A Two-Population Delayed Evolutionary Game with Bayesian Learning for Cyber Defense

In der hochriskanten Welt der Cybersicherheit ist Zeit die wertvollste Währung, doch sie ist auch die flüchtigste. Verteidiger stehen unter ständigem Druck, Eindringlinge zu erkennen und zu reagieren, bevor ein Schaden entsteht, aber die Realität moderner Cyberangriffe ist durch eine frustrierende Verzögerung geprägt. Angreifer, die oft als hochentwickelte, beharrliche Gruppen agieren, können sich monatelang in einem Netzwerk verstecken, indem sie sich langsam und geräuschlos bewegen. Unterdessen sind die Systeme der Verteidiger oft mit Fehlalarmen verstopft und werden von der schieren Menge der Daten überwältigt, die sie durchforsten müssen. Dies schafft eine gefährliche Lücke zwischen dem Zeitpunkt, an dem ein Angriff stattfindet, und dem Moment, in dem die Verteidiger endlich verstehen, was vor sich geht, und handeln können, um ihn zu stoppen. Jahrzehntelang haben Informatiker versucht, dieses Katzengame-Szenario mithilfe von Mathematik zu modellieren, doch viele dieser Modelle gingen davon aus, dass beide Seiten sofort reagieren können, als existiere keine Zeit. Diese Annahme ignorierte die unordentliche, langsame Realität, wie Informationen tatsächlich durch ein Sicherheitsteam reisen und wie Angreifer ihre Taktiken über Tage oder Wochen hinweg anpassen.

Eine neue Studie von Sina Keyhanian stellt diese vereinfachte Sichtweise in Frage, indem sie ein realistischeres Modell des Cyberkonflikts aufbaut. Anstatt von einer sofortigen Reaktion auszugehen, betrachtet die Forschung den Kampf als einen langsam ablaufenden evolutionären Kampf zwischen zwei Populationen: den Verteidigern, die entscheiden müssen, ob sie aktiv nach Bedrohungen jagen oder ihre Systeme passiv überwachen, und den Angreifern, die zwischen aggressiven, schnell voranschreitenden Taktiken oder schleichenden, langsam brennenden Methoden wählen. Der Kern des Modells konzentriert sich auf die Verzögerung der Information. Verteidiger sehen die Angreifer nicht direkt; sie sehen nur einen Strom von Alarmen, die verspätet eintreffen und oft verrauscht sind. Um dies zu verstehen, nutzen die Verteidiger einen mathematischen Filter, eine Art intelligenten Mittelungsprozess, um zu erraten, was die Angreifer tun. Die Studie führt zwei spezifische Arten von Verzögerungen in dieses System ein: die Zeit, die benötigt wird, um ein Eindringen zu erkennen, und die Zeit, die benötigt wird, um das Problem zu beheben, sobald es gefunden wurde. Durch die Durchführung komplexer Simulationen, die diese Verzögerungen berücksichtigen, entdeckten die Forscher, dass sich das System sehr anders verhält als bisher angenommen.

Die bedeutendste Erkenntnis ist, dass es einen präzisen Kipppunkt dafür gibt, wie lange ein Verteidiger warten kann, bevor seine Reaktion instabil wird. Wenn die Verzögerung bei der Erkennung eines Angriffs unter einem bestimmten Limit bleibt, pendeln sich die Verteidiger und Angreifer in einem vorhersagbaren Gleichgewicht ein. Soblich die Verzögerung jedoch diesen Schwellenwert überschreitet, verschlechtert sich das System nicht nur leicht; es beginnt wild zu oszillieren. Die Verteidiger, die auf veralteten Informationen reagieren, übertreiben es mit der aggressiven Jagd, was ihre eigenen Systeme mit Fehlalarmen und Erschöpfung belastet. Dies zwingt sie dazu, sich zurückzuziehen, wodurch das Netzwerk genau in dem Moment verwundbar wird, als die Angreifer die Schwäche erkennen und eine neue Welle der Aggression starten. Dieser Zyklus wiederholt sich und erzeugt ein wiederkehrendes Muster aus Sicherheitsverletzungen und hektischen Reaktionen, das niemals ganz gelöst werden kann. Die Forschung beweist, dass diese Instabilität kein zufälliger Fehler ist, sondern eine mathematische Gewissheit, die eintritt, wenn die Zeitverzögerung im Verhältnis dazu, wie schnell die Verteidiger lernen können, zu lang ist.

