Research / Paper Files

Paper Files

Paper Files sind eine persönliche Praxis des kontinuierlichen Studiums in der Cybersecurity, die die wissenschaftliche Methode als Lernwerkzeug anwendet. Jeder Artikel wird nicht für eine akademische Veröffentlichung geschrieben, sondern als bewusste Übung, um die Axt zu schärfen — Wissen zu bestimmten Themen zu vertiefen, Ideen mit Strenge zu strukturieren und zu beobachten, wie sich das Verständnis bestimmter Themen im Laufe der Zeit entwickelt. Es ist das intellektuelle Äquivalent eines Trainingsjournals: Jeder Eintrag hält fest, was studiert wurde, wie es analysiert wurde und welche Schlussfolgerungen entstanden sind.

Ich empfehle Security-Profis dringend, diese Methode anzuwenden. Wählen Sie ein Thema, das Sie meistern möchten, recherchieren Sie Primärquellen (RFCs, Papers, offizielle Dokumentation), strukturieren Sie Ihren Text mit Einleitung, Methodik, Analyse und Schlussfolgerung und schreiben Sie so, als würden Sie es einem Kollegen erklären. Der Akt des Schreibens erzwingt Klarheit des Denkens und legt Lücken im Verständnis offen, die passives Lesen nicht aufdecken kann. Nutzen Sie die Artikel auf dieser Website als Beispiele für Format und Tiefe und bauen Sie Ihre eigene Sammlung auf — mit der Zeit werden Sie ein persönliches Repository verfeinerten Wissens haben, das kein Kurs und keine Zertifizierung ersetzen kann.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Alle Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

205 papers

Secrets

Eine formale und skalierbare Architektur für die Verwaltung, Erkennung und automatische Rotation von Geheimnissen in Cloud-nativen Infrastrukturen

TITLE: Eine formale und skalierbare Architektur für die Verwaltung, Erkennung und automatische Rotation von Geheimnissen in Cloud-nativen Infrastrukturen ABSTRACT: Die Verwaltung von Geheimnissen stellt eine der zentralen Säulen der Sicherheit in Cloud-nativen Infrastrukturen dar, in denen ephemere Microservices, DevSecOps-Pipelines und dynamische Orchestrierung die Angriffsfläche erheblich vergrößern. Kompromittierte Anmeldeinformationen gehören weiterhin zu den am häufigsten ausgenutzten Vektoren in realen Sicherheitsvorfällen, insbesondere durch die Nutzung gültiger Konten und die Extraktion von Geheimnissen aus Code-Repositories. In dieser Arbeit schlagen wir eine formale und skalierbare Architektur für die Verwaltung, Erkennung und automatische Rotation von Geheimnissen vor, die auf rigoroser mathematischer Modellierung basiert und mit zeitgenössischen Leitlinien zu Zero Trust, Sicherheit von Software-Lieferketten und Schutz von Cloud-nativen Umgebungen bis 2025 in Einklang steht. Wir formalisieren den Lebenszyklus von Geheimnissen als ein zeitgesteuertes Zustandsübergangssystem und definieren quantitative Eigenschaften von Vertraulichkeit, Atomarität und eventueller Konsistenz. Wir präsentieren einen hybriden Erkennungsalgorithmus, der auf Shannon-Entropie basierende Filterung mit kontextueller überwachter Klassifikation kombiniert und formale Grenzen für die Wahrscheinlichkeiten von Fehlalarmen und Fehl-Nicht-Erkennungen bietet. Darüber hinaus führen wir ein Protokoll zur automatischen Rotation ein, das Garantien unter einem partiellen Fehlermodell vom Typ Crash-Stop bietet, inspiriert von verteilter zeitlicher Ordnung. Die Implementierung, realisiert in Go und Rust und integriert mit Kubernetes, HashiCorp Vault sowie Observability-Mechanismen über eBPF, wurde in einer großskaligen Umgebung mit 1.200 Microservices und 85.000 aktiven Geheimnissen evaluiert. Die Ergebnisse zeigen eine durchschnittliche Präzision von 96,1 %, einen Recall von 94,3 % und eine Reduktion von 78,4 % der mittleren Zeit bis zur Erkennung. Wir diskutieren Einschränkungen, Implikationen für Umgebungen mit generativer KI sowie neu entstehende Risiken im Zusammenhang mit Sprachmodellen und Code-Automatisierung. Wir kommen zu dem Schluss, dass die Kombination aus mathematischer Formalisierung, kontextueller Erkennung und atomarer Rotation einen robusten und überprüfbaren Ansatz zur systematischen Minderung von Geheimnislecks in Cloud-nativen Ökosystemen darstellt.

2007-03-12Read paper →Phishing

Adaptive und Multimodale Phishing-Erkennung auf Basis von Deep Learning und formaler Bedrohungsmodellierung mit quantifizierbaren Robustheitsgarantien

TITLE: Adaptive und Multimodale Phishing-Erkennung auf Basis von Deep Learning und formaler Bedrohungsmodellierung mit quantifizierbaren Robustheitsgarantien ABSTRACT: Phishing bleibt auch im Jahr 2025 einer der wichtigsten Kompromittierungsvektoren in der globalen Cybersicherheitslandschaft und kombiniert Social Engineering, ephemere Infrastruktur sowie fortgeschrittene, auf künstlicher Intelligenz basierende Umgehungstechniken. In dieser Arbeit schlagen wir eine multimodale Architektur zur adaptiven Phishing-Erkennung vor, die auf formaler Modellierung adversarialer Risiken mit expliziter Beschränkung der operativen Kosten des Angreifers basiert. Wir formalisieren das Problem als ein strategisches Spiel zwischen einem durch Budget $\epsilon$ begrenzten Angreifer und einem Klassifikator $f$, definieren das adversariale Risiko $R(f,\mathcal{A}_\epsilon)$ und etablieren quantitative Bedingungen für $\epsilon$-adversariale Robustheit. Wir zeigen, dass die konvexe Fusion von Modalitäten — lexikalisch, strukturell (DOM), transformerbasierte Semantik und visuelle Perzeption — unter Annahmen partieller Unabhängigkeit von Störungen die Trennmargen bewahrt und die ökonomischen Kosten der Umgehung erhöht. Die Architektur wird mittels Min–Max-Optimierung mit einem internen, durch realistische Transformationen parametrisierten Angreifer trainiert, einschließlich IDN-Homographen, syntaktischer Mutationen und dynamischer Obfuskation. Wir evaluieren das System auf einem Datensatz von 1,2 Millionen URLs aus konsolidierten öffentlichen Quellen, wobei Konfidenzintervalle mittels stratifiziertem Bootstrap bestimmt werden. Die Ergebnisse zeigen eine AUC von 0,997 und einen F1-Wert von 0,986 bei einer durchschnittlichen Latenz unter 35 ms nach INT8-Quantisierung. Unter gezielten Angriffen blieb die Erkennungsrate über 94 % und übertraf unimodale Modelle. Wir diskutieren die ökonomischen Implikationen multimodaler Robustheit, die Integration mit modernen Kontrollmechanismen wie TLS-Fingerprinting und Telemetrie über eBPF sowie die Ausrichtung an Richtlinien für KI-Governance und digitale Identität. Wir schließen daraus, dass die Kombination formaler Grundlagen und praktischer Ingenieurmethoden messbare Robustheitsgarantien ermöglicht, ohne betriebliche Anforderungen von Unternehmen zu beeinträchtigen.

2007-03-05Read paper →Phishing

PhishGuard++: Multimodale und adaptive Phishing-Erkennung mit formalen Garantien unter einem realistischen Bedrohungsmodell

TITLE: PhishGuard++: Multimodale und adaptive Phishing-Erkennung mit formalen Garantien unter einem realistischen Bedrohungsmodell ABSTRACT: Phishing bleibt im Jahr 2025 einer der am weitesten verbreiteten und wirtschaftlich folgenreichsten Vektoren für Erstzugriffe in der globalen Bedrohungslandschaft und entwickelt sich weiter durch die Einbindung von Adversary-in-the-Middle (AiTM)-Kits, dynamisch generierten Seiten und synthetischen Inhalten, die von großskaligen generativen Modellen erzeugt werden. In dieser Arbeit schlagen wir PhishGuard++ vor, eine multimodale und robuste Architektur zur Phishing-Erkennung, die lexikalische, strukturelle, visuelle und verhaltensbezogene Signale unter einer formalen min–max-Formulierung des robusten Lernens integriert. Wir modellieren das Problem explizit als Risikominimierung unter multimodalen adversarialen Perturbationen und berücksichtigen dabei einen polynomiell beschränkten probabilistischen Angreifer mit der Fähigkeit, beliebige Domains zu registrieren, gültige TLS-Zertifikate zu erhalten, Unicode-Homoglyphen-Obfuskation einzusetzen und automatisierte Inhaltserzeugung durch Sprachmodelle zu nutzen. Die Architektur kombiniert eine CNN auf Zeichenebene, strukturelle Embeddings aus dem DOM-Graphen, ein visuelles Backbone ResNet-50 sowie ein auf Transformer basierendes Fusionsmodul mit Cross-Attention, das mit von FGSM inspirierter adversarialer Regularisierung trainiert wird. Wir zeigen formal hinreichende Robustheitsbedingungen unter Annahmen von Lipschitz-Stetigkeit und Kompaktheit der Perturbationsmenge und analysieren zudem die rechnerische Komplexität, um eine Latenz von unter 20 ms in einer containerisierten Produktionsumgebung zu gewährleisten. Wir evaluieren das System auf öffentlichen Datensätzen (PhishTank, UCI) sowie auf einem proprietären, balancierten Korpus und erreichen eine mittlere Genauigkeit von 98,73% (±0,21) und eine AUC von 0,992, mit statistisch signifikanten Verbesserungen gegenüber Random Forest und XGBoost ($p < 0,01$). Zusätzlich führen wir Experimente unter Unicode-Homoglyphen-Obfuskation und durch LLMs generierten synthetischen Inhalten durch, die eine höhere relative Robustheit aufzeigen. Abschließend diskutieren wir Implikationen für die Integration in moderne Sicherheitsarchitekturen (CNAPP, eBPF) und die Ausrichtung an Richtlinien zur digitalen Identität des NIST sowie Einschränkungen und zukünftige Forschungsrichtungen, einschließlich föderiertem Lernen mit differentieller Privatsphäre und Post-Quanten-Kryptographie zum Schutz von Modellen.

