Netzwerkverkehrsanalyse für Militärnetzwerke: Baseline-Erstellung, Anomalieerkennung und laterale Bewegung

Ein Angreifer, der sich initialen Zugang zu einem Militärnetzwerk verschafft hat, kündigt seine Anwesenheit nicht mit lauter, signaturbasierter Malware an. Er bewegt sich langsam und nutzt bereits vorhandene Protokolle, bereits gültige Anmeldedaten und bereits bestehende Kommunikationspfade. Die Netzwerkverkehrsanalyse (NTA) ist die Disziplin, diese Bewegung sichtbar zu machen: Indem verstanden wird, wie normaler Datenverkehr in einem bestimmten klassifizierten Netzwerk aussieht, und indem Erkennungslogik rund um Abweichungen von dieser Norm aufgebaut wird, macht NTA die Verhaltensmerkmale sichtbar, die signaturbasierte Intrusion-Detection-Systeme übersehen. Dieser Artikel behandelt die technischen Methoden für die Baseline-Erstellung, Erkennung von Protokollanomalien, Identifizierung lateraler Bewegungsmuster und Integration von NTA-Ausgaben in ein SIEM auf eine Weise, die umsetzbare Alarme statt bloßem Rauschen erzeugt.

Warum militärischer Netzwerkverkehr einzigartige Analyseherausforderungen darstellt

Militärnetzwerke unterscheiden sich von Unternehmensumgebungen in einer Weise, die direkt beeinflusst, wie NTA-Tools konfiguriert und kalibriert werden müssen. Der bedeutendste strukturelle Unterschied ist die Klassifizierungsgrenz-Segmentierung: Verkehr zwischen Enklaven auf unterschiedlichen Klassifizierungsstufen ist durch Richtlinien eng begrenzt, und jeder Flow, der eine Grenze ohne explizite Genehmigung überschreitet, ist sofort eine hochzuverlässige Anomalie. Diese Vorhersagbarkeit ist ein analytischer Vorteil, den Enterprise-NTA-Tools nicht zu nutzen wissen. Ein für kommerzielle Netzwerke konzipiertes Tool, bei dem jeder Benutzer jeden SaaS-Endpunkt erreichen kann, erzeugt weit mehr Baseline-Variation als eines, das in einer Enklave eingesetzt wird, wo 90 % des legitimen Verkehrs zwischen einer kleinen Anzahl von Applikationsservern und Client-Workstations auf definierten Ports fließt.

Die Protokollpopulation in Militärnetzwerken fügt eine weitere Komplexitätsebene hinzu. Legacy-Befehls- und Kontrollapplikationen, STANAG-Nachrichtensysteme, sichere Sprach-Gateways und spezialisierte Sensor-Integrations-Middleware koexistieren mit Standard-Windows-Domain-Protokollen. Ein NTA-Sensor, der nur gängige Enterprise-Protokolle decodiert, klassifiziert einen erheblichen Teil des militärischen Anwendungsverkehrs als unbekannte UDP- oder TCP-Flows und beeinträchtigt so seine Fähigkeit, Anomalien innerhalb dieser Protokollfamilien zu erkennen. Ein effektiver NTA-Einsatz in Militärnetzwerken erfordert entweder benutzerdefinierte Protokolldekodierer oder eine enge Zusammenarbeit mit Anwendungsverantwortlichen, um festzulegen, welche Ports und Flow-Eigenschaften legitimem Anwendungsverhalten entsprechen.

Schwankungen im operativen Tempo erzeugen Baseline-Herausforderungen, die statische Schwellenwert-Systeme nicht bewältigen können. Eine Trainingsübung sättigt das Netz mit Simulationsverkehr. Eine Rotationsverlegung verändert vorübergehend die Nutzerpopulation und den Anwendungsmix. Ein NTA-System, das eine Baseline während einer ruhigen Garnisonsperiode festschreibt, wird während Hochtempooperationen übermäßig viele Fehlalarme erzeugen, wenn es sein statistisches Modell nicht an den aktuellen operativen Kontext anpassen kann. Streaming-Baseline-Modelle, die sich kontinuierlich mit konfigurierbaren Trägheitsparametern aktualisieren, sind für Militärumgebungen geeigneter als Ansätze mit fester Referenzperiode.

