Inferenz optimaler Cyber-Verteidigungsstrategien

Die Schwierigkeit, eine Organisation effektiv gegen die zunehmend vielfältigeren Bedrohungen aus dem Cyberraum zu beschützen, nimmt immer weiter zu. Die meisten der aktuellen Entdeckungs- und Abwehrsysteme bieten keine Interpretation von Angriffen, was jedoch stark zum Verständnis über Ziel und Motivation von Angreifern beitragen würde. Wenige Modelle ermöglichen außerdem die Korrelation von konkreten, von Intrusion Detection Systemen (IDS) aufgezeichneten Systemereignissen zu einer menschenlesbaren Beschreibung, bekannten Systemschwachstelle oder konkreten Gegenmaßnahme. Die Fragen, wie spezifische Techniken einen Angreifer zum Erfolg führen oder welche Strategien/Vektoren als für eine Infrastruktur als am gefährlichsten eingestuft werden können, bleiben unbeantwortet. Kurz gesagt gibt es einen Mangel an Modellen, die mit der steigenden Komplexität von Cyberangriffen umgehen können, was ein großes Hindernis für die Entwicklung automatisierter Angriffs- und Risiko-Evaluierungssysteme darstellt und Sicherheitstests zu einer immer größeren Herausforderung macht. Unser Projekt zur Inferenz optimaler Cyber-Verteidigungsstrategien durch bestärkende Bedrohungsmodellierung (INODES) soll hier Abhilfe schaffen. INODES konzentriert sich auf die Simulation von Angreifer- und Verteidigerverhalten durch ein Modell auf Basis eines Strategiespiels, welches nicht nur technische Aspekte der Abwehr betrachtet, sondern auch Motivation der Akteure, genutzte Daten und Systeme, sowie organisatorische Faktoren berücksichtigt. Durch die Anwendung von Modelprüfung und bestärkendem Lernen über Approximation des erwarteten Nutzens soll im Zuge des Projekts eine Möglichkeit erforscht werden, Angriffe in großer Zahl durchzuspielen und optimale Erfolgsstrategien in Bezug auf Eintrittswahrscheinlichkeit und Wirkung zu ermitteln. Wir wollen mit INODES die Basis schaffen, um Organisationen die Entwicklung von neuen, automatisierten Planungs- und Testsystemen zu ermöglichen. Zugleich soll die semantische Lücke zwischen aufgezeichneten Daten und verständlichen Angriffsbeschreibungen geschlossen werden, was Analysten und IT-Personal in Form einer Erklärung zu vergangenen oder gerade laufenden Angriffen bei der Abwehr und Absicherung ihrer Infrastruktur helfen soll. INODES verbindet die Welten von Bedrohungsmodellierung, IT Management und Datenanalyse zu einem integrierten Konzept. Dazu soll ein Team von Sicherheitsexperten und Expertinnen mit Erfahrung in den Gebieten formale Methoden, Machinenlernen, Sicherheitsmanagement, digitale Forens ik und Angriffsabwehr zusammenarbeiten.

Das INODES-Projekt hatte zum Ziel, die Modellierung, Analyse und das Verständnis von Cyberangriffen und Verteidigungsmaßnahmen zu verbessern. Viele aktuelle Ansätze in der Cybersicherheit konzentrieren sich auf Erkennung und Abwehr, bieten jedoch keine strukturierte Möglichkeit, die Ziele von Angreifern zu erklären oder die Wirksamkeit von Verteidigungsstrategien zu bewerten. Um dieses Problem zu lösen, haben wir ein formales Modell entwickelt, das Cyberangriffe als strategische Interaktionen zwischen Angreifern und Verteidigern darstellt. Das Modell geht über rein technische Aspekte hinaus und berücksichtigt auch Faktoren wie die Motivation der Angreifer, Systemwerte und den organisatorischen Kontext. Dadurch wird ein umfassenderes Verständnis darüber ermöglicht, wie und warum bestimmte Angriffe erfolgreich sind und welche Verteidigungsstrategien unter welchen Bedingungen wirksam sein können. Wir haben Techniken aus dem Reinforcement Learning und dem Model Checking angewendet, um verschiedene Angriffsszenarien zu simulieren. Besonders hervorzuheben ist, dass wir unser eigenes Reinforcement-Learning-Framework namens PenQuestEnv entwickelt haben, das als Trainingsumgebung für das gamifizierte Modell dient. PenQuestEnv ermöglicht es Agenten, in unterschiedlichen Spiel-Szenarien defensive (und offensive) Strategien zu erlernen. Diese Simulationen wurden genutzt, um Erfolgsquoten von Angriffen, Kosten und Auswirkungen verschiedener Verteidigungsstrategien sowie die Bedingungen für deren Wirksamkeit zu analysieren. Die daraus gewonnenen Daten ermöglichen eine systematischere und reproduzierbare Sicherheitsplanung, -prüfung und -bewertung. Ein zentrales Forschungsergebnis des Projekts ist PenQuest, eine gamifizierte Version des INODES-Modells. PenQuest abstrahiert das formale Rahmenwerk in ein interaktives Format, das sich für Experimente und Lernzwecke eignet. Es wurde in Bildung und Öffentlichkeitsarbeit eingesetzt, unter anderem bei Veranstaltungen mit Schulen, in Lehrveranstaltungen und für ein Fachpublikum aus der Wirtschaft. Das Spiel basiert auf denselben strategischen Prinzipien wie das formale Modell und dient sowohl als Kommunikationsmittel als auch zur praktischen Überprüfung der Modellannahmen. Während des gesamten Projekts tauschten wir Ideen und Forschungskonzepte mit der ALFA-Gruppe am Massachusetts Institute of Technology (MIT) aus. Im Fokus standen dabei Themen wie agentenbasierte Systeme und maschinelles Lernen. Gegenseitige Laborbesuche unterstützten die Zusammenarbeit und förderten den wissenschaftlichen Austausch. Zusammengefasst vereint INODES Erkenntnisse aus Bedrohungsmodellierung, formalen Methoden, Reinforcement Learning und Strategien der Cyberverteidigung. Das Hauptresultat ist ein strukturiertes, analysierbares Rahmenwerk zur Simulation und Bewertung von Cyberangriffen und Abwehrmaßnahmen. Das Modell und seine praktische Umsetzung in PenQuest bilden eine Grundlage für eine fundierte und transparente Sicherheitsanalyse.