タイトル: セマンティック相関、マルチソース・テレメトリ、および適応統計モデルに基づく高度な脅威のプロアクティブ検出のためのマルチレイヤー・ハイブリッドアーキテクチャ

1. はじめに

脅威検知は、現代のあらゆるサイバーセキュリティ・プログラムの運用中核を成す。システムのハードニング、ネットワーク分割、脆弱性管理、継続的なパッチ適用といった予防的メカニズムは攻撃対象領域を大幅に縮小するものの、経験的知見は、複雑なアーキテクチャにおいてはシステム侵害を現実的なシナリオとして想定すべきであることを示している。広く引用される Verizon Data Breach Investigations Report などの報告書は、相当数のインシデントがソーシャルエンジニアリングや認証情報の侵害を含む人的要因に関連していることを示している（VERIZON, 2023）。

この10年間に観測された高影響攻撃、たとえば SolarWinds のサプライチェーン侵害や Log4Shell（$\text{CVE-2021-44228}$）脆弱性の大規模悪用は、高度な侵入者が、段階的な偵察、永続化、および横展開を実行しながら、長期間にわたり検知されずに潜伏しうることを示している（CISA, 2021）。これらの活動は、MITRE ATT&CK マトリクスに形式化された技術にしばしば対応し、コマンド実行（T1059）、認証情報の取得（T1003）、および横展開のためのリモートサービス利用（T1021）を含む（STROM et al., 2018）。

現代の企業環境は、従来型データセンター、クラウドサービス、コンテナ化されたワークロードを統合するハイブリッド・インフラストラクチャによって特徴づけられ、膨大な運用テレメトリを生成する。監視システムは、ネットワークセンサー、エンドポイントエージェント、ID システム、観測性プラットフォームからのイベントを含め、毎秒数万件のイベントを生成しうる。この量的規模は手動分析を不可能にし、イベントの自動相関および優先順位付けの仕組みを必要とする。

形式的には、この問題は、遅延制約およびノイズの存在下で、異種データの大規模フロー中における悪意あるパターンの同定としてモデル化できる。ネットワーク IDS のような従来のシグネチャベースのシステムは、既知の脅威の検知には有効であるが、ポリモーフィック攻撃、ファイルレスマルウェア、そして正当な OS ツールを悪用する living-off-the-land 技法に対しては限界を示す。

このような状況を踏まえ、我々は以下の研究課題を設定する。

• シグネチャベース、行動ベース、統計的異常ベースの検知を、運用上実現可能なアーキテクチャにどのように統合できるか。
• 偽陽性率を大幅に増加させることなく、平均検知時間（MTTD）を短縮することは可能か。
• 分散して時系列に発生するイベント間の相関を、MITRE ATT&CK オントロジーに整合させながら、どのように形式的にモデル化できるか。

本研究の主要な貢献は以下のとおりである。

• ATT&CK グラフに基づく意味的相関と適応的統計モデルを統合する、多層ハイブリッド・アーキテクチャの提案。
• マルチステージの攻撃チェーンを識別可能な、技術指向の時系列相関アルゴリズムの開発。
• オフェンシブ・セキュリティ文献で広く文書化されたツールを用いた、現実的な攻撃シナリオに基づく実験評価。

2. 背景および関連研究

侵入検知は Denning（1987）により形式的に導入され、彼女は統計的な行動プロファイルに基づくモデルを提案した。このモデルは、その後の異常検知研究の大部分の基盤となっている。

その後、Snort のようなシステムがシグネチャベースのアプローチを普及させ、既知の攻撃パターンを効率的に識別することを可能にした（ROESCH, 1999）。しかし、これらのシステムは、事前に入手可能な侵害指標に強く依存する。

数学的には、イベントフローを次のように考える。

$$ E = {e_1, e_2, …, e_n} $$

各イベント $e_i$ は、属性ベクトルで表される。

$$ x_i \in \mathbb{R}^d $$

検知の目的は、次のような判定関数を学習することである。

$$ f(x_i) = \begin{cases} 1, & \text{if } x_i \text{ represents malicious activity} \ 0, & \text{otherwise} \end{cases} $$

現代的なアプローチは、主として3つのカテゴリに分類できる。

アプローチ	主な特徴	制約
シグネチャ	既知パターンとの照合	ゼロデイを検知できない
異常	行動上の逸脱を識別	偽陽性率が高い
意味的相関	イベント間関係のモデル化	オントロジーとマッピングへの依存

近年の文献では、攻撃者の行動を観測可能な技術および戦術としてモデル化するために、特に MITRE ATT&CK のような運用オントロジーの活用が強調されている（STROM et al., 2018）。このアプローチにより、特定の指標が存在しない場合でも、検知機構は行動パターンを識別できる。

並行して、システムセキュリティ研究では、攻撃チェーンを検出するために、プロセス、ファイル、ネットワーク接続間の依存グラフが探索されてきた（HASAN et al., 2019）。セキュリティに応用される機械学習の領域では、Isolation Forest に基づく異常検知が高次元シナリオで有効性を示している（LIU; TING; ZHOU, 2008）。

