Eine 60-tägige Zeitreihe der SIEMBIOT-Sicherheitstelemetrie wurde analysiert, um die erwarteten Ereigniserfassungsvolumina zu prognostizieren und wiederkehrende tägliche und wöchentliche Aktivitätsmuster zu bewerten.
Mit SIEMBIOT erfasste historische Sicherheitstelemetrie wurde verwendet, um zu bewerten, ob wiederkehrende Zeitreihenmuster eine verlässliche Schätzung künftiger Ereigniserfassungsvolumina liefern können.
Ziel war nicht, einen bestimmten Cyberangriff vorherzusagen. Die Forschung konzentrierte sich darauf, das erwartete Verhalten der überwachten Telemetrie selbst zu prognostizieren und eine messbare künftige Basislinie zu etablieren, mit der die anschließend beobachtete Aktivität verglichen werden kann.
Datensatz und Telemetriequelle
Quelle: SIEMBIOT-Sicherheitstelemetrie
Metrik: Anzahl der erfassten Sicherheitsereignisse
Aggregationsintervall: 1 Stunde
Beobachtungszeitraum: 60 Tage
Historische Beobachtungen: 1,440 stündliche Intervalle
Beobachtungsfenster: 20. Juni 2026 - 19. August 2026, endend um 14:00 Uhr lokaler Plattformzeit
Prognosehorizont: Nächste 24 Stunden
Der analysierte Datensatz enthielt für jedes stündliche Intervall des 60-Tage-Zeitraums eine Beobachtung.
Es wurden keine fehlenden stündlichen Intervalle, doppelten Zeitstempel oder Intervalle ohne Ereignisse festgestellt.
Das beobachtete Telemetrievolumen reichte von 62,516 bis 1,934,749 Ereignissen pro Stunde, bei einem Gesamtdurchschnitt von etwa 900,542 Ereignissen pro Stunde.
Datenaufbereitung und betrieblicher Kontext
Die Ereigniszahlen wurden vor der Prognose auf einem durchgehenden stündlichen Zeitraster geführt.
Es wurde zwischen tatsächlich geringer Ereignisaktivität und Zeiträumen unterschieden, in denen das Telemetrievolumen durch betriebliche Aktivitäten beeinflusst war.
Ein deutlicher Rückgang der Ereigniserfassung am 22. Juli 2026 entsprach einem bekannten geplanten Wartungsereignis.
Da dieser Rückgang nicht das normale Telemetrieverhalten darstellte, wurde der Wartungszeitraum bei der Vorverarbeitung identifiziert und nicht als repräsentatives Muster mit geringem Volumen für Modellanpassung und -bewertung herangezogen.
Diese Unterscheidung ist wichtig, weil Wartungsereignisse, Erfassungsausfälle, Unterbrechungen des Sammeldienstes und andere bekannte betriebliche Bedingungen andernfalls die aus historischer Telemetrie gelernte erwartete Basislinie beeinflussen können.
Zeitreihenmuster
Die historische Zeitreihe zeigte ein deutliches, wiederkehrendes zeitliches Verhalten.
Die Ereigniserfassung war während der aktiven Arbeitszeiten im Allgemeinen höher und nachts sowie an Wochenenden niedriger.
Das stärkste wiederkehrende Merkmal war ein wöchentliches saisonales Muster.
Die in einer bestimmten Stunde beobachtete Aktivität zeigte eine erhebliche Ähnlichkeit mit der Aktivität, die in derselben Stunde eine Woche zuvor verzeichnet wurde. Die Korrelation zwischen der Zeitreihe und ihrer 168-Stunden-Verzögerung betrug etwa 0.78.
Dies zeigte, dass die wöchentliche Saisonalität ein wichtiges Prognosesignal in der analysierten SIEMBIOT-Telemetrie war.
Prognosemethodik
Es wurden mehrere Prognoseansätze bewertet, anstatt ein Modell im Voraus auszuwählen.
Die folgenden Modelle wurden verglichen:
Seasonal Naive 24h - prognostiziert eine Stunde anhand des Wertes, der in derselben Stunde am Vortag beobachtet wurde;
Seasonal Naive 168h - prognostiziert eine Stunde anhand des Wertes, der in derselben Stunde eine Woche zuvor beobachtet wurde;
Holt-Winters 24h - exponentielle Glättung unter Nutzung der täglichen Saisonalität;
Holt-Winters 168h - exponentielle Glättung unter Nutzung der wöchentlichen Saisonalität.
Die Holt-Winters-Modelle wurden einbezogen, um zu prüfen, ob ein komplexeres Modell, das Niveau, Trend und Saisonalität kombiniert, die Prognosegenauigkeit gegenüber einfachen historischen saisonalen Basismodellen verbessern würde.
Da der Datensatz etwa 8.5 vollständige Wochenzyklen enthält, wurde das 168-Stunden-Holt-Winters-Modell als explorativ betrachtet und seine Ergebnisse wurden mit dem einfacheren wöchentlichen saisonalen Basismodell verglichen.
Prognosebewertung
Die Prognosegenauigkeit wurde mittels Validierung mit rollierendem Ursprung bewertet.
