In der digitalen Welt beruht Sicherheit oft auf einer einfachen Idee: Baue eine starke Mauer um das Innere eines Netzwerks auf und lasse nichts Verdächtiges hindurch. So funktionieren Firewalls und Intrusion-Detection-Systeme; sie stehen als Wächter am Perimeter und beobachten Angreifer, die versuchen, von außen einzudringen. Diese Strategie hat jedoch einen blinden Fleck. Sobald es einem Angreifer gelingt, sich ihren Weg durch die äußere Mauer zu bahnen und einen einzelnen Computer im Inneren zu kompromittieren, muss er die Mauer nicht erneut durchbrechen, um sein eigentliches Ziel zu erreichen. Stattdessen kann er diesen ersten kompromittierten Computer als Sprungbrett oder Pivot nutzen, um zu anderen, besser geschützten Computern tief im Netzwerk zu springen. Da der Datenverkehr zwischen diesen internen Computern vollkommen normal und vertrauenswürdig aussieht, schlüpft er problemlos an den Perimeter-Wächtern vorbei. Diese Technik, bekannt als Pivoting, ermöglicht es Angreifern, sich lautlos durch ein Netzwerk zu bewegen, Daten zu stehlen oder Malware zu verbreiten, ohne jemals die Alarme auszulösen, die darauf ausgelegt sind, sie zu stoppen.

Das Problem besteht darin, dass die Erkennung dieser Bewegungen unglaublich schwierig ist. Die Daten, die zwischen internen Computern fließen, sehen oft genau wie die legitime Arbeit der Menschen aus, die sie nutzen. Bestehende Lösungen zur Erfassung dieser Angreifer hatten mit einem schwierigen Kompromiss zu kämpfen: Sie sind entweder zu langsam, um in Echtzeit nützlich zu sein, sie erfordern, dass jeder einzelne Computer in einem Netzwerk kooperiert (was in modernen, flexiblen Umgebungen oft unmöglich ist), oder sie erzeugen so viele Fehlalarme, dass Sicherheitsteams überfordert werden und die echten Bedrohungen übersehen. Um dies zu lösen, entwickelten Forscher der Dalhousie University und der University of Virginia ein neues System namens Stitch. Anstatt zu versuchen, das gesamte Netzwerk von einem zentralen Punkt aus zu überwachen, lebt Stitch direkt auf den einzelnen Computern selbst. Es fungt als lokaler Beobachter, der beobachtet, wie die internen Prozesse eines Computers den Netzwerkverkehr verarbeiten, und nach der spezifischen Signatur eines Angreifers sucht, der einen Computer nutzt, um mit einem anderen zu kommunizieren.

Die zentrale Erkenntnis hinter Stitch ist, dass man, um ein Pivoting abzufangen, die Verbindung zwischen dem, was in einen Computer hineinkommt, und dem, was aus ihm herausgeht, herstellen muss, und man muss wissen, welches Softwareprogramm für diese Bewegung verantwortlich ist. Frühere Methoden betrachteten oft nur das Timing und die Größe von Datenpaketen und vermuteten, dass zwei Datenströme miteinander verbunden waren, wenn sie zu ähnlichen Zeiten mit ähnlicher Größe ankamen und das System verließen. Dieser Ansatz ist fehlerhaft, da er häufig harmlosen, routinemäßigen Verkehr mit Angriffen verwechselt, was zu einer Flut von Fehlalarmen führt. Stitch vermeidet dieses Raten durch den Einsatz einer speziellen Technologie, die in das Linux-Betriebssystem eingebaut ist, namens eBPF. Diese Technologie ermöglicht es dem System, sicher kleine, maßgeschneiderte Programme in den Kernel – den Kern des Betriebssystems – einzufügen, ohne den Computer zu verlangsamen oder die Erlaubnis von jedem anderen Gerät im Netzwerk einzuholen.

