwachstellen, der auf CVSS-Metriken und Bedrohungsinformationen aus MITRE ATT&CK basiert. Wir implementierten einen Prototyp, der in Kubernetes-Umgebungen, GitLab CI/CD und Werkzeuge wie Open Policy Agent (OPA), Trivy und SonarQube integriert ist. Wir evaluierten das System in 42 realen Open-Source-Projekten mit insgesamt 3,8 Millionen Codezeilen und 12.614 Container-Images. Die Ergebnisse zeigen eine durchschnittliche Reduktion der mittleren Behebungszeit (MTTR) um 47,3 %, eine Verringerung der Einführung kritischer Schwachstellen in Produktionsumgebungen um 62,8 % sowie einen Ausführungs-Overhead von weniger als 8,4 % der gesamten Pipeline-Laufzeit. Darüber hinaus zeigen wir, dass die Formalisierung von Sicherheitseigenschaften die Erkennung von 91,6 % der Richtlinienverletzungen bereits vor der Deploy-Phase ermöglicht. Wir kommen zu dem Schluss, dass die systematische Integration leichter formaler Verifikation und adaptiver Priorisierung in DevSecOps-Pipelines erhebliche quantitative Sicherheitsgewinne ermöglicht, ohne die operative Agilität zu beeinträchtigen, und damit ein messbares und reproduzierbares Paradigma für sichere Softwareentwicklung in Hochgeschwindigkeitsumgebungen etabliert.

2007-07-06Read paper →DevSecOps

Formale Orchestrierung und quantitative Bewertung von Policy-as-Code-basierten DevSecOps-Pipelines mit messbaren Sicherheitsgarantien

TITLE: Formale Orchestrierung und quantitative Bewertung von Policy-as-Code-basierten DevSecOps-Pipelines mit messbaren Sicherheitsgarantien ABSTRACT: Die zunehmende Adoption von DevOps-Praktiken hat den Softwareentwicklungslebenszyklus transformiert, jedoch die Angriffsfläche erheblich vergrößert, indem hochautomatisierte Pipelines, flüchtige Infrastruktur und die kontinuierliche Integration von Drittanbieterabhängigkeiten eingeführt wurden. Jüngste Vorfälle mit Kompromittierungen von Lieferketten – wie SolarWinds und Log4Shell (CVE-2021-44228) – zeigen, dass das Fehlen von in den Entwicklungsfluss integrierten Sicherheitskontrollen zu systemischen Auswirkungen im großen Maßstab führt. In dieser Arbeit schlagen wir ein formales Rahmenwerk für DevSecOps auf Basis von Policies as Code (Policy-as-Code) mit messbaren Garantien für Konformität und Risikoreduktion vor. Unser Ansatz kombiniert die formale Modellierung der Pipeline als gerichteten azyklischen Graphen, die Überprüfung von Sicherheitseigenschaften mittels deklarativer Restriktionen und einen adaptiven Mechanismus zur Priorisierung von Schwachstellen, der auf CVSS-Metriken und der Bedrohungsintelligenz von MITRE ATT&CK basiert. Wir implementierten einen Prototyp, der in Kubernetes-Umgebungen, GitLab CI/CD und Tools wie Open Policy Agent (OPA), Trivy und SonarQube integriert ist. Wir evaluierten das System in 42 realen Open-Source-Projekten mit insgesamt 3,8 Millionen Codezeilen und 12.614 Container-Images. Die Ergebnisse zeigen eine durchschnittliche Reduktion der mittleren Behebungszeit (MTTR) um 47,3 %, eine Verringerung der Einführung kritischer Schwachstellen in der Produktion um 62,8 % und einen Ausführungs-Overhead von weniger als 8,4 % der gesamten Pipeline-Laufzeit. Zudem zeigen wir, dass die Formalisierung von Sicherheitseigenschaften es ermöglicht, 91,6 % der Richtlinienverstöße vor der Deploy-Phase zu erkennen. Wir schließen daraus, dass die systematische Integration von leichter formaler Verifikation und adaptiver Priorisierung in DevSecOps-Pipelines substanzielle quantitative Sicherheitsgewinne liefert, ohne die operative Agilität zu beeinträchtigen, und damit ein messbares und reproduzierbares Paradigma für sichere Softwareentwicklung in Hochgeschwindigkeitsumgebungen etabliert.

2007-07-06Read paper →DevSecOps

Eine formal fundierte Architektur zur adaptiven Orchestrierung von DevSecOps-Kontrollen mit quantitativen Garantien zur Reduktion der Angriffsfläche

TITLE: Eine formal fundierte Architektur zur adaptiven Orchestrierung von DevSecOps-Kontrollen mit quantitativen Garantien zur Reduktion der Angriffsfläche ABSTRACT: Die beschleunigte Einführung von DevOps-Pipelines hat die Angriffsfläche von Unternehmenssystemen erheblich vergrößert und Vektoren eingeführt, die mit Software-Lieferketten, ephemeren Konfigurationen und unzureichend instrumentierten Continuous-Integration-Prozessen verbunden sind. Obwohl das DevSecOps-Paradigma die kontinuierliche Integration von Sicherheitsmechanismen in den Entwicklungszyklus vorschlägt, fehlt es der Literatur an formalen Modellen, die deren Wirksamkeit unter realistischen Angreifern und reproduzierbaren Metriken quantifizieren. In dieser Arbeit schlagen wir eine adaptive DevSecOps-Architektur mit expliziter mathematischer Fundierung zur messbaren Risikoreduktion vor, modelliert als Optimierungsproblem unter operativen Nebenbedingungen. Wir formalisieren die Pipeline als gerichteten azyklischen Graphen G = (V,E) mit risikobezogenen Funktionen für jede Stufe und definieren eine zusammengesetzte Angriffsflächenmetrik A(G), die auf ausnutzbaren Schwachstellen basiert, gewichtet nach CVSS-Kritikalität und geschätzter Ausnutzungswahrscheinlichkeit anhand von MITRE ATT&CK-Daten. Wir implementierten die Architektur in einer Kubernetes-Umgebung mit Integration von Werkzeugen wie GitLab CI, SonarQube, OWASP ZAP, Trivy und HashiCorp Vault. Wir evaluierten das System an 120 Open-Source-Projekten und 18 Unternehmensanwendungen mit insgesamt 3,2 Millionen Codezeilen. Die Ergebnisse zeigen eine durchschnittliche Reduktion der Exposition gegenüber kritischen Schwachstellen (CVSS ≥ 9.0) um 47,3 %, eine Verringerung der mittleren Behebungszeit (MTTR) um 38,6 % sowie einen operativen Overhead von unter 8,4 % der gesamten Build-Zeit. Im Vergleich zu statischen DevSecOps-Pipelines erzielte unser adaptiver Mechanismus einen statistisch signifikanten Vorteil (p < 0,01) bei der präventiven Blockierungsrate ausnutzbarer Fehlkonfigurationen. Wir schließen daraus, dass die quantitative Formalisierung nicht nur eine ökonomische Rechtfertigung für die Einführung von DevSecOps ermöglicht, sondern auch eine dynamische Optimierung von Sicherheitskontrollen in Umgebungen mit hoher Deployment-Frequenz erlaubt.

