💻 computer science

Cyber Dynamics I: Finite Macrostates for Behavioral Anomaly Detection in Network Telemetry

Dieses Paper schlägt ein endlich-dimensionales Makrozustands-Framework für die Netzwerk-Telemetrie vor, das über skalare Entropie-Metriken hinausgeht, um Übergänge in den Verhaltens-Zustandsraum zu modellieren, wodurch die Unterscheidung zwischen benignem Workload-Drift und adversarieller Reorganisation verbessert wird und gleichzeitig eine interpretierbarere Anomalieerkennung geboten wird.

Ursprüngliche Autoren: Abdul Rahman, Eranga Bandara, Sachin Shetty

Veröffentlicht 2026-07-09

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Abdul Rahman, Eranga Bandara, Sachin Shetty

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie versuchen, einen Dieb in einem belebten Bürogebäude aufzuspüren.

Der alte Weg (Nur Entropie)
Lange Zeit haben Sicherheitskräfte eine einfache Methode angewandt: Sie zählen, wie viele Menschen sich gerade durch einen Flur bewegen. Wenn der Flur normalerweise ruhig ist und plötzlich 50 Personen hindurchstürmen, geht der Alarm los. Oder wenn der Flur normalerweise chaotisch ist und plötzlich vollkommen stillsteht, schlägt der Alarm an.

In der Welt der Computernetzwerke nennt man dies Entropie. Sie misst die „Unordnung“. Wenn der Datenverkehr ungewöhnlich unordentlich oder ungewöhnlich organisiert erscheint, im Vergleich zum Normalzustand, schlägt das System Alarm.

Das Problem
Das Problem ist, dass diese Methode zu simpel ist.

Stellen Sie sich eine geplante Brandschutzübung vor. Plötzlich stürmen 500 Menschen aus dem Gebäude. Der „Unordnungs“-Messwert des Sicherheitswächters schießt in die Höhe, aber es ist kein Dieb; es ist nur ein normales Ereignis.
Umgekehrt stellen Sie sich einen Dieb vor, der sehr leise ist. Er stürmt nicht; er geht einfach langsam von einem Büro zum nächsten und stiehlt Dateien. Der „Unordnungs“-Messwert bleibt normal, weil die Menge sich nicht wild bewegt. Der Dieb entkommt, weil er kein „Chaos“ verursacht hat.

Die alte Methode betrachtet das Rauschen (das Chaos), aber sie übersieht die Geschichte (wer was tut und wie sie miteinander verbunden sind).

Der neue Weg (Cyber-Dynamik & Makrozustände)
Dieses Paper schlägt einen neuen Weg vor, das Gebäude zu betrachten. Anstatt nur Menschen zu zählen, erstellt das Sicherheitssystem einen „Makrozustand“.

Stellen Sie sich einen Makrozustand als eine Momentaufnahme der „Vibe“ oder „Persönlichkeit“ des Gebäudes über einen kurzen Zeitraum (wie ein 60-Sekunden-Fenster) vor. Diese Momentaufnahme zählt nicht nur Menschen; sie erfasst ein ganzes Profil:

Aktivität: Wie viel passiert gerade? (Ist das Gebäude voll oder leer?)
Unordnung: Ist die Bewegung chaotisch oder geordnet? (Der alte Entropie-Teil).
Struktur: Wer spricht mit wem? (Chattet jeder mit jedem, oder flüstert eine Person nur mit ein paar Bestimmten?)
Volatilität: Ist die Bewegung ruckartig und plötzlich, oder glatt?
Persistenz: Gehen dieselben Leute immer wieder denselben Weg?
Abweichung: Wie unterscheidet sich dieser „Vibe“ davon, wie „normal“ aussieht?

Die Analogie: Das Orchester

Die alte Methode hört nur auf die Lautstärke. Wenn das Orchester zu laut oder zu leise wird, geht ein Alarm los.
Die neue Methode hört auf die Musik. Sie bemerkt, wenn die Violinen plötzlich die Pauken spielen oder wenn der Dirigent den Bassisten Anweisungen zuflüstert, während der Rest der Band ein Schlaflied spielt. Selbst wenn die Lautstärke (Entropie) gleich bleibt, hat sich die Struktur der Musik geändert. Diese Änderung der Struktur ist die Anomalie.

