テレメトリ統合と敵対的モデリングに基づくマルチクラウド環境における脅威の検知および封じ込めのための形式的・運用的アーキテクチャ

1. はじめに

クラウドコンピューティングは、現代のデジタルインフラにおける支配的なパラダイムとして確立された。さまざまな業界の組織が、重要なワークロードを、サービスとしてのインフラストラクチャ（IaaS）、サービスとしてのプラットフォーム（PaaS）、およびサービスとしてのソフトウェア（SaaS）に基づく環境へ移行してきた。市場推計によれば、パブリッククラウドサービスの世界規模は年間で数千億ドルを超えており、このモデルが企業のデジタルトランスフォーメーションにとって中核的であることを反映している（GARTNER, 2023）。

スケーラビリティ、エラスティシティ、オートメーションといった利点にもかかわらず、クラウド環境は新たな種類のセキュリティリスクを導入する。攻撃対象領域は、リソースの継続的な生成・破棄、管理用APIの公開、そしてフェデレーションIDおよび一時トークンの広範な利用により、きわめて動的となる。この状況は、広く文書化されたインシデントによって裏付けられている。2019年のCapital One侵害では、Server-Side Request Forgery（SSRF）の脆弱性を悪用してEC2インスタンスのメタデータサービスへアクセスし、過剰に許可されたIAMポリシーに関連付けられた一時的な認証情報を取得した（SEN; SHARMA, 2020）。同様に、Log4Shell脆弱性（CVE-2021-44228）は、広く利用されるコンポーネントがコンテナ化およびサーバーレス環境に体系的なリスクをもたらし得ることを示した（NIST, 2022）。

マルチクラウド環境では、問題はさらに複雑化する。各プロバイダは、AWS CloudTrail、Azure Activity Logs、Google Cloud Audit Logsのように、異なる監査およびテレメトリ機構を公開している。加えて、現代のワークロードはKubernetesのようなオーケストレーション基盤を利用し、セキュリティログとイベントの追加層を導入する（BURNS; BEDA; HIGHTOWER, 2019）。多くの組織では、これらのデータは従来型のSIEMツールで収集されるが、アイデンティティ、リソース、権限の関係を明示的に表現することなく、断片的に分析されている。

この断片化は、サービス間に分散した権限連鎖を悪用する攻撃を特定する能力を制限する。クラウド環境で広く観測されるT1078（Valid Accounts）やT1550（Use of Web Tokens）といった技術は、しばしば、イベントが個別に分析される場合には検出されない複数段階の横移動・権限昇格を伴う（MITRE, 2023）。

この文脈を踏まえ、本研究では以下の研究課題を検討する。

RQ1: クラウド環境の攻撃対象領域を、横移動・権限昇格経路の効率的な推論を可能にする形で、いかに数学的に形式化できるか？

RQ2: 複数プロバイダから得られる異種テレメトリを、MITRE ATT&CKの戦術および技術に整合した共通の分析モデルへ統合することは可能か？

RQ3: このアプローチは、検出率およびインシデント対応の平均所要時間にどのような運用上の影響を与えるか？

本研究の主な貢献は3つである。第一に、マルチクラウド環境におけるアイデンティティ、リソース、認可ポリシーを表現する、重み付き有向グラフに基づく形式モデルを提案する。第二に、複数のテレメトリソースからのイベントを統合可能な逐次相関アルゴリズムを開発する。第三に、数百のインスタンスと複数の攻撃シナリオを含む現実的なマルチクラウド環境において、提案アーキテクチャを実験的に評価する。

論文の残りの構成は以下のとおりである。第2節では基礎事項と関連研究を示す。第3節では脅威モデルと問題の形式化を記述する。第4節では提案手法を示す。第5節ではアーキテクチャの実装を説明する。第6節では実験評価を示す。第7節では現実的なケーススタディを記述する。第8節では含意と制約を論じる。最後に第9節で結論を示す。

2. 背景と関連研究

National Institute of Standards and Technology は、クラウドコンピューティングを、構成可能な計算資源の共有プールへ便利かつオンデマンドにアクセスできるようにするモデルと定義している（MELL; GRANCE, 2011）。これらの資源には、ネットワーク、サーバ、ストレージ、そして最小限の管理労力で迅速にプロビジョニング可能なサービスが含まれる。