Stitch arbeitet, indem es den Lebensweg eines Prozesses verfolgt, was einfach ein laufendes Programm ist, von dem Moment an, in dem es ein Stück Daten empfängt, bis zu dem Moment, in dem es ein neues Stück Daten versendet. Wenn ein Datenpaket an einem Computer ankommt, etikettiert Stitch es und folgt ihm dabei, wie es an ein spezifisches Programm übergeben wird. Wenn dieses Programm dann eine neue Verbindung öffnet, um Daten woanders hin zu senden, prüft Stitch, ob die neue ausgehende Verbindung mit der ursprünglichen eingehenden Verbindung verknüpft ist. Dies geschieht, indem das System die Systemaufrufe (System Calls) beobachtet – die Anfragen, die ein Programm an das Betriebssystem stellt –, um zu sehen, ob derselbe Prozess, der die Daten empfing, auch derjenige ist, der die neuen Daten sendet. Wenn das System erkennt, dass ein Prozess den Datenverkehr von einem Ort zum anderen weiterleitet, prüft es dann die Charakteristika dieses Verkehrs. Es untersucht, wie viel Zeit zwischen den eingehenden und ausgehenden Daten vergangen ist und wie ähnlich sich deren Größen sind.

Um nicht „Wolf zu rufen“ (Fehlalarme auszulösen), führt Stitch auch eine Aufzeichnung darüber, wohin ein Computer normalerweise seine Daten sendet. Wenn ein Computer aus legitimen Gründen häufig mit einem bestimmten Server kommuniziert, etwa um eine Datenbank abzufragen oder ein Benutzerkonto zu verwalten, lernt Stitch, dies als normales Verhalten zu erkennen und ignoriert es. Es schlägt nur Alarm, wenn das Verkehrsmuster wie ein Pivot aussieht und zu einem Ziel führt, das selten besucht wird. Diese Kombination aus der Verfolgung des Softwareprozesses, der Analyse des Datenflusses und dem Erlernen der normalen Gewohnheiten des Computers ermöglicht es Stitch, hochgradig genau zu sein. In Tests unter Verwendung von simulierten Angriffen verbesserte Stitch die Erkennungsgenauigkeit im Vergleich zu den besten existierenden Methoden, die sich nur auf die Zeitmessung und Größe des Verkehrs verlassen, um etwa 31 Prozent. Viel wichtiger noch: Es reduzierte die Rate der Fehlalarme auf weniger als ein Fünftel eines Prozents, eine massive Verbesserung gegenüber früheren Systemen, die oft harmlosen Verkehr als gefährlich markierten.

Die Forscher hielten nicht bei Simulationen an. Sie installierten Stitch auf echten Servern innerhalb eines großen Universitätsnetzwerks, das Tausende von Studenten, Fakultätsmitgliedern und Mitarbeitern bedient. Sie ließen das System über 80 Tage lang auf einem gemeinsam genutzten Fakultätsserver und einem öffentlich zugänglichen Webserver laufen. Während dieser Zeit überwachte das System Millionen von Netzwerkereignissen, ohne die Server zu verlangsamen oder Änderungen an der bestehenden Sicherheitsstruktur des Netzwerks vorzunehmen. Auf dem Fakultätsserver identifizierte das System erfolgreich alle von den Forschern gestarteten Testangriffe, bei denen es darum ging, SSH-Tunnel zu verwenden, um Daten zu bewegen. Es generierte nur eine sehr geringe Anzahl von Fehlalarmen, die größtenteils durch legitime administrative Aufgaben wie Port-Forwarding für den Datenbankzugriff verursacht wurden. Auf dem öffentlichen Webserver lief das System 32 Tage lang, ohne einen einzigen Alarm auszulösen, was bestätigte, dass es zwischen normalem Webverkehr und potenziellen Pivoting-Versuchen unterscheiden kann.