Die praktische Anwendung
Die Forscher testeten dies an echten Netzwerkdaten (wie den Verkehrslogs der Datensätze UNSW-NB15 und CIC-IDS2017). Sie verglichen ihr neues „Makrozustands“-System mit den alten „nur Entropie“-basierten Systemen.

Die Ergebnisse

Bessere Erkennung: Das neue System war viel besser darin, die „leisen Diebe“ (Angriffe, die eher organisiert als chaotisch wirken) zu entdecken und die „Brandschutzübungen“ (normale, geschäftige Zeiten, die chaotisch aussehen) zu ignorieren.
Der „60-Sekunden“-Sweetspot: Sie fanden heraus, dass die Betrachtung der Daten in 60-Sekunden-Blöcken am besten funktionierte. 30 Sekunden waren okay, aber 5 Minuten waren zu unscharf, um die Details zu erkennen.
Es geht um die Geschichte, nicht nur um das Rauschen: Die Experimente zeigten, dass das Hinzufügen von „Struktur“ (wer spricht mit wem) und „Aktivität“ (wie geschäftig ist es) den „Unordnungs“-Score viel intelligenter machte. Die alte Methode, die nur auf Entropie basierte, war wie der Versuch, einen Film zu verstehen, indem man nur die Helligkeit des Bildschirms betrachtet; die neue Methode beobachtet die Handlung.

Was es (noch) nicht kann
Das Paper ist ehrlich über seine Grenzen.

Es konzentriert sich auf den Netzwerkverkehr (die Flure des Gebäudes), nicht auf das, was in den Computern passiert (die Büros) oder wer die Schlüssel hat (Identität).
Es hat die Kunst, den nächsten Schritt vorherzusagen, noch nicht vollständig gemeistert. Während das System hervorragend darin ist, den aktuellen „Vibe“ zu beschreiben, ist die Vorhersage, wie sich der „Vibe“ in der nächsten Sekunde genau verändern wird, noch ein laufender Prozess.

Das Fazit
Dieses Paper sagt: „Hör auf, nur das Chaos zu zählen. Fang an, die Geschichte zu verstehen.“ Indem es rohe Netzwerkdaten in ein reichhaltiges, mehrdimensionales „Persönlichkeitsprofil“ des Systems verwandelt, können wir böswillige Akteure aufspüren, die versuchen, sich unauffällig zu tarnen, selbst wenn sie nicht viel Lärm machen.

Technisches Resümee: Cyber Dynamics I: Finite Makrozustände für die Erkennung verhaltensbedingter Anomalien in der Netzwerktelemetrie

1. Problemstellung

Die moderne Cyberabwehr operiert in dynamischen, heterogenen Umgebungen, in denen die Unterscheidung zwischen benigner operationaler Variabilität (z. B. geplante Backups, Cloud-Autoscaling) und adversarieller Reorganisation (z. B. APT-Lateral-Movement, koordinierte Staging-Phasen) eine zentrale Herausforderung darstellt. Bestehende Methoden zur Anomalieerkennung, insbesondere solche, die auf Entropie basieren, behandeln Netzwerktelemetrie oft als isolierte Ereignisse oder enge Feature-Vektoren. Diese Ansätze berechnen die Entropie typischerweise als skalaren Statistiken über Randverteilungen (z. B. Quell-IPs, Ports).

Das Paper argumentiert, dass dieser „skalare Entropie“-Ansatz zwei kritische Einschränkungen aufweist:

Eng gefasste Repräsentation: Er reduziert das Systemverhalten auf Unordnungsmetriken und versäumt es, strukturelle Organisation, Persistenz oder Koordinationsmuster zu erfassen.
Statischer Blickwinkel: Er betrachtet Anomalien als ungewöhnliche Verteilungen zu einem einzelnen Zeitpunkt und ignoriert dabei die zeitliche Trajektorie und die Regimewechsel, die komplexe Angriffe oft charakterisieren.

Infolgedessen kann ein benigner Workload-Drift eine angriffsbedingte Instabilität imitieren, während organisierte Angriffe die Randverteilungen beibehalten, aber die Systemstruktur grundlegend verändern können, was zu falsch-positiven Ergebnissen oder übersehenen Detektionen führt.

2. Methodik: Das Framework der finiten Makrozustände

Das Paper schlägt ein dimensional-finites Makrozustands-Framework vor, das über dem Canonical Security Telemetry Substrate (CSTS) instanziiert wird. Dieser Ansatz verschiebt die Analyse von isolierten Ereignisdatensätzen hin zu grobkörnigen Verhaltenszuständen.

