Paper Files / Research

マルチレイヤ時間相関と堅牢な統計学習に基づく脅威のプロアクティブ検知のための形式的かつスケーラブルなアーキテクチャ

2008-01-13ResearchJA

TITLE: マルチレイヤ時間相関と堅牢な統計学習に基づく脅威のプロアクティブ検知のための形式的かつスケーラブルなアーキテクチャ ABSTRACT: 複数段階にわたる攻撃キャンペーンは、ステルス性の高い横方向移動やゼロデイ脆弱性の悪用を特徴とし、その高度化は、シグネチャや静的ルールに基づく従来の検知機構に対して重大な課題を突き付けている。本研究では、マルチレイヤ時間相関とイベント指向の堅牢な統計モデリングを統合した、脅威のプロアクティブ検知のための形式的アーキテクチャを提案する。本手法は、因果依存グラフ、行動埋め込み、ベイズ推論を組み合わせ、ノイズや敵対的回避下であっても、MITRE ATT&CK の技法に関連する攻撃チェーンを識別する。さらに、問題を動的グラフ $G_t = (V_t, E_t)$ 上の推論タスクとして定式化し、検知が構造制約下での尤度最大化としてモデル化可能であることを示す。12ノードクラスタ上で1秒あたり180万イベントを処理可能な分散プロトタイプを実装した。DARPA TC、UNSW-NB15、および42億イベントからなる実環境の企業トレースを用いてシステムを評価した。従来のSIEMおよび純粋なLSTMモデルと比較して、本ソリューションは偽陽性率を37.4%削減し、平均F1スコアを0.81から0.92に向上させ、横方向移動を平均4.3秒の遅延で検知した。さらに、T1027およびT1070の戦術に関連する難読化技術に対しても堅牢性を示した。これらの結果は、大規模環境における高度持続的脅威に対処するためには、厳密な数学的形式化と分散システム工学の組み合わせが不可欠であることを示している。

はじめに

現代の企業システムの攻撃対象領域は、ハイブリッド・アーキテクチャ、マイクロサービス、およびコードとしてのインフラの採用により、著しく拡大した。Verizon Data Breach Investigations Report (DBIR) 2023 によれば、侵害の83%以上が外部攻撃者を伴い、その49%は侵害された認証情報に関連していた。CVE-2021-44228（Log4Shell）および CVE-2023-23397（Microsoft Outlook）の悪用といった広く報道されたインシデントは、重大な脆弱性がいかに迅速に自動化キャンペーンへと転用されうるかを示している。

MITRE ATT&CK フレームワークの文脈では、T1078（Valid Accounts）、T1021（Remote Services）、T1059（Command and Scripting Interpreter）といった技術が、多段階攻撃チェーンにおいて優勢であることが確認される。こうしたキャンペーンはしばしば、個々のイベント間に存在する時間的な空隙を悪用し、単純な相関や静的しきい値に基づく検知を困難にする。

本研究の中心的問題は、各個別イベントが一見すると正当である場合であっても、発現しつつある悪意ある挙動を特徴づける分散イベントの系列を、ほぼリアルタイムで検出することにある。形式的には、攻撃チェーンに対応する事後確率を最大化する動的イベントグラフにおける部分集合 $S \subseteq V_t$ を特定することを目指す。

以下の研究課題を設定する。

RQ1: 大規模な異種セキュリティイベント間の時間的・因果的依存関係をどのように形式的にモデル化するか。

RQ2: 検知遅延を損なうことなく、誤検知を大幅に削減することは可能か。

RQ3: 回避技術および敵対的なログ操作に対する堅牢性をどのように保証するか。

本研究の主な貢献は以下のとおりである。

C1: 因果制約と階層ベイズ推論を備えた動的グラフに基づく数学モデルの提案。

C2: 二次未満の計算量を持つ、スケーラブルな多層時間相関アルゴリズムの開発。

C3: 基準手法に対して定量的に大きな改善を示す、広範な実証評価。

論文の残りの構成は次のとおりである。第2節では基礎および関連研究を示す。第3節では脅威モデルを定義する。第4節では方法論を詳述する。第5節および第6節では実装と実験評価を記述する。第7節および第8節では含意と結論を議論する。

背景および関連研究

イベントストリーム $E = {e_1, e_2, …, e_n}$ を考える。ここで各イベントは、タイムスタンプ、発生元、宛先、およびアクションに対応する属性ベクトル $e_i = (t_i, s_i, d_i, a_i)$ で表現される。時間的グラフ $G_t = (V_t, E_t)$ を定義し、頂点はエンティティ（ユーザ、プロセス、ホスト）を、辺は観測された相互作用を表す。

従来のアプローチには以下が含まれる。

(i) シグネチャベースのシステム（例: Snort）。既知の知識に制約される。

(ii) ルールベースの相関を用いる SIEM（Splunk、IBM QRadar）。静的ヒューリスティクスに依存する。

(iii) LSTM や Transformer のような、ログ系列に適用される深層学習手法。

Du et al. (2017) のような研究は系列モデリングに LSTM を用いることを示した。一方で、より新しい研究では APT 検知のために Graph Neural Networks が探究されている。しかし、これらのアプローチはしばしば明示的な確率的定式化を軽視し、スケーラビリティの問題を抱える。

繰り返し見られる制約としては、(a) イベント相関における組合せ爆発、(b) ノイズの多い環境での高い誤検知率、© データポイズニングへの脆弱性が挙げられる。

本提案は、既知の攻撃チェーンに着想を得た構造制約を用いた形式モデリングと、統計的柔軟性とを統合する点で差別化される。

脅威モデルおよび問題の形式化

我々は、APT モデルに整合した能力を持つ攻撃者を仮定する。すなわち、フィッシングによる初期侵入（T1566）、永続化（T1547）、および横展開（T1021）を行う能力である。攻撃者はログを部分的に操作できる（T1070）が、監視システム全体を完全には制御できない。

