Paper Files / Research
タイトル: MITRE ATT&CKに基づく多層テレメトリと相関を志向した脅威検出・脅威ハンティングのためのスケーラブルなハイブリッドアーキテクチャ
タイトル: MITRE ATT&CKに基づく多層テレメトリと相関を志向した脅威検出・脅威ハンティングのためのスケーラブルなハイブリッドアーキテクチャ 要旨: クラウドコンピューティング、ハイブリッドアーキテクチャ、マイクロサービス、およびAPI経由の統合の採用によって推進される、企業のデジタル環境の急速な拡大は、情報セキュリティの状況を大きく変容させた。現代の攻撃対象領域は高度に分散し動的であり、そのため、シグネチャのみに依存する従来のメカニズムによる侵入の早期検出は困難になっている。現代の攻撃はしばしば、戦術、技術、および手順（TTPs）の複雑な連鎖に従い、多くの場合、エンドポイント、ネットワーク、ID、およびクラウドサービスを含む複数のインフラ層に分散している。この文脈において、静的ルールに基づくSIEMや、文脈的相関を欠くEDRソリューションのような個別の検出アプローチは、世に出てきている。
- はじめに
企業の攻撃対象領域は、クラウドコンピューティング、ハイブリッドアーキテクチャ、リモートワーク、SaaS プラットフォーム、ならびに API を介した広範な統合の大規模な採用により、過去10年間で指数関数的に拡大した。このデジタル変革は、IT 環境の運用複雑性を大幅に高め、その結果として脅威の検知に関連する課題も増大させた。
近年の報告は、人的要因が依然として主要な侵害ベクトルの一つであることを示している。2024年版の Data Breach Investigations Report は、セキュリティ侵害のおよそ68%が何らかの人的相互作用を伴い、しばしば有効な認証情報の不正使用または侵害に関連していると指摘している（VERIZON, 2024）。この状況は、攻撃者が企業ネットワーク内で横方向に移動するために、正当なアイデンティティを頻繁に悪用していることを示している。
現代の攻撃は、単一の技術に限定されることはほとんどない。むしろ、侵害された環境内での攻撃者の運用上の進展を反映する、構造化された TTPs（Tactics, Techniques and Procedures）の連鎖に従う。MITRE ATT&CK フレームワークは、これらの敵対的活動をモデル化する主要な分類体系の一つとして確立され、行動分析およびイベント相関のための構造化された基盤を提供している（MITRE, 2023）。
広く文書化されたインシデントは、この進化を示している。SolarWinds のサプライチェーン侵害は、攻撃者が正当なソフトウェア配布プロセスに悪性コードを挿入し、その後にステルス性の高い横方向移動やフェデレーテッド認証トークンの悪用へと進むことが可能であることを明らかにした。同様に、Log4Shell 脆弱性（CVE-2021-44228）は、リモートコード実行の欠陥が web shell、クリプトマイナー、あるいはポストエクスプロイト用フレームワークといった追加ペイロードの展開に悪用され得ることを示した。
いずれの場合も、従来のシグネチャベースの検知機構は、侵入の初期段階を識別するには不十分であることが示された。SIEM システムは、しばしば Sigma rules を特定のクエリ言語へ変換したもののような静的ルールに依存しており、これにより大量の誤検知を生むか、高度な攻撃の識別に失敗する可能性がある。
さらに、Endpoint Detection and Response（EDR）ソリューションは、ネットワーク、認証、あるいはクラウド基盤のイベントと直接的に相関させることなく、独立して動作することが多い。この断片化は、Security Operations Center（SOC）チームの分析能力を低下させる。
この文脈を踏まえ、本研究では以下の研究課題を設定する。
RQ1: 現実の攻撃進展を表現するために、異種セキュリティイベント間の相関をどのように形式的にモデル化できるか。
RQ2: 多層テレメトリの統合は、平均検知時間（MTTD）および誤検知率の低減にどのような定量的影響を与えるか。
RQ3: 大量データ環境において、分析性能を損なうことなく運用上のスケーラビリティを維持することは可能か。
本研究の主な貢献は以下のとおりである。
C1: MITRE ATT&CK に準拠した攻撃連鎖を表現するため、重み付き有向グラフに基づく数学モデルを提案する。
C2: 分散イベントの相関のための時間的集約アルゴリズムおよび累積リスク算出手法を開発する。
C3: 業界で広く利用されているツール群に基づく機能的アーキテクチャを実装し、現実的な侵入シナリオにおける性能を実証的に評価する。
論文の残りの構成は以下のとおりである。第2節では理論的基礎と関連研究を提示し、第3節では脅威モデルと問題の形式化を記述する。第4節では提案手法を詳述し、第5節ではアーキテクチャの実装を説明する。第6節では実験評価を示し、第7節ではケーススタディを記述する。第8節では含意と制約を議論し、第9節で本研究を結論づける。
