Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring

Stellen Sie sich vor, Sie sind der Sicherheitswachmann eines hochtechnologischen Schlosses. Ihr Job besteht nicht nur darin, zu prüfen, wer durch die Vordertür geht; Sie müssen auch sicherstellen, dass die Leute, sobald sie im Inneren sind, nicht anfangen, die Möbel umzustellen, die Fresken zu übermalen oder sich in das Schlafzimmer des Königs zu schleichen. In der Welt der Computer wird dies als Cybersicherheit bezeichnet. Lange Zeit haben Wachleute hauptsächlich die Vordertür (das Netzwerk) beobachtet, um zu sehen, ob Bösewichte versuchen einzubrechen. Aber moderne Hacker sind clever; sie dringen manchmal ein und versuchen dann, die Art und Weise zu verändern, wie der Computer denkt und sich bewegt, während sie sich als normales, hilfreiches Programm ausgeben.

Um diese hinterlistigen Eindringlinge zu fangen, nutzen Wissenschaftler eine Methode namens Control-Flow-Monitoring (Kontrollflussüberwachung). Stellen Sie sich einen Computerprogramm wie ein Rezept zum Backen eines Kuchens vor. Der „Control-Flow“ ist die Reihenfolge der Schritte: Mehl mischen, Eier hinzufügen, backen, dann glasieren. Wenn das Rezept plötzlich sagt „Salz hinzufügen“ direkt nach dem „Backen“, oder wenn der Schritt „Mischen“ komplett übersprungen wird, ist etwas schiefgelaufen. Sicherheitssysteme beobachten dieses Rezept, um zu sehen, ob die Schritte Sinn ergeben. Wenn sie das nicht tun, handelt es sich um eine Anomalie. Aber hier liegt der knifflige Teil: Ein smarter Hacker kann den Wachmann austricksen. Er könnte den Schritt „Salz hinzufügen“ in einem Teil des Rezepts verstecken, der wie ein normaler „Küchenreinigung“-Schritt aussieht, oder er könnte die Notiz, die besagt „Salz hinzufügen“, von der Klemmbrettek des Wachmanns löschen. Dies nennt man Camouflage (Tarnung). Der Wachmann sieht einen seltsamen Schritt, aber weil die Notiz fehlt oder harmlos aussieht, denkt er: „Oh, das ist nur eine seltsame Reinigungsroutine“, und lässt es durchgehen.

Dieses Paper, geschrieben von Forschern aus Deutschland, befasst sich mit genau diesem Problem: Wie fängt man einen Hacker, der gut darin ist, seine Spuren zu verwischen? Die Autoren schlagen einen klugen neuen Weg vor, das Problem anzugehen, indem sie zwei Arten von Sicherheitswachleuten kombinieren: einen, der innerhalb der Software des Computers arbeitet (der „Software-Beobachter“), und einen, der von einer separaten, unknackbaren Hardware-Box aus zuschaut (der „Hardware-Beobachter“). Sie argumentieren, dass der Software-Wachmann zwar getäuscht werden kann, der Hardware-Wachmann jedoch viel schwerer zu täuschen ist. Durch die Nutzung beider kann man den Hacker selbst dann fangen, wenn er versucht, seine Bewegungen zu tarnen.

Die Geschichte der zwei Wachleute

Die Forscher beginnen damit zu erklären, wie aktuelle Sicherheit funktioniert. Normalerweise hat ein Computer eine Karte aller gültigen Pfade, die ein Programm nehmen kann, einen sogenannten Control-Flow Graph (CFG). Es ist wie ein U-Bahn-Netzplan, der jede Station und jeden Gleisabschnitt zeigt. Wenn das Programm versucht, zu einer Station zu springen, die nicht auf der Karte steht, löst das System Alarm aus. Um herauszufinden, warum der Alarm ausgelöst wurde, nutzen Sicherheitsteams etwas, das man Attack Tree (Angriffsbaum) nennt. Stellen Sie sich einen Baum vor, bei dem der oberste Ast das Ereignis ist, das passiert ist (wie „Das Schlafzimmer des Königs wurde betreten“). Die Zweige darunter sind die möglichen Gründe: „Ist ein Wachmann eingeschlafen?“ „Hat jemand das Schloss geknackt?“ oder „Ist ein Dieb hineingeflogen?“

Das Problem ist, wie die Autoren aufzeigen, dass der Attack Tree nur so intelligent ist wie die Informationen, die er erhält. Wenn der Hacker es schafft, die Beweise zu verstecken, könnte der Attack Tree zu dem Schluss kommen: „Oh, der Wachmann ist wohl nur eingeschlafen“, wenn die wahre Antwort eigentlich lautet: „Der Dieb ist hineingeflogen“. Dies ist das Camouflage-Problem. Der Hacker manipuliert die eigenen Protokolle oder Sensoren der Software, sodass der Teil der Geschichte über das „Hineinfliegen“ im Bericht verschwindet.

Der Hardware-Held

Um dies zu lösen, schlägt das Paper ein duales System vor. Die erste Ebene ist der Software-Beobachter, der im Computer lebt. Er ist wie eine Sicherheitskamera, die im Flur installiert ist. Er ist gut, aber wenn ein Hacker den Flur übernimmt, kann er das Kameralinsen abdecken oder das Videoband austauschen.

