💻 computer science

GTI-mSEMP Framework : A Proposed Framework to Simulate Malware Propagation with Inclusion of Attacker-Defender Strategy

Dieses Paper schlägt das GTI-mSEMP-Framework vor, welches Spieltheorie in modifizierte Epidemie-Modelle integriert, um die dynamische Malware-Ausbreitung in ressourcenbeschränkten cyber-physischen Netzwerken durch die explizite Modellierung der strategischen Interaktionen zwischen Angreifern und Verteidigern über verschiedene operative Regime hinweg zu simulieren und zu analysieren.

Ursprüngliche Autoren: Shadeeb Hossain, Kristopher Wilson

Veröffentlicht 2026-06-30

📖 6 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Shadeeb Hossain, Kristopher Wilson

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich eine Smart City vor, in der tausende winziger, batteriebetriebener Geräte (wie intelligente Sensoren) miteinander kommunizieren, um den Verkehr, die Beleuchtung und die Energie zu steuern. Stellen Sie sich nun vor, ein digitaler Virus versucht, sich durch diese Stadt auszubreiten und diese hilfreichen Geräte in einen chaotischen Mob zu verwandeln.

Dieses Paper schlägt einen neuen Weg vor, dieses Chaos zu simulieren. Anstatt einfach nur dabei zuzusehen, wie sich der Virus wie eine einfache Erkältung ausbreitet, haben die Autoren ein virtuelles Kriegsspiel zwischen einem Angreifer (dem Virus) und einem Verteidiger (dem Sicherheitsteam) aufgebaut.

Hier ist die Aufschlüsselung ihrer Idee, des „Spiels“, das sie gespielt haben, und dessen, was sie herausgefunden haben, unter Verwendung einfacher Analogien.

1. Der alte Weg vs. der neue Weg

Der alte Weg (Statische Modelle): Stellen Sie sich vor, Sie versuchen vorherzusagen, wie sich ein Feuer im Wald ausbreitet, indem Sie davon ausgehen, dass der Wind sich nie ändert und die Feuerwehrleute immer an derselben Stelle stehen. Traditionelle Computermodelle behandeln Sicherheitsverteidigungen als „statisch“ – sie ändern sich nicht, selbst wenn der Angreifer klüger wird.
Der neue Weg (GTI-mSEMP): Die Autoren sagen: „Das echte Leben ist nicht statisch.“ Wenn der Angreifer seine Taktiken ändert, muss der Verteidiger seine Taktiken sofort anpassen. Sie haben ein Framework namens GTI-mSEMP entwickelt. Betrachten Sie dies als ein lebendiges Schachspiel, bei dem der Verteidiger jedes Mal, wenn der Angreifer ein Stück zieht, seinen nächsten Zug sofort neu berechnet, basierend darauf, wo die Bedrohung gerade am stärksten ist.

2. Die vier „Zustände“ eines Geräts

Das Paper verfolgt jedes Gerät im Netzwerk durch vier Phasen, ähnlich wie eine Person, die krank wird:

Anfällig (Susceptible - S): Ein gesundes Gerät, das noch nicht getroffen wurde, aber verwundbar ist.
Exponiert (Exposed - E): Das Gerät wurde vom Virus „berührt“, ist aber noch nicht vollkommen bösartig geworden. Es befindet sich in einer „Latenzzeit“, wie eine Person, die die Grippe hat, aber noch nicht hustet.
Infiziert (Infected - I): Das Gerät ist nun vollständig kompromittiert. Es verbreitet den Virus aktiv an seine Nachbarn.
Genesen (Recovered - R): Das Sicherheitsteam hat das Gerät gepatcht (repariert), und es ist wieder sicher (für den Moment).

3. Das Spiel: Angreifer gegen Verteidiger

Der Kern des Papers ist die Art und Weise, wie der Angreifer und der Verteidiger ihre „Energiepunkte“ (Ressourcen) einsetzen.

Die Strategie des Angreifers: Er hat eine Matrix (ein Gitter) von Ressourcen. Er kann entscheiden, die „Gateways“ (die Hauptverkehrsstraßen), die „Router“ (die Nebenstraßen) oder die „Sensoren“ (die einzelnen Häuser) anzugreifen. Er wählt auch seine Waffe: einen Brute-Force-Angriff (versuchen, jedes Passwort auszuprobieren, bis eines funktioniert) oder einen Zero-Day-Exploit (einen geheimen, unbekannten Fehler in der Software ausnutzen).
Die Strategie des Verteidigers: Auch der Verteidiger hat ein Gitter von Ressourcen. Er muss entscheiden, wie viel seines „Sicherheitsbudgets“ er in den Schutz der Gateways gegenüber den Sensoren aufwendet und wie viel er in die Abwehr von Brute-Force- vs. Zero-Day-Angriffen investiert.