Verkehrs-Baselines aufbauen: Wie normaler Verkehr in einem klassifizierten Netzwerk aussieht

Eine Verkehrs-Baseline ist keine einzelne Zahl. Sie ist ein mehrdimensionales statistisches Modell, das die typische Verteilung von Protokollen, Flow-Volumina, Verbindungsraten, Byte-Zählungen pro Sitzung und Kommunikationspaar-Beziehungen im Netzwerk zu verschiedenen Tageszeiten, Wochentagen und operativen Phasen erfasst. Der Aufbau einer aussagekräftigen Baseline erfordert die kontinuierliche Erfassung von Flow-Telemetrie oder Vollpaket-Daten über einen Zeitraum, der lang genug ist, um die gesamte Variation legitimer Netzwerkaktivität abzubilden -- typischerweise vier bis acht Wochen in einer Militärenklave. In diesem Zeitraum erstellt das NTA-System Pro-Host-, Pro-Enklave- und Pro-Protokoll-Profile, die die Referenzverteilung bilden, gegen die zukünftige Beobachtungen verglichen werden.

Die analytisch nützlichste Dimension einer Militärnetzwerk-Baseline ist der Kommunikationsgraph: welche Hosts mit welchen anderen Hosts kommunizieren, unter Verwendung welcher Protokolle, mit welchen durchschnittlichen Byte-Volumina und Verbindungsraten. In einer gut segmentierten Militärenklave ist der Kommunikationsgraph sparsam. Die meisten Workstations kommunizieren mit einer kleinen Anzahl von Infrastrukturdiensten (Domain-Controller, DNS-Resolver, Applikationsserver, Dateiserver) und selten miteinander. Eine neue Kante in diesem Graph -- eine Workstation, die noch nie mit einem bestimmten Server kommuniziert hat, öffnet plötzlich eine Verbindung zu ihm -- ist statistisch signifikant auf eine Weise, wie es in einem flachen Unternehmensnetz nicht wäre, wo laterale Kommunikation üblich ist. NTA-Tools, die den Kommunikationsgraph explizit modellieren statt nur volumetrische Schwellenwerte zu verwenden, bieten in klassifizierten Enklaven eine wesentlich bessere Empfindlichkeit bei der Erkennung lateraler Bewegung.

Die Qualität der Baseline hängt entscheidend von der Vollständigkeit der Tap-Abdeckung während der Erfassungsperiode ab. Eine Baseline, die nur aus Perimeter-Verkehr aufgebaut wird, ist blind gegenüber Ost-West-Flows, die den Perimeter-Sensor nie überqueren. Eine Baseline, die aus einem SPAN-Port aufgebaut wird, der unter Last Pakete verwirft, wird Hochvolumen-Protokolle unterrepräsentieren und das statistische Modell dazu veranlassen, diese Protokollraten im Normalbetrieb als anomal hoch einzustufen. Bevor eine Baseline-Periode festgelegt wird, sollte die Tap-Abdeckung anhand des Netzwerktopologie-Diagramms überprüft und bestätigt werden, dass der Sensor verlustfreien Verkehr in den erwarteten Volumina empfängt. Lücken, die nach der Baseline-Periode entdeckt werden, erfordern eine erneute Erfassung von diesem Tap-Punkt.

Protokollanalyse: Erkennung nicht autorisierter oder anomaler Protokollnutzung

Die Protokoll-Anomalieerkennung folgt einer einfacheren Logik als die Verhaltens-Baseline: Wenn ein Protokoll in einem bestimmten Netzwerksegment nicht vorhanden sein soll, ist jede Instanz davon ein Alarm. Die Herausforderung besteht darin, die Protokoll-Erlaubnismatrix mit ausreichender Granularität zu definieren, um operativ bedeutsam zu sein. Eine Regel, die alle Nicht-Windows-Domain-Protokolle in einem Workstation-VLAN blockiert, erkennt SSH, Telnet und IRC als verdeckte Kanäle, löst aber auch für jede legitime Anwendung Alarm aus, die nicht standardmäßige Ports verwendet, sofern diese Anwendungen nicht per Port und Ziel-IP auf die Whitelist gesetzt sind. Die Protokoll-Erlaubnismatrix ist ein lebendes Dokument, das bei Anwendungsänderungen aktualisiert werden muss, und NTA-Tools, die automatisch erkennen, wenn ein neues Protokoll in einem Segment auftaucht, und eine Whitelist-Aktualisierung vorschlagen, reduzieren den Verwaltungsaufwand.

