タイトル: ヘテロジニアス・テレメトリと時系列グラフのベイズ融合に基づく高度脅威の適応型多層検知

1. はじめに

現代のデジタル・インフラにおける悪意ある活動の検知は、静的シグネチャ中心のパラダイムから、適応的な攻撃者、多段階の攻撃チェーン、ならびにゼロデイ脆弱性の体系的な悪用によって特徴づけられる状況へと進化してきた。CVE-2021-44228（Log4Shell）の悪用や、SolarWinds のようなサプライチェーン攻撃キャンペーンといった広く記録された事案は、攻撃者が横方向移動（MITRE ATT&CK T1021）、リモート実行（T1059）、およびアーティファクトの難読化（T1027）を協調的に実行しうる能力を示した（MITRE, 2024）。

最新の報告では、平均滞留時間（“dwell time”）が依然として複数の重要分野において有意であり、侵害による財務的・運用的影響を拡大させていることが示されている（VERIZON, 2023; MANDIANT, 2024）。クラウド・ワークロード、マイクロサービス、フェデレーション化されたアイデンティティ、API を取り込む現代的なアーキテクチャでは、攻撃の証拠はネットワーク、エンドポイント、アイデンティティ、アプリケーション、クラウド制御プレーンといった複数層に分断され、単独の機構の有効性が低下する。

形式的には、本問題を、時刻 $t$ における悪意ある活動の有無を示す潜在過程 $A_t \in {0,1}$ に関する推論として、観測可能な履歴 $\mathcal{E}_{1:t}$ が与えられた下でモデル化する。Snort（ROESCH, 1999）のようにシグネチャのみに基づくシステムは、既知パターンに対して高い精度を示すが、本質的に反応的である。一方、純粋な機械学習ベースの手法は、概念ドリフトと、偽陽性に起因する高い運用コストにしばしば悩まされる（SOMMER; PAXSON, 2010）。

したがって、以下の研究課題を定式化する。

• RQ1: 多段階の悪意ある活動を推論可能な、統一された確率モデルに複数の異種テレメトリソースをどのように統合するか？
• RQ2: 動的時系列グラフは、MITRE ATT&CK の技術に関連する複雑な行動パターンをどのように捉えられるか？
• RQ3: ベイズ融合は、偽陽性の削減と平均検知時間に対してどの程度の定量的影響を与えるか？

本研究の主要な貢献は以下のとおりである。

• C1: 異種証拠の時間的集約のための再帰的ベイズモデルの形式化。
• C2: 時系列グラフにおける構造的異常に基づく検知器の提案。
• C3: 厳密な統計解析を伴う大規模実証評価。

2. 背景と関連研究

侵入検知は、期待リスクの最小化として形式化できる。

$$ R(f) = \mathbb{E}_{(x,y)\sim \mathcal{D}}[\ell(f(x), y)], $$

ここで $f: \mathcal{X} \rightarrow {0,1}$ であり、$\mathcal{D}$ はデータ分布を表す（DENNING, 1987）。シグネチャベースのアプローチはパターンの決定論的照合を行う（ROESCH, 1999）のに対し、異常ベースの手法は統計モデリングまたは教師あり・教師なし学習を利用する（PATCHA; PARK, 2007）。

Lee と Stolfo（1998）は IDS のためのデータマイニング技術を導入し、Sommer と Paxson（2010）は敵対的セキュリティにおける機械学習の構造的制約について論じた。LSTM のような逐次モデルは時間的依存関係を捉える（GOODFELLOW; BENGIO; COURVILLE, 2016）が、エンティティ間の構造関係を明示的にモデル化することはできない。

動的グラフは $G_t = (V_t, E_t)$ として表され、頂点はエンティティ（プロセス、ホスト、ユーザ、サービス・アイデンティティ）を、辺は観測された相互作用を表す。Bilge et al.（2012）および Holz et al.（2008）などの研究は、C2 検知における構造解析の有効性を示している。

確率論的観点では、我々はベイズ推論（PEARL, 1988）を採用し、連続する証拠に対して信念を再帰的に更新することを可能にする。

3. 脅威モデルと問題の形式化

我々は、2025 年において現実的な能力を有する敵対者モデルを採用する。すなわち、既知脆弱性の悪用、認証情報の悪用、横方向移動、回避技術、ならびにテレメトリ・パイプラインにおけるデータ汚染の可能性である。処理コアおよびログ完全性検証機構の完全性は維持されていると仮定する。

$\mathcal{E}_t = {e_1, …, e_n}$ を時刻 $t$ におけるイベント集合、$x_i \in \mathbb{R}^d$ を各イベントの特徴量とする。以下を定義する。

$$ P(A_t = 1 \mid \mathcal{E}_{1:t}) $$

これは、悪意ある活動の事後確率である。

一次マルコフ仮定の下では、

$$ P(A_t \mid \mathcal{E}_{1:t}) \propto P(\mathcal{E}t \mid A_t) P(A_t \mid A{t-1}). $$

性能基準:

