ARDKI/ML-UNTERSTÜTZTKONTOUNABHÄNGIGES VERTRAUEN
Dockfield ARD
Ungewöhnliches Verhalten erkennen.
Die Wiederherstellungsentscheidung schützen.
ARD ist Dockfields intelligente Erkennungs- und Evidenzschicht für ransomwarebewusste Wiederherstellung. Sie beobachtet Verhalten im Zeitverlauf, vergleicht unabhängige Anomaliesignale, kalibriert Vertrauen und liefert nachvollziehbare Evidenz für deterministische Wiederherstellungsrichtlinien.
BeobachtenAWS- und Wiederherstellungssignale
→
ErkennenVerhaltensanomalien
→
KalibrierenVertrauen in die Evidenz
→
EntscheidenRichtlinien und Erklärbarkeit
→
QuarantäneNicht vertrauenswürdige Grenze
→
WiederherstellenValidierter Ablauf
Übergeordnete KI/ML-Architektur
Unabhängige Evidenz zuerst. Komplexität nur mit messbarem Mehrwert.
Selbstüberwachte zeitliche ErkennungModelliert den normalen Verhaltenskontext im Zeitverlauf und hebt Sequenzen hervor, die nicht mehr zum erlernten Betriebsablauf passen.
Unabhängige statistische ErkennungAbweichungen von Referenzwerten, Spitzen und Veränderungen bilden eine zweite, interpretierbare Anomaliefamilie.
Optionale Merkmale mit mehreren AuflösungenMexican-Hat- und andere mehrskalige Signalmerkmale können bei ausreichender Telemetriedichte beitragen; sie gelten nicht als universelle Wahrheit.
Warum Mexican Hat? Das Konzept kann lokale Veränderungen gegenüber ihrem Umfeld auf verschiedenen Skalen hervorheben. Dockfield verwendet diese Signalverarbeitung als optionale ergänzende Evidenz, nicht als Grundlage der Ransomware-Klassifizierung.
Evidenzfusion
Eine einzelne Anomalie führt nicht zu einer automatischen Wiederherstellung.
VERHALTENZeitliche Muster und Sequenzänderungen.
STATISTIKUnabhängige Evidenz zu Abweichungen und Veränderungen.
SICHERHEITSignale aus der Sicherheitsumgebung, sofern verfügbar und vertrauenswürdig.
WiederherstellungIntegrität, Herkunft und Vertrauenswürdigkeit möglicher Wiederherstellungspunkte.
Kalibrierte EvidenzSignale verschiedener Skalen werden unter Beibehaltung ihrer Herkunft zu einer vergleichbaren Vertrauensbewertung normalisiert.
→
Nachvollziehbare EntscheidungDas System dokumentiert Änderungen, die beitragende Evidenz und die deterministische Richtlinie, die den nächsten Schritt erlaubt.
→
Deterministische SicherheitsrichtlinieDie endgültigen Wiederherstellungsaktionen werden durch explizite, prüfbare Richtlinien gesteuert statt durch den Score eines einzelnen Modells.
Wo ARD angesiedelt ist
Ohne vorauszusetzen, dass das Sicherheitskonto immer erhalten bleibt.
Sicherheits- und Workload-UmgebungEine wichtige Evidenzquelle, aber niemals der einzige Vertrauensanker. Auch Sicherheitskonten können als verdächtig eingestuft werden.
→
ARD / Resilienz-EntscheidungsebeneKorreliert unabhängige Evidenz und prüft kontinuierlich, ob die aktuelle Steuerungsebene noch vertrauenswürdig ist.
→
Isolierte WiederherstellungsgrenzeQuarantäne, Validierung und Wiederherstellung können außerhalb der betroffenen Vertrauensdomäne erfolgen, auch in einem neuen Konto oder einer unabhängigen Organisation.
Sicherheitskonto betroffenSicherheitsevidenz wird beeinträchtigt oder nicht vertrauenswürdig; unabhängige Evidenz bleibt für die Resilienzentscheidung verfügbar.
Mehrere Konten betroffenWiederherstellungsauswahl und Quarantäne verlagern sich zu einer isolierten Wiederherstellungsgrenze.
Bestehende Organisation nicht vertrauenswürdigWiederherstellungsmuster mit neuen Konten oder unabhängigen Organisationen können gewählt werden, wenn geschützte Wiederherstellungsautorität und Evidenz verfügbar bleiben.
Keine Abhängigkeit von einem einzelnen Konto. ARD trennt Workload-, Sicherheits- und Wiederherstellungskonten in eigene Vertrauensdomänen. Bei schwerer Kompromittierung kann die bestehende AWS-Umgebung als zu untersuchende Evidenz behandelt werden statt als Autorität, die ihre eigene Wiederherstellung genehmigt.
ARD + Intelligent Recovery
Erkennung ist nur nützlich, wenn sie die Wiederherstellungsentscheidung verbessert.
Dockfield verbindet Anomalieevidenz direkt mit Quarantäne, Validierung und isolierten Wiederherstellungsmustern und hält die abschließende Sicherheitsrichtlinie explizit.