2007-02-26Read paper →Phishing

Adaptive Hybride Architektur zur Detektion und Mitigation von Multikanal‑Phishing mit formaler Bedrohungsmodellierung, adversarialer Robustheit und selbstüberwachtem Lernen

TITLE: Adaptive Hybride Architektur zur Detektion und Mitigation von Multikanal‑Phishing mit formaler Bedrohungsmodellierung, adversarialer Robustheit und selbstüberwachtem Lernen ABSTRACT: Phishing bleibt im Jahr 2025 der wichtigste Vektor für den initialen Zugriff in modernen Angriffsketten und integriert Multikanal-Kampagnen, die E‑Mail, SMS (Smishing), Sprache (Vishing), Instant Messaging und auf generativer KI basierende Plattformen kombinieren. Jüngste Berichte von Verizon und der APWG weisen auf ein anhaltendes Wachstum sowohl im Volumen als auch in der Raffinesse dieser Kampagnen hin, einschließlich der Nutzung neu registrierter Domains, von Unicode‑Homographen und ephemerer Infrastruktur. In dieser Arbeit schlagen wir eine adaptive hybride Architektur zur Detektion und Mitigation von Multikanal‑Phishing vor, die auf formaler Bedrohungsmodellierung, selbstüberwachtem Lernen und struktureller URL‑Analyse in Kombination mit transformerbasierten semantischen Repräsentationen basiert. Wir formalisieren das Problem als binäre Klassifikation unter starkem Klassenungleichgewicht und führen eine explizite Definition adversarialer Robustheit für semantisch erhaltende Perturbationen ein, einschließlich einer operativen Leistungsmetrik für adversariale Szenarien. Die Architektur integriert drei Module: (i) einen strukturellen URL‑Analysator mit Homographen‑Detektion und zeitlichen Signalen; (ii) einen kontextuellen semantischen Encoder auf Basis von BERTimbau; und (iii) einen selbstüberwachten Anomaliedetektor, der über Rekonstruktion trainiert wird. Wir evaluieren das System auf einem Datensatz von 3,2 Millionen Nachrichten aus OpenPhish, PhishTank und Enron unter Verwendung stratifizierter 5‑fold‑Kreuzvalidierung. Wir erzielen einen F1‑Score von 98,6 % und eine AUC von 0,997, mit einer auf 3,1 % begrenzten Degradation unter Homographenangriffen, wodurch klassische Baselines und konvolutionale neuronale Netze übertroffen werden. Darüber hinaus zeigen wir eine Reduktion der False Positives um 37 %, ein kritischer Aspekt für SOC‑Operationen im Einklang mit den Richtlinien des NIST. Abschließend diskutieren wir Implikationen für CNAPP, die Integration mit Pipelines in Kubernetes sowie Einschränkungen im Zusammenhang mit WHOIS und sprachlichem Bias. Wir kommen zu dem Schluss, dass die formale Integration von struktureller Analyse, semantischer Modellierung und selbstüberwachter Detektion einen robusten und operativ praktikablen Ansatz für das Bedrohungsökosystem des Jahres 2025 darstellt.

2007-02-20Read paper →Phishing

TITEL: Adaptive hybride Architektur zur Erkennung und Mitigation von Multikanal-Phishing mit formaler Bedrohungsmodellierung, adversarialer Robustheit und selbstüberwachtem Lernen

TITEL: Adaptive hybride Architektur zur Erkennung und Mitigation von Multikanal-Phishing mit formaler Bedrohungsmodellierung, adversarialer Robustheit und selbstüberwachtem Lernen ABSTRAKT: Phishing bleibt auch im Jahr 2025 der wichtigste initiale Zugangsvektor in modernen Angriffsketten und integriert Multikanal-Kampagnen, die E-Mail, SMS (Smishing), Sprache (Vishing), Instant Messaging und auf generativer KI basierende Plattformen kombinieren. Aktuelle Berichte von Verizon und APWG weisen auf ein anhaltendes Wachstum des Volumens und der Raffinesse dieser Kampagnen hin, einschließlich des Einsatzes neu registrierter Domänen, Unicode-Homographen und kurzlebiger Infrastruktur. In dieser Arbeit schlagen wir eine adaptive hybride Architektur zur Erkennung und Mitigation von Multikanal-Phishing vor, die auf formaler Bedrohungsmodellierung, selbstüberwachtem Lernen und struktureller URL-Analyse in Kombination mit semantischen Repräsentationen auf Basis von Transformern beruht. Wir formalisieren das Problem als binäre Klassifikation unter starker Klassenunausgewogenheit und führen eine explizite Definition adversarialer Robustheit für semantisch unverändert bleibende Perturbationen ein, mit einer operativen Leistungsmetrik für adversarielle Szenarien. Die Architektur integriert drei Module: (i) einen Struktur-URL-Analysator mit Erkennung von Homographen und zeitlichen Signalen; (ii) einen kontextuellen semantischen Encoder auf Basis von BERTimbau; und (iii) einen selbstüberwachten Anomaliedetektor, der mittels Rekonstruktion trainiert wird. Wir evaluieren das System auf einem Datensatz von 3,2 Millionen Nachrichten aus OpenPhish, PhishTank und Enron unter Verwendung einer stratifizierten 5-fold Cross-Validation. Wir erzielen einen F1-Score von 98,6 % und eine AUC von 0,997, mit einer begrenzten Degradation von 3,1 % unter Homographen-Angriffen und übertreffen damit klassische Baselines und konvolutionale Netzwerke. Wir demonstrieren eine Reduktion von 37 % bei False Positives, ein kritischer Aspekt für SOC-Operationen im Einklang mit den NIST-Leitlinien. Wir diskutieren Implikationen für CNAPP, die Integration mit Kubernetes-Pipelines und Einschränkungen in Bezug auf WHOIS und linguistische Verzerrung. Wir schließen daraus, dass die formale Integration von Strukturanalyse, semantischer Modellierung und selbstüberwachter Erkennung einen robusten und operativ praktikablen Ansatz für das Bedrohungsökosystem von 2025 darstellt.

2007-02-20Read paper →Phishing

PHISHGUARD++: Ein formales, robustes und skalierbares Framework zur multimodalen Phishing-Erkennung mit Deep Learning, adversarialer Modellierung und KI-Governance

TITLE: PHISHGUARD++: Ein formales, robustes und skalierbares Framework zur multimodalen Phishing-Erkennung mit Deep Learning, adversarialer Modellierung und KI-Governance ABSTRACT: Phishing bleibt einer der verbreitetsten und wirtschaftlich folgenreichsten Intrusionsvektoren im zeitgenössischen digitalen Ökosystem und wird durch auf generativer künstlicher Intelligenz basierende Automatisierung sowie durch hochgradig personalisierte Kampagnen verstärkt. In dieser Arbeit schlagen wir PHISHGUARD++ vor, ein formales und skalierbares Framework zur multimodalen Phishing-Erkennung, das rigorose statistische Modellierung, Deep Learning und adversariales Training unter einer Min-Max-Formulierung integriert. Wir modellieren das Problem als überwachte Klassifikation in einem multimodalen Eingaberaum $X = X_t \times X_g \times X_v$, der textuelle, strukturelle (heterogene Graphen von Domains, IPs, Zertifikaten und ASN-Beziehungen) und visuelle Merkmale umfasst. Wir reformulieren das klassische Ziel der Minimierung des erwarteten Risikos für den Kontext adversarialer robuster Risiken und erfassen explizit $\epsilon$-begrenzte Perturbationen sowie Szenarien des Concept Drift. Die vorgeschlagene Architektur kombiniert vortrainierte Transformer, heterogene Graphneurale Netze und tiefe residuale konvolutionale Netze mit regulierter Late Fusion. Wir verwenden adversariales Training auf Basis von Projected Gradient Descent (PGD) und evaluieren die Robustheit unter auf die $L_p$-Norm beschränkten Angriffen. Die Implementierung, basierend auf PyTorch 2.x, Apache Kafka und Apache Flink, demonstriert operative Umsetzbarkeit mit einer durchschnittlichen Latenz von 12,4 ms pro Stichprobe und einem Durchsatz von über 80.000 Ereignissen pro Sekunde in einem Cluster mit NVIDIA-A100-GPUs. Auf einem Datensatz mit 1,54 Millionen balancierten Instanzen erreicht das Modell $F1 = 0{,}986 \pm 0{,}004$ und eine Falsch-Positiv-Rate von 0,92%, mit kontrollierter Degradation unter adversarialen Angriffen. Wir diskutieren Implikationen der KI-Governance, die Konformität mit NIST-Richtlinien sowie die Ausrichtung an Rahmenwerken für KI-Risikomanagement. Wir schließen daraus, dass die Integration von Multimodalität, robuster Optimierung und modernen Praktiken des Security Engineering substanzielle Zugewinne an Resilienz gegenüber adaptiven Phishing-Kampagnen bietet, die durch große Sprachmodelle verstärkt werden.