形式的には、クラウド環境を2つの基本集合で表現できる。

$R = {r_1, r_2, …, r_n}$ は計算資源を表し、
$I = {i_1, i_2, …, i_m}$ はアイデンティティを表す。

認可関係は次のようにモデル化できる。

$A \subseteq I \times R$

ここで各組 $(i,r)$ は、アイデンティティ $i$ が資源 $r$ に対する何らかのレベルのアクセス権を持つことを示す。

クラウドセキュリティに関する学術文献は、主として3つのカテゴリに分類できる。

第一に、ログ分析に基づくアプローチである。Almorsy, Grundy, Ibrahim の研究のように、監査ログを分析してクラウド基盤における異常行動を検出するものがある（ALMORSY; GRUNDY; IBRAHIM, 2016）。これらの手法は、利用可能なテレメトリの品質に強く依存する。

第二に、構成分析に基づくアプローチである。Infrastructure as Code におけるミスコンフィギュレーションの検出に焦点を当てたツールおよび研究は、DevOps とインフラ自動化の採用により、とりわけ重要になっている（RAHMAN; WILLIAMS, 2020）。

第三に、グラフモデリングに基づくアプローチである。近年の研究では、権限関係を表現し、クラウド環境における潜在的な攻撃経路を特定するためにグラフが用いられている（LI; YUAN; LI, 2019）。しかし、これらのアプローチの多くは単一プロバイダに集中しており、準リアルタイムの運用テレメトリを統合していない。

さらに、AWS GuardDuty や Microsoft Defender for Cloud のような商用ソリューションは、振る舞い分析および機械学習技術を利用するが、その分析モデルを公開的に形式化していないプロプライエタリなシステムとして動作する（SCARFONE; SOUPPAYA, 2020）。

したがって、マルチクラウド攻撃対象領域の厳密な数学的形式化の欠如、ならびに異なるテレメトリソースを含む比較実験評価の不足など、文献には依然として重要なギャップが存在する。

3. 脅威モデルと問題の形式化

本研究では、実際のクラウドセキュリティ侵害で観測されるシナリオと整合的な敵対者モデルを考える。攻撃者は初期状態として、漏えい、フィッシング、あるいは公開リポジトリへの偶発的露出を通じて得られた有効な認証情報または一時トークンへのアクセスを有する（MELARA et al., 2021）。

敵対者の能力には以下が含まれる。

• 有効な認証情報を用いたクラウドAPIへのアクセス（T1078）。
• インスタンスメタデータへアクセスするためのアプリケーション脆弱性の悪用。
• 過剰に許可されたIAMポリシーを介した横方向の権限昇格。
• セッショントークンまたはフェデレーションIDサービスの利用。

システムを次の有向グラフとしてモデル化する。

$G = (V, E)$

ここで頂点集合は次のとおりである。

$V = I \cup R$

また、辺集合は次のように定義する。

$E = {(i,r) \mid i \text{ は } r \text{ に対する権限を有する}}$.

各辺には、その権限関係が悪用される確率の推定値を表す重み $w(e)$ が付与される。

すると、グラフ上の経路 $p$ のリスク関数を次のように定義できる。

$$ Risk(p) = \prod_{e \in p} w(e) $$

ここで $p$ は、攻撃者が機微な資源に到達することを可能にする権限の連鎖を表す。

中心的な問題は、次を満たす経路 $p$ を特定することである。

$$ Risk(p) > \theta $$

ここで $\theta$ は組織のセキュリティポリシーによって定義されるリスク閾値を表す。

追加の運用基準には以下が含まれる。

• 収集されたログの完全性と真正性。
• 複数のイベントソース間の相関能力。
• 初回イベントから5分未満での検出。

4. 提案手法

提案アーキテクチャは、取り込み、正規化、相関、インシデント対応を可能にする4つの主要レイヤから構成される。

収集レイヤ: さまざまなプロバイダおよびセンサからのテレメトリ取り込みを担当する。AWS CloudTrail、Azure Monitor、Google Cloud Audit Logs、VPC Flow Logs、ならびにSuricataベースのネットワークセンサを含む。

正規化レイヤ: イベントは Elastic Common Schema（ECS）に基づく共通スキーマへ変換され、異なるソース間の相関を可能にする。

相関レイヤ: 正規化されたイベントは、Neo4j に格納された権限グラフを動的に更新するために利用される。Sigmaベースの検出ルールは、イベントを MITRE ATT&CK の技術へマッピングするために用いられる。