Die Ergebnisse zeigen, dass Stitch einen praktischen Weg bietet, sich gegen diese heimlichen Angriffe zu verteidigen, ohne eine vollständige Überarbeitung der Infrastruktur eines Netzwerks zu benötigen. Es arbeitet unabhängig auf jedem Computer, was bedeutet, dass es keine Rolle spielt, ob andere Geräte im Netzwerk unterschiedliche Software ausführen oder ob sich die Netzwerktopologie häufig ändert. Das System ist leichtgewichtig, verbraucht weniger als 350 Megabyte Arbeitsspeicher und belastet den Prozessor des Computers kaum zusätzlich. Selbst unter hoher Verkehrslast behielt es seine Fähigkeit bei, Angriffe zu erkennen. Die Forscher fanden heraus, dass das System tausende neue Netzwerkverbindungen pro Sekunde bewältigen kann, während es immer noch die Pfade der Daten präzise nachverfolgt. Diese Effizienz ist entscheidend, da moderne Netzwerke dynamisch und geschäftig sind; ein Sicherheitstool, das zu schwerfällig oder langsam ist, wäre für den realen Gebrauch unpraktikabel.

Durch die Konzentration auf die Beziehung zwischen den Softwareprozessen und dem Netzwerkverkehr löst Stitch das Problem, zwischen einem legitimen Nutzer, der seine Arbeit erledigt, und einem Angreifer, der den Computer dieses Nutzers als Brücke verwendet, zu unterscheiden. Es verlässt sich nicht auf die Kooperation jedes Geräts im Netzwerk, noch erfordert es die Speicherung massiver Mengen an historischen Daten, um Muster zu finden. Stattdessen beobachtet es den unmittelbaren Kontext des Verkehrs, während dieser geschieht. Die Forscher demonstrierten, dass dieser Ansatz effektiv gegen gängige Werkzeuge ist, die von Angreifern verwendet werden, wie etwa SSH, Nmap und Chisel, welche häufig genutzt werden, um diese Pivoting-Tunnel zu erstellen. Das System identifizierte diese Angriffe erfolgreich, selbst wenn sie innerhalb des normalen Netzwerkverkehrs getarnt waren.

Die Arbeit unterstreicht auch die Bedeutung des Blickwinkels auf das Gesamtbild bei der Sicherung eines Netzwerks. Sich allein auf den Perimeter zu verlassen, reicht nicht mehr aus, und sich allein auf Verkehrsstatistiken zu verlassen, ist zu fehleranfällig. Durch die Kombination von Systemprozess-Beobachtung mit Netzwerkflussanalyse bietet Stitch eine vollständigere Sicht darauf, was innerhalb eines Computers geschieht. Die Forscher planen, den Quellcode des Systems öffentlich zugänglich zu machen, damit andere ihre Arbeit testen und darauf aufbauen können. Diese Transparenz soll dazu beitragen, die Verteidigung gegen Advanced Persistent Threats (fortgeschrittene, langanhaltende Angriffe, die oft von organisierten Gruppen gestartet werden) zu verbessern. Der Erfolg von Stitch deutet darauf an, dass ein Wechsel hin zu einer hostbasierten Echtzeit-Erkennung, die den Kontext des Verkehrs versteht, ein gangbarer und notwendiger Weg für die Netzwerksicherheit ist.

Am Ende präsentiert das Paper ein System, das sowohl genau als auch effizient ist und eine Lücke in aktuellen Sicherheitstools schließt. Es beweist, dass es möglich ist, Pivoting-Angriffe in Echtzeit zu erkennen, ohne eine Flut von Fehlalarmen zu erzeugen oder die gesamte Struktur eines Netzwerks ändern zu müssen. Die Fähigkeit des Systems, unabhängig auf einzelnen Hosts zu operieren, macht es anpassbar an verschiedene Umgebungen, von kleinen Büronetzwerken bis hin zu großen, komplexen Universitätsinfrastrukturen. Die Ergebnisse legen nahe, dass Sicherheitsteams durch die Integration von System-Tracing und Netzwerkanalyse eine viel klarere Sicht auf die Bedrohungen erhalten können, die in ihren Netzwerken lauern, sodass sie Angriffen begegnen können, bevor diese erheblichen Schaden anrichten können. Die Arbeit steht als Demonstration dafür, dass effektive Sicherheit nicht immer komplexere oder teurere Hardware erfordert, sondern eine intelligentere Art, die bereits vorhandenen Daten zu betrachten.