Es wurden sieben aufeinanderfolgende 24-Stunden-Prognosefenster bewertet. An jedem Prognosezeitpunkt wurde nur die historische Telemetrie verwendet, die vor Beginn des jeweiligen Fensters verfügbar war.
Dies bildet das operative Prognoseszenario genauer ab als eine zufällige Aufteilung einer Zeitreihe in Trainings- und Testbeobachtungen.
Die durchschnittlichen Ergebnisse über die bewerteten Prognosefenster waren:
ModellMAERMSEMAPEWAPESeasonal Naive 168h67,45594,7997.18%7.69%Holt-Winters 168h80,10090,8929.46%8.96%Seasonal Naive 24h114,262185,05412.47%13.28%Holt-Winters 24h233,581263,47028.58%27.36%
Das Seasonal-Naive-168-Stunden-Modell erzielte die niedrigsten durchschnittlichen MAE-, MAPE- und WAPE-Werte und wurde daher für die endgültige 24-Stunden-Prognose ausgewählt.
Holt-Winters mit wöchentlicher Saisonalität erzielte einen etwas niedrigeren RMSE, was auf eine bessere Leistung bei einigen der größeren Einzelfehler hindeutet, doch seine durchschnittlichen absoluten und prozentualen Fehler blieben höher.
Das Ergebnis zeigt auch einen wichtigen Prognosegrundsatz: Ein komplexeres Modell liefert nicht automatisch eine genauere Prognose.
Für diesen Datensatz lieferte das wiederkehrende wöchentliche Telemetriemuster eine stärkere Prognosebasis als die bewerteten Holt-Winters-Konfigurationen.
24-Stunden-Prognoseergebnis
Nach der Modellbewertung wurde das ausgewählte wöchentliche saisonale Modell angewendet, um die SIEMBIOT-Ereigniserfassung für die folgenden 24 Stunden zu prognostizieren.
Prognosezeitraum: 19. August 2026 14:00 - 20. August 2026 14:00
Prognostiziertes Ereignisvolumen: 22,148,246 Ereignisse
Durchschnittlich prognostiziertes Volumen: 922,844 Ereignisse pro Stunde
Prognostiziertes Spitzenvolumen: 1,278,860 Ereignisse pro Stunde
Erwartete Spitze: 20. August 2026 gegen 09:00 Uhr
Aus den historischen Prognoseresiduen wurde zudem ein empirisches Prognoseintervall berechnet.
Bei der erwarteten Spitze lag das ungefähre empirische 95%-Intervall bei:
1,148,162 - 1,457,092 Ereignisse pro Stunde
Das Intervall stellt den Bereich von Telemetrievolumina dar, der mit den jüngsten Prognosefehlern vernünftigerweise vereinbar wäre.
Werte außerhalb dieses Bereichs sollten nicht automatisch als bösartige Aktivität eingestuft werden, können aber ein nützliches Signal für weitere betriebliche oder sicherheitsrelevante Untersuchungen liefern.
Prognoseabweichung und Sicherheitskontext
Die Zeitreihenprognose schafft einen dynamischen Referenzpunkt für die Bewertung der anschließend beobachteten Telemetrie.
Der Prozess lässt sich wie folgt darstellen:
Historische Telemetrie -> Erwartete Aktivität prognostizieren -> Tatsächliche Aktivität beobachten -> Prognoseabweichung messen -> Signifikante Änderungen untersuchen
Zum Beispiel:
Prognose: 920,000 Ereignisse/Stunde
Tatsächlich: 1,450,000 Ereignisse/Stunde
Ergebnis: Aktivität deutlich über der erwarteten Basislinie
Eine große Abweichung kann mehrere Erklärungen haben, darunter:
erhöhte Endpunkt- oder Benutzeraktivität;
Anbindung neuer Telemetriequellen;
Änderungen der Protokollierungskonfiguration;
Schwachstellenscans;
automatisierte externe Aktivität;
Software-Rollout;
Beeinträchtigung der Ereigniserfassung;
Infrastrukturprobleme;
oder sicherheitsrelevante Aktivität.
Auch Abweichungen unterhalb des erwarteten Bereichs sind relevant.
Ein anhaltender Rückgang des Ereignisvolumens kann auf Probleme mit Sammeldiensten, defekte Parser, nicht verfügbare Protokollquellen oder andere Bedingungen hinweisen, die die Überwachungsabdeckung beeinträchtigen.
Die Prognose liefert daher Untersuchungskontext, entscheidet aber nicht eigenständig, ob ein Cybersicherheitsvorfall eingetreten ist.
Zusammenhang mit der Anomalieerkennung
Prognose und Anomalieerkennung beantworten einander ergänzende Fragen.
Zeitreihenprognosen schätzen, welche Telemetrieaktivität in Zukunft zu erwarten ist.
Anomalieerkennung identifiziert beobachtete Aktivität, die sich deutlich von einem erwarteten oder zuvor etablierten Muster unterscheidet.
