🤖 AI

Symbolic Attack Chain Generation from Atomic Red Team Techniques: An Empirical Study of Predicate Representation Granularity

Diese empirische Studie zeigt, dass die Reduzierung der Granularität der Prädikatendarstellung bei der automatisierten Generierung von Angriffsketten von neun auf fünf Kategorien die Validität oder die Kosten des Plans nicht signifikant beeinflusst, was darauf hindeutet, dass eine höhere Granularität primär die strukturelle Rechtfertigung verfeinert, anstatt die Lebensfähigkeit der generierten Angriffsketten zu beeinflussen.

Ursprüngliche Autoren: Ramya Varunsegar

Veröffentlicht 2026-08-04

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Ramya Varunsegar

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie versuchen, einem Roboter beizubringen, wie man in eine digitale Festung einbricht. Sie können dem Roboter nicht einfach sagen: „Geh und stehle den Schatz.“ Sie müssen ihm ein schrittweises Rezept geben: „Zuerst finde die Hintertür. Zweitens knacke das Schloss. Drittens geh hinein.“ In der Welt der Cybersicherheit werden diese Rezepte als Attack Chains (Angriffsketten) bezeichnet. Sie sind die Blaupausen, die Hacker nutzen, um von einem winzigen Einstiegspunkt zu einem massiven Datendiebstahl zu gelangen. Verteidiger studieren diese Blaupausen, um bessere Alarme und Fallen zu bauen.

Um diese Blaupausen zu erstellen, nutzen Wissenschaftler eine spezielle Art der Computerlogik, die KI-Planung (AI Planning) genannt wird. Denken Sie an sie wie an ein superintelligentes GPS für Hacker. Anstatt zu raten, betrachtet das GPS alle möglichen Züge und findet den effizientesten Weg zum Ziel. Aber damit das GPS funktioniert, müssen Sie die Welt sehr präzise beschreiben. Sie müssen entscheiden, welche „Fakten“ genau wichtig sind. Ist es wichtig, dass der Hacker ein bestimmtes Werkzeug besitzt? Ist es wichtig, dass er als Administrator angemeldet ist? Oder reicht es aus zu sagen: „Er ist im System“? Das ist die große Frage: Wie viel Detailtiefe müssen Sie dem Roboter geben, bevor er verwirrt wird oder einen Fehler macht? Wenn Sie zu wenig geben, plant er vielleicht einen Raubzug, der unmöglich ist. Wenn Sie zu viel geben, verschwenden Sie Zeit mit der Beschreibung von Dingen, die das Ergebnis eigentlich gar nicht verändern.

Genau das untersucht die Arbeit von Ramya Varunsegar. Die Autorin wollte wissen, ob die aktuelle „Goldstandard“-Methode zur Beschreibung dieser Hacker-Bewegungen tatsächlich notwendig war oder ob sie nur übermäßig kompliziert war.

Das große Experiment: Das Rezept vereinfachen

Lange Zeit nutzte das beste System, um Robotern das Hacken beizubringen (genannt AURORA), eine sehr detaillierte Checkliste mit neun verschiedenen Kategorien, um jede einzelne Bewegung eines Hackers zu beschreiben. Es war wie ein Kochbuch, das nicht nur listet „Salz hinzufügen“, sondern auch „Meersalz aus dem Pazifik hinzufügen“, „Meersalz aus dem Atlantik hinzufügen“ und „Meersalz aus dem Himalaya hinzufügen“, selbst wenn der Geschmack derselbe ist. Die Forscher fragten sich: Brauchen wir wirklich alle neun Kategorien, oder kommen wir mit weniger aus?

Um dies herauszufinden, bauten sie eine Testmaschine. Sie nahmen eine Sammlung von 16 realen Hacking-Techniken (aus einer Bibliothek namens Atomic Red Team) und versuchten, diese in zwei verschiedene Sprachen für den Roboter zu übersetzen:

Die ursprüngliche, komplexe neun-Kategorien-Sprache.
Eine neue, vereinfachte fünf-Kategorien-Sprache, die sie erstellt haben, indem sie beobachteten, wie diese Hacks in der Realität tatsächlich funktionierten.