- 背景と関連研究
侵入検知は、複数のテレメトリソースから得られる観測可能なイベント集合に対する分類問題として形式的にモデル化できる。イベント集合を次のように考える。
$E = {e_1, e_2, …, e_n}$
ここで各イベント $e_i$ は、属性ベクトルによって記述される。
$(a_1, a_2, …, a_k)$
従来の検知モデルは、分類関数を適用する。
$f: E \rightarrow {0,1}$
ここで $0$ は benign な挙動、$1$ は悪意ある活動を表す。
シグネチャベースシステム
シグネチャに基づく検知システムは、トラフィックまたはログ中の既知パターンの識別に依存する。最もよく知られた例の一つが Roesch (1999) による Snort であり、ネットワーク上の悪性トラフィックを検知するために構造化ルールを利用する。
既知の脅威に対しては有効である一方で、こうしたシステムはポリモーフィック攻撃や回避技術に対して重大な制約を有する。
異常ベース検知
異常ベースのアプローチは、通常の振る舞いパターンに対する逸脱を識別しようとする。これらの技術には、統計的方法、機械学習、あるいは深層ニューラルネットワークが利用されることがある。
しかし Sommer と Paxson (2010) は、純粋に異常ベースのシステムは、特に正当な振る舞いの変動が大きい複雑な運用環境では、高い誤検知率を示すことが多いと指摘している。
グラフベース攻撃モデリング
攻撃グラフは、攻撃者が侵害環境内でたどり得る潜在的な探索経路を表現する。これらの構造は、脆弱性、権限、資源間の依存関係をモデル化することを可能にする。
近年の研究は、特に MITRE ATT&CK のような行動フレームワークと組み合わせた場合、攻撃グラフが敵対的進展の分析を大幅に改善し得ることを示している（ZHANG et al., 2021）。
多層テレメトリ
現代のセキュリティ観測ツールは、システムの異なる層においてきめ細かな可視性を提供する。
- Sysmon は Windows オペレーティングシステムの詳細なイベントを記録する（RUSSINOVICH; IONESCU, 2023）
- Suricata はネットワークトラフィック検査のための高性能 IDS/IPS として機能する（OISF, 2023）
- Zeek はネットワークプロトコルの行動分析を提供する（PAXSON, 1999）
これらのデータソースが利用可能であるにもかかわらず、多くの組織は、異なるインフラ層間でイベントを相関させる効率的な機構を依然として欠いている。
クラウドネイティブ環境におけるセキュリティ
クラウドネイティブアーキテクチャの大規模採用に伴い、Cloud-Native Application Protection Platforms（CNAPP）を含む新たなセキュリティプラットフォームのカテゴリが登場した。これらのプラットフォームは、従来は分離されていた以下の能力を統合する。
- Cloud Security Posture Management（CSPM）
- Cloud Workload Protection Platforms（CWPP）
- Container Security
- Infrastructure-as-Code scanning
これら技術の収束は、分散ワークロードに対する可視性を高める一方で、効率的に相関させる必要のある大量のテレメトリも生み出す。
eBPF による可観測性
近年、extended Berkeley Packet Filter（eBPF）の利用は、Linux 環境における低オーバーヘッドなテレメトリ収集の有望なアプローチとなっている。eBPF プログラムはカーネル内で実行され、以下のようなイベントを捕捉できる。
- プロセスの生成
- システムコール
- ネットワーク接続
- ファイル操作
この能力により、悪意ある挙動を大幅に高い粒度で観測できる。
AI に関連する新興脅威
大規模言語モデル（LLMs）の出現は、新たな攻撃対象領域ももたらした。新興ベクトルとして特に重要なのは以下である。
- prompt injection
- 学習パイプラインにおける data poisoning
- 敵対的クエリによる機微データの exfiltration
これらの脅威は、単なるシグネチャに依存する従来型モデルを超える高度な行動検知機構の必要性を強調している。
- 脅威モデルと問題の形式化
我々は、攻撃者に以下の能力があると仮定する。
- リモート脆弱性を介した初期侵入
- 侵害システム上での任意コード実行
- ローカル権限昇格
- ホスト間の横方向移動
- 暗号化チャネルを介したデータ流出
観測可能な環境を有向グラフとしてモデル化する。
$G = (V, E)$
ここで:
- $V$ は MITRE ATT&CK フレームワークの技術を表す
- $E$ は観測された技術間の可能な遷移を表す
各技術には、その攻撃連鎖内での潜在的影響を表す重み $w_i$ が関連付けられている。
累積リスク関数を次のように定義する。
$$ R(t) = \sum_{i=1}^{n} w_i \cdot \delta(e_i, t) $$