2007-02-13Read paper →Research

Eine formal verifizierbare Architektur zur Detektion und adaptiven Minderung von Living-off-the-Land-basierten Bedrohungen in hybriden Unternehmensumgebungen

TITLE: Eine formal verifizierbare Architektur zur Detektion und adaptiven Minderung von Living-off-the-Land-basierten Bedrohungen in hybriden Unternehmensumgebungen ABSTRACT: Die zunehmende Einführung hybrider und Multicloud-Architekturen, zusammen mit der Konsolidierung von Zero-Trust-Modellen und der Integration traditioneller Workloads mit auf künstlicher Intelligenz basierenden Systemen, hat bis 2025 die organisatorische Angriffsfläche erheblich erweitert. In diesem Kontext sind Living-off-the-Land-(LotL)-Techniken vorherrschend geworden, indem sie legitime Binärdateien und native administrative Schnittstellen ausnutzen, um traditionelle Erkennungsmechanismen zu umgehen. Wir schlagen eine formal fundierte Architektur zur Detektion und adaptiven Minderung von LotL-Bedrohungen vor, die temporale Provenienzgraphen, Kullback–Leibler-Divergenz mit adaptivem Schwellenwert sowie die Modellierung probabilistischer Spiele zwischen einem Detektor und einem polynomiell beschränkten Angreifer kombiniert. Wir formalisieren das Problem als ein Ausweich-Experiment $\mathsf{LotL\text{-}Evasion}(n)$ und definieren Sicherheit in Bezug auf eine vernachlässigbare Ausweichwahrscheinlichkeit unter minimal messbarer statistischer Abweichung. Wir zeigen eine exponentielle obere Schranke für die Ausweichwahrscheinlichkeit als Funktion der Totalvariationsdivergenz und der Größe des Beobachtungsfensters unter Verwendung der Ungleichungen von Hoeffding und Pinsker. Die vorgeschlagene Architektur integriert Telemetrieerfassung über eBPF, ETW und auditd, Stream-Verarbeitung mit Apache Flink, Normalisierung gemäß Elastic Common Schema sowie Integration in CNAPP- und SOAR-Plattformen und bewahrt dabei die Ausrichtung an NIST SP 800-207 und zeitgenössischen Praktiken der KI-Governance. Experimentelle Auswertungen mit Bootstrap-Verfahren und Wilcoxon-Test zeigen eine statistisch signifikante Reduktion relativer Fehlalarme sowie eine Verbesserung der mittleren Erkennungszeit in mehrstufigen Szenarien. Darüber hinaus diskutieren wir Implikationen im Zusammenhang mit concept drift, Telemetrieintegrität und durch Sprachmodelle unterstützten Angriffen sowie Erweiterungen unter Einbeziehung versteckter Markow-Ketten, föderierten Lernens mit differenzieller Privatsphäre und probabilistischer Verifikation mit PRISM. Wir kommen zu dem Schluss, dass die Integration kausaler Modellierung und Informationstheorie formale Garantien und robuste empirische Evidenz für die adaptive Minderung von LotL-Bedrohungen in zeitgenössischen Unternehmensumgebungen ermöglicht.

2007-02-06Read paper →Research

ARCUS: Resiliente und kontextuell vereinheitlichte Architektur zur adaptiven Erkennung und Eindämmung von Bedrohungen in Multicloud-Umgebungen

TITLE: ARCUS: Resiliente und kontextuell vereinheitlichte Architektur zur adaptiven Erkennung und Eindämmung von Bedrohungen in Multicloud-Umgebungen ABSTRACT: Die Konsolidierung von Multicloud-Architekturen, durch Kubernetes orchestrierten Microservices, DevSecOps-Pipelines und Infrastructure-as-Code hat den zeitgenössischen Bedrohungsraum neu definiert. Im Jahr 2025 operieren Organisationen gleichzeitig bei Anbietern wie AWS, Azure und Google Cloud und integrieren verwaltete Dienste, öffentliche APIs, serverlose Funktionen sowie Workloads mit GPU-Beschleunigung für Modelle der künstlichen Intelligenz, einschließlich LLMs. Diese Heterogenität vergrößert die Angriffsfläche und begünstigt Kompromittierungen auf Basis gültiger Anmeldeinformationen, Angriffe auf die Software-Lieferkette sowie die Ausnutzung von Schwachstellen in weit verteilten Komponenten. Wir schlagen die Architektur ARCUS (Arquitetura Resiliente e Contextualmente Unificada de Segurança) vor, die formale Modellierung, Deep Learning auf probabilistischen temporalen Graphen und die Orchestrierung von Reaktionen mit verifizierbaren Garantien integriert. Wir modellieren die Multicloud-Umgebung als probabilistischen temporalen Graphen, in dem Ereignisse durch Tupel dargestellt werden, die mit kontextuellen und probabilistischen Attributen angereichert sind. Die Erkennung wird als Problem der bayesianischen Inferenz über temporale Subgraphen formuliert, implementiert durch Graph Attention Networks mit Einbindung kontextueller Signale und dynamischer Embeddings. Die Eindämmung wird als Problem der gemischt-ganzzahligen linearen Programmierung (MILP) behandelt, unter formalen Nebenbedingungen, die aus Sicherheitsrichtlinien und operativen Invarianten abgeleitet sind, wodurch partielle Korrektheit und Latenzgrenzen sichergestellt werden. Wir evaluieren den Vorschlag empirisch anhand weithin anerkannter öffentlicher Datensätze sowie synthetischer Multicloud-Szenarien und vergleichen ihn mit traditionellen signaturbasierten Ansätzen und sequenziellen Modellen. Die Ergebnisse zeigen statistisch signifikante Verbesserungen bei AUC-ROC, F1-Score und Reduktion der Erkennungslatenz, bei gleichzeitig kontrollierten Falsch-Positiv-Raten. Darüber hinaus diskutieren wir Implikationen für Umgebungen mit generativen KI-Workloads, die Integration mit CNAPP sowie den Einsatz von eBPF für Telemetrie auf niedriger Ebene. Wir kommen zu dem Schluss, dass die Kombination aus formaler Modellierung, Graph-Learning und verifizierbarer Optimierung einen vielversprechenden Ansatz für adaptive Sicherheit in zeitgenössischen Multicloud-Ökosystemen darstellt.

2007-01-30Read paper →Research

PROBABILISTISCHE DETEKTION UND ZEITLICHE KORRELATION VON LATERALER BEWEGUNG AUF BASIS DYNAMISCHER GRAPHEN IN HYBRIDEN UNTERNEHMENSUMGEBUNGEN

TITLE: PROBABILISTISCHE DETEKTION UND ZEITLICHE KORRELATION VON LATERALER BEWEGUNG AUF BASIS DYNAMISCHER GRAPHEN IN HYBRIDEN UNTERNEHMENSUMGEBUNGEN ABSTRACT: Die Konsolidierung hybrider Unternehmensumgebungen — die Active Directory on-premises, Microsoft Entra ID, mehrere Public-Clouds, containerisierte Workloads und SaaS-Anwendungen integrieren — hat die Angriffsfläche sowie die strukturelle Komplexität von Identitäts- und Netzwerkabhängigkeiten erheblich erweitert. In diesem Kontext bleibt laterale Bewegung eine kritische Phase in zeitgenössischen Angriffsketten, insbesondere in Szenarien von Ransomware, Spionage und der Kompromittierung gültiger Konten. Wir schlagen ein formales Modell zur probabilistischen Detektion vor, das auf dynamischen zeitlichen Graphen mit inkrementeller Bayes’scher Inferenz basiert und darauf ausgelegt ist, Multi-Hop-Muster von Authentifizierung und Remote-Zugriff in heterogenen Telemetrieflüssen zu erfassen. Wir formalisieren den zeitlichen Graphen als indexierte Familie $\{G_t\}_{t \in T}$ und modellieren die Wahrscheinlichkeit der Legitimität von Pfaden als Produkt konditionaler Wahrscheinlichkeiten, parametrisiert durch adaptive exponentielle Aktualisierung. Wir zeigen Vollständigkeitseigenschaften unter monotonem Pruning mit Schwellenwert $\tau$, analysieren die asymptotische Komplexität des tiefenbeschränkten Enumerationsalgorithmus und diskutieren die Auswirkungen des Base-Rate-Problems auf die Kalibrierung von False Positives. Wir integrieren das Modell in moderne Stream-Processing-Architekturen (Kafka und Flink) sowie in graphorientierte Persistenzsysteme, mit Interoperabilität über Sigma und Mapping zu MITRE ATT&CK. Wir evaluieren den Ansatz experimentell mit strikter zeitlicher Validierung und vergleichen ihn mit statischen Regeln sowie mit unüberwachten Methoden wie Isolation Forest, wobei unter realistischen operativen Einschränkungen eine konsistente Reduktion von False Positives beobachtet wird. Wir diskutieren Einschränkungen im Zusammenhang mit der Annahme bedingter Unabhängigkeit, der Integrität der Telemetrie und adversarieller Adaptivität sowie Implikationen für Sicherheit in Umgebungen mit CNAPP, eBPF und der Detektion von Missbrauch föderierter Identitäten. Wir schließen daraus, dass strukturelle probabilistische Modellierung einen günstigen Kompromiss zwischen Interpretierbarkeit, formalem Rigor und operativer Umsetzbarkeit bietet und eine solide Grundlage für zukünftige Erweiterungen unter Einbeziehung temporaler Graph Neural Networks und formaler adversarieller Evaluierung darstellt.