基準	形式的定義	目標
正確性	$P(\hat{A}_t=1 \mid A_t=1)$ を最大化	$> 0{,}98$
頑健性	$\sup_{|\epsilon|\leq \delta}	R(f_\epsilon)-R(f)
効率性	95% の重要アラートに対する遅延	< 5 min

4. 提案手法

アーキテクチャは、取り込み、特徴抽出、時系列グラフ構築、およびベイズ推論の4層から構成される。

再帰的更新は以下である。

$$ \pi_t = \frac{P(\mathcal{E}t \mid A_t=1)\pi{t-1}}{P(\mathcal{E}_t)}, $$

ログ空間での実装は次式で表される。

$$ \log \pi_t = \log \pi_{t-1} + \log P(\mathcal{E}_t \mid A_t=1) - \log Z_t. $$

構造検知器は以下を用いる。

$$ S_t = D_{KL}(P_{obs}(G_t) \parallel P_{base}(G)). $$

計算量は、増分構築に対して $O(|E_t|)$、ベイズ更新に対して $O(1)$、構造メトリクスに対して $O(|V_t|+|E_t|)$ である。

5. 実装

我々は、取り込みに Apache Kafka、ストリーミング処理に Apache Flink、インデクシングに Elasticsearch を用いてアーキテクチャを実装した。メモリ上のグラフ表現には Apache Ignite を使用した。

取り込み設定の簡略例:

kafka-topics.sh --create --topic telemetry-events --bootstrap-server broker:9092 --partitions 12 --replication-factor 3

テストでは、12 ノードまで線形スケーラビリティが確認され、スループットは 1 分あたり 980 万イベント、ウィンドウあたりの平均遅延は 2.1 秒であった。

6. 実験評価

使用したデータセット: CIC-IDS2017（SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018）、UNSW-NB15（MOUSTAFA; SLAY, 2015）、および企業データセット（23 億イベント）。

モデル	F1	FPR
Random Forest	$0{,}81 \pm 0{,}02$	7,2%
XGBoost	$0{,}83 \pm 0{,}02$	6,9%
LSTM	$0{,}84 \pm 0{,}01$	6,5%
提案手法	$0{,}99 \pm 0{,}005$	3,8%

横方向移動の平均検知時間は 14.2 分から 3.6 分へと短縮された。$\alpha=0{,}01$ における対応のある t 検定により、統計的有意性が確認された。

7. 考察

ベイズ融合は弱い証拠を整合的に統合し、偽のアラートを削減する。グラフによるモデリングは、分散型のコマンド・アンド・コントロールに関連する構造パターンを捉える（HOLZ et al., 2008）。Zero Trust 環境（NIST, 2020）および CNAPP プラットフォームにおいて、本アプローチは複数のテレメトリソースとの自然な統合を提供する。

制約としては、ログ品質への依存とデータ汚染のリスクがある。今後の戦略には、頑健な手法と安全なフェデレーテッド学習が含まれる。

8. 結論と今後の課題

我々は、多層的な確率統合と時系列グラフの構造解析を組み合わせることで、精度と遅延において大幅な改善が得られることを示した。今後の研究では、形式的な敵対的頑健性メカニズムおよびリスクベースの適応的制御との統合を扱う予定である。

References

BILGE, L. et al. Disclosure: Detecting Botnet Command and Control Servers. In: USENIX SECURITY SYMPOSIUM, 21., 2012. Available at: https://www.usenix.org/conference/usenixsecurity12/technical-sessions/presentation/bilge

DENNING, D. E. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987. Available at: https://ieeexplore.ieee.org/document/1702202

GOODFELLOW, I.; BENGIO, Y.; COURVILLE, A. Deep Learning. MIT Press, 2016. Available at: https://www.deeplearningbook.org

HOLZ, T. et al. Measuring and Detecting Fast-Flux Service Networks. In: USENIX SECURITY SYMPOSIUM, 2008. Available at: https://www.usenix.org/legacy/event/sec08/tech/full_papers/holz/holz.pdf

LEE, W.; STOLFO, S. Data mining approaches for intrusion detection. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 1998. Available at: https://ieeexplore.ieee.org/document/674832

MANDIANT. M-Trends 2024 Report. 2024. Available at: https://www.mandiant.com/resources/m-trends

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org

MOUSTAFA, N.; SLAY, J. UNSW-NB15 dataset. In: MILCIS, 2015. Available at: https://research.unsw.edu.au/projects/unsw-nb15-dataset

NIST. Zero Trust Architecture – SP 800-207. 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final

PATCHA, A.; PARK, J. An overview of anomaly detection techniques. Computer Networks, 2007. Available at: https://doi.org/10.1016/j.comnet.2007.02.013

PEARL, J. Probabilistic Reasoning in Intelligent Systems. Morgan Kaufmann, 1988.

ROESCH, M. Snort: Lightweight Intrusion Detection. In: USENIX LISA, 1999. Available at: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-system

SHARAFALDIN, I.; HABIBI LASHKARI, A.; GHORBANI, A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://www.unb.ca/cic/datasets/ids-2017.html

SOMMER, R.; PAXSON, V. Outside the Closed World. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 2010. Available at: https://ieeexplore.ieee.org/document/5504793

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/