Sie baten dann eine superintelligente Planungs-Engine (genannt Fast Downward), das Rätsel mit beiden Sprachen zu lösen. Das Ziel war es zu sehen, ob die vereinfachte Version den Roboter scheitern ließe, mehr Zeit kosten würde oder einen schlechteren Plan erzeugen würde.

Die überraschenden Ergebnisse

Die Ergebnisse waren ein wenig so, als würde man entdecken, dass eine hochauflösende 8K-Kamera nicht immer notwendig ist, um eine Katze auf einem Sofa zu sehen.

Erfolgsrate: Der Roboter war mit der einfachen fünf-Kategorien-Liste genauso erfolgreich wie mit der komplexen neun-Kategorien-Liste. Beide Versionen schafften es, einen gültigen Angriffsplan für 13 von 16 Techniken zu erstellen. Das entspricht einer Erfolgsquote von 81,3 % für beide. Die zusätzliche Detailtiefe half dem Roboter nicht, häufiger erfolgreich zu sein.
Kosten und Geschwindigkeit: Die „Kosten“ der Pläne (wie viele Schritte der Roboter machen musste) waren exakt gleich. Die vereinfachte Version führte den Roboter nicht auf einen längeren, umständlichen Weg.
Der „Fidelity“-Check: Als sie die Pläne des Roboters mit einer von Menschen erstellten „Ground Truth“ (dem perfekten, erwarteten Pfad) verglichen, erreichte der Roboter in beiden Fällen eine perfekte Punktzahl von 1,0 (eine perfekte Übereinstimmung).

Die eine Einschränkung: Wann Details doch wichtig sind

Die Arbeit sagt jedoch nicht: „Werft alle Details weg.“ Die Forscher fanden heraus, dass die zusätzliche Detailtiefe im neun-Kategorien-System hauptsächlich bei der internen Erklärung dessen half, warum ein Plan funktionierte, anstatt den Plan selbst besser zu machen.

Es gab einen spezifischen Fall, in dem die zusätzliche Detailtiefe entscheidend war. In einer Technik musste ein Hacker ein „Administrator“ sein, um etwas zu tun. Aber der Roboter stellte fest, dass es nicht ausreichte, nur ein Administrator zu sein; der Hacker musste auch in der Lage sein, diese Macht über eine Netzwerkverbindung auszuüben. Das vereinfachte fünf-Kategorien-System übersah diesen winzigen, aber lebenswichtigen Unterschied anfangs. Die Forscher mussten eine spezifische „Environment“-Regel (Umweltregel) hinzufügen, um dies zu korrigieren. Dies zeigte, dass man zwar Dinge vereinfachen kann, aber vorsichtig sein muss, nicht zwei verschiedene Dinge zusammenzuwürfeln, nur weil sie ähnlich klingen.

Was dies für die Zukunft bedeutet

Die wichtigste Erkenntnis ist, dass für die spezifischen 16 getesteten Hacking-Techniken das komplexe neun-Kategorien-System überflüssig (Overkill) ist. Das einfachere fünf-Kategorien-System funktioniert genauso gut bei der Erstellung gültiger Angriffsketten.

Die Arbeit legt nahe, dass Cybersicherheitsexperten nicht für jede Situation unglaublich komplexe Modelle bauen müssen. Sie können ein schlankeres, einfacheres Modell verwenden, das leichter zu verwalten und zu verstehen ist, ohne die Fähigkeit zu verlieren, vorherzusagen, wie Hacker angreifen könnten. Die Autorin ist jedoch vorsichtig und betont, dass dies auf einem spezifischen Satz von Tests basiert. Sie fanden heraus, dass zwar das Ergebnis dasselbe war, die Argumentation innerhalb des Roboters jedoch leicht unterschiedlich war. Die zusätzlichen Kategorien im alten System halfen dabei, das „Warum“ im Detail zu erklären, aber sie änderten nicht das „Was“.

