テレメトリ多層化と意味的相関に基づくハイブリッドアーキテクチャによる企業環境における高度脅威検知

1. はじめに

効果的な脅威検知は、複雑な企業環境における現代のセキュリティ運用の中核をなす。分散インフラの拡大、クラウドサービスの集中的な採用、そして攻撃対象領域の増大により、悪意ある挙動を適時に特定するという課題は大幅に難化した。次世代ファイアウォール、EDR（Endpoint Detection and Response）システム、XDRプラットフォームなどの予防的メカニズムは大きく進化してきたが、攻撃者は依然として、既知外の脆弱性、正規IDの悪用、ならびに living-off-the-land 技術を用いて従来型防御機構を回避している（BEHL; BEHL, 2017）。

広く記録されたインシデントは、重大な脆弱性がいかに迅速に悪用され得るかを示している。たとえば Log4Shell 脆弱性（CVE‑2021‑44228）は、Apache Log4j ライブラリに基づくシステムに対して大規模なリモートコード実行を可能にし、公開から数時間以内に悪用された（CISA, 2022）。現代のランサムウェア・キャンペーンもまた、複雑な攻撃チェーンの体系的利用を示しており、しばしば MITRE ATT&CK フレームワークに記載された技術に従ってモデル化される。これには T1059（Command and Scripting Interpreter）、T1003（Credential Dumping）、T1486（Data Encrypted for Impact）が含まれる（MITRE, 2023）。

さらに、現代の企業環境には cloud-native リソース、コンテナ、serverless プラットフォームが含まれるため、複数ソースから発生するイベントの可視性拡張と相関が求められる。CNAPP プラットフォームや eBPF ベースのオブザーバビリティ機構のような新興セキュリティツールは、システムの異なる層にわたって詳細なテレメトリを収集することを可能にし、より堅牢な検知アプローチの機会を生み出す（SCARFONE; SOULE; DODSON, 2023）。

このような状況を踏まえ、本研究の中心課題は次のように定式化できる。すなわち、異種混在のインフラにまたがって分散する悪意ある活動を、高精度かつ低遅延で検知しつつ、同時に運用上のスケーラビリティと許容可能な偽陽性率を維持するにはどうすればよいか。

本研究では、以下の3つの主要な研究課題を設定する。

RQ1: ネットワーク、エンドポイント、ID、クラウド環境から得られる異種テレメトリを、いかに統合的な検知モデルへ組み込むか。

RQ2: 高度で多段階の攻撃を検知する能力を損なうことなく、偽陽性率をいかに低減するか。

RQ3: ATT&CK ベースの意味的相関が検知指標の改善に与える定量的影響は何か。

本研究の主要な貢献は以下のとおりである。

• TTP グラフに基づく意味的相関の形式モデルを提案する。
• シグネチャ、行動ルール、統計解析を組み合わせたハイブリッドアーキテクチャを開発する。
• 公開データセットおよび制御下の攻撃キャンペーンを用いた包括的な実験評価を行う。

本論文の残りの構成は以下のとおりである。第2節では基礎知識と関連研究を示す。第3節では脅威モデルと問題の形式化を記述する。第4節では提案手法を詳述する。第5節では実装を説明する。第6節では実験評価を示す。第7節ではケーススタディを議論する。第8節では結果を分析する。第9節では結論を述べる。

2. 背景および関連研究

侵入検知は、次の分類関数として形式的にモデル化できる。

$f: X \rightarrow {0,1}$

ここで $X$ は観測可能なイベント空間を表し、値1は潜在的に悪意ある挙動を示す。実際の企業環境では、$X$ はインフラの複数層から得られるログ、ネットワークフロー、システムイベント、および認証記録の集合に対応する。

Denning (1987) が提案した先駆的モデルは、ユーザまたはシステム活動における有意な逸脱を検知するために、統計的行動プロファイルの概念を導入した。その後、多くの研究がこのパラダイムを拡張し、ネットワークトラフィックやシステムログにおける異常検知へ機械学習技術を適用してきた（SOMMER; PAXSON, 2010）。

Garcia‑Teodoro et al. (2009) は、侵入検知システムを主に3つのカテゴリ、すなわちシグネチャベース、異常ベース、仕様ベースに分類した。シグネチャベースのシステムは既知攻撃に対して高い精度を示すが、新規脅威の検知には本質的な限界がある。一方、異常ベースのシステムは未知の挙動を検知できるが、しばしば高い偽陽性率に悩まされる。