Der Clou: Das Paper führt ein „Spieltheorie“-Element ein. Die Wahrscheinlichkeit, dass ein Gerät infiziert wird, ist keine feste Zahl. Sie ändert sich basierend darauf, wer die lokale Schlacht gewinnt.

Wenn der Angreifer viel Energie in einen bestimmten Bereich steckt, steigt die Infektionsrate.
Wenn der Verteidiger dort viel Energie investiert, sinkt die Infektionsrate und die Genesungsrate steigt.

4. Die drei Szenarien (Die „Was wäre wenns“)

Die Autoren führten drei verschiedene Simulationen durch, um zu sehen, was unter verschiedenen Bedingungen passiert:

Szenario A: Das ausgewogene Matchup
- Die Analogie: Sowohl der Angreifer als auch der Verteidiger haben gleiche Ressourcen und verteilen diese gleichmäßig über die gesamte Stadt.
- Das Ergebnis: Der Virus breitet sich aus, aber der Verteidiger schafft es, die meisten Geräte insgesamt zu retten. Es ist ein fairer Kampf, und das Netzwerk überlebt hier am besten.
Szenario B: Der Ausbruch durch evasive Exploits (Die „Falle“)
- Die Analogie: Der Verteidiger reagiert nur. Er sieht, dass der Virus die „Sensoren“ (den Rand des Netzwerks) angreift, und schickt alle seine Sicherheitskräfte zu den Sensoren.
- Das Ergebnis: Der Angreifer sieht dies und schleicht sich um die „Gateways“ (die Hauptverkehrsstraßen) herum, wo niemand hinsieht. Weil der Verteidiger alle seine Wachen an den falschen Ort geschickt hat, breitet sich der Virus schneller und länger aus. Das Paper nennt dies einen „evasiven“ (ausweichenden) Angriff, bei dem der Verteidiger übermannt wird.
Szenario C: Die aggressive Quarantäne (Die „Festung“)
- Die Analogie: Der Verteidiger beschließt, eine undurchdringliche Mauer um die „Gateways“ (den wichtigsten Teil) zu bauen und lässt den Rest der Stadt weniger geschützt.
- Das Ergebnis: Die Gateways sind sicher, aber der Virus frisst sich sehr schnell durch den Rest der Stadt (die Sensoren und Router). Das Netzwerk bricht schneller zusammen als im ausgewogenen Szenario, weil die Verteidigung zu sehr auf einen Punkt fokussiert war.

5. Die große Entdeckung

Die wichtigste Erkenntnis betrifft die Anpassungsfähigkeit.

Wenn der Verteidiger stärker ist: Wenn die Werkzeuge des Verteidigers etwas besser sind als die des Angreifers (das heißt, er kann schneller patchen, als sich der Virus ausbreiten kann), stabilisiert sich das Netzwerk. Die „Epidemie-Kurve“ flacht ab und das System erholt sich.
Wenn der Angreifer stärker ist: Das Paper führte eine Simulation durch, in der die Werkzeuge des Angreifers „supercharged“ waren (5-mal effektiver als die des Verteidigers). In diesem Fall explodierte der Virus. Die Anzahl der infizierten Geräte schoss in die Höhe, und die gesunden Geräte wurden fast augenblicklich ausgelöscht.

Zusammenfassung

Das Paper argumenttiert, dass man Cybersicherheit nicht wie eine statische Mauer behandeln kann. Man muss sie wie ein dynamisches Spiel behandeln.

Wenn man all seine Sicherheitskräfte an einen Ort stellt, wird der Feind drumherumgehen.
Wenn man seine Wachen gleichmäßig verteilt, überlebt man vielleicht besser.
Am wichtigsten ist: Der Verteidiger muss ständig beobachten, wo der Virus gerade jetzt ist, und seine Ressourcen sofort dorthin bewegen. Wenn er dies tut, kann er den Virus stoppen. Wenn er zu langsam oder zu starr ist, wird das Netzwerk zusammenbrechen.

