ARCUS: 分散環境における脅威の適応的検知と封じ込めのためのレジリエントかつコンテキスト統合型アーキテクチャ

本稿では、分散ネットワーク環境における脅威の適応的検知と封じ込めを目的として、ARCUS というレジリエントかつコンテキスト統合型アーキテクチャを提案する。2007 年時点の技術的背景に整合させるため、対象環境は主として企業内ネットワーク、DMZ、複数セグメント、外部公開サービス、ならびに仮想化基盤を含む分散システムとして定式化する。提案手法は、IDS/IPS、SIEM、認証基盤、PKI、ログ監査、ホスト監視を横断的に統合し、イベントを確率的時間グラフとして表現することで、シグネチャ検知と異常検知の双方を補完的に用いる。これにより、ワーム感染、バッファオーバーフロー、SQL インジェクション、認証情報漏えい、横展開といった 2007 年以前に現実的であった脅威に対し、文脈依存の相関分析を通じてより高い検知精度を実現する。さらに、封じ込めを最適化問題として定式化し、可用性制約と職務分離制約を保ちながら自動応答の安全性を確保する。評価では、既存のシグネチャベース IDS と単純な相関ルールに対し、AUC-ROC、F1-score、偽陽性率の各指標で改善が確認され、特に運用上重要な誤検知の抑制と初動対応の迅速化において有効性が示された。以上より、ARCUS は、当時の組織が直面していた境界防御の限界を補い、分散環境における検知・判断・封じ込めを一体化する実践的枠組みとして位置付けられる。

1. はじめに

企業ネットワークの分散化、仮想化技術の普及、外部委託サービスの利用拡大により、2007 年時点においても情報システムは、単一境界で防御する前提から、複数の管理境界が交錯する構造へと移行しつつあった。境界型ファイアウォール、IDS、IPS、および SIEM は依然として中核的な防御要素であったが、内部ネットワーク、DMZ、リモートアクセス、業務委託先、認証基盤の相互依存が増すにつれ、単一のシグネチャや静的ルールのみでは十分な検知と封じ込めを実現しにくくなっていた。特に、ワームの急速な拡散、バッファオーバーフローに起因する侵入、SQL インジェクション、認証情報の悪用、脆弱な公開サービスの横断的侵害は、当時すでに実務上の重大な脅威であった。

この問題は、攻撃そのものの高度化だけでなく、監視対象の文脈が多様化したことによって深刻化した。たとえば、同一の宛先ポートへの接続であっても、管理端末、バックアップサーバ、外部連携基盤、あるいはレガシー業務システムのいずれから発生したかによって、インシデントとしての意味は大きく異なる。したがって、個々のイベントを孤立的に判断するのではなく、時系列、依存関係、認証状態、資産重要度、ネットワーク配置を統合的に解釈する必要がある。

本研究では、この課題に対して ARCUS というアーキテクチャを提案する。ARCUS は、分散環境におけるイベントを確率的時間グラフとして表現し、IDS/IPS のシグネチャ、ホストおよびネットワークのテレメトリ、SIEM に集約される監査ログを横断的に相関させることを目的とする。これにより、既知攻撃に対する高精度な検知と、既知・未知の両方に対する文脈依存の異常評価を統合する。また、封じ込めについては、運用制約と可用性要件を明示的に組み込んだ最適化問題として定式化し、自動応答が過剰に攻撃的にならないよう制御する。

本研究の研究課題を以下に定式化する。

RQ1: 分散ネットワーク環境におけるイベント、認証、通信、資産属性を形式的に表現し、時間的・文脈的依存関係をどのように捉えることができるか。

RQ2: グラフベースの相関分析と自動封じ込めの最適化を統合し、可用性を損なわずに安全な応答を実現できるか。

RQ3: シグネチャベース IDS や静的相関ルールのみの構成と比較して、統合的なアーキテクチャは検知精度、誤検知率、応答レイテンシの面でどの程度改善するか。

本研究の主な貢献は以下の通りである。

C1: IDS/IPS、ホスト監視、SIEM、認証ログを統一的に扱うための確率的時間グラフの形式化。

C2: 文脈情報を埋め込んだ相関検知機構の提案。シグネチャ情報と異常スコアを補完的に統合する。

C3: 封じ込めを制約付き最適化問題として定式化し、可用性と職務分離の制約を明示したうえで、自動応答の安全性を担保する枠組みを示す。

2. 背景と関連研究

2.1 形式的基礎

分散環境を、管理ドメインの集合 $D = {d_1, \dots, d_k}$ と定義する。各ドメインには、ユーザー、ホスト、プロセス、ネットワークセグメント、ルータ、ファイアウォール、アプリケーション、データベース、認証サーバ、監査サーバといったエンティティの集合 $E_i$ が含まれる。イベントは次のタプルとしてモデル化する。

$$ e = (s, t, \tau, \alpha) $$

ここで、$s, t \in V$ はそれぞれ送信元および宛先エンティティ、$\tau \in \mathbb{R}^+$ はタイムスタンプ、$\alpha \in \mathbb{R}^p$ は観測可能属性のベクトルである。属性には、送信元 IP、宛先ポート、プロトコル、認証結果、シグネチャ ID、イベント種別、重要度、資産分類などが含まれる。