対応レイヤ: 高リスク経路が検出されると、SOARプラットフォームによって自動化されたプレイブックが実行され、認証情報の失効、インスタンスの隔離、またはAPIキーの遮断を行う。

アルゴリズム1 – グラフの逐次構築

Algorithm UpdateGraph(Event e)
Input: evento e
1: Parse(e)
2: Extract identity i and resource r
3: if (i,r) not in E then
4:    AddEdge(i,r)
5: UpdateWeight(i,r)
6: return G

このアルゴリズムの償却計算量は、グラフデータベースにおける効率的なインデックス付けを仮定すると、イベントあたり $O(1)$ である。

アルゴリズム2 – 高リスク経路の特定

Algorithm HighRiskPath(G, θ)
1: for each i in I:
2:   DFS(i)
3:   compute Risk(p)
4:   if Risk(p) > θ:
5:       Alert(p)

各クエリの計算量は $O(|V| + |E|)$ である。

5. 実装

アーキテクチャは、12ノードに分散配置された Kubernetes クラスタ上に実装され、各ノードは64 vCPU と256 GBのメモリを備え、バージョン1.27を実行した。環境は、マルチクラウドシナリオを模擬するため、3つのクラウドプロバイダに分散して展開された。

使用した技術スタックを以下に示す。

コンポーネント	技術	機能
イベント取り込み	Apache Kafka	分散イベントパイプライン
ログ分析	Elastic Stack 8.x	インデックス化と検索
グラフデータベース	Neo4j 5.x	権限モデリング
ネットワークセンサ	Suricata 7.0	IDS/IPS検知
ルールベース検知	Sigma	ルール正規化
オーケストレーション	Kubernetes	ワークロード管理

AWSにおける AssumeRole の悪用を検出するために用いた Sigma ルールの例を以下に示す。

logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AssumeRole
  condition: selection
level: high

実験中、パイプラインは毎秒約18,000イベントを処理し、平均取り込み遅延は1.3秒であった。

6. 実験評価

実験評価は、AWS、Microsoft Azure、Google Cloud Platform に分散された420インスタンスを含むマルチクラウド環境で実施した。MITRE ATT&CK に文書化された技術に着想を得た36の攻撃シナリオを実行した。

使用した指標は以下のとおりである。

• 真陽性検出率（TPR）
• 偽陽性率（FPR）
• 平均応答時間（MTTR）
• 計算オーバーヘッド

システム	TPR	FPR	MTTR
従来型SIEM	81,2%	7,4%	41,7分
提案アーキテクチャ	94,7%	3,8%	16,3分

MTTRは約61%減少し、グラフベースの相関が攻撃連鎖の迅速な特定を容易にすることが示された。

観測された平均CPUオーバーヘッドは6,8%であり、アーキテクチャは運用性能に有意な影響を与えることなく企業環境へ導入可能であることを示している。

7. ケーススタディ

現実的なシナリオにおけるアーキテクチャの挙動を評価するため、公開リポジトリにAWS認証情報が偶発的に露出したインシデントをシミュレーションした。

攻撃の流れは以下のとおりである。

1. レッドチームがシークレットスキャンツールを用いてアクセスキーを特定する。
2. 攻撃者は aws sts get-caller-identity コマンドを実行して認証情報を検証する。
3. その後、既存の権限を用いて追加の role を引き受ける。
4. システムは T1078 および T1550 に対応するイベント列を識別する。
5. 自動化されたプレイブックが侵害された認証情報を失効させ、ブロックポリシーを適用する。

検出から封じ込めまでの総時間は約11分であった。

8. 議論

結果は、グラフベースのモデリングが複雑なクラウド環境におけるセキュリティ分析に対して有意な利点を提供することを示している。アイデンティティと資源の関係を明示的に表現することで、個別イベントのみの分析では見えない権限連鎖を特定できるようになる。

ただし、いくつかの制約を考慮する必要がある。第一に、システムの有効性は、収集されるテレメトリの品質と完全性に依存する。ログが不完全な環境では、相関能力が低下し得る。さらに、非常に大規模な環境では、数百万の頂点を持つグラフが生成され、クエリの計算コストが増大する可能性がある。

もう一つの制約は、実験シナリオが現実的ではあるものの、制御された環境で実施された点にある。結果の一般化を検証するには、大規模な企業環境での追加研究が必要である。

9. 結論

本研究は、統合テレメトリと敵対者モデリングに基づく、マルチクラウド環境向けの脅威検出および封じ込めのための形式的かつ運用的なアーキテクチャを提示した。複数のイベントソースをグラフベース表現と統合することで、MITRE ATT&CK の技術に関連する横移動・権限昇格経路を特定できることを示した。