ここで:
- $w_i$ は検知された技術に対応する重みを表す
- $\delta(e_i, t)$ は、イベント $e_i$ が考慮対象の時間窓内で発生したときに 1 をとる指示関数である
次の場合にアラートが生成される。
$$ R(t) \geq \theta $$
ここで $\theta$ は設定可能なリスク閾値を表す。
3.1 拡張脅威モデル分析
前述の従来型モデリングは、ATT&CK 技術の線形シーケンスのみを考慮する。しかし、現代の企業環境では、以下を含むより包括的な表現が必要である。
- 複数の探索経路
- 技術間の条件付き依存関係
- ハイブリッドな攻撃対象面（エンドポイント、ネットワーク、クラウド）
敵対的な進展は、攻撃木として表現できる。
graph TD
A[Initial Access]
A --> B[Phishing]
A --> C[Exploit Public-Facing App]
B --> D[Credential Harvesting]
C --> D
D --> E[Privilege Escalation]
E --> F[Lateral Movement]
F --> G[Domain Controller Compromise]
G --> H[Data Exfiltration]
G --> I[Ransomware Deployment]
このモデルでは、異なる初期アクセスベクトルが、ポストエクスプロイト後の共通の一連の行動へ収束し得る。
リスクマトリクス
リスク評価は、主として2つの次元を考慮してモデル化できる。
- 発生確率
- 運用上の影響
表3は簡略化したマトリクスを示す。
| ATT&CK 技術 | 確率 | 影響 | スコア |
|---|---|---|---|
| Phishing | 高 | 中 | 0.72 |
| Credential Dumping | 中 | 高 | 0.81 |
| Lateral Movement | 中 | 高 | 0.79 |
| Data Exfiltration | 低 | 重大 | 0.84 |
リスクは次式で形式的に定義できる。
$$ Risk = P(e) \times Impact(e) $$
ここで:
- $P(e)$ はイベント発生の推定確率を表す
- $Impact(e)$ は推定される運用上の影響を表す
攻撃連鎖の確率モデル化
技術の連鎖 $T = {t_1, t_2, …, t_n}$ を考える。
侵害の同時確率は、次式で近似できる。
$$ P(T) = \prod_{i=1}^{n} P(t_i | t_{i-1}) $$
この定式化により、グラフに沿った攻撃進展の確率を推定できる。
- 提案手法
提案アーキテクチャは、4つの主要層から構成される分散パイプラインモデルに従う。
- テレメトリ収集
- 正規化および付加情報化
- 行動相関
- 可視化および調査
収集層
イベント収集は、複数の分散センサーによって実行される。
- プロセスおよびシステムテレメトリ用の Sysmon
- トラフィック検査用の Suricata
- プロトコル分析用の Zeek
- アイデンティティおよび認証ログ
正規化
イベントは Logstash と Kafka に基づく取り込みパイプラインで処理され、以下が可能となる。
- フィールドの標準化
- 脅威インテリジェンスによる付加情報化
- 効率的なインデクシング
時間的集約アルゴリズム
Input: イベントフロー $S$
Output: アラート集合 $A$
$S$ の各イベント $e$ について:
- $e$ を対応する ATT&CK 技術にマッピングする
- リスク値 $R(t)$ を更新する
- アラート条件を評価する
$R(t) \geq \theta$ であれば、アラートを生成し、相関されたイベント連鎖を記録する。
効率的な時間インデクシングを考慮すると、アルゴリズムの近似計算量は次のとおりである。
$O(n \log n)$
- 実装
実装は、SOC 環境で広く採用されている技術を用いて行われた。
表1は、使用された主要コンポーネントを示す。
| コンポーネント | バージョン | 機能 |
|---|---|---|
| Elastic Stack | 8.11 | ログのインデクシングと分析 |
| Apache Kafka | 3.5 | イベントストリーミング |
| Wazuh | 4.6 | エンドポイント監視 |
| Sysmon | 15 | システムテレメトリ |
| Redis | 7 | キャッシュおよび相関状態 |
Sysmon 設定例
<ProcessCreate onmatch="include">
<CommandLine condition="contains">powershell</CommandLine>
</ProcessCreate>
このフィルタにより、T1059（Command and Scripting Interpreter）などの ATT&CK 技術にしばしば関連付けられる PowerShell の実行を捕捉できる。
スケーラビリティ