A. Formale Konstruktion
Das Framework operiert über drei Ebenen:

Mikrozustände: Die atomare Einheit ist ein typisiertes Netzwerkevent $e = (\tau, src, dst, svc, proto, dir, attrs)$ , welches eine zeitlich lokalisierte Interaktion zwischen persistenten Entitäten repräsentiert.
Fensterbasierte Mikro-Ensembles: Ereignisse werden in Zeitfenstern $W_t$ aggregiert, um ein Multiset von Ereignissen $E_t$ zu bilden. Dies erfasst den lokalen Verhaltenskontext statt isolierter Punkte.
Makrozustands-Abbildung ( $\Phi$ ): Eine Grobkörnungsfunktion bildet jedes Ensemble $E_t$ $E_{t}$ auf einen endlich dimensionalen Vektor $X_t \in \mathbb{R}^d$ $X_{t} \in R^{d}$ ab. Dieser Vektor setzt sich aus sieben interpretierbaren Beobachtungsfamilien zusammen:
- Aktivität ( $A_t$ ): Last und Belegung (z. B. Flow-Zahlen, eindeutige Entitäten).
- Unordnung ( $H_t$ ): Distributionale Dispersion (Shannon-, Rényi- oder Tsallis-Entropie über Rollen, Dienste, Protokolle).
- Strukturelle Ordnung ( $S_t$ ): Interaktionstopologie (Graphdichte, Gradkonzentration, Motif-Anzahl).
- Temporale Volatilität ( $V_t$ ): Kurzfristige Instabilität und Burstiness.
- Persistenz ( $P_t$ ): Rekurrenz von Kanten, Pfaden oder Motiven über Fenster hinweg.
- Kopplung ( $C_t$ ): Abhängigkeiten zwischen Verhaltenskomponenten (in der ersten empirischen Phase der Einfachheit halber ausgelassen).
- Abweichung ( $D_t$ ): Distanz zu benignen Baselines (z. B. Jensen-Shannon-Divergenz).

B. Dynamische Analyse
Das Framework behandelt das Cyber-Verhalten als eine Trajektorie $\{X_t\}$ durch den Makrozustandsraum. Die Anomalieerkennung wird über zwei Mechanismen definiert:

Zustandsanomalie: Der aktuelle Makrozustand $X_t$ liegt außerhalb des benignen Regimesatzes $\mathcal{B}$ .
Transitionsanomalie: Der Schritt von $X_t$ zu $X_{t+1}$ weicht vom benignen Nominal-Transitionsoperator $T$ ab, welcher die erwartete benigne Evolution modelliert. Dies ermöglicht die Detektion abnormaler Bewegungen, selbst wenn die einzelnen Zustände benign erscheinen.

C. Theoretische Rechtfertigung
Das Paper liefert formale Propositionen, die nachweisen, dass:

Makrozustands-Abbildungen wohldefiniert und permutationsinvariant sind.
Entropie-basierte Makrozustände strukturell unvollständig sind; distinkte Mikro-Ensembles können identische Entropien, aber unterschiedliche strukturelle Organisationen aufweisen.
Eine Multiskalen-Analyse notwendig ist, da die Sichtbarkeit von Anomalien von der zeitlichen Auflösung (Fenstergröße) abhängt.

3. Experimentelles Design

Das Framework wurde auf Benchmark-Netzwerktelemetrie-Datensätzen evaluiert: UNSW-NB15 und CIC-IDS2017.

Preprocessing: Ereignisse wurden zu einem vereinheitlichten Schema normalisiert, Rollen wurden gemappt und die Daten wurden chronologisch geordnet, um die temporale Struktur zu bewahren.
Fensterung (Windowing): Die Experimente nutzten mehrere Skalen ( $\Delta \in \{30s, 60s, 300s, 900s\}$ ) mit überlappenden Schritten.
Baselines: Vergleiche wurden durchgeführt gegen:
- Entropie-nur-Detektoren (Thresholding, logistische Regression auf Entropie-Vektoren).
- Standard-Anomalie-Detektoren (Isolation Forest, One-Class SVM, Autoencoder) auf aggregierten Features.
Ablation: Die Studie testete systematisch den Beitrag jeder makro-variablen Familie (Aktivität, Unordnung, Struktur, Volatilität, Persistenz, Abweichung).

