HKHiago Kin Levi
← 論文一覧に戻る

Paper Files / Detection

適応的マルチレイヤ型高度脅威検知：異種テレメトリのベイズ融合と時間グラフに基づく手法

DetectionJA

適応的マルチレイヤ型高度脅威検知：異種テレメトリのベイズ融合と時間グラフに基づく手法 2025年におけるサイバー脅威の高度化は、マルチステージ攻撃、ゼロデイ脆弱性の悪用、サプライチェーン侵害、アイデンティティの悪用、さらに生成系人工知能モデルの悪用を含み、従来の検知メカニズムに重大な課題を突きつけている。本研究では、異種テレメトリの再帰的ベイズ融合と動的時間グラフによる構造モデリングに基づく適応的マルチレイヤ検知アーキテクチャを提案する。本問題を、時間に沿った悪意ある活動の存在を表す潜在二値過程に対する推論として定式化し、ネットワーク、エンドポイント、アイデンティティ、アプリケーション、およびクラウドワークロードから得られる観測イベントに基づいて推定する。提案手法は、(i) イベントのセマンティック正規化、(ii) 統計的および構造的特徴量の抽出、(iii) 時間グラフのインクリメンタル構築、(iv) 数値安定性のための対数尤度更新を用いたベイズ推論、を統合する。さらに、観測されたトポロジカル指標の分布と履歴ベースラインとの間のKullback–Leiblerダイバージェンスに基づく構造的検出器を導入する。提案モデルを、広く利用されている公開データセット（CIC-IDS2017およびUNSW-NB15）と、23億件の匿名化イベントを含む企業データセットに対して実証的に評価し、Random Forest、XGBoost、LSTMと比較した。結果は、F1スコアの統計的に有意な向上と、偽陽性率およびラテラルムーブメント検知までの平均時間の一貫した低減を示した。さらに、Zero TrustおよびCNAPP環境における含意、コンセプトドリフトへのロバスト性、ならびにデータポイズニングのリスクについて議論する。複数の弱い証拠を確率的に整合的に融合する手法と時間グラフの構造解析を組み合わせることで、精度と遅延の両面で大きな改善を実現しつつ、現代の分散アーキテクチャにおける運用スケーラビリティを維持できることを示す。

  1. 序論

現代のデジタルインフラストラクチャにおける悪意ある活動の検出は、静的シグネチャ中心のパラダイムから、適応的な攻撃者、マルチステージ攻撃チェーン、およびゼロデイ脆弱性の体系的悪用を特徴とする状況へと進化してきた。CVE-2021-44228（Log4Shell）脆弱性の悪用や SolarWinds のようなサプライチェーン攻撃キャンペーンといった広く記録されたインシデントは、攻撃者が横方向移動（MITRE ATT&CK T1021）、リモート実行（T1059）、およびアーティファクトの難読化（T1027）を協調的に実行する能力を有していることを示している（MITRE, 2024）。

最近の報告によれば、平均滞留時間（“dwell time”）は依然として多くの重要産業分野で大きく、侵害による財務的および運用上の影響を拡大させている（VERIZON, 2023; MANDIANT, 2024）。クラウドワークロード、マイクロサービス、フェデレーテッドアイデンティティ、API を取り込む現代的アーキテクチャでは、攻撃の証拠は複数の層—ネットワーク、エンドポイント、アイデンティティ、アプリケーション、クラウド制御プレーン—に分断され、単一のメカニズムの有効性を低下させる。

形式的には、本研究では問題を、時刻 $t$ における悪意ある活動の不在または存在を示す潜在過程 $A_t \in {0,1}$ に関する推論としてモデル化する。これは観測履歴 $\mathcal{E}_{1:t}$ が与えられた条件下で行われる。Snort（ROESCH, 1999）のようなシグネチャ専用システムは既知のパターンに対して高い精度を示すが、本質的に反応型である。一方、純粋に機械学習に基づく手法は、concept drift と高い偽陽性率に起因する運用コストにしばしば悩まされる（SOMMER; PAXSON, 2010）。