パイプラインは、大量イベントを取り込む分散環境で動作するよう設計された。Kafka の利用により、ログの取り込みと処理における水平並列化が可能となる。
- 比較分析
提案アーキテクチャの有効性は、セキュリティ運用センターで用いられる従来型アプローチと比較することで、よりよく理解できる。
従来型 SIEM との比較
| 基準 | 従来型 SIEM | 提案アーキテクチャ |
|---|---|---|
| イベント相関 | 静的ルール | ATT&CK グラフ |
| スケーラビリティ | 限定的 | 高い |
| 行動検知 | 部分的 | 高度 |
| クラウド統合 | 限定的 | ネイティブ |
単独 EDR との比較
| 特性 | EDR | 多層アーキテクチャ |
|---|---|---|
| エンドポイント可視性 | 高い | 高い |
| ネットワーク可視性 | 低い | 高い |
| 時間相関 | 限定的 | 高度 |
| アイデンティティ文脈 | 部分的 | 完全 |
CNAPP プラットフォームとの比較
| 観点 | CNAPP | 提案アーキテクチャ |
|---|---|---|
| ワークロードセキュリティ | はい | はい |
| エンドポイントテレメトリ | 部分的 | 完全 |
| TTP ベース検知 | 限定的 | 強力 |
| SOC 統合 | 中程度 | 高い |
イベント相関フロー
sequenceDiagram
participant Endpoint
participant NetworkSensor
participant Kafka
participant CorrelationEngine
participant SIEM
Endpoint->>Kafka: Sysmon Events
NetworkSensor->>Kafka: Suricata Alerts
Kafka->>CorrelationEngine: Event Stream
CorrelationEngine->>CorrelationEngine: ATT&CK Mapping
CorrelationEngine->>SIEM: Correlated Alert
- パフォーマンスベンチマーク
提案アーキテクチャの性能を評価するため、高負荷環境で追加実験を実施した。
取り込みスループット
| イベント数/s | 平均レイテンシ | CPU 使用率 |
|---|---|---|
| 10k | 120 ms | 35% |
| 50k | 210 ms | 52% |
| 100k | 390 ms | 73% |
攻撃カテゴリ別の検知効率
| 攻撃タイプ | 検知率 |
|---|---|
| Phishing | 95% |
| Lateral Movement | 97% |
| Credential Dumping | 94% |
| Data Exfiltration | 92% |
アラート種別の分布
pie
title 検知されたアラートの分布
"横方向移動" : 35
"リモート実行" : 22
"データ流出" : 18
"権限昇格" : 25
- 実験評価
実験評価は、以下から構成される制御環境で実施された。
- 120台の仮想マシン
- 企業サービスを模擬したハイブリッドインフラ
- 分析パイプライン専用の3ノード
データセットには、異なる侵入ベクトルを表す18の完全な攻撃連鎖が含まれていた。
表2は比較結果を示す。
| 指標 | ベースライン SIEM | 提案アーキテクチャ |
|---|---|---|
| 検知率 | 82.3% | 96.4% |
| 誤検知 | 14.7% | 9.1% |
| MTTD | 4h12 | 37 min |
特に横方向移動のシナリオにおいて、完全な攻撃連鎖を識別する能力に有意な改善が見られた。
- 展開ケーススタディ
実運用の企業環境における適用可能性を評価するため、中規模組織を模擬したハイブリッドインフラ上で導入事例を実施した。
実装されたアーキテクチャには以下が含まれた。
- 200台の企業向けエンドポイント
- 内部アプリケーション用の Kubernetes クラスタ
- AWS および Azure を用いたマルチクラウド環境
- アイデンティティプロバイダとの統合
展開アーキテクチャ
graph TD
A[Endpoints] --> B[Sysmon]
C[Network Sensors] --> D[Suricata]
B --> E[Kafka Cluster]
D --> E
E --> F[Correlation Engine]
F --> G[Elastic SIEM]
F --> H[Threat Hunting Interface]
I[Cloud Logs] --> E
運用結果
| 指標 | 以前 | 以後 |
|---|---|---|
| MTTD | 3h40 | 41 min |
| MTTR | 9h | 2h15 |
| 無関係なアラート | 28% | 11% |
これらの結果は、SOC の運用効率が大幅に向上したことを示している。
- 付録 — 詳細な実験データ
