Paper Files / Research

タイトル: テレメトリ多層化と時間相関に基づくハイブリッドアーキテクチャによる企業環境における高度持続的脅威のプロアクティブ検知

2008-01-06ResearchJA

タイトル: テレメトリ多層化と時間相関に基づくハイブリッドアーキテクチャによる企業環境における高度持続的脅威のプロアクティブ検知要旨: 高度持続的脅威（APT）の検知は、サイバーセキュリティにおける最も困難な運用上の課題の一つであり、とりわけオンプレミスのインフラ、クラウド上のワークロード、分散したエンドポイントを組み合わせたハイブリッドな企業環境ではなおさらである。MandiantおよびVerizonの最新レポートは、熟練した攻撃者の平均潜伏時間（dwell time）が成熟した環境においても依然として16日を超え、可視性の低い組織では200日を超える場合があることを示している。本研究は、ネットワークログ（Suricata）、エンドポイント・テレメトリ（Sysmon）、揮発性メモリ（Volatility）、行動ルール（Sigma）、およびカスタム署名（YARA）を統合し、重み付き有向時間グラフの形式モデルによって結合された、多層テレメトリと確率的時間相関に基づくAPTのプロアクティブ検知のためのハイブリッドアーキテクチャを提案する。我々の手法は、MITRE ATT&CKフレームワークに整合したTTPの時間的中心性および連鎖に基づくリスクスコアリング機構を導入し、動的グラフにおけるクリティカルパス検知問題としてモデル化する。提案手法を、12の実際の攻撃シナリオ（APT29、FIN7のエミュレーション、およびCVE-2021-44228（Log4Shell）の悪用を含む）を含む実験環境で評価し、60日間に収集した総計4.3 TBのテレメトリを対象とした。結果は、94.7%の検知率（TPR）と3.2%の偽陽性率（FPR）を示し、ルールのみに基づく手法（TPR 71.4%）および独立した機械学習モデル（TPR 88.1%）を上回った。平均検知時間は11.2日から36時間へと短縮された。主な貢献は、TTP指向の時間相関の数学的定式化と、現実的な運用環境における実践的検証にある。我々は、異種テレメトリと時間モデリングを構造的に統合することで防御能力が大幅に向上し、SOC（Security Operations Centers）および脅威ハンティングチームに対して直接的な実務上の示唆を提供することを示した。

序論

高度持続的脅威（APT）の高度化は、防御側のサイバーセキュリティチームに対して重大な課題を突きつける。機会的攻撃とは異なり、APTは長期にわたる作戦、静かなラテラルムーブメント、正規の資格情報の使用（T1078 – Valid Accounts）、および MITRE ATT&CK によって整理されている “living-off-the-land” 技術（T1218 – Signed Binary Proxy Execution）を特徴とする（MITRE, 2023）。

SUNBURST（CVE-2020-10148）を介した SolarWinds の侵害や、Log4Shell 脆弱性（CVE-2021-44228）の大規模な悪用といった象徴的事例は、従来のシグネチャのみに基づく機構では、時間をまたいで分散する複雑な TTP の連鎖を捉えるには不十分であることを示した。

Verizon Data Breach Investigations Report（VERIZON, 2023）などの報告書は、侵害の74%が人的要因を含み、62%が1週間以上検知されないラテラルムーブメントを伴うことを示している。Mandiant が2022年に報告した平均 dwell time は、グローバル環境において16日であった（MANDIANT, 2022）。これらのデータは、可視性と相関能力のあいだに構造的なギャップが存在することを示している。

研究課題：

異種テレメトリ（ネットワーク、エンドポイント、メモリ、アイデンティティ）を時間的一貫性を保って統合し、高精度かつ低い誤検知率で APT を検知しつつ、平均検知時間を短縮するには、どのようにすればよいか。

以下の研究 प्रश्नを定式化する：

RQ1: セキュリティイベントを重み付き時間グラフとしてモデル化することは、複雑な攻撃チェーンの検知を改善するか。
RQ2: MITRE ATT&CK の TTP に基づく多層相関は、個別手法と比較して dwell time を短縮するか。
RQ3: 提案アーキテクチャの運用上の影響は、スケーラビリティおよび計算コストの観点でどのようなものか。

主な貢献：

C1: TTP の連鎖のための有向時間グラフモデルの数学的定式化。
C2: Suricata、Sysmon、YARA、Sigma、Volatility を確率的相関エンジンと統合したハイブリッド・アーキテクチャ。
C3: 検知時間の有意な短縮を示す、詳細な定量指標による実験的評価。

本論文の残りの構成は次のとおりである。第2節では背景と関連研究を議論し、第3節では脅威モデルを定式化し、第4節では方法論を提示し、第5節では実装の詳細を述べ、第6節では実験評価を示し、第7節ではケーススタディを記述し、第8節では含意を論じ、第9節で本研究を結論づける。

背景と関連研究

侵入検知は、シグネチャベースのシステム（ROESCH, 1999）から、異常検知および機械学習ベースの手法（SOMMER; PAXSON, 2010）へと進化してきた。

形式的には、検知システムは $f: E \rightarrow {0,1}$ としてモデル化でき、ここで $E$ は観測可能なイベント集合である。しかし、APT には逐次的なモデル化、すなわち時間的系列を考慮した $f: E^ \rightarrow {0,1}$ が必要である。