したがって、本研究では次の研究課題を設定する。

本研究の主な貢献は以下の通りである。

  1. 背景と関連研究

侵入検知は、期待リスクの最小化として形式化できる。

$$ R(f) = \mathbb{E}_{(x,y)\sim \mathcal{D}}[\ell(f(x), y)], $$

ここで $f: \mathcal{X} \rightarrow {0,1}$、$\mathcal{D}$ はデータ分布を表す（DENNING, 1987）。シグネチャベースのアプローチは決定論的パターン照合を実行する（ROESCH, 1999）が、異常検知ベースの手法は統計モデリングまたは教師あり・教師なし学習を用いる（PATCHA; PARK, 2007）。

Lee と Stolfo（1998）は IDS に対するデータマイニング技術を導入し、Sommer と Paxson（2010）は敵対的セキュリティ環境における機械学習の構造的限界を議論した。LSTM のような系列モデルは時間的依存関係を捉える（GOODFELLOW; BENGIO; COURVILLE, 2016）が、エンティティ間の構造関係を明示的にモデル化する能力に欠ける。

動的グラフは $G_t = (V_t, E_t)$ として表され、頂点はエンティティ（プロセス、ホスト、ユーザー、サービスアイデンティティ）を表し、辺は観測された相互作用を表す。Bilge ら（2012）および Holz ら（2008）の研究は、C2 検出における構造解析の有効性を示している。

確率論的観点から、本研究ではベイズ推論（PEARL, 1988）を採用し、連続する証拠に対して信念を再帰的に更新できるようにする。

  1. 脅威モデルと問題の形式化

本研究では、2025 年時点で現実的と考えられる能力を持つ攻撃者モデルを採用する。これには、既知の脆弱性の悪用、認証情報の不正利用、横方向移動、回避技術、およびテレメトリパイプラインに対するデータ汚染の可能性が含まれる。処理コアの完全性およびログ整合性検証メカニズムの存在を前提とする。

$\mathcal{E}_t = {e_1, …, e_n}$ を時刻 $t$ におけるイベント集合とし、$x_i \in \mathbb{R}^d$ とする。次を定義する。

$$ P(A_t = 1 \mid \mathcal{E}_{1:t}) $$

これは悪意ある活動の事後確率である。

一次マルコフ仮定の下では、

$$ P(A_t \mid \mathcal{E}_{1:t}) \propto P(\mathcal{E}t \mid A_t) P(A_t \mid A{t-1}). $$

性能評価基準:

基準 形式的定義 目標
正確性 $P(\hat{A}_t=1 \mid A_t=1)$ を最大化 $> 0{,}98$
ロバスト性 $\sup_{|\epsilon|\leq \delta} R(f_\epsilon)-R(f)
効率 重大アラートの95%に対するレイテンシ < 5 min
  1. 提案手法

本アーキテクチャは、取り込み、特徴抽出、時間グラフ構築、ベイズ推論の4層で構成される。

再帰更新は次式で与えられる。

$$ \pi_t = \frac{P(\mathcal{E}t \mid A_t=1)\pi{t-1}}{P(\mathcal{E}_t)}, $$

対数実装では次のようになる。

$$ \log \pi_t = \log \pi_{t-1} + \log P(\mathcal{E}_t \mid A_t=1) - \log Z_t. $$

構造検出器は次を用いる。

$$ S_t = D_{KL}(P_{obs}(G_t) \parallel P_{base}(G)). $$

計算量は、増分構築に対して $O(|E_t|)$、ベイズ更新に対して $O(1)$、構造指標の計算に対して $O(|V_t|+|E_t|)$ である。

  1. 実装

本アーキテクチャは、取り込みに Apache Kafka、ストリーミング処理に Apache Flink、インデックス化に Elasticsearch を用いて実装した。メモリ内グラフ表現には Apache Ignite を使用した。