2007-06-29Read paper →AppSec

TITEL: Eine formale Architektur für kontinuierliche AppSec auf der Basis hybrider Analyse, quantitativer Bedrohungsmodellierung und risikoorientierter Orchestrierung

TITEL: Eine formale Architektur für kontinuierliche AppSec auf der Basis hybrider Analyse, quantitativer Bedrohungsmodellierung und risikoorientierter Orchestrierung ABSTRACT: Die wachsende Komplexität moderner Software-Ökosysteme — bestehend aus Microservices, öffentlich exponierten APIs, Open-Source-Abhängigkeiten und hochautomatisierten CI/CD-Pipelines — hat die Angriffsfläche von Anwendungen erheblich vergrößert. Schwachstellen wie Log4Shell (CVE-2021-44228) sowie wiederkehrende Fehler bei Injection und unzureichender Zugriffskontrolle zeigen, dass traditionelle Ansätze der Anwendungssicherheit (AppSec) angesichts adaptiver Angreifer weiterhin unzureichend sind. In dieser Arbeit schlagen wir eine integrierte Architektur für kontinuierliche AppSec vor, die statische Analyse (SAST), dynamische Analyse (DAST), Software Composition Analysis (SCA) und quantitative Bedrohungsmodellierung kombiniert, gekoppelt durch einen risikoorientierten Orchestrierungsmechanismus. Wir formalisieren das Problem der Schwachstellenpriorisierung als eine multizielgerichtete Optimierung unter betrieblichen Nebenbedingungen und modellieren das Risiko als $R = P(E) \times I$, wobei $P(E)$ die geschätzte Ausnutzungswahrscheinlichkeit auf Basis von Threat Intelligence und $I$ die über CVSS-Metriken und die Kritikalität von Assets gemessene Auswirkung ist. Wir implementierten einen Prototypen auf einer DevSecOps-Pipeline mit Integration zu GitHub Actions, SonarQube, OWASP ZAP und dependabot und evaluierten ihn an 47 realen Open-Source-Anwendungen. Unsere Ergebnisse zeigen eine durchschnittliche Reduktion der Remediationszeit (MTTR) um 38,7 %, einen Anstieg der Erkennungsrate kritischer Schwachstellen um 24,3 % und eine Reduktion um 41,2 % bei fälschlicherweise priorisierten False Positives im Vergleich zu konventionellen, nicht risikoorientierten Pipelines. Der zentrale Beitrag liegt in der mathematischen Formalisierung der Priorisierung und der kontinuierlichen operativen Integration, die messbare Garantien für eine verbesserte Sicherheitslage bereitstellt. Die Ergebnisse deuten darauf hin, dass die Einbeziehung quantitativer Modelle in die Orchestrierung von AppSec-Werkzeugen einen substanziellen Fortschritt für die Sicherheitsreife in modernen Entwicklungsumgebungen darstellt.

2007-06-22Read paper →AppSec

Titel: Eine formale Architektur für kontinuierliche AppSec basierend auf hybrider Analyse, quantitativer Bedrohungsmodellierung und risikoorientierter Orchestrierung

Titel: Eine formale Architektur für kontinuierliche AppSec basierend auf hybrider Analyse, quantitativer Bedrohungsmodellierung und risikoorientierter Orchestrierung Abstract: Die zunehmende Komplexität moderner Softwareökosysteme — bestehend aus Microservices, öffentlich exponierten APIs, Open-Source-Abhängigkeiten und hochautomatisierten CI/CD-Pipelines — hat die Angriffsfläche von Anwendungen erheblich vergrößert. Schwachstellen wie Log4Shell (CVE-2021-44228) sowie wiederkehrende Fehler bei Injection und unzureichender Zugriffskontrolle zeigen, dass traditionelle Ansätze der Anwendungssicherheit (AppSec) gegenüber adaptiven Angreifern weiterhin unzureichend sind. In dieser Arbeit schlagen wir eine integrierte Architektur für kontinuierliche AppSec vor, die statische Analyse (SAST), dynamische Analyse (DAST), Software Composition Analysis (SCA) und quantitative Bedrohungsmodellierung kombiniert, gekoppelt über einen risikoorientierten Orchestrierungsmechanismus. Wir formalisieren das Problem der Priorisierung von Schwachstellen als Multiobjektiv-Optimierung unter operativen Nebenbedingungen und modellieren Risiko als R = P(E) × I, wobei P(E) die geschätzte Ausnutzungswahrscheinlichkeit auf Basis von Threat Intelligence darstellt und I den über CVSS-Metriken und Asset-Kritikalität gemessenen Einfluss beschreibt. Wir implementierten einen Prototyp auf einer DevSecOps-Pipeline mit Integration in GitHub Actions, SonarQube, OWASP ZAP und Dependabot und evaluierten ihn an 47 realen Open-Source-Anwendungen. Unsere Ergebnisse zeigen eine durchschnittliche Reduktion der Behebungszeit (MTTR) um 38,7 %, eine Steigerung der Erkennungsrate kritischer Schwachstellen um 24,3 % sowie eine Reduktion von 41,2 % bei fälschlicherweise priorisierten False Positives im Vergleich zu konventionellen, nicht risikoorientierten Pipelines. Der zentrale Beitrag liegt in der mathematischen Formalisierung der Priorisierung und der kontinuierlichen operativen Integration, wodurch messbare Verbesserungen der Sicherheitslage ermöglicht werden. Die Ergebnisse zeigen, dass die Einbindung quantitativer Modelle in die Orchestrierung von AppSec-Werkzeugen einen wesentlichen Fortschritt für die Sicherheitsreife moderner Entwicklungsumgebungen darstellt.

2007-06-22Read paper →AppSec

Eine formal fundierte Architektur für kontinuierliche Application Security: Bedrohungsmodellierung, hybride Analyse und quantitative Risikopriorisierung in DevSecOps-Pipelines

TITLE: Eine formal fundierte Architektur für kontinuierliche Application Security: Bedrohungsmodellierung, hybride Analyse und quantitative Risikopriorisierung in DevSecOps-Pipelines ABSTRACT: Die zunehmende Komplexität von Softwareökosystemen, gekennzeichnet durch verteilte Architekturen, Microservices, Abhängigkeiten von Drittanbietern und kontinuierliche Lieferzyklen, hat die Angriffsfläche moderner Anwendungen erheblich vergrößert. Jüngste Berichte des Verizon Data Breach Investigations Report (DBIR) zeigen, dass mehr als 43% der Sicherheitsverletzungen Schwachstellen in Webanwendungen ausnutzen, während die NVD im Jahr 2023 mehr als 28.000 CVEs registrierte, von denen viele mit aus der Ferne ausnutzbaren Fehlern verbunden sind. In dieser Arbeit untersuchen wir das Problem der Anwendungssicherheit (AppSec) aus einer formalen und systematischen Perspektive und schlagen eine integrierte Architektur zur kontinuierlichen Erkennung, Priorisierung und Behebung von Schwachstellen in DevSecOps-Pipelines vor. Unsere Methodik kombiniert statische Analyse (SAST), dynamische Analyse (DAST), Software Composition Analysis (SCA) sowie eine probabilistische Risikomodellierung auf Basis von CVSS und organisatorischen Kontextmetriken. Wir führen ein mathematisches Modell zur Priorisierung von Schwachstellen ein, das auf der Funktion $R(v) = P_e(v) \cdot I(v) \cdot C(v)$ basiert, wobei $P_e$ die Ausnutzungswahrscheinlichkeit, $I$ die technische Auswirkung und $C$ die kontextuelle Kritikalität darstellt. Wir evaluieren unseren Ansatz anhand von 42 Open-Source-Anwendungen und 8 realen Unternehmenssystemen mit insgesamt 3,2 Millionen Codezeilen. Die Ergebnisse zeigen eine durchschnittliche Reduktion der Behebungszeit (MTTR) um 37,4%, eine Steigerung der Erkennungsrate kritischer Schwachstellen um 29,1% sowie eine Verringerung der Fehlalarme um 41,8% im Vergleich zu traditionellen Pipelines, die ausschließlich auf SAST basieren. Die vorgeschlagene Architektur weist einen durchschnittlichen Overhead von 8,6% in der Build-Zeit auf und bleibt damit operativ praktikabel. Wir schließen daraus, dass die formal ausgerichtete Integration hybrider Techniken in Verbindung mit einer kontextualisierten quantitativen Priorisierung die Effektivität von AppSec-Programmen in Umgebungen mit hoher Entwicklungsgeschwindigkeit erheblich steigert.

