Roland Rieke 
email: roland.rieke@sit.fraunhofer.de
  
Maria Zhdanova 
email: maria.zhdanova@sit.fraunhofer.de
  
Jürgen Repp 
email: juergen.repp@sit.fraunhofer.de
  
Romain Giot 
email: romain.giot@u-bordeaux1.fr
  
Chrystel Gaber 
email: chrystel.gaber@orange.com
  
  
  
  
Verhaltensanalyse zur Erkennung von Missbrauch mobiler Geldtransferdienste *

Keywords: 

Die fortlaufende Überwachung von Transaktionen auf Geldwäscheverdacht ist Finanzinstituten in Deutschland und anderen Ländern vorgeschrieben. Smurfing ist eine Form der Geldwäsche, bei der durch den Transfer vieler kleiner Geldbeträge auf unterschiedlichen Wegen mit der Hilfe von Strohmännern ein hoher Geldbetrag unauffällig transferiert werden soll. In dieser Arbeit betrachten wir das Smurfing-Risiko im Rahmen mobiler Geldtransferdienste. Insbesondere beschreiben wir eine Methode zur vorbeugenden Sicherheitsanalyse zur Laufzeit, welche das Prozessverhalten in einem Geldtransfer-Service in Bezug auf Transaktionen beobachtet und versucht, es mit dem erwarteten Verhalten zu vergleichen,

Einleitung

Dienste im Bereich mobiler Geldtransfer (MGT) sind ein wachsendes Marktsegment, insbesondere in Entwicklungsländern, in denen das Netz der Bankfilialen nicht so dicht ist. So hatte beispielsweise M-Pesa, welches 2007 in Kenia eingeführt wurde, im Dezember 2011 bereits etwa 19 Millionen Teilnehmer, das entspricht 70 % aller Mobilfunkteilnehmer in Kenia [CCK12]. Orange Money ist in 10 Ländern im Einsatz und wird von rund 14 % der Mobilfunkteilnehmer dieser Länder genutzt [START_REF] Orange | [END_REF]. Diese Dienste ermöglichen Geschäfte mit elektronischem Geld, welches auch als mMoney bezeichnet wird. Die Benutzer können Bargeld über Distributoren in mMoney konvertieren, um damit Waren bei Händlern zu kaufen, Rechnungen zu bezahlen oder es an andere Nutzer des Dienstes übertragen zu lassen. Wie jeder andere Geldtransferdienst, ist ein MGT-Dienst der Gefahr ausgesetzt, zur Geldwäsche (GW) missbraucht zu werden. Dabei wird eine Verschleierung illegal erwirtschafteter Mittel genutzt, um sie in den legalen Wirtschaftskreislauf einzuschleusen. Es liegt also in der Verantwortung der MGT-Dienstleister, verdächtige GW-Aktivitäten zu erkennen und an die Behörden zu melden. Daraus ergibt sich die Bedeutung von Software-Werkzeugen, wie zum Beispiel von Security Information and Event Management (SIEM)-Systemen, welche Kundendaten zur Laufzeit analysieren und verdächtige Transaktionen erkennen.

In dieser Arbeit wird ein Werkzeug namens Predictive Security Analyzer (PSA) vorgestellt, welches auf einer neuartigen Methode zur prädiktiven Sicherheitsanalyse zur Laufzeit aufbaut [START_REF] Rieke | Predictive Security Analysis for Event-Driven Processes[END_REF][START_REF] Eichler | Model-based Situational Security Analysis[END_REF]. Die Kernidee ist dabei, dass in Ergänzung zu existierenden Verfahren, die statistische Werte aus historischen Messungen verwenden, um Anomalien zu entdecken, hier das Wissen um den geplanten Kontrollfluss der Prozesse verwendet wird. Diese Methode ermöglicht die Auswertung von sicherheitsrelevanten Ereignissen und deren Interpretation in Bezug auf: (1) den spezifizierten Kontrollfluss der Prozesse und (2) die erforderlichen Sicherheitseigenschaften. Bezüglich (1), werden Abweichungen des beobachteten Prozessverhaltens von der vorgegebenen Spezifikation identifiziert. Solche Abweichungen können durch Änderungen in der Prozessausführung, Probleme bei der Messung (z.B., verlorene Ereignisse) oder Anomalien durch Interventionen eines Angreifers verursacht werden. Bezüglich (2) wird eine kontinuierliche Überwachung der für den Prozess festgelegten Sicherheitseigenschaften durchgeführt, um mögliche Sicherheitsverletzungen zu erkennen und vorherzusagen. In diesem Beitrag evaluieren wir die Anwendbarkeit des Ansatzes, um Missbrauchsmuster in den Ereignisströmen der MGT-Transaktionen zu identifizieren, die auf GW-Aktivitäten hinweisen. Dies ist, soweit wir wissen, die erste Anwendung dieser Sicherheitsanalysemethode im MGT-Kontext. Insbesondere zeigen wir, dass der PSA in der Lage ist, (1) einen Ereignisstrom aus einem MGT-System in Echtzeit zu verarbeiten und (2) GW-Warnungen bei betrügerischen Transaktionen zu generieren. Wir beschreiben Ergebnisse von Experimenten mit realen und simulierten Transaktionsprotokollen für verschiedene GW-Szenarien und ermitteln die Sensitivität und Leistungsfähigkeit des PSA. 