これらの進展にもかかわらず、文献には依然として重要なギャップが残る。多くの実験評価は古い、あるいは人工的なデータセットを用いており、SOC で用いられる平均検知時間（MTTD）や平均対応時間（MTTR）といった運用指標を明示的に統合するアプローチは少ない。

3. 脅威モデルと形式化

我々は、標的型フィッシングまたは既知脆弱性の悪用によって初期侵害を実行可能な攻撃者 $A$ を仮定する。初期アクセス後、攻撃者は SMB、WMI、RDP を含む一般的な企業プロトコルを用いて横展開を実行できる。

また、攻撃者は、検知の可能性を低減する目的で、PowerShell、certutil、rundll32 などの OS ネイティブ・ユーティリティに基づく living-off-the-land 技法を利用できるものとする。

攻撃チェーンは次のように表現できる。

$$ C = (t_1, t_2, …, t_k) $$

ここで各 $t_i$ は MITRE ATT&CK マトリクスの技術を表す。

検知問題は、次を満たす部分集合 $C’$ を同定することにある。

$$ P(C’ \mid E) > \theta $$

ここで $\theta$ は運用上定義された判定閾値を表す。

システム性能要件は、以下の制約として定義される。

メトリクス	要件
検知率（TPR）	$\geq 0.9$
偽陽性率（FPR）	$\leq 0.05$
検知遅延	$< 60s$

4. 提案手法

提案アーキテクチャは、3つの機能層で構成される。

Layer 1 — 収集および正規化

テレメトリ収集は複数のソースを統合する。

• ネットワークイベント用の EVE JSON 出力を伴う Suricata
• プロセスおよび接続テレメトリ用の Sysmon
• Active Directory の認証ログ
• auditd または eBPF を介した Linux システム・テレメトリ

正規化は、異種イベントを検索エンジンに索引付けされた共通スキーマへ変換する取り込みパイプラインによって実施される。

Layer 2 — 意味的相関

我々は有向グラフを構築する。

$$ G = (V, E) $$

ここで $V$ は ATT&CK 技術を表し、$E$ は敵対的活動中に技術間で観測される遷移を表す。

時系列相関アルゴリズム:

Input: fluxo de eventos E, grafo ATT&CK G, janela temporal Δt
Output: conjunto de alertas A

para cada evento e_i em E:
    mapear evento para técnica t
    inserir t na janela Δt
    verificar caminhos plausíveis em G
    calcular score S da sequência
    se S > θ:
        gerar alerta

近似計算量は次のとおりである。

$$ O(n \cdot k) $$

ここで $k$ は相関付けられる技術の平均数に対応する。

Layer 3 — 適応的統計モデル

我々は異常な振る舞いを識別するために Isolation Forest アルゴリズムを適用する。

異常スコアは次のように定義される。

$$ score(x) = 2^{-\frac{E(h(x))}{c(n)}} $$

ここで $h(x)$ はランダム木における平均的な分離深度を表し、$c(n)$ は正規化係数である。

5. 実装

実験実装では、以下の技術スタックを使用した。

コンポーネント	機能
Elastic Stack 8.x	ログの索引付けと分析
Suricata 7	ネットワーク IDS
Sysmon	エンドポイント詳細テレメトリ
Wazuh	SIEM および追加相関
MISP	脅威インテリジェンス
Volatility 3	メモリ分析

LSASS プロセスへの不審なアクセスを検知するために用いた Sigma ルールの例：

logsource:
  product: windows
  service: sysmon
detection:
  selection:
    EventID: 10
    TargetImage: 'C:\Windows\System32\lsass.exe'
  condition: selection
level: high

取り込みクラスタは、各 32 GB の RAM を搭載した3台の Elasticsearch ノードで構成され、平均取り込み速度は約 18,000 イベント/秒に達した。

6. 実験評価

評価は、複数の仮想マシンを含む制御環境で実施した。

コンポーネント	数量
Windows 10 ワークステーション	20
Linux サーバ	5
ドメインコントローラ	2

オフェンシブ・セキュリティ文献で広く文書化されたツールを用いて、42の攻撃シナリオを実行した。

観測結果:

ATT&CK 技術	TPR (%)	FPR (%)	MTTD (s)
T1003	96.3	2.1	18
T1021	94.7	3.0	25
T1059	92.8	2.8	14

ネットワーク IDS のみを用いたベースラインとの比較:

システム	平均 TPR	FPR	MTTD
単独 IDS	78.4%	1.9%	39 s
提案アーキテクチャ	94.6%	2.6%	24 s

平均検知時間が約 37% 短縮され、ATT&CK 技術のカバレッジが大幅に向上したことを確認した。

7. ケーススタディ

PowerShell のリモート実行を伴うフィッシングベースの初期攻撃をシミュレートした。

観測されたシーケンス:

1. PowerShell の初期実行（Sysmon EventID 1 のテレメトリ）。
2. certutil を用いたペイロードのダウンロード（T1105）。
3. Mimikatz による LSASS からの認証情報抽出（T1003）。
4. PsExec による横展開（T1021）。