Protokoll-Tunneling -- das Einbetten eines Protokolls in ein anderes, um Inspektion zu umgehen -- ist eine persistente Technik in Militärnetzwerken, gerade weil das äußere Protokoll oft erlaubt ist. DNS-Tunneling kodiert beliebige Daten in DNS-Abfrage- und Antwortdatensätzen und nutzt aus, dass DNS-Verkehr an militärischen Perimetern selten blockiert wird. HTTP/HTTPS-Tunneling transportiert Nicht-HTTP-Steuerverkehr in HTTP-Sitzungen, um durch Web-Proxies auszuschleusen. ICMP-Tunneling kodiert Daten im Nutzlastfeld von ICMP-Echo-Paketen. NTA-Erkennung von Tunneling basiert auf Protokollverhaltenssignaturen statt Port-basierter Regeln: ein DNS-Flow mit ungewöhnlich langen Abfragenamen, hohen Abfrageraten von einem einzelnen Host und Antworten mit großen TXT- oder AAAA-Datensätzen ist charakteristisch für DNS-Tunneling, unabhängig davon, ob Port 53 verwendet wird. Tools, die Deep-Packet-Inspection auf erlaubten Protokollen durchführen, um zu verifizieren, dass der Verkehr der erwarteten Protokollgrammatik entspricht, sind deutlich effektiver als Tools, die Port-Nummern als Protokoll-Identifier vertrauen.

Die Erkennung verdeckter Kanäle geht über bekannte Tunneling-Techniken hinaus und umfasst statistische Analyse der Entropie von Protokollfeldern und Timing-Mustern. Ein verdeckter Kanal, der Daten in den niederwertigen Bits von TCP-Sequenznummern oder in den Padding-Feldern von IP-Headern kodiert, erzeugt keine ungewöhnlichen Protokollgrammatik-Verletzungen, aber statistische Anomalien: Sequenznummernverteilungen, die nicht zufällig sind, Padding-Feldwerte, die über Verbindungen korrelieren, oder Inter-Paket-Timing, das einem bekannten Kodierungsschema entspricht. Diese Erkennungen erfordern zweckgebundene statistische Analysemodule statt generischer Anomalieerkennung und sind am praktischsten, wenn sie auf hochwertige Netzwerksegmente statt auf die gesamte Netzwerkabdeckung angewendet werden.

Erkennung lateraler Bewegung: SMB-, WMI- und Kerberos-Missbrauchs-Indikatoren

Laterale Bewegung in Windows-basierten Militärnetzwerken folgt vorhersehbaren Protokollpfaden, weil das Windows-Ökosystem eine begrenzte Anzahl eingebauter Remote-Ausführungsmechanismen bietet. SMB (Server Message Block, Port 445) ist der am häufigsten missbrauchte Mechanismus, da er nicht nur Dateifreigabe, sondern auch Named-Pipe-Kommunikation für DCOM, Diensterstellung über den Service Control Manager und Aufgabenplanung unterstützt -- all das ermöglicht einem Angreifer, Code auf einem Remote-Host mit nur gültigen Anmeldedaten und Netzwerkzugang auszuführen. Die NTA-Erkennung auf SMB-Ebene konzentriert sich auf den Kommunikationsgraph: Peer-to-Peer-SMB-Verbindungen zwischen Workstations ohne Baseline-Verlauf für solche Kommunikation, Verbindungen zu Verwaltungsfreigaben (C$, ADMIN$) von Hosts, die normalerweise nicht auf diese Freigaben zugreifen, und SMB-Relay-Muster, bei denen ein Host eine eingehende SMB-Verbindung empfängt und sofort ausgehende SMB zu einem dritten Host initiiert, charakteristisch für NTLM-Relay-Angriffe.

WMI-Lateral-Movement (Windows Management Instrumentation) ist aus dem Netzwerkverkehr allein schwerer zu erkennen, da die initiale DCOM-Verbindung auf Port 135 von einer dynamisch ausgehandelten High-Port-Verbindung gefolgt wird, die die eigentliche WMI-Nutzlast transportiert. NTA-Tools müssen die Port-135-Verbindung mit der nachfolgenden Dynamic-Port-Verbindung von derselben Quelle korrelieren, um die vollständige WMI-Sitzung zu erkennen und als Remote-WMI-Ausführungsereignis zu klassifizieren. Der wichtigste Verhaltensindikator ist das Timing: Legitime WMI-Aktivität von Verwaltungsplattformen erfolgt nach vorhersehbaren Zeitplänen mit stabilen Quell-Ziel-Paaren. Spontane WMI-Verbindungen von Workstations zu Servern zu unregelmäßigen Zeiten oder WMI-Verbindungen von Hosts ohne Baseline-Verlauf für die Initiierung von WMI-Sitzungen sind hochzuverlässige Indikatoren für laterale Bewegung, die NTA-Tools ohne vollständige Nutzlast-Entschlüsselung erkennen können.