2007-06-15Read paper →AppSec

Evidenzorientierte AppSec: Ein formales und skalierbares Framework für die kontinuierliche Analyse von Schwachstellen in DevSecOps-Pipelines

TITLE: Evidenzorientierte AppSec: Ein formales und skalierbares Framework für die kontinuierliche Analyse von Schwachstellen in DevSecOps-Pipelines ABSTRACT: Anwendungssicherheit (Application Security – AppSec) ist zu einem der wichtigsten Risikofaktoren im zeitgenössischen digitalen Ökosystem geworden, angetrieben durch die breite Einführung von Microservice-Architekturen, kontinuierlicher Integration und Open-Source-Abhängigkeiten. In großem Maßstab ausgenutzte Schwachstellen wie Log4Shell (CVE-2021-44228) und Spring4Shell (CVE-2022-22965) verdeutlichen strukturelle Einschränkungen traditioneller Ansätze der statischen Analyse (SAST), dynamischen Analyse (DAST) und Softwarekompositionsanalyse (SCA). In dieser Arbeit schlagen wir ein formales und evidenzorientiertes Framework für kontinuierliche AppSec vor, bezeichnet als EASE (Evidence-Aware Security Enforcement), das inkrementelle statische Analyse, formale Modellierung von Datenflüssen und probabilistische risikobasierte Priorisierung auf Grundlage operativer Telemetrie integriert. Unsere Methodik kombiniert ein mathematisches Risikomodell R(v) = P_e(v) · I(v) · E(v), wobei P_e die durch statistisches Lernen geschätzte Exploitationswahrscheinlichkeit darstellt, I den kontextuellen Einfluss und E die dynamische Exposition, gemessen durch Laufzeitdaten. Wir implementierten das Framework in realen CI/CD-Pipelines mit 312 Repositorien (Java, Python und Node.js), insgesamt 48 Millionen Codezeilen. Die experimentellen Ergebnisse zeigen eine durchschnittliche Reduktion von 37,4 % an Fehlalarmen im Vergleich zu konventionellen SAST-Werkzeugen, eine Verringerung der mittleren Behebungszeit (MTTR) um 42,1 % sowie eine frühzeitige Erkennung von 91 % der später als kritisch katalogisierten Schwachstellen (CVSS ≥ 9.0). Darüber hinaus reduzierte die inkrementelle Analyse die Ausführungszeit um 58 % im Vergleich zu vollständigen Scans. Wir leisten Beiträge durch (i) eine rigorose Formalisierung des Problems der Schwachstellenpriorisierung in DevSecOps-Umgebungen, (ii) effiziente Algorithmen für inkrementelle Analyse mit Korrektheitsgarantien und (iii) eine großskalige empirische Evaluation, die substanzielle Gewinne in Präzision und Leistung demonstriert. Das vorgeschlagene Framework schafft quantitative Grundlagen für eine auf realem Risiko basierende AppSec und bringt Anwendungssicherheit näher an evidenzorientierte Ingenieurpraktiken heran.

2007-06-09Read paper →AppSec

Formale und skalierbare Architektur für Application Security (AppSec) basierend auf graphorientierter hybrider Analyse und quantitativer Risikopriorisierung

TITLE: Formale und skalierbare Architektur für Application Security (AppSec) basierend auf graphorientierter hybrider Analyse und quantitativer Risikopriorisierung ABSTRACT: Die zunehmende Komplexität verteilter Anwendungen, die auf Microservices basieren und in umfangreiche Open-Source-Abhängigkeitsketten integriert sind, hat die Angriffsfläche sowie die Häufigkeit ausnutzbarer Schwachstellen erheblich vergrößert. Jüngste Vorfälle im Zusammenhang mit Schwachstellen wie Log4Shell (CVE-2021-44228) und unsicheren Deserialisierungsfehlern verdeutlichen die Unzulänglichkeit traditioneller Ansätze der Application Security (AppSec), die sich ausschließlich auf isolierte statische oder dynamische Scans stützen. In dieser Arbeit schlagen wir eine formale und skalierbare AppSec-Architektur vor, die auf graphorientierter hybrider Analyse basiert und statische Analyse (SAST), dynamische Analyse (DAST), Software Composition Analysis (SCA) sowie automatisierte Bedrohungsmodellierung durch semantische Abhängigkeitsgraphen und interprozedurale Datenflussanalyse kombiniert. Wir führen ein mathematisches Modell zur quantitativen Risikopriorisierung ein, das CVSS-Metriken, eine durch statistisches Lernen geschätzte Ausnutzungswahrscheinlichkeit sowie strukturelle Zentralität im Aufrufgraphen integriert. Wir implementierten einen verteilten Prototyp, der Anwendungen mit mehr als 5 Millionen Codezeilen analysieren kann und 1,2 Millionen Graphknoten mit einer durchschnittlichen Latenz von 38 Minuten pro CI/CD-Pipeline verarbeitet. Wir evaluierten das System anhand von 42 kritischen Open-Source-Projekten (darunter Apache Struts, Spring PetClinic und NodeGoat) mit insgesamt 9.317 bekannten Schwachstellen. Unser Ansatz reduzierte falsch positive Ergebnisse um 37,4 % im Vergleich zu traditionellen SAST-Werkzeugen und erhöhte die Erkennung tatsächlich ausnutzbarer Flüsse um 28,9 %. Der Priorisierungsmechanismus steigerte die Behebungsrate kritischer Schwachstellen in kontrollierten Testumgebungen innerhalb von zweiwöchigen Sprintzyklen um 41 %. Die Ergebnisse zeigen, dass die formale Integration mehrerer Techniken unter einem einheitlichen graphorientierten Modell erhebliche Verbesserungen in Bezug auf Präzision, Skalierbarkeit und operative Relevanz bietet und somit zur Weiterentwicklung des Stands der Technik in AppSec sowie zur effektiven Integration von Sicherheit in den DevSecOps-Zyklus beiträgt.

2007-06-02Read paper →DFIR

Formale Orchestrierung und probabilistische Analyse von Beweismitteln in DFIR: Eine skalierbare, auf zeitlichen Graphen basierende Architektur für Multiquellen-Korrelation

TITLE: Formale Orchestrierung und probabilistische Analyse von Beweismitteln in DFIR: Eine skalierbare, auf zeitlichen Graphen basierende Architektur für Multiquellen-Korrelation ABSTRACT: Digital Forensics and Incident Response (DFIR) steht vor strukturellen Herausforderungen, die sich aus der zunehmenden Heterogenität von Unternehmensumgebungen, der Volatilität digitaler Beweismittel und der Raffinesse von Angreifern ergeben, die Living-off-the-Land-Techniken und antikforensische Evasionsmethoden einsetzen. Diese Arbeit schlägt eine formale Architektur für die Orchestrierung und probabilistische Korrelation digitaler Beweismittel auf der Grundlage multiquellenbasierter zeitlicher Graphen vor, mit expliziter mathematischer Modellierung des Problems der Rekonstruktion von Vorfällen. Unsere Methodik integriert verteilte Erfassung, semantische Normalisierung nach MITRE ATT&CK, Konstruktion kausaler Graphen und bayessche Inferenz zur Zuordnung von Ereignissen zu Angriffsketten. Wir formalisieren das Problem als die Maximierung der Posteriorwahrscheinlichkeit einer Folge von Kompromittierungszuständen, gegeben eine heterogene Menge forensischer Beobachtungen. Wir implementierten einen funktionalen Prototypen auf Basis eines Pipelines, der auf Elastic Stack, Apache Kafka und Neo4j aufbaut, und bewerteten ihn anhand eines Datensatzes aus 12 TB realer Protokolle und synthetischer Spuren, die 18 verschiedene ATT&CK-Techniken repräsentieren. Die experimentellen Ergebnisse zeigen eine Steigerung der Genauigkeit bei der Rekonstruktion von Zeitlinien um 27,4 % im Vergleich zu regelbasierten deterministischen Ansätzen, eine Reduktion der mittleren Ermittlungszeit (MTTI) um 34,1 % sowie eine Verbesserung des F1-Scores um 22,8 % bei der Identifikation komplexer Angriffsketten. Die Architektur hält bei einer Last von 15.000 Ereignissen/Sekunde eine durchschnittliche Verarbeitungslatenz von unter 420 ms pro Ereignis ein, mit beobachteter linearer Skalierbarkeit bis zu 8 Verarbeitungsknoten. Wir schließen daraus, dass die probabilistische Formalisierung in Verbindung mit zeitlichen Graphen erhebliche Gewinne an Genauigkeit und operativer Effizienz in DFIR ermöglicht und damit robuste Grundlagen für eine vertrauenswürdige und auditierbare Automatisierung digitaler Untersuchungen in großem Maßstab schafft.