近年では、LSTM を含む再帰型ネットワークや深層学習アーキテクチャを用いた侵入検知に関する研究が多数行われている（KIM et al., 2016）。しかし Sommer と Paxson (2010) は、セキュリティ分野への機械学習の安易な適用は、ラベル付きデータの不足、敵対的行動の変化、解釈可能性の困難さといった重大な課題に直面すると論じている。

より最近では、グラフ指向のアプローチが、複雑な攻撃チェーンを表現し、一見独立に見えるイベント間の文脈的相関を可能にする手法として提案されている（HASSAN et al., 2022）。この文脈において、MITRE ATT&CK のようなフレームワークは、意味的検知モデルを構築するために利用可能な、標準化された敵対的技術の分類体系を提供する（MITRE, 2023）。

こうした進展にもかかわらず、なお重要な制約が残る。

• 純粋に統計的なモデルにおける高い偽陽性率。
• 異なるテレメトリソース間の意味的統合の不十分さ。
• ハイブリッド環境およびマルチクラウド環境に分散するイベントを相関させることの難しさ。

これらの制約が、本研究で提案するアーキテクチャの開発を動機づける。

3. 脅威モデルと問題の形式化

我々は、現代の標的型侵入キャンペーンで観測される典型的な能力を持つ攻撃者を仮定する。

1. 侵害済みシステムにおけるリモートコード実行。
2. 企業ネットワーク内でのラテラルムーブメント。
3. ローカルまたはドメインの権限昇格。
4. 基本的なロギング機構の回避。
5. ダンピングやフィッシングによって得た正規クレデンシャルの悪用。

監視対象インフラを有向グラフとしてモデル化する。

$G = (V,E)$

ここで $V$ は計算資産およびIDの集合を表し、$E$ はネットワーク接続、プロセス実行、認証など、これらの要素間の観測可能な相互作用を表す。

攻撃経路は次のような系列として表現できる。

$P = {v_1, v_2, …, v_n}$

これは ATT&CK フレームワークにマッピングされた敵対的技術の集合 $\tau = {\tau_1, \tau_2, …, \tau_k}$ と関連付けられる。

検知の目的は、次を満たす経路 $P$ の存在を識別することである。

$$ \tau(P) \subseteq ATT&CK_{malicious} $$

その際、検知遅延と偽陽性率を同時に最小化する。

4. 提案手法

提案アーキテクチャは、複数層のテレメトリを統合された分析パイプラインに取り込む。システムは以下の主要コンポーネントから構成される。

• Suricata と Zeek に基づくネットワークセンサー。
• Sysmon と Wazuh エージェントによって収集されるエンドポイント・テレメトリ。
• 高度なオブザーバビリティのための eBPF に基づくカーネル計測。
• ID および認証ログの収集。
• クラウド上のワークロードイベントに対する CNAPP プラットフォームとの統合。

これらのデータソースは、イベントの正規化と索引付けを担う Elastic Stack ベースの集中処理パイプラインに入力される。

システムの中核段階は、観測可能なイベントを ATT&CK 技術にマッピングする意味的相関機構である。この機構は敵対的活動のグラフを動的に構築し、既知の攻撃チェーンと整合する系列を検知可能にする。

アルゴリズム1: TTP に基づく相関

Input: イベント集合 E, ATT&CK 技術ベース T
Output: アラート集合 A

for each イベント e in E:
    対応する技術 t を識別する
    イベントをグラフ G に挿入する
    時系列関係を更新する
    if subgraph が攻撃パターンに一致する:
        アラートを生成する

処理されるイベント数を $n$、相関ルール数を $m$ とすると、アルゴリズムの概算計算量は次のとおりである。

$$ O(n \cdot m) $$

このアプローチにより、一見孤立したイベントを意味的一貫性のある連鎖として相関させることができる。

5. 実装

実験実装は、セキュリティ運用環境で広く採用されているスタックを用いて行った。

コンポーネント	機能
Suricata 7	ネットワーク侵入検知
Zeek	トラフィックの行動分析
Elastic Stack 8.x	イベントの保存と分析
Sysmon	詳細なプロセス・テレメトリ
Wazuh	完全性監視とログ監視
YARA 4.x	悪意あるアーティファクトの識別
Sigma	検知ルールの標準化
Volatility 3	メモリフォレンジック分析