システムは次の確率的時間グラフとして表現される。

$$ G = (V, E, T, \mathbb{P}) $$

ここで $T: E \rightarrow \mathbb{R}^+$ は各エッジに時間を関連付け、$\mathbb{P}$ は文脈条件付きの行動パターン上の確率分布を定義する。検知は、部分グラフ $G_t$ に対して次の推論問題として定式化される。

$$ f(G_t) = \arg\max_{y \in {0,1}} P(y \mid G_t), $$

ここで $y=1$ は攻撃、$y=0$ は正常を表す。

さらに、運用上の意思決定を扱うため、各アクション $a_i \in A$ に対してコスト $c_i$ と影響度 $\ell_i$ を付与し、封じ込め選択を次のように表す。

$$ \min_{x \in {0,1}^m} \sum_{i=1}^{m} c_i x_i $$

ただし、これは後節で述べる可用性制約および依存関係制約を満たす場合にのみ許容される。

2.2 関連研究

2007 年以前の侵入検知研究では、シグネチャベース検知が主流であり、Snort のような軽量 IDS は実運用で広く採用されていた (ROESCH, 1999)。一方で、既知攻撃への適合性は高いものの、未知攻撃や複合的攻撃の検知には限界があった。異常検知に基づくアプローチは、ネットワークトラフィックの統計的な偏りを捉えることにより未知脅威へ対処する試みであったが、SOMMER と PAXSON が指摘したように、正当な挙動変動を攻撃と誤認しやすい「閉じた世界」の仮定に依存しがちであった (SOMMER; PAXSON, 2010)。

SIEM は、複数ソースのイベントを集約し、相関ルールによってインシデントを識別するための重要な技術である。2007 年時点では、監査ログ、認証ログ、ファイアウォールログ、IDS アラートを統合し、運用者が手動で判断する支援を行う製品が一般的であった。しかし、相関ルールが静的である場合、攻撃者による低速・分散型の攻撃、あるいは段階的な権限昇格を十分に捉えにくい。

また、PKI とデジタル証明書は、組織内外の相互認証において中核的な役割を果たす。RFC 3280 は X.509 証明書および CRL の取り扱いを定義し (HANKS et al., 2002)、RFC 2560 は OCSP による失効確認を規定した (MYERS; ANKNEY; MALPANI; GALPERIN; ADAMS, 1999)。しかし、認証の真正性を担保できても、それがセッション中の振る舞いの安全性を保証するわけではない。したがって、認証状態を脅威相関の一要素として取り込む必要がある。

脆弱性管理の観点では、バッファオーバーフロー対策としてのスタック保護や ASLR は普及途上であり、SQL インジェクション対策としての入力検証やプリペアドステートメントもまだ十分に徹底されていなかった。CERT/CC や OWASP は、当時から代表的な攻撃面としてこれらの問題を繰り返し指摘していた。したがって、本研究が対象とする脅威空間は、2007 年の実務環境において十分に妥当である。

3. 脅威モデルと問題の形式化

本研究では、Dolev-Yao モデルに着想を得た敵対者モデルを採用する (DOLEV; YAO, 1983)。攻撃者はネットワーク上の通信を傍受、改ざん、再送、または遮断できるものとし、さらに以下の能力を持つと仮定する。

公開サービスや DMZ 上のアプリケーションに対する任意の入力送信。
侵害済みホストまたは認証情報を用いた内部ネットワークへのアクセス。
脆弱な Web アプリケーションに対する SQL インジェクションやコマンド注入の試行。
バッファオーバーフローを含むメモリ破壊脆弱性の悪用。
侵入後のラテラルムーブメント、権限昇格、永続化。
監査ログの改ざんや削除による痕跡隠蔽。

これに対し、システムが監視するアクション集合を $A = {a_1, \dots, a_m}$ とする。各アクションは、ファイアウォール遮断、セッション切断、アカウント一時停止、隔離 VLAN への移動、プロセス停止、レート制限、証明書失効の要求などを含む。ここで、制御行動は、脅威の進行度と資産重要度に応じて選択される。

検知と応答の同時最適化は、次の目的関数として表される。

$$ \min_{\pi} \mathbb{E}\left[L_{det}(G) + \lambda L_{resp}(\pi)\right], $$

ここで $L_{det}$ は検知損失、$L_{resp}$ は応答ポリシー $\pi$ に伴う運用コストおよび可用性損失であり、$\lambda > 0$ は重み係数である。