2007-01-23Read paper →Research

ARCUS: Resiliente Architektur mit vereinheitlichter semantischer Korrelation zur adaptiven Erkennung fortgeschrittener Bedrohungen in hybriden Umgebungen

TITLE: ARCUS: Resiliente Architektur mit vereinheitlichter semantischer Korrelation zur adaptiven Erkennung fortgeschrittener Bedrohungen in hybriden Umgebungen ABSTRACT: Die beschleunigte Ausbreitung hybrider und Multi-Cloud-Architekturen, kombiniert mit der Einführung von DevSecOps‑Praktiken, ephemeren Workloads und der Integration von auf künstlicher Intelligenz basierenden Komponenten, hat die organisatorische Angriffsfläche bis 2025 erheblich vergrößert. Jüngste Berichte zeigen, dass Sicherheitsverletzungen weiterhin bekannte Schwachstellen, Social Engineering und Lieferketten ausnutzen, während neue Bedrohungen im Umfeld von Large Language Models (LLMs), exponierten APIs und föderierten Identitäten entstehen. In diesem Kontext zeigen traditionelle SIEM-Mechanismen, die überwiegend auf syntaktischer Korrelation und statischen Regeln basieren, strukturelle Einschränkungen bei der Erfassung verteilter zeitlicher und semantischer Abhängigkeiten. Wir schlagen ARCUS vor, eine formal fundierte Architektur, die eine am MITRE ATT&CK und an NIST SP 800-61 ausgerichtete semantische Ontologie, dynamische zeitliche Graphen und hybride Inferenz kombiniert, bestehend aus Graph Neural Networks (GNNs) und inkrementeller statistischer Detektion. Wir formalisieren Ereignisse als strukturierte Tupel und modellieren die Systementwicklung mittels eines zeitlichen Graphen $G_t$, wobei Eigenschaften inkrementeller Aktualisierung mit amortisierter konstanter Komplexität unter realistischen Indexierungsannahmen erhalten bleiben. Wir definieren das Detektionsproblem als bayesianische Entscheidung unter einem Schwellenwert $\tau$, mit einer zusammengesetzten Verlustfunktion, die überwachte Klassifikation und Anomaliebewertung ausbalanciert. Wir evaluieren ARCUS anhand anonymisierter realer Daten, DARPA Transparent Computing und Atomic Red Team und erreichen eine durchschnittliche Präzision von 96,9 %, einen Recall von 97,8 % sowie eine Reduktion der False-Positive-Rate um 43 % im Vergleich zu einem industriellen SIEM-Baseline-System, zusätzlich zu einer Verringerung der mittleren Detektionszeit um 79 %. Wir diskutieren wünschenswerte probabilistische Eigenschaften, operative Skalierbarkeit (3,2 Milliarden Ereignisse/Tag) sowie die Integration mit CNAPP und SOAR. Wir kommen zu dem Schluss, dass graphbasierte semantische Korrelation in Kombination mit inkrementeller Inferenz eine rigorose und operativ tragfähige Grundlage für die adaptive Erkennung fortgeschrittener Bedrohungen in zeitgenössischen hybriden Umgebungen bietet.

2007-01-16Read paper →Research

Adaptive Architektur zur Proaktiven Erkennung von Advanced Persistent Threats auf Basis Mehrschichtiger Zeitlicher Korrelation und Robuster Statistischer Inferenz

TITLE: Adaptive Architektur zur Proaktiven Erkennung von Advanced Persistent Threats auf Basis Mehrschichtiger Zeitlicher Korrelation und Robuster Statistischer Inferenz ABSTRACT: Die zunehmende Komplexität digitaler Infrastrukturen im Jahr 2025 — gekennzeichnet durch hybride Architekturen, Multi-Cloud-Umgebungen, Microservices, ereignisorientiertes Computing, Container-Workloads sowie die Integration von Machine-Learning-Modellen und LLMs — hat die unternehmerische Angriffsfläche erheblich erweitert. Advanced Persistent Threats (APTs) nutzen mehrstufige Angriffsketten, die Netzwerk-, Host-, Anwendungs- und Identitätsschichten durchqueren, und kombinieren dabei häufig die Ausnutzung bekannter Schwachstellen, den Missbrauch gültiger Anmeldeinformationen sowie die partielle Manipulation von Protokollen. Traditionelle Detektionssysteme, die auf Signaturen oder isolierten überwachten Klassifikatoren basieren, zeigen Einschränkungen bei der Erfassung komplexer zeitlicher Abhängigkeiten sowie hinsichtlich ihrer Robustheit gegenüber adversarialer Kontamination. In dieser Arbeit schlagen wir eine adaptive Architektur vor, die auf mehrschichtiger zeitlicher Korrelation basiert, modelliert durch gewichtete dynamische Graphen mit robusten M‑Schätzern, kombiniert mit dynamischer bayesischer Inferenz, strukturiert durch Vorwissen aus dem MITRE ATT&CK-Framework. Wir formalisieren das Problem unter einem $\epsilon$-adversarialen Kontaminationsmodell und demonstrieren Bedingungen für die statistische Konsistenz der verwendeten Schätzer. Wir implementieren die Architektur in einer verteilten Umgebung mit Ingestion im großen Maßstab, Integration von auf eBPF basierender Telemetrie und Container-Orchestrierung und erreichen eine nachhaltige Verarbeitung von 95.000 Ereignissen pro Sekunde bei einer durchschnittlichen Latenz von unter 500 ms. Wir evaluieren die Methode auf öffentlichen Datensätzen (CIC-IDS2017, UNSW-NB15), dem Datensatz CIC-IDS2018 sowie einem unternehmensinternen Datensatz mit 4,2 Milliarden Ereignissen. Die Ergebnisse zeigen eine signifikante Erhöhung der TPR (96,4%) und eine Reduktion der FPR (2,1%) im Vergleich zu Random Forest, LSTM und Isolation Forest, mit überlegener Robustheit unter Kontamination $\epsilon=0{,}15$. Darüber hinaus demonstrieren wir eine Reduktion der mittleren Erkennungszeit (MTTD) sowie eine höhere operative Interpretierbarkeit. Wir schließen daraus, dass die formale Integration von robuster Statistik, zeitlicher grafischer Modellierung und strukturiertem Wissen über adversariale Taktiken einen vielversprechenden Ansatz für die proaktive Erkennung von APTs in zeitgenössischen Unternehmensumgebungen darstellt.

2007-01-10Read paper →Crypto

TITEL: CryptoResilient: Eine adaptive und formal verifizierbare kryptographische Architektur zur Minderung fortgeschrittener Angriffe in verteilten Infrastrukturen

TITEL: CryptoResilient: Eine adaptive und formal verifizierbare kryptographische Architektur zur Minderung fortgeschrittener Angriffe in verteilten Infrastrukturen ABSTRACT: Die zunehmende Komplexität zeitgenössischer verteilter Infrastrukturen, charakterisiert durch Microservices, Multi-Cloud-Umgebungen, Confidential Computing und die Integration mit auf künstlicher Intelligenz basierenden Systemen, stellt neue Herausforderungen an das kryptographische Engineering. Obwohl moderne Primitive wie TLS 1.3 und AEAD-Modi robuste formale Garantien bieten, zeigen jüngste Vorfälle, dass die Systemsicherheit entscheidend von dynamischem Key Management, korrekter Implementierung und kontinuierlicher Anpassung an sich entwickelnde Bedrohungsmodelle abhängt. In dieser Arbeit schlagen wir die Architektur CryptoResilient vor, einen adaptiven und formal verifizierbaren kryptographischen Ansatz, der kontinuierliches Risikomonitoring, dynamische Orchestrierung kryptographischer Richtlinien und inkrementelle formale Verifikation auf Basis von SMT integriert. Wir formalisieren das Problem der kryptographischen Adaptivität als ein probabilistisches Spiel gegen einen adaptiven Gegner mit partieller Beobachtung und definieren eine quantitative Metrik der zeitlichen Schlüssel-Exposition. Unter expliziten Annahmen zeigen wir, dass eine risikobedingte adaptive Rotation die erwartete Exposition im Vergleich zu festen periodischen Strategien linear reduziert. Wir implementierten einen Prototyp in Kubernetes 1.29 unter Verwendung von OpenSSL 3.2, HashiCorp Vault, einem HSM, das mit PKCS11 v3.1 kompatibel ist, sowie einer Integration mit Observability-Mechanismen via Prometheus und eBPF. Zusätzlich integrierten wir Crypto-Agility-Mechanismen, die mit vom NIST im Jahr 2024 standardisierten Post-Quantum-Algorithmen wie CRYSTALS-Kyber und CRYSTALS-Dilithium kompatibel sind. Wir bewerteten das System empirisch in einem Cluster mit 64 Knoten unter einer Last von 40.000 Requests pro Sekunde und beobachteten eine statistisch signifikante Reduktion des mittleren Expositionsfensters gegenüber kompromittierten Schlüsseln bei einem Overhead von weniger als 7% im Throughput. Die Ergebnisse deuten darauf hin, dass die Integration von kryptographischer Adaptivität und kontinuierlicher formaler Verifikation in Produktionsumgebungen praktikabel ist und messbare Resilienzgewinne gegenüber Replay-Angriffen, partieller Kompromittierung von Knoten und im MITRE ATT&CK katalogisierten Techniken bietet. Abschließend erörtern wir Implikationen für kryptographische Governance, regulatorische Compliance und den Übergang zu Post-Quantum-Szenarien.