Kerberos-Missbrauchs-Indikatoren sind im Authentifizierungsverkehr sichtbar, auch wenn die eigentliche laterale Bewegungsnutzlast verschlüsselt ist. Kerberoasting -- die Technik, Service-Tickets für alle aufzählbaren Service-Principal-Namen (SPNs) anzufordern, um sie offline zu knacken -- erzeugt einen Schwall von TGS-REQ-Nachrichten von einer einzelnen Workstation, die Tickets für eine große Anzahl von SPNs in einem kurzen Zeitfenster anfordert. Dieses Muster ist statistisch von legitimer Kerberos-Aktivität unterscheidbar, bei der eine Workstation Tickets nur für die spezifischen Dienste anfordert, die sie tatsächlich benötigt. Pass-the-Ticket- und Overpass-the-Hash-Angriffe erzeugen Kerberos-AS-REQ-Nachrichten mit ungewöhnlichen Verschlüsselungstypen oder von Hosts ohne Baseline-Verlauf für die Authentifizierung am Zieldienst. Die Baseline des Kerberos-Anforderungsvolumens und der SPN-Anforderungsvielfalt pro Host bildet die Referenzverteilung, gegen die diese Angriffsmuster statistisch sichtbar werden.

Analyse verschlüsselten Verkehrs: Indikatoren ohne Entschlüsselung extrahieren

Der Anteil des verschlüsselten Militärnetzwerkverkehrs ist erheblich gestiegen, da TLS 1.3 zum Standard für Anwendungsschichtprotokolle wird und veraltete Klartext-Protokolle durch verschlüsselte Alternativen ersetzt werden. Dadurch entsteht eine Erkennungslücke für NTA-Tools, die auf Nutzlastinspektion angewiesen sind: Der Inhalt einer verschlüsselten Sitzung ist ohne Entschlüsselungsfähigkeit nicht zugänglich. Die verschlüsselte Verkehrsanalyse (ETA) begegnet dieser Lücke, indem sie Metadaten-Merkmale aus dem TLS-Handshake und die Verhaltensmerkmale der Sitzung extrahiert, die auch bei verschlüsselter Nutzlast sichtbar bleiben. Die TLS-Client-Hello-Nachricht, im Klartext gesendet bevor die Verschlüsselungsschlüssel ausgehandelt werden, enthält die TLS-Version, die Cipher-Suite-Liste, unterstützte Erweiterungen und -- bis zur verschlüsselten SNI in TLS 1.3 -- die Server-Name-Indication. JA3-Fingerprinting reduziert diese Handshake-Daten auf einen kompakten Hash, der die TLS-Client-Implementierung charakterisiert und es ermöglicht, spezifische Malware-Familien oder C2-Frameworks durch ihr charakteristisches TLS-Aushandlungsverhalten zu identifizieren, ohne verschlüsselte Nutzlasten zu inspizieren.

Über den Handshake hinaus tragen Verhaltensmerkmale verschlüsselter Sitzungen Klassifizierungssignale. Paketlängenverteilungen unterscheiden sich zwischen interaktiven menschlichen Sitzungen (variabel, stoßweise) und automatisiertem Beacon-Verkehr (regelmäßige Intervalle, konsistente Paketgrößen). Inter-Arrival-Timing verschlüsselter Pakete offenbart das zugrundeliegende Kommunikationsmuster: Ein Cobalt-Strike-Beacon mit 60-Sekunden-Schlafintervall erzeugt eine erkennbare Inter-Arrival-Verteilung, selbst durch TLS. Sitzungs-Byte-Zählungen und Flow-Dauer trennen Bulk-Datenübertragungen von Steuerkanal-Keepalives. NTA-Tools, die JA3-Fingerabdrücke mit Flow-Verhaltensmerkmalen kombinieren, können verschlüsselte Sitzungen mit einer Genauigkeit klassifizieren, die mit nutzlastbasierter Klassifizierung für bekannte Malware-Familien vergleichbar ist, und erkennen gleichzeitig unbekannte Bedrohungen, deren Verhaltensprofil von jeder etablierten Baseline abweicht.