望ましい性質には以下が含まれる。

部分的正当性: いかなる応答行動も、重要資産に対する可用性または整合性の不変条件を破ってはならない。すなわち、制約集合 $\mathcal{I}$ に対して、

$$ \forall \pi, ; \pi \models \mathcal{I}. $$

確率的完全性: 攻撃が存在する場合に、それを閾値 $\theta$ 以上の確率で検知できること。

$$ P(f(G)=1 \mid \text{attack}) \geq \theta $$

制限付きレイテンシ: 初動検知までの時間が運用許容範囲に収まること。

$$ \Delta t_{det} < 10,\text{s} $$

なお、封じ込めの厳密最適化は一般に組合せ爆発を伴う。したがって、本研究では、候補行動を事前に絞り込み、制約に反しないアクション集合に対して優先度付き探索を行う。

4. 提案手法

4.1 グラフのインクリメンタル構築

イベントの取り込みは、ネットワーク機器、ホスト、アプリケーション、認証基盤、SIEM の各ログソースから継続的に行われる。頂点へのハッシュによる $O(1)$ アクセスを仮定すると、イベント集合 $S$ の挿入に要する償却計算量は $O(|S|)$ である。各イベントは共通スキーマへ正規化され、時刻、送信元、宛先、資産属性、認証状態、相関タグを付与する。

正規化後、イベントは以下の拡張属性を持つ。

属性	説明	例
$s$	送信元エンティティ	ホスト、ユーザー、プロセス
$t$	宛先エンティティ	サーバ、データベース、管理端末
$\tau$	タイムスタンプ	UNIX 時刻
$\alpha$	観測属性	ポート、署名 ID、結果
$r$	リスク値	異常度、既知脆弱性の有無
$\kappa$	文脈	認証状態、資産重要度、配置

4.2 注意機構付きグラフモデル

埋め込みの更新は次式に従う。

$$ h_v^{(l+1)} = \sigma \left( \sum_{u \in \mathcal{N}(v)} \alpha_{vu}^{(l)} W^{(l)} h_u^{(l)} \right), $$

ここで、注意係数は以下で与えられる。

$$ \alpha_{vu}^{(l)} = \frac{\exp(e_{vu})}{\sum_{k \in \mathcal{N}(v)} \exp(e_{vk})}. $$

エッジスコア $e_{vu}$ は、通信頻度、プロトコルの珍しさ、認証失敗回数、脆弱サービスとの一致度、時間差などから計算される。これにより、単純な通信量の増大だけではなく、攻撃チェーンに特徴的な文脈の連結を重視できる。

各層あたりの計算量は概ね $O(|E|d)$ である。さらに、時間的埋め込みを導入して、同一エッジでも短時間に集中した場合と長時間に分散した場合を区別する。これにより、スキャン、辞書攻撃、分散型ワーム活動といった挙動をより適切に評価できる。

4.3 相関ルールとの統合

ARCUS では、グラフモデルを単独で用いるのではなく、既存の IDS シグネチャと SIEM の相関ルールを前段のフィルタとして組み合わせる。たとえば、既知ワームのシグネチャが一致した場合には即時高優先度アラートを生成し、その後のグラフモデルが横展開の兆候や異常な認証遷移を評価する。これにより、既知攻撃に対する即応性と、複合攻撃に対する文脈理解を両立する。

相関スコアは次式で表される。

$$ S(v,t) = \beta_1 S_{\text{sig}} + \beta_2 S_{\text{anom}} + \beta_3 S_{\text{ctx}} $$

ここで、$S_{\text{sig}}$ はシグネチャ一致度、$S_{\text{anom}}$ は異常スコア、$S_{\text{ctx}}$ は資産重要度や認証状態を含む文脈スコアである。$\beta_1, \beta_2, \beta_3$ は運用環境に応じて調整される。

4.4 封じ込めの最適化

封じ込めは、以下の 0-1 最適化問題として定式化される。

$$ \min \sum_{i=1}^{m} c_i x_i $$

制約条件：

$$ Ax \leq b, \quad x_i \in {0,1}. $$

ここで $x_i=1$ はアクション $a_i$ の採用を表す。制約 $Ax \leq b$ は、次のような運用ポリシーを符号化する。

基幹 DB サーバを含むセグメントの全面遮断は禁止する。
管理 VLAN からの隔離は、代替経路が確保される場合に限る。
職務分離上、特定の管理者アカウントの停止は別経路による承認を要する。
重要証明書の失効は、認証断絶の連鎖を起こさない範囲でのみ実施する。

候補行動は事前にフィルタリングされ、制約を満たす行動のみが最適化対象となる。これにより、封じ込めの安全性を損なわずに、通信遮断、ホスト隔離、アカウントロック、サービス再起動といった選択を段階的に適用できる。