Die zweite Ebene ist der Hardware-Beobachter. Dies ist die große Idee des Papers. Anstatt einer Kamera im Flur stellen Sie sich eine separate, unsichtbare Drohne vor, die außerhalb der Burgmauern fliegt und die Burg durch ein Teleskop beobachtet. Diese Drohne ist mit der physischen Mechanik (dem Prozessor) der Burg verbunden, ist aber nicht Teil der Software der Burg. Selbst wenn der Hacker die internen Systeme der Burg übernimmt, kann er die Drohne außerhalb der Burg nicht ohne Weiteres erreichen, um zu ändern, was sie sieht.

Die Forscher beschreiben ein spezifisches Szenario, um zu zeigen, wie das funktioniert. Sie stellen sich einen Authentifizierungsdienst (ein Login-System) für ein industrielles Gateway vor.

1. Der Angriff: Ein Hacker findet eine Schwachstelle im Login-System. Er schleicht eine bösartige Nutzlast (Payload) ein, die wie eine normale „Wartungsanfrage“ aussieht. Er überlistet das System, um die „Multi-Faktor-Authentifizierung“ (MFA) zu überspringen und eine geheime Sitzung zu erstellen.
2. Die Camouflage: Der Hacker nutzt dann einen speziellen Trick, um die eigenen Protokolle der Software umzuschreiben. Der Software-Beobachter sieht einen Bericht, der besagt: „Wir haben einige Wartungsarbeiten durchgeführt, dann die Anfrage abgelehnt und dann... oh, eine Sitzung wurde erstellt, aber die Protokolle sind etwas unordentlich.“ Der Software-Beobachter denkt: „Hmm, vielleicht ist das Protokollsystem einfach nur fehlerhaft. Das ist ein Problem auf niedriger Ebene.“ Der Attack Tree stimmt zu und klassifiziert es als geringfügigen Konfigurationsfehler.
3. Die Hardware-Wahrheit: Währenddessen beobachtet der Hardware-Beobachter die tatsächlichen elektrischen Signale des Prozessors. Er sieht den echten Pfad: Der Hacker sprang von einem „Wartungs“-Block direkt in einen „Hacking“-Block, übersprang die MFA-Prüfung komplett und unterdrückte dann die Protokolle. Der Hardware-Beobachter sieht den illegalen Sprung, den der Software-Beobachter übersehen hat.

Die Diagnose ändert sich

Wenn die Forscher die Daten des Hardware-Beobachters in denselben Attack Tree einspeisen, ändert sich die Diagnose vollständig. Der Baum sieht nicht mehr einen „fehlerhaften Log“, sondern sieht: „Illegaler Sprung“, „Fehlende Sicherheitsprüfung“ und „Manipulation der Protokolle“. Plötzlich verschiebt sich die Diagnose von „Geringe Schweregrad: Konfigurationsfehler“ zu „Hoher Schweregrad: Code-Injection und Control-Flow-Hijack“.

Das Paper zeigt, dass man durch die Kombination der beiden nicht nur mehr Angriffe erwischt, sondern sie auch besser versteht. Der Software-Wachmann sagt vielleicht: „Etwas ist seltsam“, aber der Hardware-Wachmann sagt: „Hier ist genau, was das Seltsame ist, und es ist gefährlich.“

Was dies bedeutet (und was es nicht bedeutet)

Die Autoren merken vorsichtig an, dass dies eine vorläufige Idee ist. Sie haben Teile dieses Systems gebaut und in Simulationen getestet, aber sie haben es noch nicht vollständig in ein reales Produkt integriert. Sie geben zu, dass es Herausforderungen gibt. Zum Beispiel ist der Hardware-Monitor nicht magisch; wenn der Trace-Buffer überläuft (der Speicher der Drohne füllt sich auf) oder wenn der Hacker irgendwie die physische Hardware selbst angreift, könnte das System dennoch scheitern. Außerdem benötigt das Lesen der Hardware-Daten Zeit und Rechenleistung, sodass man nicht ständig alles beobachten kann.

Stattdessen schlägt das Paper eine kluge Strategie vor: Nutzen Sie den Software-Wächter, um alles kostengünstig zu überwachen. Wenn der Software-Wächter etwas Verdächtiges sieht, dann wecken Sie den Hardware-Wächter auf, um einen genaueren, detaillierteren Blick darauf zu werfen. Auf diese Weise erhalten Sie das Beste aus beiden Welten: die Geschwindigkeit der Software und die Vertrauenswürdigkeit der Hardware.

Am Ende behauptet dieses Paper nicht, die Cybersicherheit für immer gelöst zu haben. Es verspricht keinen perfekten Schutzschild. Aber es bietet einen sehr vielversprechenden neuen Weg, das Problem zu betrachten: Vertrauen Sie nicht nur dem eigenen Zeugnisbericht des Computers. Lassen Sie einen unabhängigen Zeugen die Hausaufgaben überprüfen. Indem wir dieses zweite, unabhängige Paar Augen hinzufügen, können wir verhindern, dass Hacker ihre Tricks direkt vor unseren Augen verstecken.