Kurz gesagt: Die Forscher haben herausgefunden, dass man nicht immer ein Mikroskop braucht, um das Gesamtbild zu sehen. Manchmal reicht eine gute Brille aus, um den Eindringling zu entdecken, vorausgesetzt, man weiß genau, worauf man achten muss.

Technisches Resümee: Generierung symbolischer Angriffsketten aus Atomic Red Team Techniken

1. Problemstellung

Die automatisierte Generierung von Angriffsketten ist essenziell für die moderne Cybersicherheitsabwehr und das Red Teaming, doch die manuelle Konstruktion scheitert an der Skalierbarkeit, wenn sich das Verhalten von Angreifern ausweitet. Während die klassische KI-Planung unter Verwendung der Planning Domain Definition Language (PDDL) eine formale Methode zur Automatisierung dieses Prozesses bietet, hängt sie von der präzisen Übersetzung von Angreifertechniken in symbolische Prädikate ab.

Aktuelle State-of-the-Art-Systeme wie AURORA nutzen ein neunstufiges Attack Action Linking Model (AALM), um Systemzustände zu definieren. Die Notwendigkeit dieser spezifischen Granularität wurde jedoch bisher nicht validiert. Es ist unklar, ob ein reduzierter Satz von Prädikatskategorien eine vergleichbare Planvalidität, Kosten und Fidelität zu realen Angriffsketten erreichen kann oder ob die höhere Granularität lediglich eine unbestätigte Designentscheidung ist, die die Repräsentationskomplexität erhöht, ohne die Argumentationsergebnisse zu verbessern. Diese Arbeit untersucht den Einfluss der Granularität der Prädikatsrepräsentation auf die Validität, Kosten und Fidelität automatisch generierter Angriffsketten.

2. Methodik

Die Studie verwendet eine hybride Pipeline, die die linguistische Übersetzung von der deterministischen Argumentation trennt, um die mit Large Language Models (LLMs) verbundenen Halluzinationsrisiken zu minimieren.

2.1 Forschungsdesign

Die Kernmethodik repliziert die AURORA-Pipeline, behandelt jedoch die Prädikatshgranularität als experimentelle Variable statt als feste Annahme.

Übersetzung: Ein LLM (GPT-4.1) übersetzt Atomic Red Team (ART) YAML-Testdefinitionen und Ausführungsbeweise in Kandidaten-PDDL-Prädikate.
Validierung: Ein deterministisches, regelbasiertes Skript (predicate_table.py) validiert die LLM-Ausgaben gegen die Quell-YAML und die Ausführungsprotokolle.
Planung: Der Fast Downward Planner (unter Verwendung von astar(blind())) führt die gesamte Argumentation, die Aktionsreihenfolge und die Planerstellung durch.
Ablationsstudie: Die Studie vergleicht zwei Schemata über einen identischen Korpus von 16 formalisierten ART-Techniken:
1. Neun-Kategorien-AALM: Das vollständige Schema, das von AURORA verwendet wird (Umgebungen, Ausführer, Payloads, Dateien, Prozesse, Benutzer, Informationen, Daten, Techniken).
2. Fünf-Kategorien-Schema: Ein empirisch abgeleitetes, reduziertes Schema, das Kategorien wie folgt zusammenfasst:
  - Payload $\rightarrow$ Executor
  - File und Technique $\rightarrow$ Environment
  - User und Privilege $\rightarrow$ Privilege/User
  - Information und Data $\rightarrow$ Information

2.2 Datenerhebung und Ausführung

Der Korpus besteht aus 16 Techniken, die mehrere MITRE ATT&CK Taktiken (Discovery, Persistence, Defense Evasion, Collection, Exfiltration) abdecken.