4. Kernergebnisse

A. Überlegenheit der Makrozustände gegenüber Entropie-only
Auf beiden Datensätzen übertraf die vollständige Makrozustandsrepräsentation die Entropie-only-Baselines konsistent.

UNSW-NB15: Bei der 60s-Skala erreichte der vollständige Makrozustand eine AUPRC von 0,9730 und übertraf damit signifikant die beste Entropie-only-Baseline (One-Class SVM bei 0,9631).
CIC-IDS2017: Der vollständige Makrozustand (AUPRC ~0,7917) übertraf die beste Entropie-Vektor-Baseline (AUPRC ~0,7672) bei 60s.

B. Wert von strukturellen und temporalen Variablen
Ablationsstudien zeigten, dass die Gewinne nicht bloß auf eine höhere Dimensionalität zurückzuführen waren, sondern auf spezifische Verhaltenskomponenten:

Das Hinzufügen von Aktivität zu Unordnung lieferte einen klaren Gewinn, indem es die Entropie kontextualisierte.
Das Hinzufügen von Struktureller Ordnung brachte die signifikanteste Verbesserung und bestätigte, dass Angriffe oft als organisierte Reorganisation und nicht nur als erhöhte Zufälligkeit auftreten.
Persistenz und Abweichung lieferten einen letzten, kleineren, aber positiven Lift.

C. Skalen-Sensitivität
Die „beste“ Makrozustands-Komposition variierte je nach temporaler Skala. Beispielsweise war auf CIC-IDS2017 die mittlere $A+H+V$ (Aktivität, Unordnung, Volatilität) Konfiguration bei 30s am stärksten, während der vollständige Makrozustand bei 60s am besten abschnitt. Dies stützt die theoretische Behauptung, dass die Sichtbarkeit von Anomalien skalenabhängig ist.

D. Einschränkungen des Transition-Scoring
Entgegen dem theoretischen Versprechen führte das transitions-bewusste Scoring (Fusion von Zustand + Transition) in den initialen Experimenten nicht zu einer besseren Leistung als das zustandsbasierte Scoring allein. Die Autoren führen dies auf die Einfachheit der verwendeten Nominal-Transitionsoperatoren zurück (z. B. naive Persistenz, lineare Regression), was darauf hindeutet, dass der volle dynamische Nutzen eine anspruchsvollere Modellierung der Trajektorien erfordert.

5. Bedeutung und Ansprüche

Das Paper positioniert sich als der erste empirische Schritt in einem breiteren „Cyber Dynamics“-Programm. Seine primären Beiträge und Ansprüche sind:

Verschiebung von Skalar zu Zustand: Es demonstriert, dass die Erkennung von Cyber-Anomalien besser als ein Problem der Konstruktion eines Verhaltens-Zustandsraums denn als Detektion skalarer Irregularitäten gerahmt werden sollte.
Entropie als Koordinate, nicht als Lösung: Es beweist, dass Entropie zwar eine nützliche Komponente ist, aber als alleiniger Deskriptor für komplexe Cyber-Verhaltensweisen, die eine strukturelle Reorganisation beinhalten, unzureichend ist.
Interpretierbarkeit: Das Makrozustands-Framework bietet eine kompakte, interpretierbare Repräsentation (Aktivität, Struktur, Volatilität, etc.), die es Analysten ermöglicht, darüber zu argumentieren, warum ein Zustand anomal ist, anstatt nur festzustellen, dass er anomal ist.
Fundamentales Substrat: Durch die Instanziierung des Frameworks über das CSTS etabliert das Paper eine kanonische Basis, die über Netzwerk-, Endpoint- und heterogene Telemetrie hinweg portabel ist und den Weg für zukünftige Arbeiten zu Stabilität, Erholung und Cross-Modal-Analyse ebnet.

Die Autoren weisen explizit auf Limitationen hin: Das Transition-Scoring-Ergebnis ist vorläufig, die Multiskalen-Fusion ist noch nicht überlegen gegenüber dem besten Single-Scale-Modell, und die aktuelle Evaluierung ist netzwerkzentriert. Diese werden nicht als Misserfolge, sondern als definierte Grenzen von „Paper I“ und als Roadmap für „Cyber Dynamics II und III“ dargestellt.