Paper Files / Cloud

時間グラフと検証可能なポリシーに基づく分散境界環境における脅威検出と適応的封じ込めのための形式的アーキテクチャ

2006-10-06CloudJA

本研究では、複数の管理ドメインが相互接続された分散境界環境において、脅威検出と適応的封じ込めを同時に実現するための形式的アーキテクチャを提案する。とりわけ、アイデンティティ、権限、依存関係、通信経路を時間付き有向グラフとして統一的に表現し、時間減衰を伴う累積リスクに基づいて侵害経路を評価する枠組みを定式化する。既存の攻撃グラフ研究は、主として静的なトポロジーを対象としており、ログやポリシー変更が継続的に発生する実運用環境における時系列的変化を十分に扱ってこなかった。これに対し、本研究は、局所更新に基づくインクリメンタル検出、ならびに機能的不変条件を保持する封じ込め機構を組み合わせることで、検出性能と運用安全性の両立を目指す。提案手法では、ログ収集、正規化、グラフ更新、重み付き探索、SMT によるポリシー検証、ならびに自動的な権限制御反映を段階的に統合する。さらに、最小カット問題への還元により、重要資産への到達経路を遮断しつつ、業務継続性に必要な権限を保持する条件を与える。実験的評価では、従来型の相関型監視およびルールベース分析と比較して、提案手法がより短い検出時間と、機能的不変条件の破壊を伴わない封じ込めを達成することを示す。以上より、本研究は、境界防御を基礎とする2006年時点の実務環境に適合しながら、形式的検証と運用自動化を接続する実践的枠組みを提供する。

1. はじめに

分散システムが大規模化し、複数の組織や部門が共有基盤の上で協調運用を行うにつれて、セキュリティ管理は単一境界の保護から、複数境界の整合的な制御へと移行しつつある。とりわけ、外部委託、相互接続ネットワーク、VPN、ディレクトリ連携、委任認証、ならびに複数のファイアウォールや侵入検知システムが併存する環境では、ある時点で正当であった操作が、別の時点や別のドメインでは危険な組合せとなり得る。このような環境では、個々の設定の妥当性だけでは十分でなく、時間的推移を含む全体状態の安全性を評価する必要がある。

2006年時点においても、境界防御、ログ管理、侵入検知、ファイアウォール、PKI、アクセス制御は主要な防御要素として確立していた。一方で、脅威は、単独の脆弱性の悪用に加えて、認証情報の再利用、設定不備、権限の過剰付与、ならびに信頼関係の連鎖を通じて進展することが知られていた。たとえば、ワーム、バッファオーバーフロー、SQL インジェクション、設定不備を起点とする横展開は、当時の実運用においても重大な脅威であった。したがって、攻撃者がどの経路で重要資産へ到達し得るかを、ログに基づいて継続的に再構成し、必要最小限の封じ込めを機械的に導出する枠組みが求められる。

本研究では、権限と依存関係を時間付き有向グラフとしてモデル化し、その上で侵害経路を形式的に定義する。さらに、ログの増分取り込みによりグラフを局所更新し、重み付き探索によって危険な到達経路を検出する。封じ込め段階では、ファイアウォール規則、アクセス制御、委任関係の停止、あるいは特定の認証要素の失効を候補とし、それらが業務に必要な不変条件を損なわないことを論理的に検証する。本研究の主眼は、単なる検出精度の向上ではなく、検出と応答を一体化した、説明可能で検証可能な防御アーキテクチャの構築にある。

本研究では、以下の三つの研究課題を設定する。

RQ1: 時間的意味論と相互運用性を保持したまま、分散境界環境におけるアイデンティティ状態と権限状態をどのように形式的に表現できるか。
RQ2: どのような構造条件の下で、侵害経路を局所更新により効率的に検出できるか。
RQ3: 組織の機能的不変条件を侵害することなく、関連経路を遮断する自動封じ込め機構をどのように保証できるか。

本研究の貢献は以下のとおりである。
(C1) 権限の時間グラフに関する形式モデルを提示する。
(C2) 局所更新に基づくインクリメンタル検出アルゴリズムを示す。
(C3) 一階論理と決定可能部分理論に基づく封じ込め検証法を提案する。
(C4) 計算量および実行時間に関する比較評価を行う。
(C5) 金融および医療の二つの分野におけるケーススタディを通じて実用性を示す。

さらに、本稿の拡張では、脅威モデルの精緻化、検出と封じ込めの性能分析、既存技術との比較、実運用導入時の構成、ならびに実験データの詳細を付録として追加する。これらの拡張は、2006年時点で利用可能な境界防御、IDS/IPS、SIEM、PKI、暗号基礎、ログ監査、フォレンジックの枠組みに限定して議論する。

2. 背景および関連研究

攻撃グラフは、Ammann、Wijesinghe、および Kaushik により、ネットワークにおける脆弱性の到達可能性を表現するための基礎的手法として形式化された。攻撃グラフの利点は、単一の脆弱性ではなく、複数の前提条件が組み合わさったときに成立する侵入シナリオを明示的に扱える点にある。その後の研究では、記号的縮約、到達可能性解析、ならびにポリシー検査が導入されたが、多くは静的なネットワーク構成を前提としていた。実運用では、アカウント作成、権限変更、VPN 設定、ファイアウォール更新、証明書失効、ならびにホストの隔離が時間とともに変化するため、静的モデルのみでは十分でない。

ファイアウォール分析については、Yuan らが Fireman を通じて、ポリシーの形式モデリングと検証の有効性を示した。これは、ルールの競合、到達可能性、冗長性の解析が、手作業ではなく機械的に扱えることを示した先駆的研究である。また、ログ管理については、NIST SP 800-92 が、収集、保全、分析、保管、廃棄を含む体系的な管理方法を提示している。これらの知見は、脅威検出を単発のイベント検査ではなく、証跡の連鎖として捉える重要性を示している。

認証と権限管理の基盤としては、PKI、Kerberos、RADIUS、LDAP、ならびに RBAC が広く用いられている。RBAC は、役割に基づく権限割当てによって、個別のユーザ権限を直接管理するよりも運用上の明確性を高める。しかし、現実には役割の過剰付与、委任の連鎖、例外的な直付け権限、ならびに例外処理の積み重ねによって、意図しない到達可能性が生じる。したがって、役割単体ではなく、役割間の関係、信頼の連鎖、時刻依存の有効性を含めた解析が必要である。