Beide Ansätze lassen sich daher kombinieren:
Historische Telemetrie -> Prognose-Basislinie -> Tatsächliche Telemetrie -> Prognoseabweichung -> Anomalieuntersuchung
Die Prognose kann eine zusätzliche dynamische Basislinie für die SIEMBIOT-Anomalieforschung bereitstellen und dabei die Unterscheidung zwischen einem unerwarteten Telemetriemuster und einem bestätigten Sicherheitsvorfall wahren.
Betrieblicher Nutzen
Die Prognose des Ereigniserfassungsvolumens kann nützlichen Kontext sowohl für die SOC-Überwachung als auch für den SIEM-Betrieb liefern.
Mögliche betriebliche Einsatzzwecke sind:
proaktive Überwachung des Telemetrieverhaltens;
Erkennung unerwartet hoher oder niedriger Erfassungsvolumina;
Etablierung einer dynamischen erwarteten Basislinie;
Validierung der Telemetriekontinuität;
Erkennung möglicher Beeinträchtigungen der Ereigniserfassung;
Infrastruktur- und Ressourcenplanung;
Vergleich zwischen prognostizierter und tatsächlicher Sicherheitsaktivität.
Für die Infrastrukturplanung sollte die durchschnittliche Punktprognose nicht als einzige Kapazitätsreferenz verwendet werden.
Obere Prognosebereiche sind aussagekräftiger, wenn es darum geht, die Erfassungskapazität zu bewerten, die in Zeiten höheren Volumens erforderlich sein kann.
Außerdem ist es wichtig, die Ereignisanzahl von Infrastrukturmetriken wie Ereignissen pro Sekunde (EPS) oder Datenvolumen zu unterscheiden.
Stündliche Ereigniszahlen machen kurze Erfassungsspitzen nicht sichtbar, und die Ereigniszahl lässt sich nicht direkt in Gigabyte umrechnen, da die Ereignisgröße zwischen den Telemetriequellen variiert.
Für eine detaillierte Dimensionierung der SIEM-Infrastruktur wäre daher eine separate Prognose auf Basis kürzerer Zeitintervalle oder erfasster Bytes erforderlich.
Einschränkungen
Die Untersuchung weist mehrere Einschränkungen auf.
Beobachtungszeitraum. Der Datensatz umfasst 60 Tage und kann daher keine längeren monatlichen, vierteljährlichen oder jährlichen Muster erfassen.
Wöchentliche Abhängigkeit. Das ausgewählte Modell geht davon aus, dass die Aktivität im kommenden Zeitraum den entsprechenden Stunden der Vorwoche ähnlich bleibt.
Umgebungsänderungen. Neue Protokollquellen, Verteilungen von Agenten, Konfigurationsänderungen oder außer Betrieb genommene Systeme können die Telemetrie-Basislinie verändern und eine Neukalibrierung der Prognose erforderlich machen.
Bekannte betriebliche Ereignisse. Wartungszeiträume und Unterbrechungen der Ereigniserfassung müssen identifiziert werden, damit sie nicht fälschlicherweise als normales Telemetrieverhalten interpretiert werden.
Stündliche Aggregation. Kurze Ereignisspitzen innerhalb einer Stunde werden durch die stündliche Prognose nicht abgebildet und erfordern gegebenenfalls eine Prognose in feinerer Auflösung.
Prognosehorizont. Die Bewertung gilt speziell für einen 24-Stunden-Prognosehorizont. Längerfristige Prognosen würden eine gesonderte Validierung erfordern.
Fazit
Ein 60-Tage-Datensatz mit 1,440 stündlichen SIEMBIOT-Beobachtungen zur Ereigniserfassung wurde analysiert, um festzustellen, ob historische Sicherheitstelemetrie zur Prognose der erwarteten künftigen Aktivität genutzt werden kann.
Die Analyse identifizierte ein starkes wöchentlich wiederkehrendes Muster mit einer Korrelation von etwa 0.78 bei einer Verzögerung von 168 Stunden.
Vier Prognoseansätze wurden mittels rollierender 24-Stunden-Validierung verglichen.
Für den analysierten Datensatz erzielte die 168-Stunden-Saisonprognose die beste Gesamtleistung mit einem durchschnittlichen MAE von etwa 67,455 Ereignissen pro Stunde und einem MAPE von etwa 7.18%.
Das ausgewählte Modell prognostizierte etwa 22.15 Millionen Sicherheitsereignisse im folgenden 24-Stunden-Zeitraum bei einem erwarteten Durchschnitt von etwa 922,844 Ereignissen pro Stunde.
Die Untersuchung zeigt, dass historische SIEMBIOT-Telemetrie nicht nur zur Analyse bereits beobachteter Aktivität, sondern auch zur Etablierung einer erwarteten künftigen Telemetrie-Basislinie genutzt werden kann.
Der Vergleich dieser Basislinie mit der anschließend beobachteten Aktivität kann zusätzlichen Kontext für SOC-Überwachung, Telemetrievalidierung, Kapazitätsplanung und Anomalieuntersuchung liefern.
Die Prognose selbst sagt weder einen Cyberangriff voraus noch identifiziert sie eigenständig bösartiges Verhalten. Sie liefert eine erwartete Referenz, an der künftige Telemetrie gemessen und untersucht werden kann.