2007-01-03Read paper →Crypto

CryptoResilient: Eine adaptive und formal verifizierbare kryptographische Architektur zur Minderung fortgeschrittener Angriffe in verteilten Infrastrukturen

TITLE: CryptoResilient: Eine adaptive und formal verifizierbare kryptographische Architektur zur Minderung fortgeschrittener Angriffe in verteilten Infrastrukturen ABSTRACT: Die zunehmende Komplexität zeitgenössischer verteilter Infrastrukturen, gekennzeichnet durch Microservices, Multi-Cloud-Umgebungen, Confidential Computing und die Integration mit auf künstlicher Intelligenz basierenden Systemen, stellt die kryptographische Systemtechnik vor neue Herausforderungen. Obwohl moderne Primitive wie TLS 1.3 und AEAD-Modi robuste formale Garantien bieten, zeigen jüngste Vorfälle, dass die systemische Sicherheit entscheidend von dynamischem Schlüsselmanagement, korrekter Implementierung und kontinuierlicher Anpassung an sich entwickelnde Bedrohungsmodelle abhängt. In dieser Arbeit schlagen wir die Architektur CryptoResilient vor, einen adaptiven und formal verifizierbaren kryptographischen Ansatz, der kontinuierliche Risikoüberwachung, dynamische Orchestrierung kryptographischer Richtlinien und inkrementelle formale Verifikation auf Basis von SMT integriert. Wir formalisieren das Problem der kryptographischen Adaptivität als ein probabilistisches Spiel gegen einen adaptiven Angreifer mit partieller Beobachtung und definieren eine quantitative Metrik der zeitlichen Schlüssel-Exposition. Unter expliziten Annahmen zeigen wir, dass eine an Risikoindikatoren konditionierte adaptive Schlüsselrotation die erwartete Exposition linear reduziert, verglichen mit festen periodischen Strategien. Wir implementierten einen Prototyp in Kubernetes 1.29 unter Verwendung von OpenSSL 3.2, HashiCorp Vault, einem mit PKCS11 v3.1 kompatiblen HSM sowie Integration mit Observability-Mechanismen über Prometheus und eBPF. Zusätzlich integrieren wir Mechanismen der Crypto-Agility, die mit den vom NIST im Jahr 2024 standardisierten Post-Quanten-Algorithmen kompatibel sind, wie CRYSTALS-Kyber und CRYSTALS-Dilithium. Wir evaluieren das System empirisch in einem Cluster mit 64 Knoten unter einer Last von 40.000 Anfragen pro Sekunde und beobachten eine statistisch signifikante Reduktion des durchschnittlichen Expositionsfensters kompromittierter Schlüssel bei einem Overhead von weniger als 7 % im Durchsatz. Die Ergebnisse zeigen, dass die Integration kryptographischer Adaptivität mit kontinuierlicher formaler Verifikation in Produktionsumgebungen praktikabel ist und messbare Zugewinne an Resilienz gegenüber Replay-Angriffen, teilweiser Kompromittierung von Knoten sowie im MITRE ATT&CK katalogisierten Techniken bietet. Abschließend diskutieren wir Implikationen für kryptographische Governance, regulatorische Compliance und den Übergang zu Post-Quanten-Szenarien.

2007-01-03Read paper →Crypto

TITEL: Verhaltens-Kryptoanalyse und adaptives Schlüsselmonitoring in hybriden Infrastrukturen: Eine kryptographische Architektur, widerstandsfähig gegen fortgeschrittene persistente Bedrohungen

TITEL: Verhaltens-Kryptoanalyse und adaptives Schlüsselmonitoring in hybriden Infrastrukturen: Eine kryptographische Architektur, widerstandsfähig gegen fortgeschrittene persistente Bedrohungen ABSTRACT: Die wachsende Komplexität hybrider Infrastrukturen, die On-Premises-Umgebungen, öffentliche und private Clouds, Edge Computing sowie auf künstlicher Intelligenz basierende Workloads kombinieren, stellt im Jahr 2025 neue Herausforderungen an die kryptographische Sicherheit. Die Ausweitung von Zero-Trust-Architekturen, die Einführung postquantum-sicherer Kryptographie und der massive Einsatz großer Sprachmodelle (LLMs) haben die Angriffsfläche vergrößert, insbesondere im Hinblick auf das Management und den Lebenszyklus kryptographischer Schlüssel. In dieser Arbeit schlagen wir eine formale Architektur der Verhaltens-Kryptoanalyse in Kombination mit adaptivem Schlüsselmonitoring vor, die darauf ausgelegt ist, fortgeschrittene persistente Bedrohungen (APTs) in hybriden Infrastrukturen zu erkennen und zu mitigieren. Unsere Vorschläge stützen sich auf formale, spielbasierte Sicherheitsmodelle, probabilistische Analysen von Verhaltensabweichungen und die Verifikation von Sicherheitseigenschaften mittels kryptographischer Invarianten. Wir führen ein mathematisches Detektionsmodell ein, das auf statistischer Divergenz und gegen Datenvergiftung robustem Machine Learning basiert, und integrieren Telemetrie aus eBPF, CNAPPs (Cloud-Native Application Protection Platforms) sowie Schlüsselmanagementsystemen, die mit FIPS 140-3 kompatibel sind. Wir evaluieren die Architektur unter realistischen Szenarien, die Schlüsselausleitung, laterale Bewegungen in Kubernetes-Clustern und die Ausnutzung von MLOps-Pipelines umfassen. Die Ergebnisse zeigen eine signifikante Reduktion der mittleren Erkennungszeit (MTTD) und eine Stärkung der Vertraulichkeits- und Integritätsgarantien unter dem Modell eines adaptiven Adversars. Darüber hinaus demonstrieren wir die Kompatibilität des Vorschlags mit vom NIST standardisierten postquantum-sicheren Algorithmen wie CRYSTALS-Kyber und CRYSTALS-Dilithium unter Wahrung formaler Sicherheitseigenschaften. Wir schließen daraus, dass die Integration von Verhaltens-Kryptoanalyse und adaptivem Monitoring ein vielversprechendes Paradigma für eine widerstandsfähige kryptographische Verteidigung in zeitgenössischen digitalen Ökosystemen darstellt.

2006-12-27Read paper →Crypto

Verhaltensbasierte Kryptoanalyse und adaptives Schlüsselmonitoring in hybriden Infrastrukturen: Eine kryptografische Architektur mit Resilienz gegenüber Advanced Persistent Threats

TITLE: Verhaltensbasierte Kryptoanalyse und adaptives Schlüsselmonitoring in hybriden Infrastrukturen: Eine kryptografische Architektur mit Resilienz gegenüber Advanced Persistent Threats ABSTRACT: Die zunehmende Komplexität hybrider Infrastrukturen, die On-Premises-Umgebungen, öffentliche und private Clouds, Edge Computing sowie auf künstlicher Intelligenz basierende Workloads kombinieren, stellt im Jahr 2025 neue Herausforderungen für die kryptografische Sicherheit dar. Die Ausweitung von Zero-Trust-Architekturen, die Einführung postquantenkryptografischer Verfahren und der massive Einsatz großer Sprachmodelle (LLMs) haben die Angriffsfläche vergrößert, insbesondere im Hinblick auf das Management und den Lebenszyklus kryptografischer Schlüssel. In dieser Arbeit schlagen wir eine formale Architektur der verhaltensbasierten Kryptoanalyse in Kombination mit adaptivem Schlüsselmonitoring vor, die zur Erkennung und Eindämmung von Advanced Persistent Threats (APTs) in hybriden Infrastrukturen konzipiert ist. Unsere Vorgehensweise stützt sich auf formale Sicherheitsmodelle auf Spielbasis, probabilistische Analysen von Verhaltensabweichungen sowie die Verifikation von Sicherheitseigenschaften mittels kryptografischer Invarianten. Wir führen ein mathematisches Detektionsmodell ein, das auf statistischer Divergenz und gegenüber Datenvergiftung robustem maschinellem Lernen basiert, und integrieren Telemetriedaten aus eBPF, CNAPPs (Cloud-Native Application Protection Platforms) sowie Schlüsselmanagementsystemen, die mit FIPS 140-3 kompatibel sind. Die Architektur wird unter realistischen Szenarien evaluiert, darunter Schlüssel-Exfiltration, Lateralisierungsangriffe in Kubernetes-Clustern und die Ausnutzung von MLOps-Pipelines. Die Ergebnisse zeigen eine signifikante Reduktion der mittleren Erkennungszeit (MTTD) sowie eine Stärkung der Garantien für Vertraulichkeit und Integrität unter dem Modell eines adaptiven Angreifers. Darüber hinaus demonstrieren wir die Kompatibilität des vorgeschlagenen Ansatzes mit vom NIST standardisierten postquantenkryptografischen Algorithmen wie CRYSTALS-Kyber und CRYSTALS-Dilithium, wobei formale Sicherheitseigenschaften erhalten bleiben. Wir schließen daraus, dass die Integration von verhaltensbasierter Kryptoanalyse und adaptivem Schlüsselmonitoring ein vielversprechendes Paradigma für eine resiliente kryptografische Verteidigung in zeitgenössischen digitalen Ökosystemen darstellt.