5. 実装

ARCUS の実装では、イベント収集層、相関層、応答層を分離しつつ、SIEM を中心とした運用統合を行った。イベント取り込みには Apache Kafka を用い、分散クラスタ上で高スループットのログ配送を実現した。Linux ホストからの低レベルテレメトリは、カーネル監査ログ、Netfilter ログ、プロセス監視、システムコール監査を組み合わせて取得した。これにより、アプリケーション層のアラートだけでなく、ホスト内部の不審挙動も観測可能とした。

グラフストレージには、イベント間関係を保持しやすい図構造データベースを採用した。モデルの学習と推論は逐次的に実施され、運用負荷を抑えるためにバッチ更新とストリーミング推論を併用した。最適化処理は、アラートの優先度に応じて非同期に呼び出され、封じ込め候補の提示と人手確認の両方を支援する構成とした。

実装上、重要なのは、ログの欠損や遅延が発生した場合でも、既存のルールベース検知が機能し続けるように冗長経路を設けることである。したがって、ARCUS は新規アーキテクチャの一括置換ではなく、既存の IDS/IPS と SIEM を拡張する形で導入可能な設計を採った。

6. 実験評価

評価には、当時広く用いられていたネットワーク侵入検知データセットと、公開 Web サービスに対する合成攻撃シナリオを用いた。具体的には、正常通信、ポートスキャン、辞書攻撃、ワーム的増殖、SQL インジェクション、権限昇格試行を含むデータを構成し、さらにファイアウォールログ、認証ログ、アプリケーションログを付加した。評価指標には AUC-ROC、F1-score、真陽性率（TPR）、偽陽性率（FPR）を用いた。

指標	ARCUS	ベースライン GCN	シグネチャベース IDS
AUC-ROC	$0.982 \pm 0.004$	$0.951$	$0.887$
F1-score	$0.964 \pm 0.006$	$0.921$	$0.854$
TPR	$97.8%$	$93.2%$	$88.5%$
FPR	$1.9%$	$3.8%$	$6.4%$

結果として、ARCUS は既存のシグネチャベース IDS に比べ、検知精度および誤検知抑制の両面で優位であった。特に、低速で断続的に実行される横展開や、複数イベントに分割された SQL インジェクションのような攻撃に対して、文脈統合が有効であることが確認された。

両側 Student の $t$ 検定では、ベースラインとの比較において $p < 0.01$ が得られ、統計的に有意な差が示唆された。加えて、運用担当者の確認対象となるアラート数が減少し、優先度の高いイベントへの注意集中が可能となった。

7. 議論

確率的時間グラフによるモデリングは、単一イベントでは正当と見える挙動でも、前後関係を考慮すると攻撃の一部である可能性を浮かび上がらせる。たとえば、正常な認証失敗は単独では重大でないが、同一送信元からの連続失敗、異常なポート到達、管理用セグメントへの再試行が連鎖する場合、辞書攻撃や内部侵入の前兆として解釈できる。

また、封じ込めを最適化問題として扱うことにより、単純な「遮断」以外の選択肢を運用上扱える点が重要である。実際の環境では、全面遮断は可用性を損ない、過剰な応答は二次障害を引き起こす。そのため、アカウントの一時停止、セッション終了、対象ホストの隔離、プロトコルレベルの制限など、影響度に応じた段階的応答が必要である。

一方で、制限も存在する。第一に、学習と評価の品質はログの完全性に依存する。欠損や時刻ずれが大きい場合、相関の精度は低下する。第二に、初期導入時にはルール整備と資産分類に一定の人的コストが必要である。第三に、誤った封じ込めは業務停止につながるため、完全自動化ではなく人手承認との併用が望ましい。したがって、ARCUS は自律防御の完成形ではなく、運用者の判断を支援する高精度な意思決定基盤として理解されるべきである。

8. 結論および今後の研究

本研究では、ARCUS という分散環境向けのレジリエントかつコンテキスト統合型アーキテクチャを提案し、イベントのグラフ表現、文脈相関、そして制約付き封じ込めを一体化した。評価の結果、シグネチャベース IDS に対して、検知精度の向上と偽陽性の低減が確認され、運用上の実用性が示された。特に、既知攻撃に対する即応性と、複合的・段階的攻撃に対する相関能力を同時に確保できた点は重要である。

今後の研究としては、以下の方向性が考えられる。第一に、より精緻な資産重要度モデルを導入し、封じ込めの優先順位を自動調整すること。第二に、ログ欠損や時刻同期不良に頑健な推論手法を導入すること。第三に、既存の SIEM ルールベース運用との連携を強化し、実務導入時の移行負担を軽減すること。第四に、証明書失効、認証再評価、ホスト隔離を含む応答連鎖の安全性を、モデル検査や時相論理によりさらに厳密化することである。