Die Autoren nutzten ein Computerprogramm (MATLAB), um diese „Was-wäre-wenn“-Spiele durchzuführen, und bewiesen, dass eine intelligente, bewegliche Verteidigung der einzige Weg ist, um einen schnell agierenden digitalen Virus zu überleben.

Technisches Resümee: GTI-mSEMP-Framework

Problemstellung

Die rasante Proliferation automatisierter, Multi-Vektor-Malware-Bedrohungen stellt ein kritisches Risiko für heterogene, ressourcenbeschränkte Cyber-Physische Netzwerke dar, insbesondere innerhalb des Internet der Dinge (IoT)-Ökosystems. Bestehende epidemiologische Modelle, die zur Simulation der Malware-Ausbreitung verwendet werden (wie etwa Standard-SEIR-Modelle), behandeln Sicherheitsabwehrmaßnahmen oft als statische Parameter. Dieser Ansatz versäumt es, die strategischen, asymmetrischen Manöver zwischen Angreifern und Verteidigern zu erfassen, bei denen defensive Strategien unter strengen rechnerischen und operativen Einschränkungen dynamisch auf offensive Aktionen reagieren müssen. Folglich können traditionelle Modelle die lokalen Knotenpopulation-Zustände oder die transienten Dynamiken der Netzwerksicherheit in hochgradig adversen Umgebungen nicht präzise vorhersagen.

Methodik

Um diese Einschränkungen zu adressieren, schlagen die Autoren das Game-Theory-Integrated Modified Multi-Wireless Sensor Epidemic Malware Propagation (GTI-mSEMP) Framework vor. Dieses Modell integriert stochastische Spieltheorie mit kompartimentaler epidemiologischer Modellierung, um eine dynamische Simulationsumgebung zu schaffen.

Kern der mathematischen Formulierung:
Das Framework modifiziert das Standard-Susceptible-Exposed-Infected-Recovered (SEIR)-Modell, indem es Übergangsraten als dynamische Variablen behandelt, die von den strategischen Profilen sowohl des Angreifers ( $A$ ) als auch des Verteidigers ( $D$ ) abhängen.

Susceptible State ( $S$ ): Die Übergangswahrscheinlichkeit ( $p$ ) vom Susceptible zum Exposed wird als Funktion der räumlichen Netzwerkdichte ( $\rho$ ), der offensiven Strategiematrix des Angreifers ( $A$ ) und der defensiven Mitigationsmatrix des Verteidigers ( $D$ ) modelliert. Die Wahrscheinlichkeit ist definiert als das Verhältnis der offensiven Investition zur Summe aus offensiver Investition und defensiver Effizienz.
Exposed State ( $E$ ): Die Übergangsrate ( $\lambda_1$ ) vom Exposed zum Infected ist kein fester Konstantwert mehr, sondern ein dynamischer Koeffizient, der durch die Payload-Optimierung des Angreifers und die Intensität der Laufzeit-Auditierung des Verteidigers beeinflusst wird.
Infected State ( $I$ ): Die Erholungsrate ( $\gamma$ ) wird als gemeinsame Funktion der Angreifer-Verteidiger-Strategien formalisiert und repräsentiert die Rate, mit der Knoten erfolgreich gepatcht oder aus dem Netzwerk entfernt werden.
Recovered State ( $R$ ): Das Modell enthält einen Re-Suszeptibilitätskoeffizienten ( $\delta$ ), der Knoten berücksichtigt, die aufgrund von Patch-Ablauf oder Konfigurations-Resets in einen vulnerablen Zustand zurückkehren, was ebenfalls durch die strategische Interaktion zwischen den Kontrahenten gesteuert wird.

Simulationsaufbau:
Das Framework wurde in einer MATLAB-Umgebung mit einem numerischen RK4-Solver (4. Ordnung Runge-Kutta) evaluiert. Die Simulation modellierte eine heterogene Netzwerktopologie, bestehend aus drei Knotenklassen: Core Gateways, Intermediate Routing Nodes und Low-Power Peripheral Sensors. Zwei primäre Bedrohungsvektoren wurden simuliert: Brute-Force-Angriffe (BFA) und Zero-Day-Exploits.

Drei operative Regime wurden analysiert, um die Sensitivität des Frameworks zu testen:

Balanced Equilibrium Matchup: Symmetrische Ressourcenallokation zwischen Angreifer und Verteidiger.
Evasive Exploit Surge: Ein Szenario, in dem der Verteidiger übermannt wird, was ein strategisches Ungleichgewicht simuliert.
Aggressive Quarantine: Eine gehärtete Verteidigungshaltung mit konzentrierten Ressourcen auf den Core Gateways.