Entscheidend ist, dass die Studie zeigt, dass der bloße Versuch, Angriffe schneller zu erkennen, nicht immer ausreicht, um den Tag zu retten. Die Forscher fanden heraus, dass, wenn die Angreifer hochgradig anpassungsfähig sind und die Verteidiger langsam darin sind, aus den Daten zu lernen, keine Menge an Geschwindigkeit in der Erkennung den Zusammenbruch des Systems verhindern kann. Es gibt eine Mindestgeschwindigkeit, mit der Verteidiger in der Lage sein müssen, Informationen zu verarbeiten und ihre Überzeugungen über den Feind zu aktualisieren. Wenn sie unter diese Geschwindigkeit fallen, ist die Verteidigung zum Scheitern verurteilt, ungeachtet dessen, wie schnell sie den ursprünglichen Einbruch bemerken. Dies deutet darauf an, dass die Investition in bessere Sensoren oder schnellere Alarmsysteme nur die halbe Miete ist; die Fähigkeit, schnell zu lernen und sich anzupassen, ist ebenso kritisch. Das Modell zeigt auch eine überraschende Wechselwirkung zwischen den beiden Arten von Verzögerungen auf. Während man annehmen könnte, dass eine Verzögerung bei der Erkennung und eine Verzögerung bei der Behebung des Problems sich einfach addieren würden, um die Situation zu verschlechtern, zeigt die Studie, dass eine moderate Verzögerung bei der Problemlösung tatsächlich helfen kann, das System zu stabilisieren, was eine etwas längere Erkennungsverzögerung ermöglicht, ohne einen Zusammenbruch zu verursachen.

Um sicherzustellen, dass diese Ergebnisse nicht nur theoretisch waren, testeten die Forscher ihr Modell gegen reale Daten. Sie analysierten über 300.000 Sicherheitsvorfälle aus einem großen Datensatz von Microsoft, der Aufzeichnungen darüber enthielt, wie Analysten Alarme triagierten und bewerteten. Sie untersuchten auch Protokolle von IT-Service-Desks, um zu verstehen, wie lange es tatsächlich dauert, Probleme zu lösen. Die Daten bestätigten, dass eine einzelne Organisation Informationen über das Verhalten von Angreifern mit einer Rate von etwa 0,07 pro Tag lernt, was bedeutet, dass es etwa zwei Wochen dauert, um ihre Strategie vollständig anzupassen. Wenn jedoch mehrere Organisationen ihre Daten teilen, springt diese Lerngeschwindigkeit auf etwa dreimal pro Tag, eine massive Verbesserung, die die Zeit, die Verteidiger tolerieren können, bevor ihr System instabil wird, erheblich verlängert. Trotz dieser Verbesserung stellte die Studie fest, dass selbst mit gemeinsam genutzten Daten die typische Zeit, die ein Angreifer in einem Netzwerk verweilt – oft etwa 14 Tage – immer noch länger ist, als es das System sicher handhaben kann.

Die Forschung untersuchte auch die Zeit, die zur Behebung von Problemen, bekannt als Remediation, benötigt wird. Durch die Analyse von Protokollen realer Vorfallbehebungen fanden die Experten, dass zwar viele Probleme schnell gelöst werden, eine kleine Anzahl komplexer Probleme jedoch Wochen oder sogar Monate zur Lösung benötigt. Dieser „Long Tail“ (lange Schwanz) langsamer Lösungen ist das, was die Stabilität der Verteidigung wirklich bedroht. Das System ist am verwundbarsten, nicht wenn die durchschnittliche Behebung zu lange dauert, sondern wenn sich diese seltenen, schwierigen Fälle anhäufen und einen Rückstau erzeugen. Die Studie kommt zu dem Schluss, dass Sicherheitsteams ihre Leistung nicht als ein einzelnes Ziel betrachten sollten, wie etwa die „mittlere Reaktionszeit“, sondern als ein gemeinsames Budget aus drei miteinander verbundenen Faktoren: wie schnell sie lernen können, wie schnell sie erkennen können und wie schnell sie beheben können. Wenn einer dieser Lags zu weit hinter den anderen zurückbleibt, läuft der gesamte Verteidigungsmechanismus Gefahr, in einen Kreislauf des Scheiterns zu geraten. Die Arbeit liefert eine klare, mathematische Warnung, dass in der modernen Cyber-Landschaft die Geschwindigkeit des Lernens genauso wichtig ist wie die Geschwindigkeit der Reaktion, und dass ohne einen ausgewogenen Ansatz die natürlichen Verzögerungen des Systems schließlich zu wiederkehrenden, unvermeidbaren Sicherheitsverletzungen führen werden.