SECURE Framework for Detecting Integrity Attacks in High-Frequency Trading Systems

In der digitalen Welt wird Sicherheit oft als eine Festung vorgestellt, deren Mauern darauf ausgelegt sind, Eindringlinge draußen zu halten. Diese traditionelle Sichtweise konzentriert sich auf drei Hauptsäulen: das Verbergen von Geheimnissen, die Sicherstellung der Betriebsbereitschaft von Systemen und die Gewährleistung, dass die darin enthaltenen Informationen exakt so bleiben, wie sie gesendet wurden. Während die Geheimhaltung von Daten und die Aufrechterhaltung des laufenden Betriebs gut verstandene Herausforderungen sind, geht eine subtilere Gefahr oft unbemerkt an ihnen vorbei. Dies ist die Bedrohung der Datenintegrität. Im Gegensatz zu einem Virus, der ein System zum Absturz bringt, oder einem Hacker, der ein Passwort stiehlt, verändert ein Integritätsangriff die Daten selbst auf leise Weise. Er ändert hier eine Zahl oder dort einen Datensatz, ohne die Maschine zu stoppen. In langsam laufenden Systemen mag eine solche kleine Änderung harmlos sein, aber in Umgebungen, in denen Entscheidungen tausende Male pro Sekunde getroffen werden, kann eine winzige, manipulierte Zahl eine Kaskade falscher Handlungen auslösen. Dies gilt insbesondere für den Hochfrequenzhandel, bei dem Computer im Blinzeln eines Auges Aktien kaufen und verkaufen, basierend auf den Daten, die sie sehen. Wenn diese Daten leicht verdreht sind, kann der gesamte Markt in die Irre geführt werden, während das System dennoch reibungslos weiterläuft und die Täuschung unbemerkt im Klartext verbirgt.

Die Forscher S. Malathy und R. Anandhi vom Dwaraka Doss Goverdhan Doss Vaishnav College in Indien haben einen neuen Weg vorgeschlagen, um diese unsichtbaren Manipulationen zu entlarven. Sie nennen ihren Ansatz das SECURE-Framework, einen sechsstufigen Prozess, der darauf ausgelegt ist, Datenströme in Echtzeit zu beobachten, zu analysieren und zu reagieren. Der Name steht für Surveillance (Überwachung), Examination (Untersuchung), Control (Kontrolle), Understanding (Verständnis), Response (Reaktion) und Enhancement (Verbesserung). Das System beginnt damit, den eingehenden Datenfluss ständig zu beobachten, ähnlich einer Sicherheitskamera, die niemals blinzelt. Sobald die Daten gesammelt wurden, gelangen sie in die Untersuchungsphase, in der ein Computerprogramm, das auf die Erkennung von Mustern trainiert ist, nach Unregelmäßigkeiten sucht. Die Forscher wählten eine spezifische Art von Werkzeug zur Mustererkennung namens Random Forest, das dadurch funktioniert, dass es viele verschiedene Entscheidungsbäume aufbaut und diese darüber abstimmen lässt, ob ein Datenstück normal oder verdächtig ist. Diese Methode eignet sich besonders gut für die Verarbeitung der verrauschten, chaotischen Natur schnell fließender Daten.

Es reicht jedoch nicht aus, zu wissen, dass etwas nicht stimmt; Sicherheitsexperten müssen auch wissen, warum. Um dies zu lösen, fügten die Forscher eine Ebene der Erklärbarkeit zu ihrem System hinzu. Sie verwendeten eine Technik namens SHAP, die wie ein Scheinwerfer wirkt und auf die spezifischen Details leuchtet, die den Computer dazu veranlasst haben, ein Ereignis als verdächtig einzustufen. Anstatt nur zu sagen „das ist schlecht“, kann das System auf die exakte Preisänderung oder die Auftragsgröße hinweisen, die den Alarm ausgelöst hat. Diese Transparenz hilft menschlichen Analysten, dem Urteil der Maschine zu vertrauen. Das Framework geht dann zur Kontrolle über, wo es verdächtige Daten blockieren oder kennzeichnen kann, gefolgt von einer Reaktionsphase, in der Warnmeldungen gesendet und Aufzeichnungen geführt werden. Schließlich tritt das System in eine Verbesserungsphase ein, in der es aus neuen Daten lernt, um zukünftige Tricks besser zu erkennen.