2006-12-27Read paper →Crypto

TITEL: CriptoResiliente: Eine adaptive und formal verifizierte Architektur zur Minderung kryptografischer Ausfälle in großskaligen verteilten Umgebungen

TITEL: CriptoResiliente: Eine adaptive und formal verifizierte Architektur zur Minderung kryptografischer Ausfälle in großskaligen verteilten Umgebungen ABSTRACT: Moderne Kryptographie bildet das Sicherheitsfundament verteilter Systeme und gewährleistet Vertraulichkeit, Integrität, Authentizität und Nichtabstreitbarkeit. Obwohl Primitiven wie AES, RSA, ECDSA und das Protokoll TLS 1.3 unter klassischen rechnerischen Annahmen formal sicher bleiben, zeigt die empirische Erfahrung, dass die meisten Vorfälle auf Implementierungs-, Konfigurations-, Schlüsselverwaltungs- und Systemintegrationsfehler zurückzuführen sind. Im Jahr 2025 erweitern der Übergang zu den Post-Quanten-Standards des NIST, die massenhafte Einführung cloud-nativer Architekturen, CNAPP (Cloud-Native Application Protection Platforms), Instrumentierung mit eBPF sowie die Einbindung von auf IA/LLMs basierenden Komponenten die Angriffsfläche und die operative Komplexität erheblich. In dieser Arbeit schlagen wir CriptoResiliente vor, eine adaptive kryptografische Architektur mit inkrementeller formaler Verifikation, die darauf ausgelegt ist, kryptografische Ausfälle in großskaligen verteilten Umgebungen zu mindern. Wir führen ein mathematisches Risikomodell R(k,t) für kryptografische Schlüssel ein, das Expositionszeit, zugehörige Schwachstellen und Intensität beobachteter Angriffe berücksichtigt, und formulieren ein Optimierungsproblem unter Nebenbedingungen der Rechenkosten. Wir zeigen, dass eine risikogesteuerte Rotationspolitik die mittlere Expositionszeit unter einem adversarialen Modell mit Netzwerkkontrolle und teilweiser Kompromittierung von Knoten signifikant reduziert. Wir implementierten einen Prototyp in Kubernetes 1.29 mit hybridem TLS 1.3 (X25519 + ML-KEM), Integration mit FIPS-140-3-kompatibler HSM, Telemetrie über eBPF und Prometheus sowie formaler Verifikation mit ProVerif. In einer experimentellen Bewertung mit bis zu 10^7 TLS-Sitzungen/Tag beobachteten wir eine Reduktion der mittleren Expositionszeit um 73,4 % und einen Overhead von unter 10 % bei statistischer Signifikanz (p < 0,01). Wir schließen daraus, dass die Kombination aus agiler Kryptographie, risikogesteuertem Monitoring und inkrementeller formaler Verifikation einen praktikablen und skalierbaren Ansatz für resiliente kryptografische Sicherheit im Jahr 2025 darstellt, auch unter Anforderungen des Post-Quanten-Übergangs und der KI-Governance.

2006-12-20Read paper →Crypto

CriptoResiliente: Eine adaptive und formal verifizierte Architektur zur Minderung kryptographischer Ausfälle in hochskaligen verteilten Umgebungen

TITLE: CriptoResiliente: Eine adaptive und formal verifizierte Architektur zur Minderung kryptographischer Ausfälle in hochskaligen verteilten Umgebungen ABSTRACT: Moderne Kryptographie bildet das Sicherheitsfundament verteilter Systeme und gewährleistet Vertraulichkeit, Integrität, Authentizität und Nichtabstreitbarkeit. Obwohl Primitive wie AES, RSA, ECDSA und das Protokoll TLS 1.3 unter klassischen rechnerischen Annahmen formal sicher bleiben, zeigt die empirische Erfahrung, dass die meisten Vorfälle aus Implementierungsfehlern, Fehlkonfigurationen, unzureichendem Schlüsselmanagement und mangelhafter Systemintegration resultieren. Im Jahr 2025 erweitern der Übergang zu Post-Quanten-Standards des NIST, die massenhafte Einführung cloud-nativer Architekturen, CNAPP (Cloud-Native Application Protection Platforms), Instrumentierung mit eBPF sowie die Integration von Komponenten auf Basis von KI/LLMs die Angriffsfläche und die operative Komplexität erheblich. In dieser Arbeit schlagen wir CriptoResiliente vor, eine adaptive kryptographische Architektur mit inkrementeller formaler Verifikation, die zur Minderung kryptographischer Ausfälle in hochskaligen verteilten Umgebungen entwickelt wurde. Wir führen ein mathematisches Risikomodell $R(k,t)$ für kryptographische Schlüssel ein, das Expositionszeit, zugehörige Schwachstellen und beobachtete Angriffsintensität berücksichtigt, und formulieren ein Optimierungsproblem unter Nebenbedingungen hinsichtlich der Rechenkosten. Wir zeigen, dass eine risikoorientierte Rotationspolitik die mittlere Expositionszeit unter einem adversarialen Modell mit Netzwerkkontrolle und teilweiser Kompromittierung von Knoten signifikant reduziert. Wir implementierten einen Prototypen in Kubernetes 1.29 mit hybridem TLS 1.3 (X25519 + ML-KEM), Integration mit einem FIPS 140-3‑kompatiblen HSM, Telemetrie über eBPF und Prometheus sowie formaler Verifikation mit ProVerif. In einer experimentellen Evaluation mit bis zu $10^7$ TLS‑Sitzungen/Tag beobachteten wir eine Reduktion der mittleren Expositionszeit um 73,4% und einen Overhead von unter 10%, bei statistischer Signifikanz ($p < 0{,}01$). Wir schließen, dass die Kombination aus agiler Kryptographie, risikoorientiertem Monitoring und inkrementeller formaler Verifikation einen praktikablen und skalierbaren Ansatz für resiliente kryptographische Sicherheit im Jahr 2025 darstellt, einschließlich unter Anforderungen der Post‑Quanten‑Transition und der KI‑Governance.

2006-12-20Read paper →Crypto

TITEL: Adaptative kryptografische Architektur mit postquanten-sicheren Integritätsbeweisen für verteilte kritische Infrastrukturen

TITEL: Adaptative kryptografische Architektur mit postquanten-sicheren Integritätsbeweisen für verteilte kritische Infrastrukturen ABSTRACT: Der Übergang zur Post-Quanten-Kryptographie stellt erhebliche Herausforderungen für die Sicherheit verteilter kritischer Infrastrukturen dar, insbesondere angesichts der Notwendigkeit, Interoperabilität, Leistungsfähigkeit und formale Sicherheitsgarantien während des Migrationszeitraums zu erhalten. In dieser Arbeit schlagen wir die Adaptative kryptografische Architektur mit postquanten-sicheren Integritätsbeweisen (ACAPQ) vor, ein hybrides Modell, das klassische und postquanten-basierte Primitiven mit formalen Mechanismen zur kontinuierlichen Integritätsatestierung kombiniert. Wir begründen die Vertraulichkeit durch die robuste Komposition von ECDHE und CRYSTALS-Kyber, mit Schlüsselderivation via HKDF, authentifiziert durch den vollständigen Handshake-Transcript, wodurch Downgrade-Angriffe mitigiert werden. Für Integrität und Zustandsauthentizität führen wir ein auf Merkle-Bäumen und CRYSTALS-Dilithium-Signaturen basierendes Atestierungsprotokoll ein, das quantifizierbare probabilistische Garantien unter Resistenz gegen Second-Preimage und EUF-CMA bietet. Wir formalisieren das Bedrohungsmodell im rechnerischen Paradigma mit einem probabilistischen polynomiellen Angreifer mit Fähigkeit zur aktiven Interzeption, partieller adaptiver Kompromittierung und durch die Klasse BQP modellierter quantenrechnerischer Leistungsfähigkeit. Wir zeigen, dass unter der Hypothese statistischer Unabhängigkeit der hybriden Geheimnisse der abgeleitete Schlüssel selbst angesichts eines späteren Bruchs der klassischen Primitiven seine Ununterscheidbarkeit beibehält. Wir implementierten einen Prototyp in Go 1.22 unter Verwendung von liboqs und evaluierten die Leistung in einer Kubernetes 1.29-Umgebung bei einer Last von 50.000 Anfragen pro Sekunde. Die Ergebnisse weisen einen Overhead von weniger als 12% bei Latenz und Durchsatz im Vergleich zu herkömmlichem TLS 1.3 auf, bei gleichzeitig Detektionsraten von Manipulationen von über 99%. Die Analyse erörtert Implikationen für CNAPP, cloudnative Umgebungen, den Einsatz von eBPF für sichere Observability und kryptografische Governance im Einklang mit den NIST- und ENISA-Leitlinien bis 2025. Wir schließen daraus, dass ACAPQ einen formal fundierten und operativ praktikablen Weg für die Post-Quanten-Transition in verteilten kritischen Infrastrukturen bietet.