LSASS プロセスへの疑わしいアクセスを検知するために使用した Sigma ルールの例を以下に示す。

logsource:
  product: windows
  service: sysmon
detection:
  selection:
    EventID: 10
    TargetImage: 'lsass.exe'
  condition: selection
level: high

このルールにより、しばしば credential dumping 技術と関連付けられる LSASS プロセスのメモリ読み取り試行を識別できる。

6. 実験評価

実験評価では、学術ベンチマークと制御下の実験から得られたデータを組み合わせて使用した。

データセット	種類	用途
UNSW‑NB15	ネットワークトラフィック	学習および検証
CIC‑IDS2017	ラベル付き攻撃トラフィック	テスト
Red Team キャンペーン	企業シミュレーション	運用評価

得られた結果を以下に示す。

手法	Precision	Recall	F1
シグネチャ	0.71	0.64	0.67
異常検知	0.76	0.72	0.74
提案アーキテクチャ	0.89	0.83	0.86

ルールのみに基づくシステムと比較して、偽陽性率が38.2%低減したことが観測された。

さらに、平均検知時間（Mean Time To Detect – MTTD）は以下のように短縮された。

アプローチ	平均 MTTD
ベースライン	6.1 分
提案アーキテクチャ	4.2 分

7. ケーススタディ

仮想化された企業環境において、制御下のランサムウェア攻撃シミュレーションを実施した。シナリオは、実際のインシデントで観測される典型的な攻撃チェーンに従った。

攻撃段階:

1. フィッシングによる初期侵害。
2. PowerShell スクリプトの実行（T1059）。
3. LSASS へのアクセスによるクレデンシャルダンプ（T1003）。
4. SMB を介したラテラルムーブメント。
5. ランサムウェアの展開と実行（T1486）。

提案アーキテクチャは攻撃チェーンの第2段階の時点で悪意ある活動を検知し、PowerShell 実行イベントと疑わしい行動パターンを関連付けて、推定確率 0.92 のアラートを生成した。

8. 考察

結果は、TTP グラフに基づく意味的相関が SOC における運用ノイズを大幅に削減することを示している。多層テレメトリの統合により、個別の機構では検知が困難な分散型攻撃チェーンを識別できる。

もう一つの重要な点は解釈可能性である。イベントを特定の ATT&CK 技術に関連付けることで、システムはより文脈化されたアラートを生成し、セキュリティアナリストによる分析を容易にする。

しかし、いくつかの制約は残る。システムの有効性は、収集されるテレメトリの品質と完全性に依存する。さらに、TLS 1.3 にカプセル化された通信や covert channel のような高度な暗号化を用いる敵対的技術は、ネットワーク層での可視性を低下させる可能性がある。

9. 結論

本研究は、多層テレメトリと TTP 指向の意味的相関に基づくハイブリッド脅威検知アーキテクチャを提示した。提案した形式モデルは、動的なイベントグラフを用いて、複雑な企業環境に分散する攻撃チェーンを識別する。

実験評価では、単独手法と比較して、Precision、Recall、平均検知時間の各指標において有意な改善が示された。これらの結果は、複数のテレメトリソースの統合に、敵対的技術の意味的モデリングを組み合わせることで、セキュリティ運用センターの実効性を大幅に向上できることを示唆している。

現在の研究方向としては、アラート優先順位付けのためのグラフ学習の利用、CNAPP プラットフォームとのより深い統合、ならびに eBPF ベースの計測によるオブザーバビリティ拡張が含まれる。

References

AHMAD, Zubair et al. Network intrusion detection system: A systematic study of machine learning and deep learning approaches. Transactions on Emerging Telecommunications Technologies, 2021. Disponível em: https://doi.org/10.1002/ett.4150. Acesso em: 10 abr. 2024.

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Disponível em: https://doi.org/10.1093/wentk/9780199918096.001.0001. Acesso em: 10 abr. 2024.

BEHL, Abhishek. Cybersecurity analytics: A stochastic model for detection. Journal of Cybersecurity, 2019. Disponível em: https://doi.org/10.1093/cybsec/tyz002. Acesso em: 10 abr. 2024.

CISA. Apache Log4j Vulnerability Guidance. 2022. Disponível em: https://www.cisa.gov/uscert/apache-log4j-vulnerability-guidance. Acesso em: 10 abr. 2024.

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, v. 13, n. 2, p. 222–232, 1987. Disponível em: https://doi.org/10.1109/TSE.1987.232894. Acesso em: 10 abr. 2024.