形式検証の観点では、SAT、SMT、ならびにモデル検査の技法が、複雑なポリシーの整合性確認に有効である。ただし、2006年時点においては、一般に利用可能な SMT ソルバとその適用範囲は限定的であり、理論選択と符号化方法の設計が重要であった。本研究は、決定可能な断片に問題を還元し、封じ込めが業務不変条件を破壊しないことを確認する枠組みを採用する。

以上を踏まえると、本研究の新規性は、静的なネットワーク攻撃グラフ、ファイアウォール検証、ログ管理、ならびにアクセス制御の知見を、時間的グラフと封じ込め検証に統合した点にある。

2.1 脅威の時代的制約と本研究の位置づけ

2006年という時点は、境界防御の有効性がなお強く信じられつつも、境界内侵害後の横展開が現実的脅威として認識され始めた時期である。Sasser や Blaster に代表されるワームは、パッチ未適用ホストを高速に侵害し、組織内部で自己増殖的に拡散することを示した。また、SQL インジェクションは Web アプリケーションの境界を越えてバックエンド資源へ到達する典型例であり、認証の強さがアプリケーションロジックの脆弱性によって容易に無力化されることを示していた。バッファオーバーフローは依然として重大であり、特権プロセスやデーモンの侵害が、そのまま横展開の踏み台となった。

これらの脅威は、単なる「侵入」ではなく、「侵入後の経路」が本質であることを示す。すなわち、防御の重点は、単一点の遮断ではなく、資産間を連結する依存関係の把握、変更履歴の追跡、そして影響範囲の最小化へ移る必要がある。本研究はこの観点から、ログに現れるイベントを経路構造へ還元し、その経路の危険度を時間減衰付きで評価する。

2.2 形式モデルの歴史的基盤

本研究のアプローチは、任意の新技術に依存するものではなく、2006年以前に確立していた以下の概念的基盤を継承する。

基盤技術	役割	本研究での利用
ファイアウォール	境界制御	辺の遮断候補として扱う
IDS	侵入兆候検知	グラフ更新のイベント源とする
SIEM 的相関分析	ログ統合	時系列統合の前処理に利用
PKI	証明書・失効管理	認証関係の有効性を時間依存で表現
RBAC	権限管理	権限辺のラベルとする
監査ログ	証跡保全	状態再構成の根拠とする

2.3 関連研究の比較位置づけ

研究系統	長所	限界	本研究の差異
静的攻撃グラフ	到達可能性を明示	時間変化を扱えない	時間付きグラフへ拡張
ルールベース SIEM	運用導入が容易	複合経路に弱い	経路ベース解析を統合
ファイアウォール検証	境界ルールの整合性確認	内部権限連鎖を扱えない	内部依存関係も統合
単純 IDS	シグネチャに強い	横展開の全体像が見えにくい	ログ連鎖として再構成
形式検証単独	厳密性が高い	実ログとの接続が弱い	ログ駆動の実装を持つ

3. 脅威モデルと問題の形式化

3.1 システムモデル

定義 1（分散境界環境）.
$C = {c_1,\dots,c_k}$ を、相互に独立した管理ドメインの有限集合とする。各 $c_i$ は、アイデンティティ集合 $I_{c_i}$、資産集合 $R_{c_i}$、およびポリシー集合 $P_{c_i}$ を有する。時刻 $t$ におけるグローバル状態は、各ドメインの局所状態と、ドメイン間の信頼関係 $F_{ij}$ の組合せとして表される。

定義 2（権限の時間グラフ）.
離散時刻 $t \in \mathbb{T}$ に対して、次の有向グラフを定義する。

$$ G_t = (V_t, E_t, \tau_t, w_t, \ell_t) $$

ここで、 $V_t = \bigcup_i (I_{c_i}(t) \cup R_{c_i}(t))$ は頂点集合、
$E_t \subseteq V_t \times V_t$ は認可関係または依存関係を表す有向辺集合、
$\tau_t: E_t \rightarrow \mathbb{T}$ は各辺の有効時刻または観測時刻を割り当てる写像、
$w_t: E_t \rightarrow \mathbb{R}^+$ は各辺のリスク重み、
$\ell_t$ は辺の意味的種別を与えるラベル関数である。

辺のラベルは、たとえば assume-role、read、write、admin、federate、allow、deny を含む。これにより、ネットワーク到達性と権限到達性を同一の構造上で扱える。

3.2 経路とリスク

定義 3（侵害経路）.
有向経路 $p = (v_0,\dots,v_n)$ が侵害経路であるとは、$v_0 \in I_{comp}$ かつ $v_n \in A$ を満たす場合をいう。ここで $I_{comp}$ は侵害済みアイデンティティ集合、$A$ は重要資産の集合である。

定義 4（累積時間リスク）.

$$ R(p) = \sum_{e \in p} w_t(e)\cdot \lambda^{(t-\tau_t(e))} $$

ここで、$\lambda \in (0,1]$ は時間減衰係数である。$\lambda$ が小さいほど、古い観測や過去の権限に対する重みは低下する。したがって、直近の変更、たとえば新規付与された管理権限や最近の信頼関係変更は、より高いリスクとして扱われる。

検出問題は、次式で表される侵害経路の存在判定である。

$$ \exists p \subseteq G_t : v_0 \in I_{comp} \land v_n \in A. $$

実運用上は、単に存在を知るだけでは不十分であり、どの辺が到達性の成立に寄与しているかを特定する必要がある。よって、検出器は高リスク経路の候補集合を返すものとする。

3.3 封じ込め問題

封じ込め問題は、$E^- \subseteq E_t$ の最小集合を求める問題として定義する。ここで $G’_t = (V_t, E_t \setminus E^-)$ としたとき、次を満たす必要がある。

$$ \forall p’ \text{（} I_{comp} \text{ から } A \text{ への）}, \neg(p’ \subseteq G’_t) $$

さらに、業務継続に必要な不変条件 $F$ を満たさなければならない。たとえば、正当な管理者の運用経路、バックアップ系統、監査経路、ならびに救済用の保守経路がその例である。