Die praktische Einschränkung von ETA in Militärnetzwerken ist die Vielfalt des legitimen verschlüsselten Verkehrs. Eine klassifizierte Enklave kann Dutzende von Anwendungen betreiben, jede mit unterschiedlichen TLS-Implementierungsmerkmalen, was eine komplexe Baseline legitimer JA3-Fingerabdrücke und Sitzungsverhaltensprofilen erzeugt. Die Pflege einer genauen Positivliste legitimer TLS-Fingerabdrücke erfordert aktives Management, wenn Anwendungen ihre TLS-Bibliotheken aktualisieren. Der praktischste Ansatz ist, die JA3-Fingerabdruck-Verteilung pro Enklave und pro Ziel-IP-Bereich zu erfassen und bei erstmaligem Auftreten unbekannter Fingerabdrücke zu alarmieren statt eine manuell gepflegte Whitelist zu verwalten. Neue Fingerabdrücke werden gegen eine Referenzdatenbank bekannter legitimer Fingerabdrücke geprüft und als legitim, verdächtig oder bösartig eingestuft.

Alarmkorrelation mit SIEM: Rauschen reduzieren ohne Erkennungsfähigkeit zu beeinträchtigen

Der häufigste Ausfallmodus eines NTA-Einsatzes in Militärumgebungen ist nicht unzureichende Erkennungsempfindlichkeit -- es ist Alarm-Überflutung. Ein NTA-Sensor, der ein ausgelastetes klassifiziertes Netz überwacht, kann täglich Tausende von niedrigzuverlässigen Anomaliealaren erzeugen, von denen die meisten Fehlalarme aus legitimem Verkehr sind, der marginal von der Baseline abweicht. Wenn diese Alarme ohne Korrelationslogik in ein SIEM ohne Korrelationslogik fließen, stehen Analysten vor einer Triagebelastung, die die verfügbare Personalkapazität übersteigt, und die hochzuverlässigen Alarme, die echte Bedrohungen darstellen, gehen im Rauschen unter. Die Lösung besteht nicht darin, Erkennungsschwellen anzuheben -- was die Empfindlichkeit verringert und echte Angriffe unentdeckt lässt -- sondern Korrelationslogik im SIEM aufzubauen, die isolierte niedrigzuverlässige NTA-Alarme nur dann zu hochzuverlässigen Vorfällen heraufstuft, wenn sie durch unabhängige Belege aus anderen Datenquellen bestätigt werden.

Die effektivsten Korrelationsmuster kombinieren NTA-Anomaliealare mit Authentifizierungstelemetrie, Endpunkt-Detektionsdaten und DNS-Protokollen. Ein einzelner NTA-Alarm für anomale SMB-Aktivität hat allein niedrige Konfidenz -- es könnte eine falsch konfigurierte Anwendung oder eine einmalige administrative Aktion sein. Derselbe NTA-Alarm, korreliert mit einem Kerberos-Authentifizierungsfehler vom selben Quell-Host innerhalb von fünf Minuten und einem Windows-Event-ID-4624-Anmeldeereignis auf dem Ziel-Host mit einem Konto, das sich normalerweise nicht dort anmeldet, ergibt eine Drei-Quellen-Bestätigung mit hoher Konfidenz als Indikator für laterale Bewegung. SIEM-Korrelationsregeln, die diese Mehrquellen-Beweisketten für die kritischsten Angriffstechniken definieren (laterale Bewegung, Credential-Dumping, Daten-Staging, Befehls- und Kontrollkommunikation), reduzieren das Alarmvolumen drastisch und erhalten gleichzeitig die Erkennungsabdeckung für die prioritären Bedrohungen.

Alarmunterdrückung durch Asset-Kontext reduziert Rauschen ohne Erkennungsverlust. Ein NTA-Alarm für ein scan-ähnliches Verbindungsmuster von einem Host, der im Asset-Inventar als Schwachstellen-Scanner getaggt ist, wird automatisch unterdrückt. Ein Alarm für ungewöhnlichen ausgehenden Verkehr von einem als Datendiode getaggten Host wird sofort hochgestuft, weil Datendioden niemals ausgehende Verbindungen initiieren sollten. Die Integration der NTA-Alarm-Pipeline mit einem gepflegten Asset-Inventar -- selbst eine einfache Flat-File, die IP-Adressen Host-Rollen zuordnet -- ermöglicht es, einen erheblichen Anteil niedrigzuverlässiger Alarme automatisch zu schließen oder eskalieren zu lassen, basierend darauf, ob das beobachtete Verhalten für diesen Host-Typ plausibel ist. In Militärnetzwerken, wo Host-Rollen im Vergleich zu dynamischen Unternehmensumgebungen relativ stabil sind, kann Asset-Kontext-Unterdrückung das Fehlalarmvolumen um 40 bis 60 % reduzieren, ohne Konfigurationsaufwand über die Pflege der Asset-Liste hinaus.