Das

  Abbildung 1: MGT Benutzer im Geldwäsche-Szenario: Endkunde (EK), Betrüger (B), Strohmann (S), Händler (H), Geschäft (G) nutzer (Betrüger) überträgt kleine Geldbeträge auf mehrere Strohmänner. Strohmänner erhalten mMoney von einem Betrüger und überweisen einen hohen Prozentsatz dieses mMoney an einen anderen Betrüger. Jeder Strohmann kann einen kleinen Prozentsatz der Überweisung für sich behalten. Der jeweils letzte Strohmann in einer Kette initiiert den finalen Geldtransfer an einen zweiten betrügerischen Benutzer. Die in dieser Arbeit durchgeführte GW-Analyse basiert auf den in der gestreift markierten Zone dargestellten finalen Geldtransfers. In dieser eingeschränkten Sicht transferiert also ein betrügerischer Benutzer mMoney an einen zweiten betrügerischen Benutzer aber es gibt keine direkten Übertragungsspuren zwischen diesen im MGT-System. Es gibt eine Vielzahl von GW-Verfahren [FIN12, Int12]. In dieser Arbeit betrachten wir ein GW-Schema mit folgenden Annahmen: (i) es gibt nur einen Strohmann in der Kette der Strohmänner; (ii) der Betrag einer betrügerischen Transaktion ist viel kleiner als der Durchschnitt in diesem Dienst; (iii) Strohmänner führen, außer den betrügerischen Aktionen, auch reguläre mMoney-Überweisungen durch. Diese Annahmen schränken den vorgeschlagenen Ansatz zur Betrugserkennung nicht ein, solange man in der Lage ist, einen Prozessablauf zu einem anderen gewählten GW-Schema zu spezifizieren. Weiterhin hat die Analyse der realen Betriebsprotokolle, die uns vom Betreiber des Dienstes für die-