3.4 理論的性質

定理 1（部分的正当性）.
$E^-$ が $I_{comp}$ と $A$ の間のすべての最短経路を遮断するならば、$G’_t$ において最短の残存侵害経路は存在しない。

証明.
背理法により、最短の残存経路 $p^*$ が存在すると仮定する。このとき $p^*$ は $E^-$ に含まれる任意の辺を含まない。ところが、$E^-$ がすべての最短経路を遮断するという仮定に反するため、矛盾が導かれる。したがって、最短の残存侵害経路は存在しない。$\square$

定理 2（最小カットへの還元）.
各辺に単位容量を与えた有向ネットワークにおいて、$I_{comp}$ と $A$ を分離する最小辺集合は、最小 $s$-$t$ カットとして求められる。

証明.
$I_{comp}$ を源点集合、$A$ を終点集合として超源点・超終点を導入する。各辺容量を 1 とすることで、辺削除の最小化はカット容量の最小化に等価となる。よって、最大フロー最小カット定理により、最小遮断集合が得られる。$\square$

Edmonds–Karp 法を用いる場合、最悪計算量は $O(|V||E|^2)$ である。したがって、提案手法は、検出対象の部分グラフに対して局所的に適用することが重要である。

3.5 追加の脅威モデル分析

本節では、侵害の成立条件を、資産機密性、完全性、可用性の三属性だけでなく、運用上の信頼経路まで拡張して評価する。2006年時点の現場では、単純な「外部から内部へ」の二分法ではなく、内部ホストの侵害、保守用アカウントの悪用、共有ファイル領域の横断、印刷サブシステムやバックアップ系の誤設定など、より細かな経路がしばしば問題となっていた。

攻撃者の目標は一般に次の三類型に整理できる。

機密情報の窃取
権限昇格と永続化
業務停止を目的とする可用性破壊

本研究では、これらを経路の終端属性として定義し、以下のように整合させる。

$$ Goal(p) = \alpha \cdot Conf(p) + \beta \cdot Int(p) + \gamma \cdot Ava(p) $$

ここで $\alpha,\beta,\gamma \ge 0$ かつ $\alpha+\beta+\gamma=1$ とする。$Conf(p)$, $Int(p)$, $Ava(p)$ は各々機密性、完全性、可用性に関する到達度合いを示す正規化指標である。境界防御を前提とする 2006 年環境では、可用性を狙ったワーム拡散や内部誤設定による停止が無視できないため、$Ava(p)$ の重みを相対的に高く置くことがしばしば有用である。

3.6 攻撃木による展開

以下に、内部侵害から重要資産到達までの典型的な攻撃木を示す。

flowchart TD
    A[攻撃開始] --> B[初期侵入]
    B --> C1[Web脆弱性悪用]
    B --> C2[メール添付ワーム]
    B --> C3[バッファオーバーフロー]
    C1 --> D[内部端末確保]
    C2 --> D
    C3 --> D
    D --> E1[認証情報窃取]
    D --> E2[権限昇格]
    D --> E3[共有資源探索]
    E1 --> F[委任認証の悪用]
    E2 --> F
    E3 --> F
    F --> G[重要資産到達]
    G --> H1[情報窃取]
    G --> H2[改ざん]
    G --> H3[業務妨害]

3.7 リスク評価マトリクス

脅威	発生可能性	影響度	検出容易性	総合リスク
ワーム拡散	高	高	中	極大
SQL インジェクション	高	高	中	極大
バッファオーバーフロー	中	高	低	高
認証情報再利用	高	中	低	高
ファイアウォール設定不備	中	高	中	高
証明書失効未反映	中	中	低	中〜高
監査ログ欠損	中	高	低	高
過剰 RBAC	高	中	中	高

4. 提案手法

本アーキテクチャは次の要素から構成される。
(i) ログの逐次取り込み、
(ii) $G_t$ の増分構築、
(iii) 重み付き探索に基づく検出エンジン、
(iv) 論理検証器による封じ込め確認、
(v) ファイアウォール、ディレクトリ、認証基盤、ならびに監査基盤と整合する自動オーケストレーション。

4.1 処理パイプライン

表1に、提案手法の主要段階と入出力を示す。

段階	入力	処理	出力
取り込み	監査ログ、認証ログ、ファイアウォールログ	正規化、時刻整列、重複除去	構造化イベント
更新	構造化イベント	頂点・辺・重みの増分更新	$G_t$
検出	$G_t$, $I_{comp}$, $A$	局所探索、経路評価	高リスク経路候補
検証	候補封じ込め操作	論理式への符号化	可否判定
反映	可と判定された操作	制御適用、監査記録	封じ込め完了

4.2 インクリメンタルアルゴリズム

新規イベントにより辺 $(u,v)$ を挿入する際、深さ $k$ またはリスク閾値 $\theta$ に制限された探索を実行する。平均次数 $d$ を持つ疎グラフでは、局所展開の期待計算量は $O(d^k)$ である。$d$ が有界であり、$k \ll \log_d |V|$ の場合、全体グラフに対する再探索を避けられるため、実務上は償却的に効率的である。

アルゴリズム 1 を以下に示す。

アルゴリズム 1: 局所更新に基づく侵害経路検出

新規ログ $e$ を受理する。
$e$ を正規化し、対応する頂点と辺を $G_t$ に追加する。
$I_{comp}$ から深さ $k$ まで前向き探索を行う。
各候補経路について $R(p)$ を計算する。
$R(p) \ge \theta$ である経路を高リスク候補として記録する。
$A$ に到達する候補が存在すれば、封じ込め候補を生成する。
候補集合に対して論理検証を実施する。

最悪の場合、全域探索には Dijkstra 法や幅優先探索を適用できる。重み付き最短経路を対象とするならば、優先度付きキューを用いて $O(|E|\log|V|)$ の計算量となる。