2006-12-13Read paper →Crypto

Adaptive Kryptographische Architektur mit Post-Quanten-Integritätsnachweisen für Verteilte Kritische Infrastrukturen

TITLE: Adaptive Kryptographische Architektur mit Post-Quanten-Integritätsnachweisen für Verteilte Kritische Infrastrukturen ABSTRACT: Der Übergang zur Post-Quanten-Kryptographie stellt erhebliche Herausforderungen für die Sicherheit verteilter kritischer Infrastrukturen dar, insbesondere angesichts der Notwendigkeit, Interoperabilität, Leistung und formale Sicherheitsgarantien während der Migrationsphase zu bewahren. In dieser Arbeit schlagen wir die Adaptive Kryptographische Architektur mit Post-Quanten-Integritätsnachweisen (ACAPQ) vor, ein hybrides Modell, das klassische und post‑quantenkryptographische Primitive mit formalen Mechanismen zur kontinuierlichen Integritätsattestierung kombiniert. Wir begründen die Vertraulichkeit auf einer robusten Komposition von ECDHE und CRYSTALS-Kyber, mit Schlüsselableitung über HKDF, authentifiziert durch das vollständige Transcript des Handshakes, wodurch Downgrade-Angriffe mitigiert werden. Für Integrität und Zustandsauthentizität führen wir ein Attestierungsprotokoll ein, das auf Merkle-Bäumen und CRYSTALS-Dilithium-Signaturen basiert und quantifizierbare probabilistische Garantien unter Resistenz gegen Second-Preimage-Angriffe und EUF-CMA bereitstellt. Wir formalisieren das Bedrohungsmodell im rechnerischen Paradigma mit einem probabilistischen polynomialzeitlichen Angreifer, der über aktive Abfangfähigkeiten, partiellen adaptiven Kompromiss und quantencomputationale Rechenleistung verfügt, modelliert durch die Klasse BQP. Wir zeigen, dass unter der Hypothese statistischer Unabhängigkeit der hybriden Geheimnisse der abgeleitete Schlüssel Ununterscheidbarkeit beibehält, selbst im Falle eines zukünftigen Bruchs der klassischen Primitive. Wir implementierten einen Prototyp in Go 1.22 unter Verwendung von liboqs und evaluierten die Leistung in einer Kubernetes‑1.29‑Umgebung unter einer Last von 50.000 Anfragen pro Sekunde. Die Ergebnisse zeigen einen Overhead von weniger als 12 % in Latenz und Durchsatz im Vergleich zu traditionellem TLS 1.3, bei gleichzeitiger Aufrechterhaltung von Manipulationserkennungsraten von über 99 %. Die Analyse diskutiert Implikationen für CNAPP, Cloud-native Umgebungen, den Einsatz von eBPF für sichere Observability sowie kryptographische Governance im Einklang mit den Richtlinien von NIST und ENISA bis 2025. Wir kommen zu dem Schluss, dass ACAPQ einen formal fundierten und operativ praktikablen Weg für den Post-Quanten-Übergang in verteilten kritischen Infrastrukturen bietet.

2006-12-13Read paper →Crypto

Adaptive Kryptographische Architektur mit Post‑Quanten‑Integritätsnachweisen für Verteilte Kritische Infrastrukturen

TITLE: Adaptive Kryptographische Architektur mit Post‑Quanten‑Integritätsnachweisen für Verteilte Kritische Infrastrukturen ABSTRACT: Der Übergang zur Post‑Quanten‑Kryptographie stellt erhebliche Herausforderungen für die Sicherheit verteilter kritischer Infrastrukturen dar, insbesondere angesichts der Notwendigkeit, während der Migrationsphase Interoperabilität, Leistung und formale Sicherheitsgarantien zu bewahren. In dieser Arbeit schlagen wir die Adaptive Kryptographische Architektur mit Post‑Quanten‑Integritätsnachweisen (ACAPQ) vor, ein hybrides Modell, das klassische und post‑quantische Primitive mit formalen Mechanismen kontinuierlicher Integritätsattestierung kombiniert. Wir begründen die Vertraulichkeit auf einer robusten Komposition von ECDHE und CRYSTALS‑Kyber, mit Schlüsselableitung über HKDF, authentifiziert durch das vollständige Transcript des Handshakes, wodurch Downgrade‑Angriffe mitigiert werden. Für Integrität und Zustandsauthentizität führen wir ein Attestierungsprotokoll ein, das auf Merkle‑Bäumen und CRYSTALS‑Dilithium‑Signaturen basiert und quantifizierbare probabilistische Garantien unter Zweitpräbildresistenz und EUF‑CMA bietet. Wir formalisieren das Bedrohungsmodell im rechnerischen Paradigma mit einem probabilistischen polynomialzeitlichen Angreifer mit aktiver Abfangfähigkeit, partieller adaptiver Kompromittierung und quantischer Rechenleistung, modelliert durch die Klasse BQP. Wir zeigen, dass unter der Annahme statistischer Unabhängigkeit der hybriden Geheimnisse der abgeleitete Schlüssel seine Ununterscheidbarkeit selbst bei künftigem Bruch der klassischen Primitive beibehält. Wir implementierten einen Prototyp in Go 1.22 unter Verwendung von liboqs und evaluierten die Leistung in einer Kubernetes‑1.29‑Umgebung unter einer Last von 50.000 Anfragen pro Sekunde. Die Ergebnisse zeigen einen Overhead von unter 12 % bei Latenz und Durchsatz im Vergleich zu traditionellem TLS 1.3, bei gleichzeitiger Aufrechterhaltung von Manipulationserkennungsraten von über 99 %. Die Analyse diskutiert Implikationen für CNAPP, cloudnative Umgebungen, den Einsatz von eBPF für sichere Observability sowie kryptographische Governance im Einklang mit den Richtlinien von NIST und ENISA bis 2025. Wir schließen, dass ACAPQ einen formal fundierten und operativ praktikablen Weg für den Post‑Quanten‑Übergang in verteilten kritischen Infrastrukturen bietet.

2006-12-13Read paper →IR

IR-ADAPT: Ein formaler, probabilistischer und adaptiver Rahmen für die Orchestrierung und Optimierung der Reaktion auf Cybervorfälle in verteilten Unternehmensumgebungen

TITLE: IR-ADAPT: Ein formaler, probabilistischer und adaptiver Rahmen für die Orchestrierung und Optimierung der Reaktion auf Cybervorfälle in verteilten Unternehmensumgebungen ABSTRACT: Die Incident Response (IR) ist zu einer strategischen Komponente der Governance der Informationssicherheit in verteilten Unternehmensumgebungen geworden, die durch Multicloud-Architekturen, containerisierte Workloads, SaaS‑Integrationen und KI/ML‑Pipelines gekennzeichnet sind. Der exponentielle Anstieg des Telemetrievolumens, kombiniert mit der zunehmenden Raffinesse von Angreifern, die gültige Zugangsdaten, bekannte Schwachstellen und Umgehungstechniken ausnutzen, stellt strukturelle Herausforderungen für die Priorisierung und die zeitnahe Eindämmung von Vorfällen dar. In dieser Arbeit schlagen wir IR-ADAPT vor, einen formalen, probabilistischen und adaptiven Rahmen, der IR als einen Partially Observable Markov Decision Process (POMDP) modelliert und dadurch eine quantitative Optimierung unter Unsicherheit ermöglicht. Wir formalisieren Risiko als den bedingten Erwartungswert des Impacts und führen eine multivariable Kostenfunktion ein, die Kompromittierungswahrscheinlichkeit, normalisierten Impact und epistemische Unsicherheit integriert. Wir zeigen, dass bayesianische Aktualisierung von Zustandsüberzeugungen in Kombination mit approximativem Reinforcement Learning adaptive Politiken ermöglicht, die die diskontierten erwarteten Kosten minimieren. Wir implementierten einen Prototyp unter Verwendung von Elastic Stack, Apache Kafka und einer SOAR‑Plattform (TheHive/Cortex) und integrierten Telemetrie aus EDR, Netzwerklogs und Cloud‑Ereignissen. Das System wurde auf einem Datensatz von 3,2 Millionen realen und synthetischen Ereignissen evaluiert und mit Baselines verglichen, die auf CVSS und statischen SIEM‑Regeln basieren. Die Ergebnisse zeigen eine statistisch signifikante Reduktion der mittleren Zeit bis zur Eindämmung (MTTC) um 47,3% (±2,1%), eine Steigerung der Präzision auf 92,4% sowie eine Reduktion des manuellen Aufwands um 31,8%. Wir diskutieren Implikationen für regulierte Umgebungen, die Integration mit CNAPP sowie Einschränkungen in OT/ICS‑Kontexten. Wir schließen, dass die probabilistische sequenzielle Formalisierung messbare Leistungsgewinne und eine solide theoretische Grundlage für die adaptive Orchestrierung der Incident Response bis zum Stand der Technik von 2025 bietet.