取り込み設定の簡略例:

kafka-topics.sh --create --topic telemetry-events --bootstrap-server broker:9092 --partitions 12 --replication-factor 3

テストでは 12 ノードまで線形スケーラビリティを示し、スループットは 1 分あたり 980 万イベント、ウィンドウあたりの平均レイテンシは 2.1 秒であった。

  1. 実験評価

使用データセット: CIC-IDS2017（SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018）、UNSW-NB15（MOUSTAFA; SLAY, 2015）、および企業データセット（23 億イベント）。

モデル F1 FPR
Random Forest $0{,}81 \pm 0{,}02$ 7,2%
XGBoost $0{,}83 \pm 0{,}02$ 6,9%
LSTM $0{,}84 \pm 0{,}01$ 6,5%
提案手法 $0{,}99 \pm 0{,}005$ 3,8%

横方向移動の平均検出時間は 14.2 分から 3.6 分へ短縮された。$\alpha=0{,}01$ による対応のある t 検定により統計的有意性が確認された。

  1. 議論

ベイズ融合は弱い証拠を一貫した形で統合し、スプリアスアラームを削減する。グラフモデリングは、分散型コマンド・アンド・コントロールに関連する構造パターンを捉える（HOLZ et al., 2008）。Zero Trust 環境（NIST, 2020）および CNAPP プラットフォームにおいて、本アプローチは複数のテレメトリソースとの自然な統合を提供する。

制限として、ログ品質への依存およびデータ汚染のリスクが挙げられる。将来の戦略には、ロバスト技術および安全なフェデレーテッド学習が含まれる。

  1. 結論と今後の研究

確率的マルチレイヤー統合と時間グラフの構造解析を組み合わせることで、精度および検出レイテンシにおいて大幅な改善が得られることを示した。今後の研究では、形式的な敵対的ロバスト性メカニズムおよびリスクベースの適応的制御との統合を含める予定である。

参考文献

BILGE, L. et al. Disclosure: Detecting Botnet Command and Control Servers. In: USENIX SECURITY SYMPOSIUM, 21., 2012. Available at: https://www.usenix.org/conference/usenixsecurity12/technical-sessions/presentation/bilge

DENNING, D. E. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987. Available at: https://ieeexplore.ieee.org/document/1702202

GOODFELLOW, I.; BENGIO, Y.; COURVILLE, A. Deep Learning. MIT Press, 2016. Available at: https://www.deeplearningbook.org

HOLZ, T. et al. Measuring and Detecting Fast-Flux Service Networks. In: USENIX SECURITY SYMPOSIUM, 2008. Available at: https://www.usenix.org/legacy/event/sec08/tech/full_papers/holz/holz.pdf

LEE, W.; STOLFO, S. Data mining approaches for intrusion detection. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 1998. Available at: https://ieeexplore.ieee.org/document/674832

MANDIANT. M-Trends 2024 Report. 2024. Available at: https://www.mandiant.com/resources/m-trends

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org

MOUSTAFA, N.; SLAY, J. UNSW-NB15 dataset. In: MILCIS, 2015. Available at: https://research.unsw.edu.au/projects/unsw-nb15-dataset

NIST. Zero Trust Architecture – SP 800-207. 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final

PATCHA, A.; PARK, J. An overview of anomaly detection techniques. Computer Networks, 2007. Available at: https://doi.org/10.1016/j.comnet.2007.02.013

PEARL, J. Probabilistic Reasoning in Intelligent Systems. Morgan Kaufmann, 1988.

ROESCH, M. Snort: Lightweight Intrusion Detection. In: USENIX LISA, 1999. Available at: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-system

SHARAFALDIN, I.; HABIBI LASHKARI, A.; GHORBANI, A. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://www.unb.ca/cic/datasets/ids-2017.html

SOMMER, R.; PAXSON, V. Outside the Closed World. In: IEEE SYMPOSIUM ON SECURITY AND PRIVACY, 2010. Available at: https://ieeexplore.ieee.org/document/5504793

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/