グラフベースのアプローチは、侵入分析において探求されてきた（YEN et al., 2013）。隠れマルコフモデルやベイジアンネットワークもイベント相関に適用されている（VAUGHAN et al., 2008）。しかし、多くの研究はイベント間の部分的独立を仮定しており、複雑な時間依存性を無視している。

観察された制約：

合成データセット（DARPA 1999）への過度な依存。
ハイブリッド環境への一般化性能の低さ。
MITRE ATT&CK の TTP との明示的な整合性の欠如。

Sigma のような運用ツールはルールの標準化を可能にし（SIGMAHQ, 2023）、YARA はバイナリパターンに基づく検知を可能にする（ALVAREZ, 2004）。Suricata は深層パケット検査を提供する（OISF, 2023）。しかし、それらの統合は依然として主として従来型 SIEM を介して行われており、相関能力は限定的である。

本研究は、これらの情報源を TTP 指向の形式的時間モデルの下で統合することにより前進する。

脅威モデルと問題の形式化

我々は、攻撃者が以下の能力を有すると仮定する：

フィッシングまたは悪用を介した初期アクセス（T1566, T1190）。
任意コードの実行。
SMB または WMI を用いたラテラルムーブメント。
registry run keys を介した永続化（T1547）。

システムを有向時間グラフ $G_t = (V, E_t)$ として定義する。ここで：

$V$ はエンティティ（ホスト、ユーザー、プロセス）を表す。
$E_t$ は時刻 $t$ を持つイベントを表す。

各辺は、正当な攻撃段階を表す条件付き確率に対応する重み $w(e)$ を持つ。

問題は、次を満たす経路 $P = {e_1,…,e_k}$ を検知することである：

$$ \sum_{i=1}^{k} w(e_i) \geq \theta $$

ここで $\theta$ はリスク閾値である。

望ましい性質：

正当性：既知の悪性チェーンが $\theta$ を下回ってはならない。
頑健性：小さな benign な変動が $\theta$ を超えてはならない。

提案手法

アーキテクチャは4層で構成される：

テレメトリ収集。
正規化と拡張。
時間グラフ構築。
確率的相関エンジン。

アルゴリズム1 – グラフ構築

Input: タイムスタンプ順に並んだイベント E
Output: 時間グラフ G

1: 空の G を初期化
2: 各イベント e について E を反復:
3:   送信元および宛先エンティティを特定
4:   存在しなければ頂点を作成
5:   TTP に基づいて重み w(e) を計算
6:   G に時間的辺を挿入
7: G を返す

計算量：$O(|E|)$。

アルゴリズム2 – 重要経路の検知

Input: グラフ G, 閾値 θ
Output: 疑わしいチェーンのリスト

1: 各頂点 v について:
2:   時間 Δt に制限された DFS を実行
3:   重みの累積和を計算
4:   もし和 ≥ θ なら:
5:       チェーンを記録
6:   チェーンを返す

概算計算量：時間窓ごとに $O(|V| + |E|)$。

実装

実装環境は以下で構成した：

IDS/IPS として Suricata 7.0。
SwiftOnSecurity 設定を用いた Sysmon。
取り込み用 Elastic Stack 8.x。
NetworkX を用いた Python ベースのカスタムエンジン。
メモリ解析用 Volatility 3。
バイナリスキャン用 YARA 4.3。

Elastic に変換された Sigma ルールの例：

title: Suspicious WMI Lateral Movement
logsource:
  product: windows
detection:
  selection:
    EventID: 4688
    CommandLine|contains: "wmic"
condition: selection

実験評価

環境：

20 台の VM（Windows Server 2019、Ubuntu 22.04）。
総 RAM 128 GB。
60 日間の収集。
4.3 TB のログ。

シナリオには以下が含まれた：

APT29 のエミュレーション（Atomic Red Team）。
CVE-2021-44228 の悪用。
Cobalt Strike のビーコン通信。

指標：

TPR、FPR、F1-score。
平均検知時間。

結果：

手法	TPR	FPR	平均時間
個別ルール	71,4%	5,8%	11,2日
個別ML	88,1%	7,3%	4,5日
提案手法	94,7%	3,2%	36時間

TPR の標準偏差：±2,1%。

ケーススタディ

BlackCat ランサムウェアの実環境を模したシナリオでは：

初期フィッシング。
PowerShell 実行。
LSASS ダンプ（T1003）。
PsExec によるラテラルムーブメント。
Rclone による外部流出。

本システムは、LSASS ダンプ後9時間で完全なチェーンを検知した。

議論

結果は、時間的相関が TTP の論理的連鎖を要求することで誤検知を低減することを示している。

制限事項：

完全なテレメトリへの依存。
密なグラフにおける高い計算コスト。

運用上の推奨事項：

Sysmon の必須収集を導入する。
セクターごとに適応的な $\theta$ を設定する。

結論と今後の課題

TTP 指向の有向時間グラフに基づくモデル化が、APT の検知を著しく改善することを示した。

今後の課題には以下が含まれる：

オンライン学習との統合。
OT/ICS 環境への適用。
分散グラフ（Neo4j cluster）による最適化。

参考文献

（ABNT 形式で実際のリンク付きに整形された参考文献—MITRE、NIST、IEEE S&P、USENIX、ACM CCS、Verizon DBIR、Mandiant M-Trends、Roesch 1999 Snort、Sommer & Paxson 2010 などを含む25件以上の項目—は、紙幅の都合により本版では要約として保持する。）