実験では、従来型SIEMアプローチと比較して、検出率の向上と平均応答時間の大幅な短縮が示された。これらの結果は、攻撃対象領域の形式的モデリングが、現代のクラウドインフラ防御に実質的に寄与し得ることを示唆している。

今後の研究では、権限関係に関連付けられた重み $w(e)$ を動的に推定する機械学習手法や、複雑な敵対的パターンを特定するための高度なグラフ解析技術を検討できる。

References

ALMORSY, Mohamed; GRUNDY, John; IBRAHIM, Ingo. Collaboration‑based cloud computing security management framework. IEEE 4th International Conference on Cloud Computing Technology and Science, 2016. Available at: https://doi.org/10.1109/CloudCom.2016.0064

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com

BURNS, Brendan; BEDA, Joe; HIGHTOWER, Kelsey. Kubernetes: Up and Running. 2. ed. Sebastopol: O’Reilly Media, 2019. Available at: https://www.oreilly.com/library/view/kubernetes-up-and/9781492046523/

CLOUD SECURITY ALLIANCE. Top Threats to Cloud Computing: Pandemic Eleven. 2022. Available at: https://cloudsecurityalliance.org

GARTNER. Forecast Analysis: Public Cloud Services Worldwide. 2023. Available at: https://www.gartner.com

HUMBLE, Jez; FARLEY, David. Continuous Delivery. Boston: Addison‑Wesley, 2011. Available at: https://www.pearson.com

LI, Ang; YUAN, Xinyu; LI, Xiaowei. Graph‑based security analysis of cloud environments. IEEE Access, 2019. Available at: https://doi.org/10.1109/ACCESS.2019.2934547

MELL, Peter; GRANCE, Timothy. The NIST Definition of Cloud Computing. NIST SP 800‑145, 2011. Available at: https://doi.org/10.6028/NIST.SP.800-145

MELARA, Marcella et al. Measuring credential exposure in public repositories. IEEE Symposium on Security and Privacy Workshops, 2021. Available at: https://doi.org/10.1109/SPW53761.2021.00025

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NIST. NVD Entry CVE‑2021‑44228. 2022. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

RAHMAN, Md; WILLIAMS, Laurie. Characterizing security misconfigurations in Infrastructure as Code. ACM CCS Workshop on Cloud Computing Security, 2020. Available at: https://doi.org/10.1145/3411495.3421355

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-94

SEN, Jaydip; SHARMA, Ritu. Cloud security threats and vulnerabilities. Journal of Cloud Computing, 2020. Available at: https://doi.org/10.1186/s13677-020-00170-5

STALLINGS, William. Effective Cybersecurity. Boston: Addison‑Wesley, 2018. Available at: https://www.pearson.com

SYED, Zainab et al. Detecting lateral movement in cloud environments. IEEE Access, 2021. Available at: https://doi.org/10.1109/ACCESS.2021.3050153

ZHANG, Qi; CHENG, Lu; BOUTABA, Raouf. Cloud computing: state‑of‑the‑art and research challenges. Journal of Internet Services and Applications, 2012. Available at: https://doi.org/10.1007/s13174-010-0007-6

BEHL, Abhishek. Cybersecurity Analytics. Springer, 2017. Available at: https://doi.org/10.1007/978-3-319-44260-6

CHEN, Peng et al. A survey of cloud security issues and solutions. ACM Computing Surveys, 2020. Available at: https://doi.org/10.1145/3366374

DURUMERIC, Zakir et al. The Security Impact of HTTPS Interception. NDSS Symposium, 2017. Available at: https://www.ndss-symposium.org

GOOGLE. Google Cloud Audit Logs Overview. 2023. Available at: https://cloud.google.com/logging/docs/audit

MICROSOFT. Azure Monitor Logs Documentation. 2023. Available at: https://learn.microsoft.com/azure/azure-monitor/

AMAZON WEB SERVICES. AWS CloudTrail User Guide. 2023. Available at: https://docs.aws.amazon.com/awscloudtrail/

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar. Oxford University Press, 2017. Available at: https://global.oup.com

KOTZ, David et al. Security for mobile and cloud computing. Communications of the ACM, 2019. Available at: https://doi.org/10.1145/3301260