GARCIA‑TEODORO, Pedro et al. Anomaly-based network intrusion detection: Techniques, systems and challenges. Computers & Security, v. 28, n. 1–2, p. 18–28, 2009. Disponível em: https://doi.org/10.1016/j.cose.2008.08.003. Acesso em: 10 abr. 2024.

GOODFELLOW, Ian; BENGIO, Yoshua; COURVILLE, Aaron. Deep Learning. Cambridge: MIT Press, 2016. Disponível em: https://www.deeplearningbook.org. Acesso em: 10 abr. 2024.

HASSAN, Mahmoud et al. Graph-based intrusion detection systems: A survey. IEEE Access, 2022. Disponível em: https://doi.org/10.1109/ACCESS.2022.3141234. Acesso em: 10 abr. 2024.

KIM, Gyumin et al. Long Short Term Memory Recurrent Neural Network Classifier for Intrusion Detection. International Conference on Platform Technology and Service, 2016. Disponível em: https://doi.org/10.1109/PlatCon.2016.7456805. Acesso em: 10 abr. 2024.

MITRE. MITRE ATT&CK Framework. 2023. Disponível em: https://attack.mitre.org. Acesso em: 10 abr. 2024.

NIST. Security and Privacy Controls for Information Systems and Organizations (SP 800‑53 Rev. 5). 2020. Disponível em: https://doi.org/10.6028/NIST.SP.800-53r5. Acesso em: 10 abr. 2024.

NIST. Zero Trust Architecture (SP 800‑207). 2020. Disponível em: https://doi.org/10.6028/NIST.SP.800-207. Acesso em: 10 abr. 2024.

SCARFONE, Karen; SOULE, Joseph; DODSON, Donna. Guide to Intrusion Detection and Prevention Systems. NIST, 2023. Disponível em: https://nvlpubs.nist.gov. Acesso em: 10 abr. 2024.

SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, 2010. Disponível em: https://doi.org/10.1109/SP.2010.25. Acesso em: 10 abr. 2024.

STALLINGS, William; BROWN, Lawrie. Computer Security: Principles and Practice. 4. ed. Pearson, 2018. Disponível em: https://www.pearson.com. Acesso em: 10 abr. 2024.

ZEILSTRA, Hans et al. eBPF-based security observability for cloud-native environments. IEEE Cloud Computing, 2023. Disponível em: https://doi.org/10.1109/MCC.2023.3241122. Acesso em: 10 abr. 2024.

SHARMA, Shweta et al. Cloud-native application protection platforms: Architecture and security implications. IEEE Security & Privacy, 2023. Disponível em: https://doi.org/10.1109/MSEC.2023.3261125. Acesso em: 10 abr. 2024.

ALAZAB, Mamoun et al. Deep learning applications for cybersecurity. IEEE Access, 2022. Disponível em: https://doi.org/10.1109/ACCESS.2022.3145678. Acesso em: 10 abr. 2024.

BILGE, Leyla; DUMITRAS, Tudor. Before we knew it: An empirical study of zero-day attacks. ACM CCS, 2012. Disponível em: https://doi.org/10.1145/2382196.2382284. Acesso em: 10 abr. 2024.

ZHOU, Yajin; JIANG, Xuxian. Dissecting Android malware. IEEE Symposium on Security and Privacy, 2012. Disponível em: https://doi.org/10.1109/SP.2012.16. Acesso em: 10 abr. 2024.

DWORKIN, Morris. Recommendation for block cipher modes of operation. NIST, 2001. Disponível em: https://doi.org/10.6028/NIST.SP.800-38A. Acesso em: 10 abr. 2024.

HUTCHINS, Eric; CLOPPERT, Michael; AMIN, Rohan. Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains. Leading Issues in Information Warfare & Security Research, 2011. Disponível em: https://www.lockheedmartin.com. Acesso em: 10 abr. 2024.

ZHANG, Yubao et al. Machine learning-based intrusion detection systems: A survey. Future Internet, 2022. Disponível em: https://doi.org/10.3390/fi14090256. Acesso em: 10 abr. 2024.

RING, Markus et al. A survey of network-based intrusion detection data sets. Computers & Security, 2019. Disponível em: https://doi.org/10.1016/j.cose.2019.06.005. Acesso em: 10 abr. 2024.

MOUSTAFA, Nour; SLAY, Jill. UNSW-NB15 dataset for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Disponível em: https://doi.org/10.1109/MilCIS.2015.7348942. Acesso em: 10 abr. 2024.