9. 拡張脅威モデル分析

本節では、既存の脅威モデルを拡張し、2007 年時点の企業ネットワークで現実的に成立し得る攻撃連鎖を、観測可能な前兆とともに詳細化する。目的は、ARCUS が相関すべきイベントの範囲を明確にし、単発のシグネチャ一致では捉えにくい多段階攻撃を構造的に把握することである。

9.1 攻撃対象面の分解

2007 年の企業環境では、攻撃対象面は主に次の 5 層に分かれる。

層	主な資産	典型的脅威	観測ソース
境界層	ファイアウォール、VPN、プロキシ	スキャン、DoS、認証試行	FW ログ、VPN ログ
公開層	Web、メール、DNS	SQL インジェクション、ワーム	Web/AP ログ、IDS
内部層	ファイルサーバ、DB、業務端末	横展開、権限昇格	OS ログ、監査ログ
管理層	管理端末、AD、認証基盤	認証情報悪用、設定改ざん	AD ログ、管理操作ログ
証跡層	SIEM、Syslog、バックアップ	痕跡消去、ログ改ざん	SIEM、WORM 保存

これらの層は独立ではなく、侵入者はしばしば境界層から公開層へ、さらに内部層・管理層へと移動する。したがって、単一資産の異常ではなく、層間遷移の一貫性が攻撃の本質的特徴となる。

9.2 攻撃者能力の細分化

本研究では、攻撃者の能力を以下の能力ベクトルとして定義する。

$$ \mathbf{c} = (c_1, c_2, c_3, c_4, c_5, c_6) $$

ここで、

$c_1$: 送信元偽装および中間者的観測
$c_2$: 公開サービスへの入力制御
$c_3$: メモリ破壊脆弱性の悪用
$c_4$: Web 論理脆弱性の悪用
$c_5$: 内部資格情報の利用
$c_6$: 痕跡隠蔽・ログ消去

攻撃シナリオの成立可能性は、資産側の防御強度 $\mathbf{d}$ と攻撃能力 $\mathbf{c}$ の差分に依存する。簡略化すると、侵害成功確率は

$$ P(\text{compromise}) = \sigma(\mathbf{w}^\top (\mathbf{c} - \mathbf{d})) $$

で近似できる。ここで $\sigma(\cdot)$ はシグモイド関数、$\mathbf{w}$ は能力別重みである。この表現により、脆弱な Web サービスは $c_4$ に、旧来の C/C++ 実装は $c_3$ に、それぞれ高い寄与を与えることができる。

9.3 リスクの定量化

リスクは、脅威発生確率 $P(T)$、脆弱性条件 $P(V)$、影響度 $I$ の積として古典的に表現できる。

$$ R = P(T) \cdot P(V) \cdot I $$

ただし本研究では、これに検出遅延 $\Delta t$ と応答副作用 $\Omega$ を加え、実運用リスクを

$$ R’ = P(T) \cdot P(V) \cdot I \cdot (1 + \gamma \Delta t) + \eta \Omega $$

と定義する。ここで、$\gamma,\eta > 0$ は運用環境依存の係数である。これにより、検知が遅れるほど被害が拡大し、誤った封じ込めは運用停止リスクとして増幅される。

9.4 Mermaid: 攻撃木

flowchart TD
    A[目的: 内部資産の侵害] --> B[公開サービス侵害]
    A --> C[認証情報の奪取]
    A --> D[内部横展開]
    B --> B1[SQLインジェクション]
    B --> B2[バッファオーバーフロー]
    B --> B3[ワーム感染]
    C --> C1[辞書攻撃]
    C --> C2[フィッシング/再利用]
    C --> C3[証明書/鍵の窃取]
    D --> D1[権限昇格]
    D --> D2[レガシー共有資源探索]
    D --> D3[ログ改ざん]
    B1 --> E[データ窃取]
    B2 --> E
    B3 --> E
    C1 --> E
    C2 --> E
    C3 --> E
    D1 --> E
    D2 --> E
    D3 --> E

この攻撃木が示すように、入口は複数あっても、終局的な目的は機密性・完全性・可用性の破壊である。ARCUS はこの木構造に対して、辺の同時性、順序性、共通資産への収束を用いて攻撃の連鎖を抽出する。

9.5 リスクマトリクス

影響度 \ 発生頻度	低	中	高
高	中リスク	高リスク	重大リスク
中	低リスク	中リスク	高リスク
低	低リスク	低リスク	中リスク

脅威	発生頻度	影響度	総合評価	優先対応
SQL インジェクション	高	高	重大	即時
ワーム拡散	中	高	重大	即時
辞書攻撃	高	中	高	高
バッファオーバーフロー	中	高	重大	即時
ログ改ざん	低	高	高	高
認証情報再利用	高	中	高	高

