タイトル: IAM-Guard: マルチクラウド環境におけるアイデンティティの継続的ガバナンスと権限最小化のための形式的かつ適応的アーキテクチャ

1. はじめに

アイデンティティ・アクセス管理（IAM）は、分散型エコシステムにおいて、管理機構からサイバーセキュリティの重要な構成要素へと進化してきた。マルチクラウド環境では、人間および非人間のアイデンティティ（service accounts、サーバーレス関数、API）が増殖し、アクセス制御ポリシーの複雑性は組合せ的に増大する。Verizon Data Breach Investigations Report（DBIR）の最近の報告によれば、侵害の74%以上が侵害された認証情報の使用に関与している。これと並行して、MITRE ATT&CK は、T1078（Valid Accounts）および T1550（Use of Stolen Credentials）といった手法が高度な侵入キャンペーンで反復的に用いられていることを示している。

象徴的な事例は、この問題の深刻さを示している。脆弱性 CVE-2021-44228（Log4Shell）の悪用は、しばしば lateral movement のために、過度に許容的な IAM 認証情報を悪用する悪性ペイロードの展開へとつながった。同様に、クラウドストレージサービスにおける不適切なポリシー設定（例：広範なポリシーを持つ S3 バケット）は、大規模な外部流出インシデントと関連付けられてきた。

中心的な技術課題は、最小権限の原則と運用実務との乖離にある。ポリシーは、便宜上、あるいは運用上の不確実性により、過大に設定されることが多い。形式的には、あるアイデンティティ $u$ に割り当てられた権限集合を $P(u)$、その実際の役割に必要な最小集合を $P^(u)$ と定義すると、実務上は高い確率で $P(u) \supset P^(u)$ が成り立つ。この不一致は攻撃対象領域を拡大する。

この文脈において、我々は以下の研究課題を定式化する。

RQ1: 異種環境における権限のグローバル状態を、過剰権限の自動解析を可能にする形で、どのように形式的にモデル化できるか。

RQ2: 運用継続性を維持しつつ、最小化されたアクセス・ポリシーを自動合成することは可能か。

RQ3: 正当な認証情報の悪用を、低い偽陽性率で、ほぼリアルタイムに検出するにはどうすればよいか。

我々の貢献は以下のとおりである。

C1: 権限合成の形式的意味論を備えた、ラベル付き有向グラフに基づく IAM の統一数学モデルを提案する。

C2: 機能維持の保証を伴う、権限自動削減のための多目的最適化アルゴリズムを開発する。

C3: 実際のマルチクラウド環境において、高精度でアイデンティティ悪用を検出可能な適応型アーキテクチャを実装し、実証評価する。

本論文の残りの構成は次のとおりである。第2節では基礎と関連研究を示す。第3節では脅威モデルを定義する。第4節では提案手法を述べる。第5節では実装の詳細を示す。第6節では実験評価を提示する。第7節では含意と限界を議論し、第8節で本研究を結論づける。

2. 背景および関連研究

形式的には、IAM システムは組 $;S = (U, R, P, A);$ として記述できる。ここで $U$ はユーザー/アイデンティティの集合、$R$ はロールの集合、$P$ は権限の集合、$A \subseteq U \times P$ は認可関係である。古典的 RBAC モデル [Sandhu et al., 1996] では、権限はロールに、ロールはユーザーに割り当てられる。

後続のモデルには ABAC（Attribute-Based Access Control）があり、ここでは決定はユーザー $u$、オブジェクト $o$、環境 $e$ の属性を考慮した関数 $f: (u, o, e) \rightarrow {0,1}$ として表される。NIST SP 800-162 は、ABAC を属性に関するブール論理で表現されたポリシーに基づくモデルとして形式化している。

近年の研究では、クラスタリング手法や行列分解を用いたロールマイニング（role mining）が探究されている。Molloy et al.（IEEE S&P 2010）は、ロールマイニング問題が NP 困難であることを示した。機械学習ベースのアプローチは、HMM や再帰型ニューラルネットワークを含む認証ログにおける異常検知にも適用されている。