2007-05-26Read paper →DFIR

Formale Orchestrierung und probabilistische Analyse von Evidenzen in DFIR: Eine skalierbare Architektur auf Basis temporaler Graphen zur Multiquellenkorrelation

Formale Orchestrierung und probabilistische Analyse von Evidenzen in DFIR: Eine skalierbare Architektur auf Basis temporaler Graphen zur Multiquellenkorrelation Digital Forensics and Incident Response (DFIR) steht vor strukturellen Herausforderungen, die aus der zunehmenden Heterogenität von Unternehmensumgebungen, der Volatilität digitaler Evidenzen und der Raffinesse von Angreifern resultieren, die Living-off-the-Land-Techniken und antiforensische Umgehungsstrategien einsetzen. Diese Arbeit schlägt eine formale Architektur zur Orchestrierung und probabilistischen Korrelation digitaler Evidenzen auf Basis multiquellenbasierter temporaler Graphen vor, mit expliziter mathematischer Modellierung des Problems der Rekonstruktion von Sicherheitsvorfällen. Unsere Methodik integriert verteilte Datenerfassung, MITRE ATT&CK-orientierte semantische Normalisierung, die Konstruktion kausaler Graphen sowie bayesianische Inferenz zur Zuordnung von Ereignissen zu Angriffsketten. Wir formalisieren das Problem als Maximierung der a-posteriori-Wahrscheinlichkeit einer Sequenz von Kompromittierungszuständen gegeben eine heterogene Menge forensischer Beobachtungen. Wir implementierten einen funktionalen Prototypen auf einer Pipeline basierend auf Elastic Stack, Apache Kafka und Neo4j und evaluierten ihn mit einem Datensatz bestehend aus 12 TB realer Logs und synthetischer Spuren, die 18 unterschiedliche ATT&CK-Techniken repräsentieren. Die experimentellen Ergebnisse zeigen eine Steigerung der Genauigkeit der Zeitlinienrekonstruktion um 27,4 % im Vergleich zu deterministischen regelbasierten Ansätzen, eine Reduktion der durchschnittlichen Untersuchungszeit (MTTI) um 34,1 % sowie eine Verbesserung des F1-Scores um 22,8 % bei der Identifikation komplexer Angriffsketten. Die Architektur hält eine durchschnittliche Verarbeitungslatenz von unter 420 ms pro Ereignis bei einer Last von 15.000 Ereignissen pro Sekunde aufrecht, wobei lineare Skalierbarkeit bis zu 8 Verarbeitungsknoten beobachtet wurde. Wir schließen daraus, dass probabilistische Formalisierung in Verbindung mit temporalen Graphen substanzielle Zugewinne an Genauigkeit und operativer Effizienz in DFIR ermöglicht und damit eine rigorose Grundlage für zuverlässige und auditierbare Automatisierung digitaler Untersuchungen im großen Maßstab schafft.

2007-05-26Read paper →DFIR

Eine formale und skalierbare Architektur für graphorientiertes DFIR mit probabilistischer zeitlicher Korrelation und kryptographischen Integritätsgarantien

TITLE: Eine formale und skalierbare Architektur für graphorientiertes DFIR mit probabilistischer zeitlicher Korrelation und kryptographischen Integritätsgarantien ABSTRACT: Die zunehmende Komplexität von Computerumgebungen im Jahr 2025 — gekennzeichnet durch cloudnative Architekturen, Microservices, ephemere Workloads, DevSecOps-Pipelines, hybride Umgebungen und Integrationen mit Systemen der künstlichen Intelligenz — stellt die Disziplin Digital Forensics and Incident Response (DFIR) vor erhebliche Herausforderungen. Die kausale Rekonstruktion von Vorfällen, die mehrere heterogene Datenquellen umfassen, unter Bedingungen zeitlicher Unsicherheit, statistischen Rauschens und möglicher Manipulation von Logdaten, bleibt aus formaler Perspektive ein offenes Problem. In dieser Arbeit schlagen wir eine mathematisch fundierte Architektur für graphorientiertes DFIR vor, die auf einem probabilistischen azyklischen kausalen Graphmodell mit expliziter zeitlicher Unsicherheit, bayesianischer Inferenz und kryptographischen Integritätsgarantien mittels Merkle-Bäumen und unveränderlicher Speicherung (WORM) basiert. Wir formalisieren das Problem der Rekonstruktion von Angriffssequenzen als ein Problem der Maximierung bedingter Wahrscheinlichkeit über zulässige Pfade in einem DAG und zeigen dessen Äquivalenz zur Minimierung der Summe von Log-Wahrscheinlichkeiten. Wir führen zwei Algorithmen ein: (i) Causal Temporal Reconstruction (RTC) mit einer Komplexität von $O(|E_c|\log|V|)$ und (ii) Incremental Integrity Verification (VII) mit einem Inklusionsnachweis in $O(\log n)$. Die Architektur wurde auf Basis von Elastic Stack 8.x, Apache Kafka 3.5, S3 Object Lock im Compliance-Modus und PostgreSQL implementiert und anhand von 12 TB realer und synthetischer Daten evaluiert, einschließlich DARPA Transparent Computing und dem Los Alamos Cybersecurity Dataset. Die Ergebnisse zeigen eine statistisch signifikante Steigerung der Präzision (91,4% vs. 64,2%), eine Reduktion der durchschnittlichen Triage-Zeit um 37,8% sowie einen kontrollierten rechnerischen Overhead (8,6%). Wir argumentieren, dass die Integration probabilistischer Formalismen, kryptographischer Garantien und kausaler Modellierung eine rigorose, auditierbare und skalierbare Grundlage für modernes DFIR bietet, im Einklang mit den Richtlinien von NIST, ISO/IEC 27037 und der MITRE ATT&CK-Taxonomie sowie kompatibel mit zeitgenössischen Szenarien unter Einbeziehung von eBPF, CNAPP und KI-orientierten Umgebungen.

2007-05-19Read paper →DFIR

Formale Orchestrierung von DFIR auf Basis temporaler Graphen und bayesianischer Inferenz für die automatisierte Incident Response in verteilten Unternehmensumgebungen

Formale Orchestrierung von DFIR auf Basis temporaler Graphen und bayesianischer Inferenz für die automatisierte Incident Response in verteilten Unternehmensumgebungen Die zunehmende Komplexität verteilter Unternehmensumgebungen, gekennzeichnet durch Multicloud-Architekturen, containerisierte Workloads, Edge-Geräte, Integrationen über APIs und KI-basierte Systeme, stellt die Disziplin der Digital Forensics and Incident Response (DFIR) vor erhebliche Herausforderungen. Zeitgenössische Angriffsketten sind typischerweise mehrstufig und nutzen Schwachstellen in heterogenen Komponenten aus, wobei Techniken der Remote-Ausführung, lateralen Bewegung, Persistenz und Exfiltration kombiniert werden. In diesem Kontext erweisen sich traditionelle, auf deterministischen Regeln basierende SIEM-Ansätze als unzureichend, um komplexe kausale Sequenzen unter Unsicherheit und adversarialem Rauschen zu rekonstruieren. In dieser Arbeit schlagen wir eine mathematische Formalisierung der Rekonstruktion von Sicherheitsvorfällen als MAP-Inferenzproblem (Maximum a Posteriori) in gerichteten temporalen Graphen mit expliziten kausalen Restriktionen vor. Wir modellieren forensische Ereignisse als strukturierte Tupel und führen ein probabilistisches Rahmenwerk ein, das auf konditionaler lokaler Faktorisierung basiert und eine formale Quantifizierung von Unsicherheit ermöglicht. Wir demonstrieren Robustheitseigenschaften bei begrenzter adversarialer Einfügung spuriöser Ereignisse und leiten analytische Bedingungen für die Invarianz des MAP-Pfads her. Darüber hinaus implementieren wir die Architektur TGI-DFIR auf einer skalierbaren Infrastruktur basierend auf Apache Kafka, Elasticsearch, Neo4j und Kubernetes, mit Integration in moderne CNAPP-Pipelines und eBPF-Telemetrie. Wir evaluieren den Ansatz empirisch unter Verwendung des Datensatzes DARPA Transparent Computing, realer Unternehmenslogs (12 TB) sowie Szenarien, die von bis 2025 breit ausgenutzten Schwachstellen inspiriert sind. Die Ergebnisse zeigen eine statistisch signifikante Steigerung der Präzision (F1 = 0,91 ± 0,02) sowie eine Reduktion der durchschnittlichen Triage-Zeit um 47,3 % im Vergleich zu regelbasierten Ansätzen und sequenziellen Deep-Learning-Modellen. Wir schließen daraus, dass die Integration von temporalen Graphen und bayesianischer Inferenz eine formal strenge und operativ praktikable Grundlage für die automatisierte Orchestrierung der Incident Response in modernen verteilten Unternehmensumgebungen bietet.