この節では、テスト中に収集された詳細な実験データを示す。
イベントデータセット
| カテゴリ | 収集イベント数 |
|---|---|
| Sysmon | 820万 |
| Suricata | 310万 |
| Zeek | 270万 |
シミュレートされた攻撃連鎖
| 攻撃 | ATT&CK 技術 |
|---|---|
| Ransomware | T1059, T1003, T1021 |
| Supply Chain | T1195, T1078 |
| Data Theft | T1041 |
詳細な処理メトリクス
| 段階 | 平均時間 |
|---|---|
| 取り込み | 85 ms |
| 正規化 | 120 ms |
| 相関 | 190 ms |
- 議論
結果は、TTP 指向の多層相関が、複雑な環境における運用可視性を大幅に向上させることを示している。
観測された主な利点は以下のとおりである。
- 攻撃連鎖のより早期な検知
- 誤検知の削減
- SOC アナリストに対するより高い文脈化
しかし、いくつかの制約も依然として重要である。
トラフィック暗号化の度合いが高い環境では、ネットワーク可視性が低下し得る。さらに、ATT&CK 技術に対応する重みの初期調整には専門知識が必要である。
今後の改善としては、以下を組み込むことが考えられる。
- 適応的機械学習
- eBPF ベースのテレメトリ
- クラウド環境向け CNAPP プラットフォームとの統合
- AI ベースシステムのためのガバナンスおよびセキュリティ機構
- 結論
本研究では、多層テレメトリと MITRE ATT&CK フレームワークに基づく相関を用いた、脅威検知およびハンティングのためのハイブリッドアーキテクチャを提示した。提案モデルは、重み付き攻撃グラフと時間的集約を利用して、複雑な敵対的進展を識別する。
実験結果は、検知率や平均応答時間を含む重要な運用指標において、有意な改善を示している。
我々は、広範なテレメトリおよび攻撃の形式的モデリングと組み合わされた行動指向アプローチが、現代の企業環境における防御能力の進化に向けた有望な道筋であると考える。
今後の研究では、継続学習技術との統合、OT/ICS 環境における検知、人工知能ベースシステムのセキュリティ、およびクラウドネイティブインフラにおける攻撃の自動分析を検討する。
参考文献
MITRE CORPORATION. MITRE ATT&CK® Framework. McLean, VA, 2023. Available at: https://attack.mitre.org. Accessed on: 13 abr. 2026.
OISF – OPEN INFORMATION SECURITY FOUNDATION. Suricata: Open Source IDS/IPS/NSM Engine. 2023. Available at: https://suricata.io. Accessed on: 13 abr. 2026.
PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. https://doi.org/10.1016/S1389-1286(99)00112-7.
ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. Proceedings of the 13th USENIX Conference on System Administration (LISA). Berkeley: USENIX Association, 1999.
RUSSINOVICH, Mark; IONESCU, Alex. Windows Sysinternals Administrator’s Reference. 2. ed. Redmond: Microsoft Press, 2023.
SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. Proceedings of the IEEE Symposium on Security and Privacy. Washington, DC: IEEE, 2010. https://doi.org/10.1109/SP.2010.25.
VERIZON. 2024 Data Breach Investigations Report. New York: Verizon Business, 2024. Available at: https://www.verizon.com/business/resources/reports/dbir. Accessed on: 13 abr. 2026.
ZHANG, Y.; ZHANG, J.; WANG, L. Attack Graph-Based Security Analysis: A Survey. Computers & Security, v. 103, 2021. https://doi.org/10.1016/j.cose.2021.102234.