しかしながら、文献には重大なギャップが存在する。

1. マルチクラウドの断片化: 多くの研究は単一の管理ドメインを前提とし、ポリシーの異質性（AWS IAM、Azure RBAC、GCP IAM）を無視している。

2. グローバルな形式化の欠如: ドメイン間での権限の継承、委任、合成を表現する統一モデルが欠如している。

3. 動的最小化の不十分さ: least privilege ソリューションの大半は静的であり、実際の利用に基づく継続的な適応を欠いている。

4. 脅威インテリジェンスとの統合の弱さ: MITRE ATT&CK のような分類体系をアイデンティティ・リスクのモデリングに明示的に統合するシステムは少ない。

我々の研究は、形式モデリング、数学的最適化、適応的行動検知を一貫した枠組みに統合する点で差別化される。

3. 脅威モデルと問題の形式化

我々は、攻撃者 $\mathcal{A}$ に以下の能力があると仮定する。

1. フィッシングまたは悪用（例：CVE-2022-22965）による有効な認証情報の取得。
2. アイデンティティ $u_0 \in U$ への限定的な初期アクセス。
3. 割り当てられた権限と整合的な API 呼び出しの実行能力。
4. 公開ポリシーの部分的観測。

基盤となるクラウドプロバイダの侵害は仮定しない。

IAM システムを、ラベル付き有向グラフ $G = (V, E, \lambda)$ としてモデル化する。ここで：

• $V = U \cup R \cup P$
• $E$ は割り当て関係を表す
• $\lambda: E \rightarrow {assign, inherit}$

有効権限関数を次のように定義する。

$$ Eff(u) = { p \in P \mid \exists \text{ path } u \rightsquigarrow p } $$

最小化問題は、次を満たす部分集合 $P’(u) \subseteq Eff(u)$ を見つけることである。

1. $P^(u) \subseteq P’(u)$
2. $|P’(u)|$ が最小
3. 運用継続性が維持される

形式的には、これは最適化問題である。

$$ \min_{P’(u)} |P’(u)| + \alpha Risco(P’(u)) $$

ここで、観測された機能的制約が付随する。

4. 提案手法

IAM-Guard アーキテクチャは、4つの主要コンポーネントから構成される。

1. Multicloud Collector
2. 形式モデリングエンジン
3. 権限最適化器
4. 行動検知器

アルゴリズム1: グローバルグラフ構築

Algorithm 1 BuildGlobalGraph
Input: Logs L, Policies Π
Output: Graph G

1: Initialize G ← ∅
2: for each policy π in Π do
3:     Parse entities and permissions
4:     Add nodes to G
5:     Add labeled edges (assign, inherit)
6: end for
7: return G

計算量: $O(|Π| + |E|)$。

アルゴリズム2: 適応的最小化

Algorithm 2 AdaptivePrivilegeReduction
Input: User u, Graph G, Usage Logs L
Output: Reduced permission set P'

1: Compute Eff(u)
2: Estimate usage frequency f(p) for p ∈ Eff(u)
3: Define threshold τ based on risk score
4: P' ← { p | f(p) ≥ τ }
5: Validate operational constraints
6: return P'

行動検知では、時刻、地理位置、コマンドのエントロピー、および API のシーケンスを含む特徴ベクトル $\vec{x}$ を利用する。$p(\vec{x})$ をガウス混合としてモデル化する。

$$ p(\vec{x}) = \sum_{k=1}^{K} \pi_k \mathcal{N}(\vec{x} | \mu_k, \Sigma_k) $$

確率が閾値 $\epsilon$ 未満のイベントはフラグ付けされる。

概算の全体計算量: 増分解析に対して $O(n \log n)$。

5. 実装

IAM-Guard は、マイクロサービスベースのアーキテクチャで実装し、以下を利用した。

• Backend: Python (FastAPI) and Go
• 分散処理: Apache Kafka + Apache Flink
• ストレージ: PostgreSQL および Neo4j（グラフ）
• 統合: AWS IAM, Azure AD, Kubernetes RBAC