相関機構は、データ漏えい段階の前に、約 31 秒で攻撃チェーン全体を識別し、重大度の高いアラートを生成した。

この分析は、マルチステージ相関が、単独のアラートと比較して運用ノイズを大幅に低減することを示した。

8. 考察

実験結果は、ハイブリッド・アーキテクチャが、孤立した検知機構と比較して優れた性能を示すことを示している。複数ソースのテレメトリ統合により、個別センサーでは検知できない挙動を観測できる。

しかし、いくつかの制約は残る。システムの精度は、観測可能なイベントと ATT&CK 技術とのマッピング品質に依存する。さらに、インフラの通常挙動の変化は concept drift を引き起こしうるため、モデルの定期的な再較正が必要である。

企業環境における SOC 運用に対しては、MTTD、ATT&CK 技術カバレッジ、および検知能力の継続的検証のための定期的な purple team テストに基づく運用メトリクスの採用を推奨する。

9. 結論

我々は、意味的相関、時系列解析、および適応的統計モデルに基づく、高度脅威の予防的検知のための多層ハイブリッド・アーキテクチャを提示した。本アプローチは、ネットワーク、エンドポイント、ID のテレメトリを統合し、MITRE ATT&CK オントロジーに整合したマルチステージ攻撃チェーンの識別を可能にする。

実験評価は、従来のシグネチャ専用アプローチと比較して、技術カバレッジの大幅な改善と平均検知時間の短縮を示した。

これらの結果は、意味的相関と統計モデリングの組み合わせが、ハイブリッドおよび cloud-native 環境における現代的サイバーセキュリティ運用に対する有効な戦略であることを示している。

References

BEHL, Abhinav; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780198794615.001.0001

BIGGIO, Battista; ROLI, Fabio. Wild patterns: Ten years after the rise of adversarial machine learning. Pattern Recognition, v. 84, p. 317–331, 2018. Available at: https://doi.org/10.1016/j.patcog.2018.07.023

CHANDOLA, Varun; BANERJEE, Arindam; KUMAR, Vipin. Anomaly detection: A survey. ACM Computing Surveys, v. 41, n. 3, 2009. Available at: https://doi.org/10.1145/1541880.1541882

CISA. SolarWinds Supply Chain Compromise: Analysis Report. 2021. Available at: https://www.cisa.gov/news-events/analysis-reports/ar21-039a

DENNING, Dorothy. An intrusion-detection model. IEEE Transactions on Software Engineering, v. 13, n. 2, 1987. Available at: https://doi.org/10.1109/TSE.1987.232894

ELASTIC. Elastic Stack Documentation. 2024. Available at: https://www.elastic.co/guide/index.html

HASAN, Md. Mahmudul et al. A survey of attack graph analysis for cyber security. ACM Computing Surveys, 2019. Available at: https://doi.org/10.1145/3331184

LIU, Fei Tony; TING, Kai Ming; ZHOU, Zhi-Hua. Isolation forest. IEEE International Conference on Data Mining, 2008. Available at: https://doi.org/10.1109/ICDM.2008.17

MICROSOFT. Sysmon Documentation. 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA, 1999. Available at: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks

SCARFONE, Karen; MELL, Peter. Guide to Intrusion Detection and Prevention Systems. NIST, 2007. Available at: https://nvlpubs.nist.gov

STROM, Blake et al. MITRE ATT&CK: Design and philosophy. MITRE Corporation, 2018. Available at: https://attack.mitre.org/docs/MITRE_ATTACK_Design_and_Philosophy.pdf

SURICATA. Suricata IDS Documentation. 2024. Available at: https://docs.suricata.io

VERIZON. Data Breach Investigations Report 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/

WAZUH. Wazuh Documentation. 2024. Available at: https://documentation.wazuh.com

MISP PROJECT. MISP Threat Sharing Platform. 2024. Available at: https://www.misp-project.org

VOLATILITY FOUNDATION. Volatility 3 Framework Documentation. 2024. Available at: https://volatility3.readthedocs.io

CROWDSTRIKE. CrowdStrike Falcon Platform Overview. 2024. Available at: https://www.crowdstrike.com/platform/

MICROSOFT. Microsoft Defender for Endpoint Documentation. 2024. Available at: https://learn.microsoft.com/defender-endpoint

SYMA, Sigma Project. Generic Signature Format for SIEM Systems. 2024. Available at: https://sigmahq.io

FALCO PROJECT. Falco Runtime Security. 2024. Available at: https://falco.org/docs

BEHL, Abhinav. Cybersecurity Analytics. Boca Raton: CRC Press, 2017. Available at: https://doi.org/10.1201/9781315176727

GOODFELLOW, Ian; BENGIO, Yoshua; COURVILLE, Aaron. Deep Learning. MIT Press, 2016. Available at: https://www.deeplearningbook.org

ANDERSON, Ross. Security Engineering. 3. ed. Cambridge: Cambridge University Press, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html

NIST. Zero Trust Architecture. NIST SP 800‑207, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207