2006-12-07Read paper →IR

TITEL: IR-ADAPT: Ein formales, probabilistisches und adaptives Rahmenwerk zur Orchestrierung und Optimierung der Reaktion auf Cybervorfälle in verteilten Unternehmensumgebungen

TITEL: IR-ADAPT: Ein formales, probabilistisches und adaptives Rahmenwerk zur Orchestrierung und Optimierung der Reaktion auf Cybervorfälle in verteilten Unternehmensumgebungen ABSTRACT: Incident Response (IR) ist zu einer strategischen Komponente in der Governance der Informationssicherheit in verteilten Unternehmensumgebungen geworden, die durch Multicloud-Architekturen, containerisierte Workloads, SaaS-Integrationen und KI/ML-Pipelines gekennzeichnet sind. Der exponentielle Anstieg des Telemetrievolumens, gekoppelt mit der Raffinesse von Angreifern, die gültige Anmeldedaten, bekannte Schwachstellen und Tarnungstechniken ausnutzen, stellt strukturelle Herausforderungen an die Priorisierung und rechtzeitige Eindämmung von Vorfällen. In dieser Arbeit schlagen wir IR-ADAPT vor, ein formales, probabilistisches und adaptives Rahmenwerk, das IR als ein teilweise beobachtbares Markov-Entscheidungsprozess (POMDP) modelliert und eine quantitative Optimierung unter Unsicherheit ermöglicht. Wir formalisieren Risiko als bedingten Erwartungswert des Einflusses und führen eine multivariate Kostenfunktion ein, die die Wahrscheinlichkeit einer Kompromittierung, den normalisierten Einfluss und epistemische Unsicherheit integriert. Wir zeigen, dass die bayessche Aktualisierung von Zustandsüberzeugungen in Kombination mit approximativem Reinforcement Learning adaptive Richtlinien ermöglicht, die die erwarteten diskontierten Kosten minimieren. Wir implementierten einen Prototyp unter Verwendung von Elastic Stack, Apache Kafka und einer SOAR-Plattform (TheHive/Cortex), wobei Telemetrie von EDR, Netzwerkprotokollen und Cloud-Ereignissen integriert wurde. Wir evaluierten das System anhand eines Datensatzes von 3,2 Millionen realen und synthetischen Ereignissen und verglichen es mit auf CVSS und statischen SIEM-Regeln basierenden Baselines. Die Ergebnisse zeigen eine statistisch signifikante Reduktion der mittleren Zeit bis zur Eindämmung (MTTC) um 47,3 % (±2,1 %), eine Präzisionssteigerung auf 92,4 % und eine Reduktion des manuellen Aufwands um 31,8 %. Wir diskutieren die Implikationen für regulierte Umgebungen, die Integration mit CNAPP und die Einschränkungen in OT-/ICS-Kontexten. Wir schließen daraus, dass die probabilistische sequenzielle Formalisierung messbare Gewinne und solide theoretische Grundlagen für eine adaptive Orchestrierung der Reaktion auf Vorfälle bis zum Stand der Technik von 2025 bietet.

2006-12-07Read paper →IR

IR-GraphSec: Eine formale Architektur auf Basis probabilistischer zeitlicher Graphen und Bayesscher Inferenz zur automatisierten Orchestrierung von Incident Response in verteilten Umgebungen

TITLE: IR-GraphSec: Eine formale Architektur auf Basis probabilistischer zeitlicher Graphen und Bayesscher Inferenz zur automatisierten Orchestrierung von Incident Response in verteilten Umgebungen ABSTRACT: Die zunehmende Komplexität hybrider und Multicloud‑digitaler Infrastrukturen stellt die Disziplin der Incident Response (IR) vor erhebliche Herausforderungen und erfordert formale Modelle, die zeitliche, semantische und probabilistische Abhängigkeiten zwischen großskaligen verteilten Ereignissen erfassen können. In dieser Arbeit schlagen wir IR-GraphSec vor, eine formale Architektur auf Basis probabilistischer zeitlicher Graphen und Bayesscher Inferenz zur Priorisierung und automatisierten Orchestrierung von Incident-Response-Maßnahmen in modernen Unternehmensumgebungen. Wir formalisieren Ereignisse als semantisch angereicherte zeitliche Tupel und definieren einen dynamischen gerichteten Graphen, in dem Knoten Entitäten repräsentieren und Kanten kausal relevante Interaktionen im Zeitverlauf darstellen. Wir modellieren die Kompromittierung von Assets als binäre Zufallsvariablen und schätzen a‑posteriori‑Wahrscheinlichkeiten, bedingt auf der beobachteten Historie, mittels interpretierbarer logistischer Regression, wodurch ein Markov‑Random‑Field erster Ordnung approximiert wird. Wir zeigen, dass sich das Problem der Priorisierung von Eindämmungsmaßnahmen unter Budgetrestriktionen auf eine Instanz des 0‑1‑Rucksackproblems reduziert und somit NP‑schwierig ist, und schlagen eine gierige Heuristik mit klassischen Approximationsgarantien vor. Die Architektur wurde mit Elastic Stack, Apache Flink, Neo4j, Kubernetes und PyTorch implementiert und verarbeitete in einem Experiment mit 3,2 Milliarden anonymisierten realen Ereignissen 45.000 Ereignisse pro Sekunde. Im Vergleich zu Ansätzen auf Basis statischer Regeln und traditioneller überwachter Modelle beobachteten wir eine Reduktion von 37,4 % der Mean Time to Detect (MTTD), 42,1 % der Mean Time to Respond (MTTR) sowie eine Verringerung der False-Positive-Rate um 22,3 %. Wir diskutieren theoretische Implikationen, empirische Einschränkungen und Erweiterungen unter Einbeziehung struktureller Kausalmodelle, Online-Lernen und Integration mit modernen Sicherheitstechniken für cloudnative Umgebungen. Unsere Ergebnisse zeigen, dass probabilistische relationale zeitliche Modellierung eine solide Grundlage für adaptive IR-Orchestrierung im Unternehmensmaßstab bildet.

2006-11-30Read paper →IR

IR-GraphSec: Ein formales und skalierbares Framework zur automatisierten Orchestrierung der Incident-Response auf Basis von Angriffsgrafen und Multiobjektiv-Optimierung

IR-GraphSec: Ein formales und skalierbares Framework zur automatisierten Orchestrierung der Incident-Response auf Basis von Angriffsgrafen und Multiobjektiv-Optimierung ABSTRACT: Die zunehmende Raffinesse mehrstufiger Cyberkampagnen, verbunden mit der Expansion hybrider, cloud-nativer und durch künstliche Intelligenz gesteuerter Umgebungen, stellt erhebliche Herausforderungen an die Orchestrierung der Incident Response (IR). Obwohl normative Frameworks wie NIST SP 800-61 Rev. 2 und das NIST Cybersecurity Framework konsolidierte Leitlinien vorgeben, bleibt die effiziente Operationalisierung der Eindämmung durch komplexe topologische Abhängigkeiten, Verfügbarkeitsrestriktionen und mehrere konfligierende Ziele eingeschränkt. In dieser Arbeit formalisieren wir das Problem der Response-Orchestrierung als eine Multiobjektiv-Optimierung über dynamische Angriffsgrafen, angereichert durch automatische Zuordnung zu MITRE ATT&CK und nahezu echtzeitnahe Telemetrie aus CNAPP-, EDR- und eBPF-Umgebungen. Wir definieren eine Zielfunktion, die Restrisiko, operative Kosten und Ausfallauswirkung integriert und dabei Budget- sowie Business-Continuity-Restriktionen unterliegt. Wir zeigen, dass das zugehörige Entscheidungsproblem NP-schwer ist, mittels polynomieller Reduktion auf Varianten des Minimum-Cut-Problems mit zusätzlichen Restriktionen. Wir schlagen das Framework IR-GraphSec vor, implementiert mit Neo4j, Apache Kafka und OR-Tools, das in der Lage ist, Ereignisströme in großem Maßstab zu verarbeiten und optimierte Eindämmungspläne mittels gemischt-ganzzahliger Programmierung und Branch-and-Bound-Heuristiken zu erzeugen. Wir evaluieren das System empirisch in einem verteilten Cluster mit 4,8 Millionen realen und synthetischen Ereignissen, einschließlich Simulationen mit MITRE Caldera. Die Ergebnisse zeigen eine durchschnittliche Reduktion der Mean Time to Containment (MTTC) um 63,4 %, eine Verringerung des Restrisikos um 38,9 % und eine geschätzte finanzielle Auswirkung, die 41,9 % niedriger ist als bei statischen SOAR-Playbooks. Die statistische Analyse bestätigt die Signifikanz mit p < 0,01. Wir diskutieren Einschränkungen im Zusammenhang mit der Qualität der Telemetrie und untersuchen Erweiterungen unter Einbeziehung von robustem Reinforcement Learning, der Sicherheit von KI-Systemen und der Integration mit Post-Quanten-Kryptographie. Wir schließen daraus, dass eine formal grafenorientierte Modellierung einen vielversprechenden Ansatz für eine adaptive und skalierbare IR-Orchestrierung im Jahr 2025 darstellt.

2006-11-23Read paper →