Automated Root Cause Analysis of Security Incidents Using Causal Machine Learning

Wenn ein Sicherheitssystem Alarm schlägt, besteht die unmittelbare Herausforderung nicht einfach darin, zu bemerken, dass etwas nicht stimmt, sondern zu verstehen, wo genau das Unheil begann. Moderne Netzwerke erzeugen einen ständigen Strom von Daten: wer sich eingeloggt hat, welche Programme liefen, welche Dateien geöffnet wurden und wie sich Berechtigungen änderten. Oft kann ein einziger kleiner Fehler zu Beginn einer Kettenreaktion eine Kaskade seltsamer Ereignisse auslösen, die gleichermaßen verdächtig aussehen. Wenn ein Ermittler nur auf das lauteste oder ungewöhnlichste Signal achtet, könnte er ein Symptom mit der Ursache verwechseln und einem nachgelagerten Effekt nachjagen, während das eigentliche Problem im Upstream verborgen bleibt. Um dies zu lösen, wenden Forscher eine Denkweise an, die als kausale Argumentation (causal reasoning) bezeichnet wird. Anstatt nur zu fragen, welche Ereignisse zusammen auftreten, fragt dieser Ansatz, welche Ereignisse tatsächlich andere Ereignisse hervorrufen. Er betrachtet das System wie ein Set miteinander verbundener Zahnräder: Wenn sich ein Zahnrad dreht, bewegt es das nächste, welches wiederum das nächste bewegt. Das Ziel ist es, das erste Zahnrad zu finden, das angestoßen wurde, und nicht nur das, das am schnellsten rotierte.

Eine Forscherin namens Rehana Devani hat eine spezifische Methode zur Identifizierung dieses ersten Zahnrads in einer kontrollierten, simulierten Umgebung getestet. Die Studie analysiert keine realen Hacking-Versuche oder Live-Unternehmensnetzwerke. Stattdessen baut sie ein digitales Modell eines Sicherheitssystems mit sechs verschiedenen Teilen auf, die Dinge wie Zugriff, Richtlinien und Ausführung repräsentieren. In diesem Modell wissen die Forscher genau, wie die Teile miteinander verbunden sind und wie sie einander beeinflussen. Sie führen dann eine spezifische, künstliche Störung ein – eine plötzliche, vier Einheiten starke Verschiebung im Verhalten eines der Ausgangsteile – und beobachten, wie sich die Wellenbewegung durch den Rest des Systems ausbreitet. Das Experiment stellt eine einfache, aber schwierige Frage: Wenn man sieht, dass das gesamte System seltsam agiert, kann ein Computerprogramm korrekt identifizieren, welches einzelne Ausgangsteil dasjenige war, das verändert wurde, oder wird es durch das Rauschen der Teile abgelenkt, die auf die Änderung reagiert haben?

Die Forscher verglichen zwei Wege, die Daten zu betrachten. Die erste Methode, die sie „Marginal Scoring“ nennen, ist vergleichbar damit, jeden Teil isoliert zu betrachten und zu fragen: „Wie ungewöhnlich ist dieser Teil im Vergleich zum Normalzustand?“ Dieser Ansatz scheitert oft, weil ein Teil, der lediglich auf ein Problem reagiert, genauso seltsam erscheinen kann wie der Teil, der es verursacht hat. Die zweite Methode, bekannt als „Residual Scoring“, ist anspruchsvoller. Sie nutzt eine Karte der Verbindungen, um zu fragen: „Angesichts dessen, was die Teile, die in diesen Teil hineinführen, gerade tun, verhält sich dieser Teil seltsam?“ Wenn ein Teil nur deshalb seltsam agiert, weil seine Nachbarn seltsam agieren, erkennt diese Methode, dass der Teil selbst nicht die Quelle ist. Wenn ein Teil jedoch auch dann seltsam agiert, wenn seine Nachbarn normal funktionieren, wird er als wahrscheinlicher Übeltäter markiert.