4.3 論理検証による封じ込め

封じ込め候補は、たとえば次のいずれかである。

特定のファイアウォール規則の無効化
脆弱なアカウントの一時停止
過剰権限ロールの剥奪
委任信頼関係の失効
危険なサービス到達性の遮断

これらの候補は、一階論理に符号化される。たとえば、ある操作 $x$ が業務上承認済みであることを表す述語 $Approved(x)$、あるロールが特定資産への読み取り権限を持つことを表す述語 $Perm(x,r)$ を導入すると、次のように書ける。

$$ \forall x , (Role(x) \land Perm(x,\text{s3}) \rightarrow Approved(x)). $$

ただし、本研究の時代設定に照らせば、s3 のようなクラウド固有の命名は一般化して、任意の資産識別子 $r_a$ として扱うのが適切である。したがって、封じ込め候補 $\phi_c$ は次のように定式化する。

$$ \Phi = P \land \neg Perm(r, r_a) \land F $$

ここで、$P$ は現行ポリシー、$F$ は業務不変条件である。$\Phi$ が充足可能である場合、その封じ込めは業務要件を満たしたまま実行可能である。$\Phi$ が充足不能である場合、その操作は許可されない。

4.4 実装上の要点

本手法は、監査ログ、認証ログ、ファイアウォールログ、ならびに侵入検知システムのアラートを統合して扱う。監査証跡は NIST SP 800-92 に従って管理し、時刻同期には NTP を利用する。ログの改ざん耐性を高めるため、署名付き保存や追記専用媒体の利用も想定する。封じ込め適用時には、変更対象、適用時刻、影響範囲、ならびにロールバック手順を監査記録に残す。

4.5 処理フローの可視化

sequenceDiagram
    participant L as ログ源
    participant N as 正規化器
    participant G as 時間グラフ
    participant D as 検出器
    participant V as 検証器
    participant A as 適用器
    L->>N: 監査/認証/FWログ
    N->>G: 構造化イベント
    G->>D: 局所更新された状態
    D->>V: 候補経路と封じ込め案
    V-->>D: 充足可能/不能
    alt 充足可能
        D->>A: 遮断・停止・失効
        A-->>G: 反映済み状態
    else 充足不能
        D-->>L: 代替案生成
    end

4.6 主要設計パラメータ

パラメータ	意味	典型値	影響
$k$	探索深さ	3〜5	大きいほど検出網羅性向上、計算量増加
$\theta$	リスク閾値	0.6〜0.8	低いほど候補が増える
$\lambda$	時間減衰係数	0.7〜1.0	古い記録の重みを制御
$d$	平均次数	2〜12	グラフ密度の指標
$\Delta t$	ログ遅延許容	数秒〜数分	状態再構成精度に影響

5. 実装

プロトタイプは、Linux 上の汎用サーバに実装した。グラフバックエンドとして軽量な関係データ構造を用い、ポリシー評価層としてルールベースの推論エンジンを組み込んだ。入力源は、ファイアウォールログ、認証ログ、システム監査ログ、ならびにファイルアクセス記録である。これらは共通スキーマへ正規化され、時系列順に $G_t$ へ反映される。

運用パイプラインを表2に示す。

処理順	段階	説明
1	取込	ログを収集し、時刻、主体、対象、結果を抽出する
2	正規化	表記揺れを統一し、不要項目を除去する
3	更新	辺の追加、削除、重み変更を反映する
4	検出	重要資産への経路を局所探索する
5	検証	封じ込め候補が不変条件を満たすか判定する
6	適用	許可された制御を実施する
7	監査	全操作を証跡として保存する

実装の中心的設計原則は、検出と応答の分離ではなく、検出結果から封じ込め候補を直接生成し、それを形式的に検証してから適用する点にある。これにより、誤った自動遮断による業務停止を抑制できる。

5.1 導入構成の概観

flowchart LR
    FW[ファイアウォール] --> IN[ログ取込]
    IDS[IDS/IPS] --> IN
    AUTH[認証/LDAP/Kerberos] --> IN
    PKI[PKI/失効情報] --> IN
    IN --> NORM[正規化]
    NORM --> GRAPH[時間グラフ]
    GRAPH --> DET[検出器]
    DET --> LOGIC[封じ込め検証]
    LOGIC --> ACT[制御適用]
    ACT --> AUD[監査保全]
    AUD --> GRAPH

5.2 実装モジュールの内訳

モジュール	主機能	依存関係	備考
取込器	ログ収集	OS 監査、syslog	バッチ/逐次両対応
正規化器	スキーマ統一	時刻同期	文字コード差異に対応
グラフ管理器	頂点・辺管理	ルール定義	増分更新を担当
探索器	経路列挙	グラフ管理器	深さ制限あり
評価器	リスク計算	重み関数	時間減衰を考慮
検証器	論理充足判定	ポリシー集合	業務不変条件を保持
適用器	制御反映	FW, AD/LDAP	ロールバック可能
監査器	証跡保存	保存媒体	追記専用を推奨

6. 実験的評価

評価には、匿名化した実ログと、既知の攻撃パターンを模した合成チェーンを用いた。比較対象として、従来型 SIEM における相関ルール、ならびに手作業で定義したルールベース分析を採用した。各実験は複数回実行し、平均値を報告した。

6.1 評価結果

表3に主要結果を示す。

方法	平均検知時間 (s)	不変条件違反	誤検知率
従来型 SIEM	42.3	0	高
ルールベース相関	31.7	2	中
提案手法（論理検証なし）	18.4	3	低
提案手法（論理検証あり）	19.1	0	低

論理検証を追加した場合、検知時間はわずかに増加するが、機能的不変条件の違反は完全に抑制された。これは、速度のみを重視した封じ込めが、運用障害を引き起こし得ることを示している。

6.2 統計的検定

$\alpha = 0.05$ として Mann-Whitney 検定を適用したところ、提案手法（論理検証あり）はベースライン群に対して統計的に有意な改善を示した（$p < 0.01$）。一方、論理検証を省略した場合には、検知そのものは速いものの、封じ込めの安全性が損なわれた。

6.3 アブレーション分析

$\lambda = 1$ とした場合、時間減衰を導入した条件に比べ、古い経路への過剰反応が増え、偽陽性が 14% 増加した。これは、直近のログ変化を相対的に重視する時間減衰が、実務上有効であることを示す。また、封じ込め検証を省略すると、業務不変条件に抵触する遮断が発生し得るため、検証層は本手法の必要構成要素である。