Zentrale Beiträge

Dynamische Übergangsraten: Die Arbeit führt eine mathematische Formulierung ein, bei der Übertragungsraten, Erholungsraten und effektive Reproduktionszahlen keine zeitinvarianten Größen sind, sondern dynamische Variablen, die von lokalisierten Strategieprofilen abhängen, welche innerhalb eines stochastischen Spielrahmens ausgeführt werden.
Strategische Matrix-Modellierung: Die Autoren formalisieren offensive und defensive Strategien als $n \times m$ Matrizen, was die Allokation von Ressourcen über verschiedene Knotenklassen und Exploit-Vektoren hinweg gleichzeitig ermöglicht.
Closed-Loop-Optimierung: Das Framework demonstriert einen reaktiven Verteidigungsmechanismus, bei dem der Verteidiger die Gewichtung der Ressourcenallokation basierend auf dem Echtzeit-Infektions-Footprint ( $I$ - und $E$ -Zustände) spezifischer Netzwerkschichten dynamisch aktualisiert.

Ergebnisse und Diskussion

Numerische Simulationen lieferten folgende Beobachtungen über die drei operativen Regime hinweg:

Balanced vs. Asymmetric Defense: Im Balanced Matchup (Fall I) erreichte das Netzwerk die höchste globale Remediation-Obergrenze (~435 Knoten), was darauf hindeutet, dass eine ausgewogene Verteilung des defensiven Kapitals über alle topologischen Schichten hinweg eine überlegene langfristige Resilienz im Vergleich zu hyper-lokalisierten Strategien bietet.
Vulnerabilität konzentrierter Verteidigung: Im Aggressive Quarantine (Fall III) wurden zwar die Core Gateways gehärtet, doch die Konzentration der defensiven Assets hinterließ die Intermediate Routing und Peripheral Layers verwundbar. Dies ermöglichte es Angreifern, ungehärtete Sektoren auszunutzen, was den systemweiten Abbau gesunder Knoten im Vergleich zu den langsameren Zerfallsprozessen in anderen Fällen beschleunigte.
Einfluss von Skalierungsvektoren: Die Studie hob die kritische Bedeutung der Skalierungseffizienzköeffizienten ( $\eta$ $η$ für die Verteidigung vs. $\mu$ $μ$ für den Angriff) hervor.
- Wenn die defensiven Skalierungsfaktoren einen Vorteil hatten ( $\eta > \mu$ ), wies das System einen unterdrückten epidemischen Footprint und einen abgeflachten Infektions-Peak ( $I$ ) auf.
- Wenn die Skalierungsvektoren zugunsten der offensiven Fähigkeiten invertiert wurden (was einen schweren Angreifer-Vorteil simuliert), erlebte das Netzwerk eine massive, unkontrollierte Epidemie-Kaskade. Die infizierte Population erreichte einen Peak von etwa 450 Knoten (ein Anstieg von >400 % gegenüber dem verteidiger-favorisierten Szenario), und die Susceptible-Population sank auf kritisch niedrige Werte (125 Knoten).
Dynamische Ressourcenallokation: Die Simulation bestätigte, dass die kontinuierliche Aktualisierung der Ressourcenverteilung in Echtzeit, basierend auf der sich verschiebenden Bedrohungslage, evasiven Angreiferstrategien erfolgreich entgegenwirkt und die Erholungsrate des Netzwerks bestimmt.

Signifikanz und Ansprüche

Das Paper behauptet, dass das GTI-mSEMP-Framework eine rigorose mathematische und numerische Grundlage für die Evaluierung der dynamischen Malware-Propagation in hochgradig adversen Netzwerkumgebungen bietet. Durch den Übergang von statischen Parametern bietet das Modell eine realistischere Simulation der „Katze-und-Maus“-Dynamik, die in der Cyber-Kriegsführung inhärent ist. Die Autoren betonen, dass ihre Ergebnisse die Notwendigkeit einer Echtzeit-zustandsabhängigen Ressourcenoptimierung validieren, um automatisierte Ausbreitungsmechanismen wie Brute-Force-Angriffe und Zero-Day-Bedrohungen zu unterbrechen. Das Framework wird als Werkzeug präsentiert, um lokale Knotenpopulation-Zustände vorherzusagen und die Wirksamkeit dynamischer Cyber-Verteidigungsstrategien in ressourcenbeschränkten Cyber-Physischen Systemen zu bewerten.