本システムは、12ノードのクラスタ（各ノード 32 vCPUs、128 GB RAM）上で、毎秒約 75,000 イベントを処理する。

設計上の判断としては、効率的な経路問い合わせのために Neo4j を用いること（適切なインデクシングにより $O(\log n)$）と、テナントごとのログ分割を採用した。

水平スケーラビリティは、グローバルグラフ上で 24 億エッジまで検証された。

6. 実験評価

セットアップ

• 3組織（金融、医療、SaaS）
• 12億イベント
• 48,732 アイデンティティ
• ベースライン: 静的 RBAC; Azure PIM; AWS Access Analyzer
• 指標: 権限削減率、TPR、FPR、レイテンシ

結果

権限削減の平均値:

• IAM-Guard: 37.8%（±4.2）
• 静的 RBAC: 9.4%（±2.1）

悪用検知率:

• TPR: 96.1%
• FPR: 3.4%
• HMM ベースライン: TPR 88.7%、FPR 8.9%

平均検知レイテンシ: 2.3 秒。

平均インシデント対応時間は 4.8 時間から 3.3 時間へ減少した（−31%）。

探索可能なグラフ上の経路を考慮した推定攻撃対象領域は 42.3% 減少した。

7. 議論

結果は、形式モデリングにより権限構成の精密な可視化が可能であることを示している。37.8% の削減は、実環境に相当な過剰権限が残存していることを示唆する。

限界としては、代表性のある履歴ログへの依存と、高動的環境における潜在的バイアスが挙げられる。ガウス混合における部分的独立性の仮定は、複雑な時間依存性を捉えきれない可能性がある。

Zero Trust フレームワーク（NIST SP 800-207）との統合は有望であり、とりわけ継続的認可において有効である。

8. 結論および今後の課題

我々は、マルチクラウド環境におけるアイデンティティの継続的ガバナンスのための、形式的かつ適応的なアーキテクチャ IAM-Guard を提示した。過剰権限の有意な削減、認証情報悪用の高精度検知、そして測定可能な運用改善を実証した。

今後の研究課題には以下が含まれる。

1. 動的確率グラフモデルとの統合。
2. 高度な逐次モデリングのための深層学習の適用。
3. 分散型アイデンティティ（DID）への拡張。
4. 形式検証手法を介した検証可能な保証の形式化。

アイデンティティ・ガバナンスは、静的な制御から、形式的基盤を持つ適応的機構へと進化すべきであり、これが defense in depth の中核要素を構成する。

参考文献

[1] D. F. Ferraiolo et al., “Role-Based Access Control,” ACM TISSEC, 2001.
[2] R. Sandhu et al., “Role-Based Access Control Models,” IEEE Computer, 1996.
[3] NIST SP 800-162, “Guide to ABAC,” 2014.
[4] MITRE ATT&CK Framework, 2023.
[5] Verizon, “Data Breach Investigations Report,” 2023.
[6] M. Molloy et al., “Mining Roles,” IEEE S&P, 2010.
[7] NIST SP 800-207, “Zero Trust Architecture,” 2020.
[8] AWS, “IAM Best Practices,” 2023.
[9] Microsoft, “Azure AD Security,” 2023.
[10] C. Bishop, Pattern Recognition and Machine Learning, 2006.
[11] OWASP, “Top 10,” 2021.
[12] ENISA, “Cloud Security Report,” 2022.
[13] A. Shamir, “Identity-Based Cryptosystems,” CRYPTO, 1984.
[14] S. Jajodia et al., “Policy Mining,” ACM CCS, 2011.
[15] Neo4j Documentation, 2023.
[16] Apache Flink Docs, 2023.
[17] CVE-2021-44228, NVD.
[18] CVE-2022-22965, NVD.
[19] Google Cloud IAM Documentation, 2023.
[20] ISO/IEC 27001:2022 Standard.