  Abbildung 3: Benutzer (EU ), Betrüger (FR) und Transaktionen in Szenario S2

  Um Ereignislogs mit sicheren Fehlerraten zu produzieren, wurde ein Missbrauchsfall in einem Simulator [GHA + 13] implementiert. Der Simulator modelliert einzelne Trajektorien als eine Folge von Transaktionen mit Beträgen und Zeitintervallen nach Normalverteilung. Die generierten Simulationsdaten basieren auf Eigenschaften, die an realen Beispielen ermittelt wurden und enthalten unterschiedliche Benutzerkategorien aus dem GW-Szenario (siehe Abbildung 1). Endkunden führen regelmäßige Transaktionen (Mittelwert 4000, mit einer Standardabweichung von 500), Abhebungen und Einzahlungen durch. Betrüger nutzen den Dienst zur Geldwäsche. Strohmänner empfangen mMoney (20 ≤ Betrag ≤ 100) von einem Betrüger und transferieren den Betrag zu einem weiteren Betrüger unter Einbehaltung von 10% des Betrags. Betrüger und Strohmänner führen ebenfalls regelmäßige Transaktionen durch. Geschäfte akzeptieren mMoney als Zahlungsmittel. Händler ermöglichen Endkunden, mMoney in Bargeld umzutauschen und umgekehrt. Das GW-Szenario wurde mit den folgenden Parametern konfiguriert: Abschließend haben wir die Fehlerrate des PSA gemessen. Die Leistung wird in Anzahl von Ereignissen, die erfolgreich durch den PSA in einer Sekunde bearbeitet werden, gemessen. Für die Erkennungsrate werden unterschiedliche Metriken benutzt: (a) False Positive, nicht bösartiges Ereignis wird als bösartig erkannt; (b) False Negative, bösartiges Ereignis wird als nicht bösartig erkannt; (c) True Positive, bösartiges Ereignis wird als bösartig eingestuft; (d) True Negative, nicht bösartiges Ereignis wird als nicht bösartig eingestuft. Reale Ereignisse der operationalen Logs des MGT-Systems wurden benutzt, um die Leistungsfähigkeit des PSA zu evaluieren. Prozessinstanzen wurden für die Kombination aus Benutzerkennung und Transaktionstyp erzeugt. Mit den realen Logs konnte der PSA 640.000 Prozessinstanzen bearbeiten und brauchte 40 Minuten, um die zugehörigen 5,5 Millionen Ereignisse zu verarbeiten und 0,5 Millionen Alarme zu erzeugen. Eine vollständige Analyse auf der gleichen Datenmenge, die keine Alarme produzierte, benötigte 33 Minuten. Im günstigsten theoretischen Fall (keine Alarme werden generiert) kann der PSA mehr als 2.300 Ereignisse / Sek. verarbeiten, während im ungünstigsten Fall die Anzahl sich auf ca. 191 Ereignisse / Sek. reduziert. Im Mittel kann der PSA 100 Millionen Ereignisse an einem Tag auf einem Standard Computer verarbeiten. Erkennungsrate: Um die Erkennungsrate des PSA zu bestimmen, wurden simulierte Ereignisse verwendet. Aufgrund des stochastischen Charakters der Simulation wurde die Evaluierung mehrmals durchgeführt. Alle Versuche führten zu den gleichen Ergebnissen. Abbildung 3 illustriert die Transaktionen, die von den an Betrugsversuchen Beteiligten des Szenarios S2 durchgeführt wurden (665 Transaktionen). Jeder Knoten repräsentiert einen Benutzer, jede Kante zeigt eine Transaktion, die Kanten werden mit dem Index der Transaktion in der Folge beschriftet. Die grauen Kanten zeigen True Negative, orange (gepunktete) Kanten -False Positive, grüne (dunkelgrau) Kanten bilden True Positive ab, rote (gestrichelte) Kanten -False Negative. Bösartige Transaktionen vom ersten Betrüger zu

	Ereignisse (d.h., betrügerisch oder normal) besteht, ist eine direkte Betrugserkennung
	nicht möglich. Um die Erkennungsrate zu untersuchen, wurden daher Simulations-Logs
	verwendet.
	Tabelle 1: Abbildung zur Diskretisierung des Transaktionsbetrags Klasse winzig sehr klein klein normal mittel groß sehr groß riesig Betrag ≤ 5 ≤ 50 ≤ 200 ≤ 500 ≤ 1000 ≤ 2000 ≤ 5000 sonst Operationale Logs: Im realen MGT-System existieren verschiedene Arten von Logs (Zugriff, Transfer, etc.). Für unsere Analyse wurden aber nur die Logs von Transaktionen verwendet. Ein Log-Datensatz enthält den Betrag, den Sender und den Empfänger der Transaktion, den Typ des Senders und des Empfängers sowie weitere systemspezifische Felder. Ereignisse, die Log-Einträge generieren, werden durch das Verhalten des Benutzers ausgelöst sobald beliebige Benutzer des Systems Transaktionen durchführen. Im Rahmen des MASSIF-Projektes wurde von Orange für unsere Analyse ein anonymisiertes Log zur Verfügung gestellt, welches 4,5 Millionen Transaktionen enthält, die in einem Zeitraum Simulierte Ereignisse: 5 Experimentelle Ergebnisse
	von 9 Monaten erzeugt wurden. Diese Realdaten wurden benutzt, um eine Echtzeitanalyse
	des MGT-Datenstroms mittels des PSA durchzuführen. Da keine Gewissheit bzgl. der In diesem Abschnitt werden die Ergebnisse der Experimente zusammengefasst.