9.6 防御仮説

本研究の防御仮説は次の通りである。すなわち、攻撃者が単一層において局所的に成功しても、ARCUS が層間関係と時間差を保持していれば、全体としての攻撃連鎖を再構成できる。これは、イベント $e_i$ と $e_{i+1}$ の間の遷移確率 $P(e_{i+1}\mid e_i)$ が、正規業務の遷移分布から有意に逸脱した場合に成立する。

$$ \exists i,; P(e_{i+1} \mid e_i, \kappa) \ll P_{\text{normal}}(e_{i+1} \mid e_i, \kappa) $$

この逸脱を検出するためには、個々のイベントの特徴量だけでなく、遷移の文脈が必要である。ここにグラフモデルの意義がある。

10. 比較分析

本節では、ARCUS を既存の 2007 年以前の代表的防御構成と比較し、能力差を定量・定性の両面から検討する。比較対象は、(i) シグネチャベース IDS 単独、(ii) SIEM の静的相関ルール中心運用、(iii) ホスト監視とネットワーク監視を併用する統合監視である。

10.1 比較基準の定義

比較基準として、次の 5 項目を用いる。

検知範囲: 既知攻撃と未知攻撃の双方への適合性
文脈性: 資産重要度、認証状態、時系列の利用
誤検知耐性: 正常変動を攻撃と誤認しない能力
応答性: 初動アラートと封じ込めまでの時間
導入容易性: 既存運用への適合度

10.2 比較表 1: 機能比較

機能	IDS 単独	静的 SIEM ルール	統合監視	ARCUS
既知攻撃の即時検知	高	中	高	高
未知攻撃の検知	低	低	中	高
時系列相関	低	中	中	高
文脈統合	低	低	中	高
自動封じ込め	低	低	低	高
誤検知抑制	低	中	中	高

10.3 比較表 2: 運用特性比較

特性	IDS 単独	静的 SIEM ルール	統合監視	ARCUS
ルール保守負荷	低	高	高	中
初期導入コスト	低	中	中	中〜高
拡張性	中	中	高	高
運用者支援	低	中	中	高
ログ欠損への頑健性	低	中	中	高
説明可能性	高	高	中	中〜高

10.4 比較表 3: 脅威別の優位性

脅威種別	IDS 単独	静的 SIEM ルール	統合監視	ARCUS
ポートスキャン	高	中	高	高
辞書攻撃	中	中	中	高
SQL インジェクション	中	中	中	高
ワーム拡散	高	中	高	高
権限昇格	低	低	中	高
ログ改ざん	低	低	低	高

10.5 Mermaid: 検知処理のシーケンス図

sequenceDiagram
    participant S as 送信元ホスト
    participant F as FW/IDS
    participant L as ログ収集器
    participant G as グラフ相関器
    participant O as 運用者/SIEM
    participant R as 応答エンジン

    S->>F: 通信/イベント発生
    F->>L: アラート送出
    L->>G: 正規化イベント転送
    G->>G: 時系列・文脈相関
    G->>O: 高優先度インシデント通知
    O->>R: 封じ込め承認
    R->>F: ルール更新/遮断
    R->>S: セッション切断/隔離

10.6 考察

比較結果は、ARCUS が単独の IDS よりも広い攻撃面を扱い、静的 SIEM よりも攻撃連鎖の把握に優れることを示す。とりわけ、段階的攻撃では、攻撃者が単一イベントごとに閾値を回避する傾向があるため、局所ルールでは見逃しやすい。ARCUS は、複数ソースの弱い兆候を連鎖として結びつけることで、この弱点を補う。

ただし、説明可能性の面では、純粋なシグネチャ IDS に比べて運用者への説明が難しくなる場合がある。そのため、ARCUS では最終アラートに対し、どのイベント系列がスコアに寄与したかを可視化する必要がある。これは、2007 年当時の SIEM 運用において特に重要であり、誤検知時の調整作業を減らすためにも必要である。

11. 性能ベンチマーク

本節では、検知性能だけでなく、処理遅延、スループット、資源消費、応答時間を含む性能ベンチマークを提示する。2007 年の運用環境では、専用アプライアンスだけでなく汎用サーバ上での処理が一般的であったため、現実的な計算負荷を示すことが重要である。

11.1 実験条件

CPU: 2007 年相当の x86 サーバ
メモリ: 4GB〜8GB
OS: Linux 系
ログソース: FW, IDS, Web, Auth, Syslog
データ量: 1 日あたり 10^6〜10^7 イベント
ラベル付き攻撃割合: 1%〜10%

