Forschung

Welche Verteidigung lohnt sich gegen einen bestimmten Angreifer? Roberts Angreifer-Verteidiger-Metamodell verbindet reale Angriffsmuster, Schwachstellen und Gegenmaßnahmen (aus CAPEC, MITRE ATT&CK und NIST SP 800-53) in einem Modell mit Zeit, Kosten und Unsicherheit.

Als Markov-Entscheidungsprozess und stochastisches Spiel formalisiert, lässt das Modell Verteidiger geplante Maßnahmen vergleichen, bevor sie investieren, und die Erfolgsaussichten realer Angriffsszenarien abschätzen. Als Spiel umgesetzt wird daraus PenQuest, mit dem Studierende und Praktiker:innen lernen, wie Angriff und Verteidigung zusammenwirken.

• Gamifying information security: Adversarial risk exploration for IT/OT infrastructures · Computers & Security, 2025
• Quantifying the Odds in Real World Attack Scenarios · IEEE CSR, 2024
• Comparing the Effectivity of Planned Cyber Defense Controls in Order to Support the Selection Process · Konferenzbeitrag, 2024
• Formalizing Real-world Threat Scenarios · Konferenzbeitrag, 2022
• PenQuest: a gamified attacker/defender meta model for cyber security assessment and education · Journal of Computer Virology and Hacking Techniques, 2020

Zeitstempel gehören zu den meistgenutzten und am häufigsten falsch gelesenen Spuren einer Ermittlung. Gemeinsam mit seinen Studierenden untersuchte Robert, wie Windows-Anwendungen NTFS-Zeitstempel verändern – charakteristisch genug, um zu erkennen, welche Anwendung eine Datei zuletzt bearbeitet hat.

Eine weitere Studie befasste sich mit Linux-Umgebungen, die über WSL2 in Windows laufen: wie man sie auf einem sichergestellten Rechner findet, analysiert und wieder als lauffähige virtuelle Maschine startet. Aktuelle Interessen sind Anti-Forensik, Anti-Evasion und mobile Forensik.

• Timestamp-based Application Fingerprinting in NTFS · Konferenzbeitrag, 2024
• WSL2 Forensics: Detection, Analysis & Revirtualization · Konferenzbeitrag, 2022
• Time for Truth: Forensic Analysis of NTFS Timestamps · ARES, 2021

Signaturbasierte Erkennung scheitert an Angriffen, die sie noch nie gesehen hat, und reine Anomalieerkennung überlässt die Interpretation den Analyst:innen. Roberts Dissertation, Advanced Threat Intelligence: Interpretation of Anomalous Behavior in Ubiquitous Kernel Processes, schloss diese Lücke.

Das System lernt, wie sich häufige Windows-Kernelprozesse normalerweise verhalten, erkennt Abweichungen innerhalb einer Benutzersitzung und erklärt sie: um welche Art von Aktivität es sich wahrscheinlich handelt und zu welcher Angriffsphase sie passt. Eine Ontologie gezielter Angriffe (TAON), sprach- und graphbasierte Verfahren sowie ein Survey semantischer Erkennungssysteme bildeten die Grundlage.

• AIDIS: Detecting and Classifying Anomalous Behavior in Ubiquitous Kernel Processes · Computers & Security, 2019
• Advanced threat intelligence: detection and classification of anomalous behavior in system processes · e & i Elektrotechnik und Informationstechnik, 2019
• LLR-Based Sentiment Analysis for Kernel Event Sequences · IEEE AINA, 2017
• Semantics-aware detection of targeted attacks: a survey · Journal of Computer Virology and Hacking Techniques, 2017
• TAON: An ontology-based approach to mitigating targeted attacks · Konferenzbeitrag, 2016

Um Malware an ihrem Verhalten zu erkennen, muss dieses Verhalten präzise beschrieben sein. Frühe Arbeiten definierten ein Schema, das Schadsoftware von ihren übergeordneten Zielen bis hinunter zu einzelnen Betriebssystemfunktionen beschreibt, und nutzten Data Mining zur Klassifikation und Gruppierung von Samples.

Spätere Arbeiten machten lange Systemaufruf-Traces lesbar: SEQUIN leitet Grammatiken aus Event-Traces ab, um wiederkehrendes Verhalten sichtbar zu machen, und gemeinsam mit Kolleg:innen aus St. Pölten entwickelte Visual-Analytics-Werkzeuge helfen beim Erkunden der Muster. Weitere Studien behandelten, wie Malware ihre Prozesse versteckt und wie sich Rootkits in BIOS/UEFI-Firmware festsetzen.

• SEQUIN: a grammar inference framework for analyzing malicious system behavior · Journal of Computer Virology and Hacking Techniques, 2018
• Visual Analytics: Foundations and Experiences in Malware Analysis · Empirical Research for Software Security, CRC Press, 2017
• The Evolution of Process Hiding Techniques in Malware – Current Threats and Possible Countermeasures · Journal of Information Processing, 2017
• Longkit – A Universal Framework for BIOS/UEFI Rootkits in System Management Mode · Konferenzbeitrag, 2017
• A Survey of Visualization Systems for Malware Analysis · EuroVis STARs, 2015
• Malicious Behavior Patterns · Konferenzbeitrag, 2014