Prozess Definition: Um die PSA-Analyse durchzuführen, muss der MGT-Prozess mittels EPK definiert werden. Der PSA unterstützt die Möglichkeit mehrere parallel laufende Benutzerprozesse, deren Instanzen das gleiche PSA-Modell zugrunde liegt, mittels dieses Modells zu untersuchen. Hier wurde das allgemeine Verhalten von allen Benutzern verwendet. Da jeder Benutzer völlig frei in der Art der Nutzung des MGT Systems ist (z.B. Auswahl des Betrags, Häufigkeit von Transaktionen, Interessengemeinschaften, etc.), war es eine Herausforderung die entsprechenden Transaktionsabläufe zu definieren. Aus diesem Grund wurde ein Prozess spezifiziert, der aus einem Missbrauchsszenario abgeleitet wurde: Jeder Prozesszustand bezieht sich auf einen bestimmten Transaktionsbetrag, wie in der Diskretisierung definiert. Zustandsübergänge werden durch die korrespondierenden abstrakten Ereignisse angestoßen. Für jeden Zustand sind nur Übergänge in der gleichen Transaktionsbetragsklasse oder zu den benachbarten Transaktionsbetragsklassen autorisiert; alle anderen Übergänge werden als bösartig betrachtet und erzeugen einen Alarm. Der initiale Zustand erlaubt jeden Übergang. S1 keine GW: 50 Endkunden, 8 Geschäfte, 4 Händler. Dieser Datensatz wurde verwendet, um zu überprüfen, ob ehrliche Endkunden als Betrüger eingestuft werden. S2 GW: 50 Endkunden, 5 Strohmänner, 8 Geschäfte, 4 Händler. Dieser Datensatz diente zur Verifikation der Erkennung von Betrugsfällen durch den PSA. S3 GW mit mehr Beteiligten: 500 Endkunden, 10 Strohmänner, 16 Geschäfte, 4 Händler. Hierbei wurde die Erkennungsrate bei einem kleineren Anteil an betrügerischen Transaktionen bestimmt. Evaluierungsmetrik: Die vorliegende Analyse betrachtet die Leistungsfähigkeit bzgl. der Laufzeit, sowie der Erkennung von Betrugsversuchen durch den PSA. Es wurde untersucht, ob die Analyse, unter Realzeitbedingungen eines laufenden MGT-Systems, durchgeführt werden kann und ob ein bestimmtes Zeitintervall von der Erkennung bis zur Signalisierung eines Alarms eingehalten werden kann. Die Untersuchungen wurden auf einem Personal Computer (2 Kerne CPU mit 2.70GHz, 4Gb RAM) durchgeführt.

Rechenleistung:

  Da als Basis für die Untersuchung der Erkennungsrate keine realen Ereignisse dienten, kann die tatsächliche Erkennungsrate nicht verifiziert werden. Eine Reduktion der Zahl der Alarme könnte durch eine Verfeinerung der EPK mittels annotierter Realdaten (betrügerisch/nicht betrügerisch) oder mit zusätzlichen Filterkomponenten erfolgen. Das Verhalten des PSA war für alle Szenarien korrekt. Die Fehler bzgl. des Benutzers EU0 kommen daher, dass es die erste Transaktion dieses Benutzers ist, mit dem Folgefehler, dass alle nachfolgenden Transaktionen als betrügerisch eingestuft werden. Da das erstellte Prozessmodell nur das veränderte Benutzerverhalten betrachtet, zeigt die zeitliche Abfolge der verdächtigen Transaktionen keine Wirkung auf die Erkennungsfähigkeit des PSA.In Bezug auf die Auswertung der Ansätze im Bereich des Geschäftsprozessmanagements in[vdA13], kann man die Funktionalität des PSA-Prototyps als Verfahren zur " Überprüfung der Konformität mit Ereignisdaten" einstufen. In diesem Ansatz werden ein Prozessmodell und Ereignisdaten verwendet, um Abweichungen des Laufzeitverhaltens vom erwarteten Verhalten zu erkennen. Das Interesse für diesen Aspekt des Geschäftsprozessmanagements ist in den letzten drei Jahren gewachsen[vdA13]. Ein ähnlicher Ansatz ist in[START_REF] Rozinat | Conformance checking of processes based on monitoring real behavior[END_REF] beschrieben, aber der Schwerpunkt liegt dort auf einer Quantifizierung von Abweichungen durch die Bildung von Metriken. Wir betrachten die Arbeit bezüglich Laufzeit-Compliance-Überprüfung für Geschäftsprozesse in[START_REF] Maggi | Monitoring Business Constraints with Linear Temporal Logic: An Approach Based on Colored Automata[END_REF] als Ergänzung zu unserer Arbeit. Für VISA wird in [CGL + 07] ein Modell eines mehrdimensionalen Datenwürfels mit separater Änderungserkennung für jede Zelle verwendet. Nach unserer Kenntnis verwenden nicht alle mobilen Zahlungsdienste automatisierte Betrugserkennungslösungen. Die Überwachung kann manuell oder auf Basis von Geschäftsregeln stattfinden. Der M-PESA-Dienst setzt die MinotaurTM Fraud-Management-Lösung basierend auf Geschäftsregeln und neuronalen Netzen ein [Neu]. Nach unserer Kenntnis gibt es keine öffentlichen Arbeiten zur Anpassung der aufgeführten Betrugserkennungsmethoden an MGT-Systeme. Deshalb fällt ein Vergleich unsere Arbeit mit bestehenden Systemen schwer. 7 Fazit Diese Arbeit nutzt Alarme, welche durch die Uncertainty-Komponente des PSA erzeugt werden, um Aktivitäten, die auf GW hindeuten, in einem MGT-System zu erkennen. Dabei werden GW-Muster in synthetisch generiertem Prozessverhalten, welches auf Basis einer Auswertung der Eigenschaften von Ereignisströmen aus einem realen MGT-System generiert wurde, analysiert. Wir haben gezeigt, dass der PSA in der Lage ist, Betrugserkennung in einem simulierten Szenario durchzuführen. Es konnte gezeigt werden, dass diese Erkennungsleistung effizient ist, aber empfindlich gegenüber Rauschen in einer realen Umgebung reagiert. Es ist daher notwendig, die Rauschfestigkeit durch eine Verbesserung der Korrelation der erzeugten Warnungen oder durch eine spezifische Auswertung des Prozesszustands zu verbessern. Beispielweise kann man in einen kritischen Zustand gehen, wenn die gleiche Warnung mehrfach auftritt. Ergebnisse des PSA sollten von Entscheidungunterstützungsund Reaktionssystemen ausgewertet werden, um die Sicherheitsregeln des MGT-Systems anzupassen und die betrügerischen Transaktionen automatisch zu blockieren [RCH + 12]. Um die Beurteilung des Systems zu erleichtern, wäre es interessant, Methoden zu entwickeln, welche in der Lage sind, eine große Menge von EPKs automatisch zu erzeugen und damit eine breite Basis für weitere Auswertungen bereitstellen. Danksagung Die vorliegende Arbeit basiert auf Forschungsergebnissen des Projektes MASSIF (ID 257475), welches durch die Europäische Kommission kofinanziert wurde, sowie des Pro-jektes ACCEPT (ID 01BY1206D), welches durch das Bundesministerium für Bildung und Forschung gefördert wird.