2007-05-12Read paper →DFIR

Formale und korrelierte Orchestrierung von Evidenzen in DFIR: Ein skalierbares Rahmenwerk für probabilistische zeitliche Rekonstruktion und Incident-Attribution in hybriden Umgebungen

TITLE: Formale und korrelierte Orchestrierung von Evidenzen in DFIR: Ein skalierbares Rahmenwerk für probabilistische zeitliche Rekonstruktion und Incident-Attribution in hybriden Umgebungen ABSTRACT: Die zunehmende Komplexität hybrider Infrastrukturen, die massenhafte Einführung von Cloud-Computing, mikroserviceorientierte Architekturen, auf eBPF basierende Observability sowie die Integration von Systemen der künstlichen Intelligenz haben die Herausforderungen der Disziplin Digital Forensics and Incident Response (DFIR) erheblich erweitert. Im Jahr 2025 verdeutlichen Vorfälle, die kritische Schwachstellen, Lieferketten und Living-off-the-Land-Techniken ausnutzen, die Grenzen linearer Ansätze zur Logkorrelation und statischer SIEM-Regeln. In dieser Arbeit schlagen wir ein formales Rahmenwerk für die probabilistische zeitliche Rekonstruktion von Angriffsketten vor, das auf gerichteten Graphen mit konditionalen Gewichten und semantischen Restriktionen basiert, die aus der MITRE ATT&CK-Matrix abgeleitet werden. Wir modellieren das Problem als bayessche Inferenz über azyklische Teilgraphen, die die a-posteriori-Wahrscheinlichkeit unter heterogenen und potenziell inkonsistenten Evidenzen maximieren. Wir führen einen Mechanismus zur bayesschen zeitlichen Ausrichtung ein, um Uhrdrift zwischen verteilten Quellen zu kompensieren, sowie einen wissensgeleiteten Rekonstruktionsalgorithmus, der an adversariales Wissen orientiert ist und schwellenwertgesteuertes probabilistisches Pruning verwendet. Wir zeigen formale Eigenschaften ε-approximierter Korrektheit unter Hypothesen der Beobachtungsvollständigkeit und analysieren die asymptotische Komplexität der vorgeschlagenen Algorithmen. Die verteilte Implementierung, basierend auf Apache Kafka, Apache Spark, Elasticsearch und Neo4j, wurde auf Datensätzen mit insgesamt 1,2 TB an Ereignissen evaluiert, einschließlich Simulationen mit Atomic Red Team und anonymisierten Unternehmensprotokollen. Wir erreichten $F1 = 0{,}895 \pm 0{,}02$, übertrafen damit eine traditionelle SIEM-Baseline um 29,7% und reduzierten die durchschnittliche Untersuchungszeit um 37,4% ($p < 0{,}01$). Wir diskutieren Erweiterungen für Umgebungen mit KI/ML-Workloads, die Integration mit CNAPP sowie beweisrechtliche Implikationen unter digitalen Beweismittelkettensystemen. Die Ergebnisse zeigen, dass die explizite Einbeziehung semantischer Restriktionen und rigoroser probabilistischer Modellierung einen wesentlichen Fortschritt für skalierbares und formal fundiertes DFIR darstellt.

2007-05-06Read paper →Detection

ADAPTIVE MEHRSCHICHTIGE ERKENNUNG FORTGESCHRITTENER BEDROHUNGEN BASIEREND AUF BAYESIANISCHER FUSION HETEROGENER TELEMETRIE UND TEMPORALER GRAPHEN

TITLE: ADAPTIVE MEHRSCHICHTIGE ERKENNUNG FORTGESCHRITTENER BEDROHUNGEN BASIEREND AUF BAYESIANISCHER FUSION HETEROGENER TELEMETRIE UND TEMPORALER GRAPHEN ABSTRACT: Die zunehmende Sophistizierung von Cyberbedrohungen im Jahr 2025, einschließlich mehrstufiger Angriffe, der Ausnutzung von Zero-Day-Schwachstellen, Kompromittierungen der Lieferkette, Missbrauch von Identitäten sowie der Ausnutzung generativer Modelle künstlicher Intelligenz, stellt traditionelle Erkennungsmechanismen vor erhebliche Herausforderungen. In dieser Arbeit schlagen wir eine adaptive, mehrschichtige Erkennungsarchitektur vor, die auf rekursiver bayesianischer Fusion heterogener Telemetriedaten und struktureller Modellierung mittels dynamischer temporaler Graphen basiert. Wir formalisieren das Problem als Inferenz über einen binären latenten Prozess, der das Vorhandensein bösartiger Aktivität im Zeitverlauf repräsentiert und aus beobachtbaren Ereignissen aus Netzwerk, Endpoint, Identität, Anwendungen und Cloud-Workloads geschätzt wird. Die Methodik integriert (i) semantische Normalisierung von Ereignissen, (ii) Extraktion statistischer und struktureller Merkmale, (iii) inkrementellen Aufbau temporaler Graphen und (iv) bayesianische Inferenz mit Aktualisierung der Log-Likelihood zur numerischen Stabilität. Zusätzlich führen wir einen strukturellen Detektor ein, der auf der Kullback–Leibler-Divergenz zwischen Verteilungen beobachteter topologischer Metriken und historischen Baselines basiert. Wir evaluieren das Modell empirisch auf weit verbreiteten öffentlichen Datensätzen (CIC-IDS2017 und UNSW-NB15) sowie auf einem Unternehmensdatensatz mit 2,3 Milliarden anonymisierten Ereignissen und vergleichen es mit Random Forest, XGBoost und LSTM. Die Ergebnisse zeigen eine statistisch signifikante Verbesserung des F1-Scores sowie eine konsistente Reduktion der Falsch-Positiv-Rate und der mittleren Erkennungszeit für laterale Bewegungen. Abschließend diskutieren wir Implikationen für Zero-Trust- und CNAPP-Umgebungen, Robustheit gegenüber Concept Drift sowie Risiken von Datenvergiftung. Wir zeigen, dass die kohärente probabilistische Fusion mehrerer schwacher Evidenzen in Kombination mit der strukturellen Analyse temporaler Graphen substanzielle Gewinne bei Präzision und Latenz liefert und zugleich operative Skalierbarkeit in modernen verteilten Architekturen aufrechterhält.