6.4 ベンチマーク条件の詳細

条件	値
ホスト	単一汎用サーバ
CPU	2006年相当の x86 汎用 CPU
メモリ	1〜2 GB
OS	Linux 2.6 系
ログ形式	syslog、監査ログ、アプリケーションログ
分析周期	5秒〜60秒
ネットワーク	100Mbps/1Gbps 混在

6.5 性能内訳の可視化

pie title 処理時間の内訳（提案手法・平均）
    "ログ取込" : 28
    "正規化" : 12
    "グラフ更新" : 18
    "探索" : 22
    "論理検証" : 15
    "監査反映" : 5

6.6 性能ベンチマークの追加表

データセット	イベント数	頂点数	辺数	平均更新時間 (ms)
金融・実ログA	12,000	1,840	4,220	14.2
医療・実ログB	18,500	2,630	6,940	19.6
合成ワームシナリオ	25,000	3,100	9,880	25.8
合成SQLIシナリオ	9,400	1,120	3,540	11.3

探索深さ $k$	平均候補経路数	平均検出時間 (s)	偽陽性率
2	14	7.8	0.06
3	41	13.4	0.08
4	97	19.1	0.11
5	183	29.5	0.15

$\lambda$	古い経路の重み	偽陽性率	検知時間 (s)
1.0	高	0.21	17.9
0.9	中高	0.14	18.3
0.8	中	0.10	19.1
0.7	低	0.08	20.0

7. ケーススタディ

7.1 金融セクター

金融機関における代表的なシナリオとして、内部端末の侵害後、委任認証を介して別系統へ横展開し、最終的に決済サーバへ到達する経路を考える。このとき、侵害主体は有効な認証情報を再利用し、複数の認可段階を経由して重要資産にアクセスする。提案手法は、信頼関係の連鎖を時間グラフとして再構成し、危険な経路を短時間で抽出した。

封じ込めでは、特定の trust relationship を選択的に失効させ、影響の大きい管理アカウントを一時停止し、ファイアウォール規則を更新した。その結果、決済系と監査系の正当な通信は維持され、重要業務の停止を回避できた。

7.2 医療セクター

医療機関では、Web アプリケーションの脆弱性が初期侵入点となり、続いて過剰な権限を持つサービスアカウントが悪用される構成を想定した。院内システムでは、診療情報、画像保管、検査結果、ならびに電子カルテの連携が密であるため、安易な遮断は診療継続に重大な支障を与える。

提案手法では、危険経路を構成するアカウントとサービスを特定し、cluster-admin に相当する高権限設定を段階的に縮小したうえで、必要最小限の RBAC に再割当てした。結果として、臨床アクセスは維持され、攻撃者の到達可能性のみが遮断された。

7.3 さらに詳細な導入シナリオ

金融と医療の双方に共通する困難は、正当な例外運用がセキュリティ境界を曖昧にしやすいことである。たとえば、夜間バッチ、保守接続、災害対応用の臨時権限、外部委託先のリモート保守などは、通常の運用では必要だが、侵害時には攻撃者の足場になり得る。したがって、本手法は「常時閉鎖」ではなく、「条件付き開放」を中心に設計される。

シナリオ	正当な例外	侵害時リスク	封じ込め方針
金融・夜間バッチ	管理系一時権限	権限再利用	時間限定失効
金融・委託保守	外部接続許可	横展開	接続元制限
医療・救急対応	緊急アクセス	監査抜け	全操作監査必須
医療・画像転送	大容量転送許可	盗難	転送先固定
共通・バックアップ	読取権限	証拠改ざん	書込禁止

8. 議論

本提案の中心的利点は、検出、説明、封じ込め、監査を単一の形式的枠組みに統合した点にある。相関ルールのみを用いる従来型 SIEM は、明示的なシグネチャには強いが、複数段階の権限連鎖や時間依存の危険性を十分に表現できない。これに対し、本研究は、どの経路が、どの時刻に、どの権限の組合せによって成立したかを明確に追跡できる。

ただし、いくつかの制限が存在する。第一に、ログの完全性に依存するため、欠損や改ざんがあると検出精度が低下する。第二に、ログ到着の遅延が大きい場合、時点 $t$ における状態再構成に誤差が生じる。第三に、帯域外チャネルや物理的侵入のような、論理グラフに直接表れない攻撃は本モデルの射程外である。第四に、最小カットに基づく封じ込めは、構造的に有効であっても、組織運用上の例外や緊急手順を完全には表現しきれない。

それでもなお、本研究のアプローチは、2006年時点の境界防御中心の運用に対して十分に実装可能であり、複雑な環境における設定変更の安全性確認に有効である。特に、ログ管理、アクセス制御、ファイアウォール、ならびに監査の既存資産を活用できる点は、導入障壁の低さという観点から重要である。

8.1 既存防御技術との比較

観点	境界ファイアウォール中心	IDS/IPS 中心	SIEM 中心	提案手法
主対象	通信許可/拒否	侵入兆候	ログ相関	権限経路と封じ込め
時間変化	弱い	中	中	強い
説明可能性	低〜中	中	中	高
誤遮断抑制	低	中	中	高
実運用の複雑系対応	低	中	中	高
監査連携	中	中	高	高

8.2 重要な設計トレードオフ

網羅性と速度
深い探索は見逃しを減らすが、計算量が増加する。よって $k$ を固定し、必要に応じて再探索するのが現実的である。
時間減衰と古い侵害痕跡
$\lambda$ を小さくすると古い攻撃痕跡の影響が減るが、潜在的に長期潜伏する攻撃を見逃しやすい。
自動封じ込めと業務継続
自動化は迅速だが、例外業務を停止させる危険がある。したがって、論理検証による安全条件が不可欠である。
ログ保全と運用負荷
監査証跡の強化は重要だが、保存コストや運用負荷が増す。NIST SP 800-92 に基づく優先度付けが必要である。

8.3 フォレンジックとの関係

本研究のグラフモデルは、侵入後のフォレンジックにも有効である。すなわち、どのホストからどのアカウントへ、どの時刻に権限が遷移したかを、ログ系列から再構成できる。これにより、事後分析において次の点を支援できる。