	passt [DSF12, WLC + 13, KMK10]. Filter, Entscheidungsbäume und logistische Regressi-
	onsanalyse sind die meist verwendeten Verfahren. Warum eine bestimmte Transaktion als
	betrügerisch eingestuft wird, ist mit den Ergebnissen dieser Verfahren leicht zu erklären.
	Verfahren, die automatisiert ein Modell lernen, werden seltener angewendet. Einige In-
	dustrielösungen verwenden jedoch solche Methoden. VISA, beispielsweise implementiert
	Tabelle 2: Erkennungsrate des PSA neuronale Netze in deren Betrugserkennungstool RST (Real-Time Scoring) [VIS].
	Spezifität Sensitivität Es gibt mehrere Ansätze Data-Mining-Algorithmen zur Betrugserkennung mittels neurona-False Positive Rate False Negative Rate
	S1 ler Netze, SVMs, Bayesischen Netzen, Entscheidungsbäumen, angepassten Expertensys-100% -0% -
	S2 ≈ 99,4% 80% (40%) temen und Hidden-Markov-Modellen im Umfeld von Kreditkartengeschäften [BJTW11, ≈ 0,6% 20% (60%)
	DAP09].	S3 ≈ 99,9% 90% (45%)	≈ 0,1%	10% (55%)
	Normalerweise wird die Evaluierung von Anomalie-Erkennungswerkzeugen mittels ei-
	ner ROC-Kurve [Faw04] (spezifiziert durch verschiedene Konfigurierungsschwellwerte
	τ ∈ R) durchgeführt. Der PSA kann nicht mittels solch einfacher Schwellwerte konfi-
	guriert werden. Stattdessen, ist eine komplexe Konfiguration (ρ = (ρ EP C , ρ mapping ))
	zusammengesetzt aus einer EPK-Konfigurierung (ρ EP C ∈ E, E ist die Menge möglicher
	EPKs) verbunden mit dem Diskretisierungsschema für Transaktionswerte (ρ mapping ∈ M,
	M ist die Menge aller möglichen Abbildungsfunktionen) erforderlich. Da es schwierig ist
	verschiedene automatisch generierte Konfigurationen, gegeben durch eine ROC-Kurve, zu
	durchlaufen, erfolgte die Beschränkung auf einen Punkt.	
	6 Verwandte Arbeiten		
	Viele Data-Mining-Algorithmen wurden zur Betrugserkennung im Bankenbereich ange-