Ableitung: Zuerst wurde eine viertechnikenbasierte „Starter-Kette“ (T1059.001, T1547.001, T1003.001, T1021.002) ausgeführt, um das initiale Fünf-Kategorien-Schema abzuleiten. Entscheidend war, dass die Ausführungsbeweise die Aufnahme einer separaten Kategorie Privilege/User erforderten (z. B. die Unterscheidung zwischen dem Halten von Admin-Rechten und der Fähigkeit, diese über einen Netzwerk-Logon auszuüben).
Umgebung: Alle Tests wurden in einer isolierten Windows 11 VM mit Host-Only-Netzwerk und aktivem Defender ausgeführt, um realistische Endpoint-Protection-Bedingungen ohne externes Risiko zu gewährleisten.
Fehlerbehandlung: Techniken, die die Ausführung nicht erfolgreich abschlossen (z. B. aufgrund von AV/EDR-Blockaden oder fehlender Payloads), wurden nicht verworfen. Stattdessen wurden sie im Domain-File als „aktionslos“ kodiert, sodass der Planner korrekt „keine Lösung“ als valide Repräsentation eines empirischen Fehlers zurückgeben konnte.

2.3 Evaluierungsmetriken

Die Studie evaluiert die Schemata anhand folgender Kriterien:

Plan-Validität/Erfolgsrate: Ob ein gültiger Plan generiert wird.
Plan-Kosten: Die Anzahl der Aktionen im generierten Plan.
Angriffsketten-Fidelität: Jaccard-Ähnlichkeit und Edit-Distanz gegenüber einer manuell konstruierten ATT&CK-Ground-Truth-Kette.
Prädikat-Kategorie-Auflösung ( $\Delta P_i$ ): Eine Metrik, die misst, ob das Neun-Kategorien-Schema eine Aufspaltung in Prädikaten erzwingt, die das Fünf-Kategorien-Schema zusammenfasst.
Fehlermodus-Analyse: Klassifizierung der Gründe, warum Techniken der Formalisierung widerstehen (z. B. Umgebungslücken, Unterspezifikation).

3. Kernergebnisse

Die empirischen Ergebnisse aus dem 16-Techniken-Korpus zeigen, dass die Prädikatshgranularität nur minimalen Einfluss auf die Durchführbarkeit der generierten Pläne hat.

Plan-Validität und Kosten: Die Ergebnisse waren weitgehend unempfindlich gegenüber der Granularität. Sowohl das Neun-Kategorien- als auch das Fünf-Kategorien-Schema erreichten eine identische Erfolgsrate von 81,3 % (13/16 Techniken). Für die neun unabhängig gelösten Techniken war die mittlere Plan-Kosten identisch (1,0). Die vierstufige Starter-Kette produzierte in beiden Konfigurationen identische Pläne.
Angriffsketten-Fidelität: Die generierte Starter-Kette stimmte exakt mit der manuell konstruierten Ground-Truth-Kette überein (Jaccard-Ähnlichkeit = 1,0, Edit-Distanz = 0). Das Paper stellt fest, dass dies die Korrektheit der Pipeline bestätigt, aber keine generalisierbare Fidelität zu realen Vorfällen beansprucht, da der Korpus so ausgewählt wurde, dass er dasselbe Narrativ instanziiert, das zum Aufbau der Referenzkette verwendet wurde.
Prädikat-Kategorie-Auflösung:
- 14 von 16 Techniken zeigten keinen Gewinn an Auflösung ( $\Delta P_i = 0$ ), was bedeutet, dass die höhere Granularität des Neun-Kategorien-Schemas die strukturelle Rechtfertigung des Plans nicht veränderte.
- T1560.001 war die einzige echte Ausnahme, bei der das Neun-Kategorien-Schema zwischen Environment- und File-Prädikaten unterschied, die das Fünf-Kategorien-Schema zusammenfasste.
- T1003.001 zeigte einen Gewinn an Auflösung, dies wurde jedoch als Artefakt eines Platzhalter-Preconditions identifiziert, der für eine Technik verwendet wurde, die vollständig fehlschlug, und wird daher von der Behauptung eines echten Gewinns ausgeschlossen.
Fehlermodi: Die Studie erfasste systematische Ausfälle erfolgreich. Beispielsweise schlug T1055 (Process Injection) in 11/13 Sub-Tests aufgrund von AV/EDR-Signaturerkennung fehl, und T1003.001 schlug aufgrund von Zugriffsverweigerung fehl. Diese wurden strukturell als „keine Lösung“ kodiert, anstatt sie mit Platzhaltern zu überdecken.