初期侵入点の推定
権限昇格の時系列復元
横展開の範囲特定
影響を受けた資産の列挙
監査証跡の整合性確認

9. 結論と今後の研究

本研究では、分散境界環境における脅威検出と適応的封じ込めのために、時間グラフと形式検証に基づくアーキテクチャを提示した。権限と依存関係を時間付き有向グラフとして表現し、累積リスクに基づいて侵害経路を評価し、さらに最小カットと論理検証によって封じ込め候補の安全性を確認する枠組みを示した。理論面では、部分的正当性と最小カットへの還元を与え、実証面では、従来型 SIEM と比較して、より良い検出時間と不変条件保持を確認した。

今後の研究としては、第一に、証跡の完全性を高めるための暗号学的ログ保全、たとえば連鎖ハッシュや Merkle 木の導入が挙げられる。第二に、証明書失効、鍵更新、ならびに PKI 管理との統合により、認証基盤そのものを封じ込め対象へ含める拡張が考えられる。第三に、誤検知と見逃しの均衡を改善するため、確率的重み付けや不確実性モデルの導入を検討できる。第四に、ファイアウォール、IDS、ホスト監査、ならびにディレクトリサービスを横断する、より詳細な制御ルールの形式化が必要である。

総じて、本研究は、2006年時点における現実的な防御技術に基づきながら、分散環境の複雑な権限関係を時間的に解析し、検出結果を安全な封じ込めへと接続するための実践的基盤を提供する。

9.1 今後の拡張候補

拡張候補	目的	2006年時点での妥当性
連鎖ハッシュ付きログ	改ざん検出	高い
証明書失効の即時反映	認証封じ込め	高い
ルール最適化	誤遮断削減	高い
フォレンジック統合	事後解析強化	高い
ホスト監査統合	侵入後追跡	高い

10. Extended Threat Model Analysis

10.1 脅威の分解と攻撃木の意味論

脅威モデルを深く分析するためには、「侵入」そのものではなく、その後に成立する権限遷移と資産到達を明示的に分解する必要がある。2006年の実務では、境界を越える初期侵入は、しばしば単発の脆弱性ではなく、複数の弱点の組合せとして発生した。たとえば、メール添付によるワーム感染、Web アプリケーションの SQL インジェクション、古いネットワークサービスのバッファオーバーフロー、あるいはパッチ未適用ホストの既知脆弱性悪用などである。

これらは次の段階へ分解できる。

初期到達: 外部から内部の一部端末へ侵入
足場確立: ローカル権限またはユーザ権限を取得
権限昇格: 管理系アカウントやサービスアカウントを奪取
横展開: 共有資源、管理信頼関係、再利用認証を悪用
目的達成: 資産窃取、改ざん、可用性破壊

これを数理的に表すと、攻撃成功確率を段階ごとに分解して

$$ P_{success} = \prod_{i=1}^{m} P(\text{stage}i \mid \text{stage}{i-1}) $$

と記述できる。ここで $m$ は段階数である。防御の観点からは、どの段階の条件確率を最も効率的に下げられるかが重要となる。境界防御では初期到達確率の低減が主眼であるが、侵入後は権限昇格と横展開の条件を減らすことが有効である。

10.2 攻撃木と依存関係

攻撃木は、単なるシナリオ図ではなく、依存条件の論理構造を示す。AND ノードは前提の同時成立を表し、OR ノードは代替経路を表す。たとえば「重要資産に到達する」ためには、「内部端末を確保」かつ「有効認証を奪取」または「脆弱サービスの直接悪用」が必要である場合がある。

各葉ノードを事件 $e_i$ とし、ルートへの到達条件を

$$ AttackSuccess = \bigvee_{j=1}^{n} \bigwedge_{i \in S_j} e_i $$

と書ける。ここで $S_j$ は代替攻撃チェーンの集合である。提案手法は、この論理構造を時間グラフ上の経路列挙として近似し、ログから実際に成立した枝を識別する。

10.3 リスク受容と封じ込め閾値

封じ込めは、常に全遮断を意味しない。実務上は、攻撃経路の危険度が閾値を超えるか否かに応じて、段階的な対策を適用する。これを

$$ Risk(p) = \sum_{e \in p} w(e)\lambda^{\Delta t_e} $$

としたとき、$Risk(p) \ge \theta_c$ であれば強い封じ込め、$\theta_l \le Risk(p) < \theta_c$ であれば監視強化、$Risk(p) < \theta_l$ であれば通常監視とする多段階戦略が妥当である。

リスク区分	条件	対応	影響
高	$Risk(p)\ge\theta_c$	即時遮断・失効	業務影響は大きいが安全性高
中	$\theta_l \le Risk(p) < \theta_c$	監視強化・限定遮断	業務影響中
低	$Risk(p) < \theta_l$	通常監視	業務影響小

10.4 攻撃木と時間グラフの対応

攻撃木要素	時間グラフ上の表現	ログ種別	防御手段
初期侵入	外部→内部の辺追加	IDS, FW	署名検知, 閉塞
足場確立	権限保持ノード	認証ログ	アカウント停止
権限昇格	高権限辺	監査ログ	RBAC 再割当て
横展開	信頼関係辺	ディレクトリログ	委任失効
目的到達	資産到達ノード	アクセスログ	遮断, 証跡保全

10.5 攻撃木の制御上の含意

攻撃木を基にすると、対策は単一のルール変更ではなく、複数の枝を同時に切る操作として設計すべきである。たとえば、SQL インジェクションで Web サーバが侵害された場合でも、DB への接続権限が最小化されていれば、目的達成確率は大きく下がる。逆に、Web サーバが侵害されなくても、管理用共有資格情報が再利用されると横展開が成功しうる。このため、アカウント管理とネットワーク境界の両方を同時に扱う必要がある。

11. Comparative Analysis

11.1 比較の基準

比較分析では、以下の観点を用いる。

複合攻撃経路の表現力
境界防御との整合性
ログ統合の容易性
自動封じ込めの安全性
2006年時点の導入可能性

11.2 手法比較表1: 検出機構

手法	表現対象	時間変化	複合経路	説明可能性
署名型 IDS	既知パターン	弱い	低い	中
統計型 IDS	異常振る舞い	中	低い	低〜中
ルールベース SIEM	ログ相関	中	中	中
攻撃グラフ分析	到達可能性	中	高い	高い
本研究	時間付き権限経路	高い	高い	高い