Einsatzarchitektur: Tap-Platzierung, SPAN-Ports und Sensor-Skalierbarkeit

Eine effektive NTA-Abdeckung erfordert, dass Verkehr den Sensor verlustfrei erreicht. Die zwei primären Methoden zur Übermittlung von Verkehr an einen NTA-Sensor sind passive optische Taps und SPAN-Ports (Switched Port Analyzer). Passive optische Taps teilen das optische Signal auf einem Glasfaser-Link und liefern eine Kopie an den Sensor, ohne Latenz einzuführen oder einen netzwerksichtbaren Tap-Punkt zu erzeugen. Sie sind die bevorzugte Methode für hochwertige Links, da sie durch Switch-Konfigurationsänderungen nicht deaktiviert werden können und die Link-Performance unter keiner Verkehrslast beeinflussen. SPAN-Ports, auf einem verwalteten Switch konfiguriert, kopieren Verkehr von einem oder mehreren Quell-Ports oder VLANs zu einem dedizierten Monitor-Port. SPAN-Ports sind flexibler und kostengünstiger als physische Taps, haben aber wichtige Einschränkungen: Viele Switch-Plattformen verwerfen Pakete am SPAN-Port unter hoher Last, und die SPAN-Konfiguration ist in der Switch-Konfiguration sichtbar und kann bei routinemäßigen Netzwerkänderungen versehentlich geändert werden.

Die Sensor-Skalierbarkeit auf hochdurchsatzigen Militär-Backbones erfordert Paket-Broker-Hardware zwischen Tap und Sensor. Ein 10-Gbps-Inter-Enklave-Link kann unter Spitzenlast 2 bis 5 Gbps tatsächlichen Verkehr tragen -- innerhalb der Verarbeitungskapazität eines einzelnen NTA-Sensors -- aber ein 100-Gbps-Backbone-Link erfordert entweder verteilte Sensoren oder einen Paket-Broker, der Verkehr filtert, lastverteilt und dedupliziert, bevor er an den Sensor-Tier weitergeleitet wird. Paket-Broker ermöglichen auch Tap-Aggregation: Ein einzelner Sensor kann Verkehr von mehreren Taps über einen Broker empfangen, der die Feeds zusammenführt und Filterregeln anwendet, um das Volumen zu reduzieren, das der Sensor verarbeiten muss. Für klassifizierte Enklaven, wo physische Hardware strenge Sicherheitsanforderungen erfüllen muss, sind zweckgebundene Paket-Broker-Appliances, die für die relevante Klassifizierungsstufe validiert wurden, bei einer kleinen Anzahl spezialisierter Anbieter erhältlich.

Die Sensor-Platzierungsstrategie sollte sowohl Abdeckungsanforderungen als auch die Segmentierungsarchitektur des Netzwerks berücksichtigen. Der minimal praktikable Tap-Satz für eine Militärenklave deckt den Perimeter (Verkehr, der die Enklave betritt und verlässt), den Inter-VLAN-Routing-Punkt (Ost-West-Verkehr zwischen Segmenten innerhalb der Enklave) und das Serversegment ab, das Authentifizierungsinfrastruktur und kritische Applikationsserver beherbergt. Diese Drei-Punkt-Architektur bietet Abdeckung aller externen Bedrohungen und der folgenreichsten internen Lateral-Movement-Pfade bei einer operativ handhabbaren Sensor-Anzahl. Die vollständige Abdeckung jedes Access-Switch-Segments erfordert deutlich mehr Sensoren und Bandbreite, bietet aber Sichtbarkeit für intra-segment Lateral Movement, das die Drei-Punkt-Architektur vermisst. Die risikobasierte Entscheidung über die Abdeckungstiefe muss die Wahrscheinlichkeit von Intra-Segment-Angriffen gegen die operativen Kosten zusätzlicher Sensor-Infrastruktur abwägen, informiert durch organisationsspezifische Insider-Bedrohungs-Risikobewertungen.