4. Bedeutung und Beiträge

Das Paper beansprucht bescheiden, dass innerhalb des Rahmens dieses spezifischen Korpus und dieser Aufgabe ein reduziertes Fünf-Kategorien-Prädikatschema ausreicht, um die Planungsfähigkeit zu bewahren und die Ergebnisse des vollständigen Neun-Kategorien-AALM zu erreichen.

Primäre Beiträge:

Empirisch abgeleitetes Schema: Die Arbeit liefert ein Fünf-Kategorien-Prädikatschema, das Bottom-up aus realen ART-Ausführungsbeweisen abgeleitet wurde, anstatt es a priori übernommen zu haben. Diese Ableitung brachte notwendige kausale Unterscheidungen hervor (z. B. remote-admin-token-unfiltered), die ein beliebiges Schema übersehen könnte.
Granularitäts-Invarianz: Die Studie zeigt, dass höhere Granularität für die getesteten Techniken primär die interne strukturelle Auflösung der Rechtfertigung eines Plans verbessert, anstatt die Durchführbarkeit oder die Kosten der generierten Angriffskette zu beeinflussen.
Fehlermodus-als-Evidenz: Das Paper führt ein Framing ein, bei dem Techniken, die der Formalisierung widerstehen (aufgrund von AV/EDR oder fehlenden Payloads), als substanzielle Daten über die Grenzen der symbolischen Modellierung behandelt werden. Durch die Kodierung als „aktionslos“ wird die „keine Lösung“-Ausgabe des Planers zu einer verifizierbaren Aussage über den Korpus statt zu einem Fehler.
Validierung der Pipeline-Architektur: Die Arbeit unterstützt eine zweigeteilte Pipeline, in der das LLM auf die Übersetzung beschränkt ist und ein deterministischer Planner die Argumentation übernimmt. Diese Architektur isolierte das Risiko von LLM-Halluzinationen erfolgreich, wobei eine gemessene Korrekturrate der Übersetzung bei 11,0 % (89/808 Prädikate) lag, die durch unabhängige regelbasierte Überprüfung vor dem Erreichen des Planners abgefangen wurde.

Limitierungen:
Der Autor merkt explizit an, dass die Ergebnisse spezifisch für diesen 16-Techniken-Korpus und eine einzelne VM-Umgebung sind. Die Metrik für die Plan-Kosten hatte eine begrenzte Unterscheidungskraft, da die meisten Techniken Single-Action-Pläne waren. Zudem wird die exakte Übereinstimmung mit der Ground Truth als Beleg für die Korrektheit der Pipeline für das gewählte Narrativ gelesen, nicht als Beweis für eine generalisierbare Fidelität zu unabhängigen realen Vorfällen.

5. Fazung

Die Studie kommt zu dem Schluss, dass das neunstufige AALM zwar nicht falsch ist, aber für die Validität oder die Kosten der Generierung von Angriffsketten in dem untersuchten Kontext nicht zwingend erforderlich ist. Das reduzierte Fünf-Kategorien-Schema bewahrte die Planungsfähigkeit und entsprach dem vollständigen Schema in jedem gemessenen Ergebnis, mit Ausnahme einer einzigen Technik (T1560.001), während es gleichzeitig die Repräsentationskomplexität reduzierte. Die Arbeit legt nahe, dass bei der automatisierten Generierung von Angriffsketten der Fokus auf den durch Ausführungsbeweise offenbarten kausalen Unterscheidungen liegen sollte, anstatt an einer festen, hochgradig granularen Taxonomie festzuhalten.