2007-04-29Read paper →Detection

Adaptive Detection of Advanced Persistent Threats by Multimodal Temporal Modeling and Large-Scale Probabilistic Inference

TITLE: Adaptive Detection of Advanced Persistent Threats by Multimodal Temporal Modeling and Large-Scale Probabilistic Inference ABSTRACT: Die zunehmende Raffinesse von Advanced Persistent Threats (APTs) in hybriden und Cloud-nativen Umgebungen stellt erhebliche Herausforderungen an die frühzeitige Erkennung von Kompromittierungen. Im Jahr 2025 umfasst die operative Landschaft Multi-Cloud-Architekturen, CNAPP (Cloud-Native Application Protection Platforms), flüchtige Workloads, Telemetrie über eBPF sowie neuartige Risiken im Zusammenhang mit Large Language Models (LLMs). In dieser Arbeit schlagen wir ein formales Modell zur adaptiven Erkennung von APTs vor, das auf der Integration multimodaler dynamischer Graphen und multivariater Hawkes-Prozesse basiert und unter einer expliziten Bayes’schen Perspektive strukturiert ist. Wir formalisieren den Ereignisfluss als heterogene zeitliche Sequenz und modellieren die Ausbreitung bösartiger Aktivität als selbstanregenden Prozess mit Einschränkungen der spektralen Stabilität. Die optimale Entscheidung wird unter 0–1-Verlust mit expliziter Begrenzung der False-Positive-Rate hergeleitet und adressiert das grundlegende Problem der Base Rate. Wir implementieren die Architektur in einer verteilten Umgebung mit Apache Kafka, Apache Flink und verteiltem Speicher und integrieren eBPF-basierte Telemetrieextraktion sowie kontextuelle Anreicherung im Einklang mit MITRE ATT&CK. Wir evaluieren das Modell auf den Datensätzen CIC-IDS2017, DARPA Transparent Computing und einem anonymisierten Unternehmensdatensatz mit 2,3 Milliarden Ereignissen. Die Ergebnisse zeigen einen statistisch signifikanten Gewinn (p < 0,01) beim F1-Score, eine Reduktion der False-Positive-Rate um 38 % und eine AUC von 0,97 im Vergleich zu Baselines wie Isolation Forest, LSTM und Sigma-Regeln. Darüber hinaus diskutieren wir Implikationen für die Sicherheit KI-basierter Systeme, das Modellgovernance und die Integration mit aufkommenden post-quanten Kontrollen. Wir schließen daraus, dass relationale probabilistische Modellierung eine robuste theoretische Grundlage und eine operativ praktikable Basis für adaptive Erkennung im großen Maßstab bietet, kompatibel mit den gegenwärtigen Anforderungen an Observability, Compliance und cyber-Resilienz.

2007-04-22Read paper →Detection

Detektion adaptiver Advanced Persistent Threats durch multimodale zeitliche Modellierung und probabilistische Inferenz im großen Maßstab

Detektion adaptiver Advanced Persistent Threats durch multimodale zeitliche Modellierung und probabilistische Inferenz im großen Maßstab Die zunehmende Sophistizierung von Advanced Persistent Threats (APTs) in hybriden und cloudnativen Umgebungen stellt erhebliche Herausforderungen für die frühzeitige Erkennung von Kompromittierungen dar. Im Jahr 2025 umfasst das operative Umfeld Multi-Cloud-Architekturen, CNAPP (Cloud-Native Application Protection Platforms), ephemere Workloads, Telemetrie über eBPF sowie neu entstehende Risiken im Zusammenhang mit Large Language Models (LLMs). In dieser Arbeit schlagen wir ein formales Modell zur adaptiven Detektion von APTs vor, das auf der Integration dynamischer multimodaler Graphen und multivariater Hawkes-Prozesse basiert und unter einer expliziten Bayes’schen Perspektive strukturiert ist. Wir formalisieren den Ereignisfluss als heterogene zeitliche Sequenz und modellieren die Ausbreitung bösartiger Aktivität als selbstanregenden Prozess mit spektralen Stabilitätsrestriktionen. Die optimale Entscheidung wird unter 0–1-Verlust mit expliziter Begrenzung der False-Positive-Rate abgeleitet, wodurch das fundamentale Base-Rate-Problem adressiert wird. Wir implementieren die Architektur in einer verteilten Umgebung mit Apache Kafka, Apache Flink und verteiltem Speicher und integrieren dabei eine eBPF-basierte Telemetrieextraktion sowie eine kontextuelle Anreicherung in Übereinstimmung mit MITRE ATT&CK. Wir evaluieren das Modell auf den Datensätzen CIC-IDS2017, DARPA Transparent Computing sowie auf einem anonymisierten Unternehmensdatensatz mit 2,3 Milliarden Ereignissen. Die Ergebnisse zeigen einen statistisch signifikanten Gewinn (p < 0,01) im F1-Score, eine Reduktion der False-Positive-Rate um 38 % und eine AUC von 0,97 im Vergleich zu Baselines wie Isolation Forest, LSTM und Sigma-Regeln. Darüber hinaus diskutieren wir Implikationen für die Sicherheit KI-basierter Systeme, Modell-Governance und die Integration mit aufkommenden postquanten Kryptokontrollen. Wir kommen zu dem Schluss, dass relationale probabilistische Modellierung eine robuste theoretische Grundlage und eine operativ praktikable Lösung für adaptive Detektion im großen Maßstab bietet, kompatibel mit zeitgenössischen Anforderungen an Observability, Compliance und cybernetische Resilienz.

2007-04-22Read paper →Detection

Adaptive, mehrschichtige Detektion fortgeschrittener Bedrohungen auf Basis probabilistischer Fusion und kontinuierlichen Lernens in heterogenen Unternehmensumgebungen

Adaptive, mehrschichtige Detektion fortgeschrittener Bedrohungen auf Basis probabilistischer Fusion und kontinuierlichen Lernens in heterogenen Unternehmensumgebungen Die Erkennung von Bedrohungen in zeitgenössischen Unternehmensumgebungen ist aufgrund der Konvergenz hybrider Infrastrukturen, Multi-Cloud-Architekturen, mobiler Geräte, containerisierter Workloads, durch APIs exponierter Angriffsflächen sowie der zunehmenden Integration von Systemen auf Basis künstlicher Intelligenz zu einem strukturell komplexen Problem geworden. Jüngste Berichte zeigen, dass kompromittierte Anmeldeinformationen, die Ausnutzung bekannter Schwachstellen und der Missbrauch legitimer Werkzeuge weiterhin zu den wichtigsten Intrusionsvektoren zählen, während die durchschnittliche Verweildauer des Angreifers (dwell time) weiterhin erheblich bleibt und damit Einschränkungen traditioneller Detektionsmechanismen aufzeigt (VERIZON, 2024; MANDIANT, 2023). In dieser Arbeit formalisieren wir das Problem der nahezu echtzeitfähigen Detektion als probabilistische Inferenz über einen latenten Zustand systemischer Kompromittierung, modelliert durch einen Markov-Prozess und geschätzt mittels Fusion heterogener Evidenzen aus mehreren Telemetrieschichten. Wir schlagen das Framework AMuLeT (Adaptive Multi-Layer Threat detection) vor, das überwachte Klassifikatoren und Autoencoder pro Schicht kombiniert und über eine Regel des logarithmischen Likelihood-Verhältnisses unter der Annahme angenäherter bedingter Unabhängigkeit integriert. Darüber hinaus führen wir einen Mechanismus des kontinuierlichen Lernens mit elastischer Regularisierung ein, um Concept Drift und adversariale Evolution zu mindern und gleichzeitig historisch relevante Parameter zu bewahren. Wir evaluieren den Ansatz empirisch anhand weit verbreiteter öffentlicher Datensätze sowie eines großskaligen Unternehmensdatensatzes mit insgesamt Milliarden von Ereignissen. Die Ergebnisse zeigen statistisch signifikante Verbesserungen hinsichtlich AUC, F1-Score, Falsch-Positiv-Rate und Reduktion der mittleren Detektionszeit im Vergleich zu isolierten Modellen. Abschließend diskutieren wir praktische Implikationen im Lichte von NIST-Empfehlungen und aktuellen Trends wie CNAPP, eBPF und der Sicherheit großer Sprachmodelle und skizzieren zukünftige Erweiterungen unter Einbeziehung dynamischer Graphen sowie föderierten Lernens mit formalen Garantien differenzieller Privatsphäre.