Um zu testen, ob diese Idee funktioniert, wandten die Forscher sie auf ein reales Szenario an: den Aktienmarkt. Sie verwendeten einen Datensatz von Level-2-Orderbuch-Daten, die jede Kauf- und Verkaufsorder für eine Aktie aufzeichnen, einschließlich Preis, Menge und Zeit. In dieser Umgebung simulierten sie zwei gängige Arten der Marktmanipulation, die als Spoofing und Layering bekannt sind. Spoofing geschieht, wenn ein Händler eine massive Order platziert, ohne die Absicht, tatsächlich zu kaufen, nur um eine falsche Nachfrage zu erzeugen und andere zum Kauf zu verleiten. Layering beinhaltet das Platzieren vieler Orders auf verschiedenen Preisniveaus, um künstlichen Druck zu erzeugen. Beide Taktiken verändern die Daten, um den Markt zu beeinflussen, ohne das Handelssystem selbst zu stören, was sie zu perfekten Beispielen für Integritätsangriffe macht. Die Forscher behandelten diese Manipulationen als die „schlechten“ Daten und den normalen Handel als die „guten“ Daten und speisten dann alles in ihr SECURE-Framework ein.

Die Ergebnisse zeigten, dass das neue System deutlich besser darin war, diese Tricks zu entlarven, als ein Standard-Computermodell allein. Als die Forscher eine Basiskonfiguration ihres Werkzeugs zur Mustererkennung ohne das vollständige sechsstufige Framework testeten, identifizierte es etwa 91,84 Prozent der Angriffe korrekt. Doch als sie die vollständige SECURE-Struktur hinzufügten, einschließlich der spezifischen Schritte für die Kontrolle und die Werkzeuge zur Erklärbarkeit, stieg die Genauigkeit auf 96,82 Prozent. Das System wurde wesentlich besser darin, echte Angriffe zu finden, während es weniger Fehler beim normalen Handel machte. Die Analyse der Daten ergab, dass das System auf die richtigen Dinge achtete. Es lernte, dass plötzliche Änderungen der Preisbewegung, ungewöhnliche Aktienmengen und Spitzen im Volumen bei bestimmten Preisniveaus die stärksten Signale für Manipulation waren. Dies sind genau die Verhaltensweisen, auf die ein menschlicher Händler achten würde, was beweist, dass der Computer nicht nur rät, sondern logische Muster erkennt.

Was diese Arbeit besonders wertvoll macht, ist, dass sie sich nicht darauf verlassen muss, genau zu wissen, was der Angreifer als Nächstes tun wird. Anstatt nach einer spezifischen Liste bekannter schlechter Verhaltensweisen zu suchen, lernt das System, die allgemeine Gestalt einer Lüge in den Daten zu erkennen. Dies bedeutet, dass das Framework nicht nur auf die Aktienmärkte beschränkt ist. Die Forscher schlagen vor, dass dieselbe Methode zum Schutz anderer schnelllebiger Systeme verwendet werden könnte, wie etwa Netzwerke von Sensoren in einer Smart City oder medizinische Geräte, die Patienten in Echtzeit überwachen. An jedem Ort, an dem Daten schnell fließen und eine kleine Änderung eine große Auswirkung haben kann, ist die Fähigkeit, subtile Manipulationen zu erkennen, entscheidend. Durch die Kombination eines schnellen Mustererkennungswerkzeugs mit einer Methode, die ihr eigenes Denken erklärt, bietet das SECURE-Framework einen Weg, um hochgeschwindigkeitsbasierte Systeme ehrlich zu halten. Es zeigt, dass es beim Wettlauf um den Schutz von Daten nicht nur darum geht, auf das Rauschen zu achten, sondern die Geschichte zu verstehen, die die Daten erzählen.