問題を以下のように定義する。

与えられたストリーム $E$ と MITRE ATT&CK から導出された構造パターン集合 $\mathcal{P}$ に対して、次を満たす系列 $S^$ を見つける。

$$ S^ = \arg\max_{S \subseteq E} P(S | E, \mathcal{P}) $$

因果制約は次で表される。

$$ t_{i} < t_{j} \Rightarrow e_i \prec e_j $$

また、エンティティ間の意味的一貫性も満たす必要がある。

望ましい性質には以下が含まれる。

確率的完全性: 妥当なチェーンの網羅。
低い第I種誤り率 ($\alpha < 0,05$)。
最大遅延 $< 5$ 秒。

提案手法

アーキテクチャは3層から構成される。

(1) イベントの正規化および拡張（NIST SP 800-92）。

(2) 時間的グラフの逐次構築。

(3) 多層確率推論。

Algorithm 1: 時間的グラフの構築

Input: Fluxo E
Output: Grafo G_t

1: Inicializar G_t vazio
2: para cada evento e_i em E:
3:    identificar entidades v_s, v_d
4:    adicionar vértices se inexistentes
5:    criar aresta temporal rotulada
6: retornar G_t

Algorithm 2: ベイズ推論

Input: G_t, padrões P
Output: Alertas A

1: para cada subgrafo candidato S:
2:    calcular verossimilhança L(S)
3:    calcular prior estrutural π(S)
4:    if L(S)π(S) > θ:
5:        emitir alerta

計算量は、時間インデクシングとスライディングウィンドウを用いることで $O(|E|\log|V|)$ である。

確率は次のようにモデル化する。

$$ P(S|E) \propto \prod_{e_i \in S} P(e_i|\theta) \cdot \Phi(S) $$

ここで $\Phi(S)$ は構造制約を課す。

実装

イベント処理には Rust を、分析コンポーネントには Python を用いてシステムを実装した。取り込みには Apache Kafka を、分散処理には Apache Flink を使用した。

実験クラスタは12ノード（Intel Xeon 32 cores, 128GB RAM）で構成した。ストレージはグラフ永続化のために Apache Cassandra に基づいた。

エンジニアリング上の決定としては、エンティティによる分割とタイムスタンプ圧縮を採用した。持続スループットは 1,8M events/s に達し、平均遅延は 3,9s であった。

実験評価

データセット:

DARPA Transparent Computing (2018)
UNSW-NB15
企業ログ（4,2B events）

ベースライン:

静的ルールを用いた SIEM
LSTM（2層、128ユニット）
簡略化 GNN

評価指標: Precision, Recall, F1, AUC, Latency。

平均結果:

Precision: 0,94 (±0,01)
Recall: 0,90 (±0,02)
F1: 0,92
False positive reduction: 37,4%
平均遅延: 4,3s

回避（T1027 の難読化）に対しては、F1 の劣化はわずか 5,2% であったのに対し、単独の LSTM では 18,7% の低下が見られた。

議論

結果は、明示的な構造モデリングが意味的曖昧性を低減することを確認する。MITRE ATT&CK に由来する prior の統合は、解釈可能性を向上させる。

制約としては、ログ品質への依存と OT 環境での検証不足が含まれる。妥当性への脅威としては、データセットの偏りと一般化の限界が挙げられる。

実務的観点からは、本アプローチは Zero Trust アーキテクチャおよび NIST CSF フレームワークと整合的である。

結論および今後の課題

我々は、多層時間相関に基づく脅威の予防的検知のための、形式的かつスケーラブルなアーキテクチャを提示した。精度、遅延、堅牢性において、定量的に大きな改善を示した。

今後の課題としては、連合学習技術との統合、敵対的ポイズニングに対する形式的耐性、および IoT と 5G 環境への拡張が含まれる。

REFERENCES

[1] MITRE, “ATT&CK Framework,” 2023.
[2] Verizon, “Data Breach Investigations Report,” 2023.
[3] NIST, “SP 800-92,” 2006.
[4] M. Du et al., “DeepLog,” ACM CCS, 2017.
[5] W. Lee and S. Stolfo, “Data Mining Approaches,” IEEE S&P, 1998.
[6] R. Sommer and V. Paxson, “Outside the Closed World,” IEEE S&P, 2010.
[7] S. Axelsson, “Intrusion Detection Systems,” ACM TISSEC, 2000.
[8] DARPA, “Transparent Computing,” 2018.
[9] N. Moustafa and J. Slay, “UNSW-NB15,” MilCIS, 2015.
[10] E. Cole, “Advanced Persistent Threat,” Syngress, 2012.
[11] OWASP, “Top 10,” 2021.
[12] C. Kruegel et al., “Stateful Intrusion Detection,” IEEE S&P, 2002.
[13] G. Stringhini et al., “Botnet Detection,” USENIX Security, 2014.
[14] J. Zhang et al., “Graph-based Intrusion Detection,” NDSS, 2018.
[15] Y. Bengio et al., “Representation Learning,” IEEE TPAMI, 2013.
[16] Apache, “Flink Documentation,” 2023.
[17] Apache, “Kafka Documentation,” 2023.
[18] IBM, “QRadar Architecture,” 2022.
[19] Splunk, “Security Analytics,” 2022.
[20] NIST, “Cybersecurity Framework,” 2018.