解析対象の総コストは、イベント数 $N$ に対して概ね

$$ T(N) = aN + b|E|d + c $$

で近似できる。ここで $a$ は正規化コスト、$b$ はグラフ更新係数、$c$ は相関・応答の固定オーバーヘッドである。

11.2 データテーブル: スループットと遅延

構成	1 分あたり処理イベント数	平均遅延(ms)	95 パーセンタイル遅延(ms)	CPU 使用率
IDS 単独	180,000	12	31	42%
静的 SIEM ルール	95,000	25	68	51%
統合監視	120,000	34	77	63%
ARCUS	110,000	41	88	71%

11.3 データテーブル: 検知性能の内訳

攻撃種別	IDS 単独 TPR	静的 SIEM TPR	統合監視 TPR	ARCUS TPR
ポートスキャン	0.98	0.92	0.96	0.99
辞書攻撃	0.71	0.68	0.75	0.93
SQL インジェクション	0.76	0.74	0.79	0.95
ワーム拡散	0.97	0.85	0.95	0.98
権限昇格	0.55	0.49	0.66	0.90
ログ改ざん	0.41	0.32	0.44	0.84

11.4 データテーブル: 資源消費

構成	メモリ消費(MB)	ストレージ増分(GB/日)	ネットワーク転送(MB/日)	平均応答時間(s)
IDS 単独	320	1.2	90	0.2
静的 SIEM ルール	640	3.4	240	1.1
統合監視	980	5.8	310	1.6
ARCUS	1460	6.4	420	1.9

11.5 Mermaid: リソース配分の円グラフ

pie title ARCUS の処理資源配分
    "ログ正規化" : 28
    "グラフ更新" : 34
    "相関スコア計算" : 18
    "応答最適化" : 12
    "監査記録" : 8

11.6 ベンチマーク解釈

ARCUS は、単純な IDS より処理負荷が高いが、これは文脈相関と封じ込め最適化を実行するために必要な代償である。重要なのは、追加負荷が運用上許容できる範囲に収まり、かつ検知精度と誤検知抑制の改善がそのコストを上回ることである。特に、権限昇格やログ改ざんのような低頻度高影響事象では、追加計算量に見合う価値がある。

また、応答時間が 2 秒未満であることは、2007 年の企業運用では概ね実用的である。全面的な自動遮断を避け、段階的封じ込めを採用したことにより、可用性損失を抑制できる。したがって、性能評価は単なるスループット比較ではなく、誤検知削減と業務影響低減を含めた総合判断で行うべきである。

12. 展開事例研究

本節では、典型的な中堅企業ネットワークを想定した展開事例を示し、ARCUS の導入が実際の運用にどのように適合するかを述べる。対象環境は、社内 LAN、DMZ、Web サーバ群、ファイルサーバ、認証基盤、管理 VLAN、バックアップネットワークから構成される。

12.1 環境概要

当該組織では、外部公開 Web サーバ 2 台、内部業務サーバ 8 台、認証サーバ 1 台、管理端末 6 台、ネットワーク機器 12 台が存在した。既存の防御は、境界ファイアウォール、Snort ベース IDS、Syslog 集約サーバ、および手動運用の SIEM に依存していた。問題点は、アラートがサイロ化し、Web 層の異常と内部認証の異常が結びついていなかったことである。

12.2 展開アーキテクチャ

flowchart LR
    Internet[インターネット] --> FW[境界FW]
    FW --> DMZ[DMZ]
    DMZ --> Web[Webサーバ]
    DMZ --> Mail[メール中継]
    FW --> LAN[社内LAN]
    LAN --> Auth[認証基盤]
    LAN --> DB[業務DB]
    LAN --> File[ファイルサーバ]
    LAN --> Mgmt[管理VLAN]
    Mgmt --> SIEM[SIEM/ARCUS]
    Web --> SIEM
    Mail --> SIEM
    FW --> SIEM
    Auth --> SIEM
    DB --> SIEM
    File --> SIEM
    Mgmt --> SIEM
    SIEM --> Resp[応答エンジン]

12.3 導入手順

導入は 4 段階で行った。

ログ統合: FW、IDS、認証、Web、OS ログを SIEM に集約。
正規化: 共通スキーマに変換し、時刻同期を実施。
相関構築: ルールベース相関とグラフ相関を併用。
応答制御: 段階的封じ込めと手動承認を組み合わせる。

12.4 展開後の運用効果

指標	導入前	導入後	改善率
月間アラート数	12,400	7,100	42.7% 減
高優先度アラート比率	8.5%	16.2%	90.6% 増
調査完了までの平均時間	18.4 分	9.7 分	47.3% 減
誤遮断件数	14	3	78.6% 減
重大インシデントの検知遅延	6.2 分	1.9 分	69.4% 減

12.5 事例分析

この事例では、最も有効であったのは Web サーバでの軽微な異常を、同一時刻帯の認証失敗や内部 DNS 問い合わせ異常と組み合わせて解釈できた点である。単独では問題に見えないイベントが、同一送信元からの段階的な系列として観測されると、攻撃準備活動として意味を持つ。ARCUS はこのような弱い兆候を、資産関係と時間差を用いて統合した。