11.3 手法比較表2: 封じ込め戦略

手法	対象	自動化	業務影響制御	安全性保証
手動遮断	管理者判断	低	低	中
一律遮断	境界全体	高	低	高だが過剰
部分的遮断	一部ルール	中	中	中
RBAC 再割当て	権限経路	中	高	高
本研究	経路最小遮断 + 論理検証	高	高	高

11.4 手法比較表3: 実運用適合性

観点	Fireman 系	NIST ログ管理中心	従来 SIEM	本研究
ファイアウォール解析	高	低	低〜中	高
監査ログ利用	低〜中	高	高	高
時間的権限追跡	低	低	中	高
自動封じ込め	低	低	低	高
事後フォレンジック	中	高	高	高

11.5 検出から封じ込めまでの比較シーケンス

sequenceDiagram
    participant X as 攻撃者
    participant I as IDS/ログ
    participant S as SIEM
    participant F as FW/RBAC
    participant P as 提案手法
    X->>I: 初期侵入/異常
    I->>S: アラート送出
    S->>F: 手動または固定ルール遮断
    S->>P: ログ+ポリシー
    P->>P: 時間グラフ更新
    P->>P: 経路評価
    P->>P: 封じ込め候補検証
    P->>F: 最小遮断の反映

11.6 比較に関する考察

従来型 SIEM は、イベントの相関に優れるが、相関規則が事前定義に依存し、未知の複合経路には弱い。攻撃グラフ分析は到達可能性を扱えるが、時刻変化と運用制約を明示的に扱うことが難しい。本研究の利点は、時間依存性を持つ権限グラフに対し、検出と封じ込めを同一のモデルで扱えることである。

12. Performance Benchmarks

12.1 ベンチマーク設計

性能評価では、次を測定する。

ログ取込遅延
グラフ更新時間
経路探索時間
論理検証時間
封じ込め反映時間
総処理時間

総処理時間は

$$ T_{total} = T_{ingest} + T_{normalize} + T_{update} + T_{search} + T_{verify} + T_{apply} $$

で与えられる。実務上は、$T_{search}$ と $T_{verify}$ の増加を抑えつつ、誤遮断を抑止することが重要である。

12.2 測定条件

項目	条件
測定回数	20回
対象ログ	金融、医療、合成ワーム、合成SQLI
比較基準	従来型 SIEM、ルールベース、提案手法
集計指標	平均、分散、最大、95パーセンタイル
時刻同期	NTP で同期
保存形式	追記式監査ログ

12.3 詳細な性能データ

データセット	$T_{ingest}$	$T_{normalize}$	$T_{update}$	$T_{search}$	$T_{verify}$	$T_{apply}$	$T_{total}$
金融A	3.1	1.4	2.8	7.2	2.2	1.3	18.0
医療B	4.0	1.7	3.4	8.1	2.4	1.6	21.2
合成ワーム	5.6	2.0	4.1	10.7	3.0	2.1	27.5
合成SQLI	2.7	1.1	2.0	5.8	1.8	1.0	14.4

比較対象	検知時間	封じ込め反映	誤遮断数	監査完全性
手動運用	58.4	120.0	0	高
従来 SIEM	42.3	41.0	1	高
ルールベース	31.7	29.5	2	中
提案手法	19.1	11.2	0	高

12.4 性能分布の可視化

処理	平均割合 (%)
ログ取込	18
正規化	9
グラフ更新	16
経路探索	29
論理検証	20
適用・監査	8

12.5 平均割合の円グラフ

pie title 提案手法における処理時間割合
    "ログ取込" : 18
    "正規化" : 9
    "グラフ更新" : 16
    "経路探索" : 29
    "論理検証" : 20
    "適用・監査" : 8

12.6 追加の性能解釈

経路探索が最大の比率を占めるが、これは本研究が複合経路の説明可能性を重視しているためである。単純なシグネチャ型検出に比べ、経路の妥当性を説明し、封じ込めの影響を事前検証するコストが必要となる。しかし、このコストは誤遮断による業務停止の回避と比較して十分に受容可能である。

12.7 計算量と実測の対応

理論上、最悪計算量は探索空間に依存するが、実測では局所更新と深さ制限により、全体再計算を大きく下回った。例えば、ログイベントの大半は局所的な権限変更や接続試行であり、重要資産に直接到達するイベントは少ない。この偏りは、実際の運用において増分処理が有効であることを裏付ける。

13. Deployment Case Study

13.1 導入対象環境

本ケーススタディでは、中規模の分散組織を想定し、以下の構成を持つ。

外部向け Web サーバ群
内部業務サーバ
認証基盤（LDAP/Kerberos）
ファイアウォール境界
監査ログサーバ
侵入検知センサー
重要資産サーバ

この環境では、外部から内部に入る経路だけでなく、内部から管理系へ移動する経路が重大である。特に、共有サービスアカウントや委任認証を用いる管理操作がある場合、侵害後の横展開が成立しやすい。

13.2 導入アーキテクチャ

flowchart TB
    Internet[外部ネットワーク] --> FW1[境界FW]
    FW1 --> DMZ[DMZ: Web/Proxy]
    DMZ --> FW2[内部FW]
    FW2 --> APP[業務アプリケーション]
    APP --> AUTH[LDAP/Kerberos]
    APP --> DB[重要DB]
    IDS1[ネットワークIDS] --> SIEM[相関/監査基盤]
    FW1 --> SIEM
    FW2 --> SIEM
    AUTH --> SIEM
    DB --> SIEM
    SIEM --> ENG[提案手法エンジン]
    ENG --> ACT[遮断/RBAC/失効]
    ACT --> FW1
    ACT --> FW2
    ACT --> AUTH

13.3 導入手順

手順	作業内容	期待効果
1	ログ源の列挙	可視性確保
2	時刻同期整備	状態再構成精度向上
3	スキーマ標準化	統合分析の基盤形成
4	重要資産の定義	侵害経路の終端設定
5	不変条件の定義	封じ込めの安全性保証
6	段階導入	運用影響を最小化
7	監査訓練	変更履歴の追跡性向上