In der saubersten Version des Experiments, in der die Daten perfekt klar und frei von jeglichem Hintergrundrauschen waren, funktionierte die anspruchsvollere Methode bemerkenswert gut. Sie identifizierte den Ausgangspunkt der Störung in fast 98 Prozent der Fälle korrekt. Die einfachere Methode, die die Verbindungen zwischen den Teilen ignorierte, war nur in etwa 87 Prozent der Fälle korrekt. Diese Lücke zeigt, dass das Verständnis der Struktur des Systems hilft, die wahre Ursache von den Symptomen zu trennen. Dennoch testete die Studie auch, wie diese Methode standhält, wenn die Daten unordentlich sind, so wie es in realen Systemen oft der Fall ist. Die Forscher fügten zufälliges Rauschen oder Sensorauschen hinzu, um eine imperfekte Datenerfassung zu simulieren. Mit zunehmendem Rauschen sank die Genauigkeit der anspruchsvollen Methode auf etwa 81 Prozent bei moderatem Rauschpegel. Die einfachere Methode hatte mit etwa 62 Prozent noch größere Schwierigkeiten. Dieses Ergebnis bestätigt, dass das Wissen um die Verbindungen zwar hilft, die Qualität der Daten jedoch ebenso entscheidend ist. Wenn die Messungen zu unscharf sind, kann selbst die beste Karte den Ermittler nicht zur richtigen Antwort führen.

Die Studie untersuchte auch, was passiert, wenn die Karte selbst leicht fehlerhaft ist. In einem Test entfernten die Forscher absichtlich eine bekannte Verbindung aus dem Modell, unter der Annahme, dass sie nicht wüssten, dass ein Teil ein anderes beeinflusst. Die Methode schnitt dennoch gut ab und identifizierte die Ursache in den sauberen Daten in etwa 94 Prozent der Fälle korrekt, wobei die Genauigkeit mit zunehmendem Rauschen sank. Dies deutet darauf hin, dass der Ansatz gegenüber fehlenden Informationen etwas tolerant ist, aber nicht perfekt ist. Die Forscher prüften auch, ob das Finden der richtigen Ursache tatsächlich helfen würde, das Problem zu beheben. Sie simulierten eine Reparatur, indem sie die Änderung rückgängig machten, die sie in das System injiziert hatten. Als sie den korrekten Ausgangspunkt ins Visier nahmen, verschwand das seltsame Verhalten im System fast vollständig. Wenn sie den falschen Punkt anvisierten, blieb das System gestört. Dies bestätigte, dass die Methode nicht nur rät; sie identifiziert den spezifischen Hebel, der, wenn man ihn zurückzieht, die Kettenreaktion stoppen würde.

Trotz dieser vielversprechenden Ergebnisse weist das Paper vorsichtig darauf hin, was es nicht getan hat. Das gesamte Experiment fand innerhalb einer Computersimulation mit einem winzigen, sechsteiligen Modell statt. Die Forscher haben dies nicht an realen Unternehmensnetzwerken, echten Hackern oder echten Sicherheitsprotokollen getestet. Sie haben nicht behauptet, dass ihre Methode neue Arten von Angriffen entdecken kann oder dass sie ohne eine vordefinierte Karte des Systems funktioniert. Die Studie beweist, dass man, wenn man bereits weiß, wie ein System verbunden ist, eine spezifische Art der Berechnung nutzen kann, um ein einzelnes, injiziertes Problem genauer zu finden, als wenn man nur nach den seltsamsten Zahlen sucht. Sie beweist nicht, dass dies in der chaotischen, verrauschten und komplexen Realität eines Live-Unternehmens funktionieren wird. Der Wert der Arbeit liegt in ihrer Klarheit: Sie trennt die Idee, eine Ursache zu finden, von der Idee, die Karte zu entdecken, und zeigt genau auf, wie sehr die Qualität der Daten zählt. Bevor diese Methode eingesetzt werden kann, um echte Organisationen zu schützen, muss sie in Umgebungen getestet werden, in denen die Verbindungen nicht im Voraus bekannt sind und die Daten nicht perfekt sauber sind. Für den Moment stellt sie eine präzise, reproduzierbare Demonstration dar, wie kausale Argumentation die Suche nach der Quelle eines Sicherheitsvorfalls verbessern kann, sofern die Spielregeln klar verstanden sind.