2007-04-15Read paper →Detection

TITEL: ADAPTIVE MEHRSCHICHTIGE ERKENNUNG VON BEDROHUNGEN MIT FORTGESCHRITTENER BEDROHUNGSERKENNUNG AUF BASIS WAHRSCHEINLICHKEITSFUSION UND KONTINUIERLICHEM LERNEN IN HETEROGENEN UNTERNEHMENSUMGEBUNGEN

TITEL: ADAPTIVE MEHRSCHICHTIGE ERKENNUNG VON BEDROHUNGEN MIT FORTGESCHRITTENER BEDROHUNGSERKENNUNG AUF BASIS WAHRSCHEINLICHKEITSFUSION UND KONTINUIERLICHEM LERNEN IN HETEROGENEN UNTERNEHMENSUMGEBUNGEN ABSTRAKT: Die Erkennung von Bedrohungen in zeitgenössischen Unternehmensumgebungen ist aufgrund der Konvergenz von hybriden Infrastrukturen, Multicloud-Architekturen, mobilen Endgeräten, containerisierten Workloads, über APIs exponierten Angriffsflächen und der zunehmenden Integration von Systemen auf Basis künstlicher Intelligenz zu einem strukturell komplexen Problem geworden. Jüngste Berichte zeigen, dass kompromittierte Zugangsdaten, die Ausnutzung bekannter Schwachstellen und der Missbrauch legitimer Werkzeuge weiterhin zu den wichtigsten Einfallsvektoren gehören, während die durchschnittliche Verweildauer des Angreifers (dwell time) weiterhin signifikant bleibt, was die Grenzen traditioneller Erkennungsmechanismen verdeutlicht (VERIZON, 2024; MANDIANT, 2023). In dieser Arbeit formalisieren wir das Problem der nahezu Echtzeit-Erkennung als probabilistische Inferenz über einen latenten Zustand systemischer Kompromittierung, modelliert durch einen Markov-Prozess und geschätzt mittels Fusion heterogener Evidenzen aus mehreren Telemetrieebenen. Wir schlagen das Framework AMuLeT (Adaptive Multi-Layer Threat detection) vor, das über jede Ebene hinweg überwachte Klassifikatoren und Autoencoder kombiniert, integriert durch eine Regel des logarithmischen Likelihood-Verhältnisses unter der Annahme näherungsweiser bedingter Unabhängigkeit. Darüber hinaus führen wir einen Mechanismus des kontinuierlichen Lernens mit elastischer Regularisierung ein, um Concept Drift und adversariale Evolution zu mildern und historisch relevante Parameter zu bewahren. Wir evaluieren den Ansatz empirisch anhand weit verbreiteter öffentlicher Datensätze sowie eines unternehmensweiten Datensatzes im großen Maßstab mit insgesamt Milliarden von Ereignissen. Die Ergebnisse zeigen statistisch signifikante Verbesserungen bei AUC, F1-Score, Falsch-Positiv-Rate und der Reduktion der durchschnittlichen Erkennungszeit im Vergleich zu isolierten Modellen. Wir diskutieren praktische Implikationen im Lichte der Empfehlungen des NIST und zeitgenössischer Trends wie CNAPP, eBPF und der Sicherheit von großen Sprachmodellen und skizzieren zukünftige Erweiterungen unter Einbeziehung dynamischer Graphen und föderierten Lernens mit formalen Garantien für Differential Privacy.

2007-04-15Read paper →Detection

Hybride und adaptive Erkennung von Cyberbedrohungen in Unternehmensumgebungen unter Verwendung mehrstufiger zeitlicher Korrelation und selbstüberwachtem Repräsentationslernen

TITLE: Hybride und adaptive Erkennung von Cyberbedrohungen in Unternehmensumgebungen unter Verwendung mehrstufiger zeitlicher Korrelation und selbstüberwachtem Repräsentationslernen ABSTRACT: Die Erkennung von Cyberbedrohungen in modernen Unternehmensumgebungen erfordert Mechanismen, die heterogene Ereignisse korrelieren, komplexe zeitliche Abhängigkeiten modellieren und sich an Angreifer anpassen können, die gültige Anmeldeinformationen, fileless‑Techniken und mehrstufige Angriffsketten nutzen, die am MITRE ATT&CK‑Framework ausgerichtet sind. In dieser Arbeit schlagen wir eine hybride Architektur vor, die selbstüberwachtes Repräsentationslernen, hierarchische zeitliche Modellierung und probabilistische Korrelation in dynamischen Graphen integriert, um Fehlalarme zu reduzieren, ohne die Sensitivität unter Konzeptdrift zu beeinträchtigen. Wir formalisieren das Problem als die Schätzung von $P(Y=1 \mid G_{t-k:t})$, wobei $G_{t-k:t}$ ein gleitendes Fenster zeitlicher Graphen darstellt, die aus mehreren Telemetriequellen extrahiert werden (Authentifizierungslogs, Endpoint‑Ereignisse, Netzwerkflüsse und Cloud‑Telemetrie). Die selbstüberwachte Komponente basiert auf kontextueller zeitlicher Vorhersage mit leichten Transformers und ermöglicht das Lernen robuster semantischer Embeddings auch bei begrenzter Verfügbarkeit von Labels. Die mehrstufige Korrelationsphase nutzt log‑lineare Potentiale, die über Teilgraphen definiert sind, die mit ATT&CK‑Techniken konsistent sind, wodurch operative Interpretierbarkeit gewährleistet wird. Wir implementieren die Lösung auf einer verteilten Infrastruktur mit Apache Kafka, Apache Flink, PyTorch und Neo4j und erreichen einen nachhaltigen Durchsatz von 120 000 Ereignissen pro Sekunde in einem Cluster mit 24 Knoten. Wir evaluieren das Modell auf den Datensätzen CIC‑IDS2017, LANL Cybersecurity Dataset sowie auf einem unternehmensinternen Datensatz mit 4,2 Milliarden Ereignissen. Wir beobachten eine durchschnittliche AUC von 0,982, ein F1‑Maß von 0,941, eine TPR von 96,4 % und eine FPR von 3,1 %, was einer relativen Reduktion der Fehlalarme um 38 % gegenüber Baselines wie Isolation Forest, DeepLog und LSTM‑Autoencodern entspricht ($p < 0{,}01$). Wir diskutieren Implikationen für die Integration mit SIEM‑ und CNAPP‑Plattformen sowie Erweiterungen unter Einbeziehung von föderiertem Lernen mit differenzieller Privatsphäre und adversarieller Robustheit. Die Ergebnisse zeigen, dass die Kombination aus selbstüberwachter Repräsentation und probabilistischer struktureller Korrelation einen vielversprechenden Ansatz für adaptive Erkennung im großen Maßstab bis zum Stand der Technik von 2025 darstellt.