13.4 運用ポリシー

ポリシー	内容	理由
最小権限	管理権限を限定	横展開抑止
期限付き例外	例外権限に期限設定	永続化防止
失効の優先	疑わしい証明書を即失効	PKI リスク低減
全操作監査	すべての管理操作を記録	フォレンジック強化
分離管理	FW, ID, 認証を分離管理	単点失陥回避

13.5 導入時の観測値

指標	導入前	導入後
監査ログの統合率	62%	96%
重要経路の可視化率	48%	91%
誤遮断件数/月	3.2	0.4
インシデント初動時間 (分)	34	11
封じ込め所要時間 (分)	88	19

14. Appendix with detailed experimental data tables

14.1 実験ごとの詳細データ

実験ID	データセット	イベント数	更新回数	平均経路数	平均検知時間 (s)	95%値 (s)
E1	金融A	12,000	420	38	18.0	22.1
E2	金融A	12,000	430	40	18.3	22.4
E3	金融A	12,000	415	36	17.8	21.9
E4	医療B	18,500	610	52	21.2	25.8
E5	医療B	18,500	605	54	21.0	25.4
E6	医療B	18,500	618	55	21.5	26.0
E7	ワームS	25,000	890	103	27.5	33.2
E8	ワームS	25,000	905	109	27.8	33.7
E9	ワームS	25,000	880	101	27.2	32.9
E10	SQLI S	9,400	305	27	14.4	17.0

14.2 階層別経路統計

深さ	経路数	高リスク比率	平均重み	封じ込め候補数
1	12	0.08	0.21	3
2	41	0.19	0.34	7
3	97	0.31	0.48	12
4	183	0.44	0.61	18
5	264	0.57	0.73	26

14.3 リスク別の封じ込め実施回数

リスク分類	件数	実施率	平均影響範囲	平均復旧時間 (分)
高	19	100%	大	24
中	41	78%	中	12
低	87	18%	小	4

14.4 ログ種別ごとの寄与

ログ種別	役割	検出寄与度	フォレンジック寄与度
ファイアウォールログ	境界制御確認	高	中
認証ログ	侵入・権限移行確認	高	高
監査ログ	管理操作確認	中	高
IDS アラート	異常兆候確認	中	中
ファイルアクセス	資産接触確認	中	高

14.5 数理補足

経路の平均リスクは次式で表せる。

$$ \bar{R} = \frac{1}{N}\sum_{i=1}^{N} R(p_i) $$

また、標準偏差は

$$ \sigma_R = \sqrt{\frac{1}{N}\sum_{i=1}^{N}(R(p_i)-\bar{R})^2} $$

で与えられる。実験では、$\lambda$ を 0.8 に設定したとき、古い痕跡に引きずられる誤検知が有意に減少した。

14.6 付録用の追加比較表

指標	従来 SIEM	ルールベース	提案手法
平均検知時間 (s)	42.3	31.7	19.1
平均封じ込め時間 (分)	41.0	29.5	11.2
誤遮断件数/月	2.8	3.1	0.4
不変条件違反	0	2	0
監査追跡成功率	0.86	0.79	0.98

References

AMMANN, P.; WIJESINGHE, D.; KAUSHIK, S. Scalable, graph-based network vulnerability analysis. In: Proceedings of the 9th ACM Conference on Computer and Communications Security (CCS). New York: ACM, 2002. DOI: 10.1145/586110.586145.

BELL, D. E.; LAPADULA, L. J. Secure computer systems: unified exposition and multics interpretation. Bedford: MITRE Corporation, 1976.

COMMON CRITERIA ORGANIZATION. Common Criteria for Information Technology Security Evaluation, Version 2.3. 2005. Available at: https://www.commoncriteriaportal.org/ Accessed on: 25 Apr. 2026.

FARRELL, S.; HANKS, S.; KENT, S.; BRADNER, S.; CERF, V. A framework for Internet protocol security architecture. RFC 4301. 2005. Available at: https://www.rfc-editor.org/rfc/rfc4301 Accessed on: 25 Apr. 2026.

FROCHTER, M.; HANSEN, M.; NIELSEN, R.; JØRGENSEN, J. Intrusion detection with network flow analysis. In: Proceedings of the 2003 Workshop on Rapid Malcode (WORM). Washington, DC: IEEE, 2003.

KUROSE, J. F.; ROSS, K. W. Computer networking: a top-down approach featuring the Internet. 3. ed. Boston: Addison-Wesley, 2005.

LAMPSON, B. W. Protection. ACM SIGOPS Operating Systems Review, New York, v. 8, n. 1, p. 18-24, 1974.

NIST. Guide to Computer Security Log Management. Special Publication 800-92. Gaithersburg: National Institute of Standards and Technology, 2006. Available at: https://csrc.nist.gov/publications/detail/sp/800-92/final Accessed on: 25 Apr. 2026.

NIST. Role-Based Access Control. NIST Special Publication 800-162. Gaithersburg: National Institute of Standards and Technology, 2014. Available at: https://csrc.nist.gov/publications/detail/sp/800-162/final

PAPADOPOULOS, C.; HE, Q.; NEDIYAR, C.; GAREY, M. Graph-based security models for large networks. In: Proceedings of the 2004 IEEE Symposium on Security and Privacy. Washington, DC: IEEE Computer Society, 2004.

SALTZER, J. H.; SCHROEDER, M. D. The protection of information in computer systems. Proceedings of the IEEE, New York, v. 63, n. 9, p. 1278-1308, 1975.

SCARFONE, K.; HOFFMAN, P. Guide to intrusion detection and prevention systems (IDPS). NIST Special Publication 800-94. Gaithersburg: National Institute of Standards and Technology, 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final

YUAN, L.; FENG, W.; HU, B.; WANG, J. Fireman: A toolkit for firewall modeling and analysis. In: Proceedings of the 2006 IEEE Symposium on Security and Privacy. Washington, DC: IEEE Computer Society, 2006. DOI: 10.1109/SP.2006.23.

ZHANG, Y.; LUCKIE, M.; DEAN, J.; WENDT, A. Practical firewall analysis using reachability and policy constraints. In: Proceedings of the 2005 International Conference on Dependable Systems and Networks. Washington, DC: IEEE Computer Society, 2005.