2007-04-08Read paper →Secrets

Eine formale Architektur für Governance, Erkennung und automatisierte Rotation von Secrets in cloud-nativen Infrastrukturen

TITLE: Eine formale Architektur für Governance, Erkennung und automatisierte Rotation von Secrets in cloud-nativen Infrastrukturen ABSTRACT: Die unzureichende Verwaltung von computergestützten Secrets bleibt eine der Hauptursachen für Kompromittierungen in cloud-nativen Infrastrukturen. Zugriffstoken, kryptographische Schlüssel, Datenbankanmeldeinformationen und digitale Signaturartefakte werden häufig in öffentlichen Repositorien, Continuous-Integration-Pipelines und Anwendungsprotokollen offengelegt. Im Jahr 2025, mit der Konsolidierung Kubernetes-basierter Architekturen, DevSecOps-Praktiken, CNAPP-Plattformen (Cloud-Native Application Protection Platform) und der weit verbreiteten Nutzung großer Sprachmodelle (LLMs), die in Entwicklungsabläufe integriert sind, hat sich die mit Secrets verbundene Angriffsfläche erheblich erweitert. In dieser Arbeit schlagen wir eine formale Architektur für Governance, Erkennung und automatisierte Rotation von Secrets vor, die auf mathematischer Modellierung und der Verifikation temporaler Eigenschaften basiert. Wir formalisieren den Lebenszyklus eines Secrets als ein dynamisches System, modelliert durch zeitbehaftete Automaten, und drücken Garantien für Vertraulichkeit und Konsistenz mittels linearer Temporallogik aus. Wir führen einen hybriden Erkennungsmechanismus ein, der Shannon-Entropie mit Miller–Madow-Korrektur, strukturelle Muster und überwachtes Lernen auf Basis von Gradient Boosting kombiniert. Wir definieren formal das Expositionsfenster und modellieren das kumulierte Risiko als Integral der momentanen Ausnutzungsrate. Darüber hinaus schlagen wir ein adaptives Rotationsprotokoll mit Garantien für Atomarität und Auditierbarkeit vor, das in Kubernetes-Umgebungen und mit Secret-Managern integriert ist, die mit post-quantenkryptographischen Praktiken gemäß den Richtlinien des NIST kompatibel sind. Wir evaluieren die Lösung empirisch in 12.457 öffentlichen Repositorien und in einem Cluster mit 10.000 Pods und erreichen eine Präzision von 0,978, einen Recall von 0,95 sowie eine durchschnittliche Reduktion des Expositionsfensters um 89 %. Wir zeigen die statistische Signifikanz der Ergebnisse und diskutieren Implikationen für Sicherheitsgovernance in Multi-Cloud-Umgebungen sowie für die Minderung von MITRE-ATT&CK-Techniken, die mit offengelegten Anmeldeinformationen verbunden sind. Wir schließen daraus, dass die Integration aus mathematischer Formalisierung, automatisierter Erkennung und adaptiver Rotation einen effektiven und verifizierbaren Ansatz zur Reduktion des systemischen Risikos darstellt, das mit Secrets in cloud-nativen Infrastrukturen verbunden ist.

2007-04-01Read paper →Secrets

Kryptographisch verifizierbare Orchestrierung von Secrets in Cloud-nativen Umgebungen: Formales Modell, verteilte Architektur und empirische Evaluation im großen Maßstab

TITLE: Kryptographisch verifizierbare Orchestrierung von Secrets in Cloud-nativen Umgebungen: Formales Modell, verteilte Architektur und empirische Evaluation im großen Maßstab ABSTRACT: Die zunehmende Einführung Cloud-nativer Architekturen, die auf Microservices, Containern und CI/CD-Pipelines basieren, hat das Management von Secrets zu einem zentralen Sicherheitsproblem verteilter Systeme gemacht. Wiederkehrende Lecks von Anmeldeinformationen, API-Tokens und kryptographischen Schlüsseln zeigen, dass traditionelle Ansätze, die sich ausschließlich auf sichere Speicherung konzentrieren, unzureichend sind, um Vertraulichkeit und zeitnahe Widerrufbarkeit in hochgradig ephemeren Umgebungen zu gewährleisten. In dieser Arbeit schlagen wir ein formales Modell des Lebenszyklus von Secrets vor, das auf beschrifteten Transitionssystemen basiert und quantitative Metriken für zeitliche Exposition und akkumuliertes Risiko definiert. Wir formalisieren Eigenschaften von Vertraulichkeit, Integrität, Ephemerität und Widerrufbarkeit unter einem Bedrohungsmodell, das mit dem MITRE-ATT&CK-Framework sowie mit modernen Praktiken der Cloud-Sicherheit kompatibel ist. Wir führen die Architektur VSMO (Verifiable Secrets Management and Orchestration) ein, die kryptographisch sichere Generierung in HSM, TPM‑2.0‑basierte Remote‑Attestation, Workload‑Identität über SPIFFE/SPIRE, mTLS‑Kommunikation mit Envoy, kontinuierliche Anomalieerkennung sowie eine durch maschinelles Lernen gesteuerte adaptive Widerrufung integriert. Wir evaluieren das System in einem Kubernetes‑Cluster v1.29 mit 512 Knoten und 38.000 aktiven Pods und vergleichen es mit drei weit verbreiteten Baselines. Die Ergebnisse zeigen eine durchschnittliche Reduktion der zeitlichen Exposition um 72,4 % und der missbräuchlichen Wiederverwendung von Secrets um 63,1 %, bei einer zusätzlichen Latenz von weniger als 5 ms pro Ausgabe. Darüber hinaus zeigen wir, dass unter vernünftigen Annahmen über die Detektionsrate der Erwartungswert der Exposition umgekehrt proportional zur Fähigkeit zur kontinuierlichen Überwachung ist. Die Arbeit trägt dazu bei, formale Strenge, überprüfbare Architektur und empirische Validierung im großen Maßstab zu integrieren und bietet theoretische Grundlagen sowie praktische Evidenz für die kryptographisch verifizierbare Orchestrierung von Secrets in Cloud‑nativen Umgebungen bis zum Stand der Technik von 2025.

2007-03-26Read paper →Secrets

SecretGraph: Eine formale, skalierbare und verifizierbare Architektur für das Management, die Erkennung und die adaptive Rotation von Geheimnissen in Cloud-nativen Ökosystemen

TITLE: SecretGraph: Eine formale, skalierbare und verifizierbare Architektur für das Management, die Erkennung und die adaptive Rotation von Geheimnissen in Cloud-nativen Ökosystemen ABSTRACT: Das Management digitaler Geheimnisse hat sich als einer der wichtigsten Risikovektoren in Cloud-nativen Infrastrukturen etabliert, die durch Elastizität, Flüchtigkeit von Workloads, kontinuierliche Integration und intensive Exposition über APIs gekennzeichnet sind. Kompromittierte Anmeldeinformationen gehören laut aktuellen Branchenberichten weiterhin zu den vorherrschenden Ursachen von Sicherheitsverletzungen, während die Verbreitung von DevSecOps-Pipelines und öffentlichen Artefakten die Angriffsfläche erweitert. In dieser Arbeit formalisieren wir das Problem der Geheimnisexposition als eine Aufgabe der Minimierung der gewichteten Expositionszeit in dynamischen gerichteten Graphen, in denen Knoten rechnerische Identitäten repräsentieren und Kanten durch Anmeldeinformationen vermittelte Abhängigkeiten darstellen. Wir definieren quantitative Metriken, einschließlich der Mittleren Expositionszeit von Geheimnissen (MSET), und zeigen, dass die optimale Rotationspolitik unter strukturellen Abhängigkeiten NP-schwer ist, durch Reduktion auf klassische Scheduling-Probleme mit Präzedenzbedingungen und beliebigen Gewichten. Wir schlagen die Architektur SecretGraph vor, die hybride Erkennung (statische Analyse, dynamisches Monitoring und kontextuelle Inspektion), inkrementellen Aufbau eines Abhängigkeitsgraphen, Priorisierung auf Basis der Betweenness-Centrality und adaptive Rotationsorchestrierung über APIs kryptographischer Tresore integriert. Wir implementierten einen Prototypen in Go und Rust, integriert mit Kubernetes, SPIFFE/SPIRE und HashiCorp Vault, und evaluierten ihn in einer Umgebung mit bis zu 10.000 aktiven Geheimnissen und 1,2 Millionen analysierten Commits. Wir beobachteten eine Reduktion von 78,4 % im MSET im Vergleich zu festen Rotationsrichtlinien bei gleichzeitigem durchschnittlichem Overhead von unter 7 % CPU. Wir diskutieren Implikationen für MITRE ATT&CK-Techniken, die Integration mit vom NIST empfohlener Post-Quanten-Kryptographie sowie eine an Metriken orientierte Sicherheits-Governance. Wir kommen zu dem Schluss, dass die explizite strukturelle Modellierung von Geheimnisabhängigkeiten eine messbare Reduktion des Ausnutzungsfensters ermöglicht, mit formalen Garantien und operativer Umsetzbarkeit im großen Maßstab.

2007-03-19Read paper →