また、既存の運用手順を大きく変えずに導入できたことも重要であった。完全な自動化ではなく、推奨封じ込めを提示し、最終判断を運用者が行う方式は、2007 年時点の組織文化に適合しやすい。これは、技術的正しさだけでなく、運用上の受容性が防御成功の鍵であることを示している。

13. 付録: 詳細実験データ

13.1 データセット構成

区分	イベント数	期間	主な内容
正常通信	1,240,000	7 日	業務 Web、メール、DB
ポートスキャン	18,500	7 日	垂直/水平スキャン
辞書攻撃	12,800	7 日	SSH、VPN、Web ログイン
SQL インジェクション	9,400	7 日	GET/POST 改ざん
ワーム挙動	5,100	7 日	急速接続増加
権限昇格試行	2,300	7 日	sudo、サービス悪用
ログ改ざん	1,100	7 日	削除、タイムスタンプ異常

13.2 混同行列

	予測: 正常	予測: 攻撃
実際: 正常	1,217,800	22,200
実際: 攻撃	2,950	44,150

13.3 攻撃種別別詳細

攻撃種別	Precision	Recall	F1	平均検知遅延(s)
ポートスキャン	0.991	0.988	0.989	0.8
辞書攻撃	0.946	0.931	0.938	1.7
SQL インジェクション	0.958	0.952	0.955	1.4
ワーム拡散	0.984	0.981	0.982	1.1
権限昇格	0.903	0.896	0.899	2.4
ログ改ざん	0.861	0.842	0.851	2.8

13.4 パラメータ感度分析

パラメータ	値	AUC-ROC	FPR	備考
$\beta_1$	0.2	0.944	0.027	シグネチャ偏重
$\beta_1$	0.4	0.968	0.021	バランス良好
$\beta_1$	0.6	0.982	0.019	最良
$\beta_1$	0.8	0.977	0.026	文脈情報が不足
$\theta$	0.7	0.976	0.023	低感度
$\theta$	0.8	0.982	0.019	最適
$\theta$	0.9	0.981	0.015	保守的

13.5 応答アクションの効果

応答アクション	平均コスト	業務影響	攻撃抑止効果
アラートのみ	1	低	低
セッション終了	3	低〜中	中
アカウント一時停止	5	中	中〜高
ホスト隔離	8	中〜高	高
セグメント遮断	10	高	非常に高
証明書失効	7	高	高

13.6 追加の定式化

各アクションの期待効用は次式で表せる。

$$ U(a_i) = \Delta B_i - \lambda_c c_i - \lambda_d d_i $$

ここで $\Delta B_i$ は攻撃被害の減少、$c_i$ は直接コスト、$d_i$ は可用性低下、$\lambda_c,\lambda_d$ は重みである。最適アクションは

$$ a^* = \arg\max_{a_i \in A} U(a_i) $$

として選択される。ただし、$a_i$ は制約集合 $\mathcal{I}$ を満たさねばならない。

13.7 実験再現性メモ

再現実験では、時間同期誤差が 1 秒を超えると相関精度が徐々に劣化した。これは、低速攻撃や分散ワームの評価において、イベントの前後関係が決定的であるためである。したがって、実運用では NTP の厳密運用とログ配送遅延の監視が前提となる。また、シグネチャ辞書の更新頻度が低いと、既知攻撃に対する比較優位が過小評価される可能性がある。

References

DOLEV, D.; YAO, A. C. On the security of public key protocols. IEEE Transactions on Information Theory, v. 29, n. 2, p. 198-208, 1983. Disponível em: https://ieeexplore.ieee.org/document/1056650. Acesso em: 4 maio 2026.

HANKS, S.; LI, T.; FARRELL, S.; MURPHY, D.; MEYER, A. Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile. RFC 3280. 2002. Disponível em: https://www.rfc-editor.org/rfc/rfc3280. Acesso em: 4 maio 2026.

MYERS, M.; ANKNEY, R.; MALPANI, A.; GALPERIN, S.; ADAMS, C. X.509 Internet Public Key Infrastructure Online Certificate Status Protocol - OCSP. RFC 2560. 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2560. Acesso em: 4 maio 2026.

NIST. Computer Security Incident Handling Guide. Special Publication 800-61. Gaithersburg: National Institute of Standards and Technology, 2003. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/final. Acesso em: 4 maio 2026.

NIST. Guide to General Server Security. Special Publication 800-123. Gaithersburg: National Institute of Standards and Technology, 2008. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-123/final.

OWASP. The Ten Most Critical Web Application Security Vulnerabilities. 2004. Disponível em: https://owasp.org/. Acesso em: 4 maio 2026.

ROESCH, M. Snort: Lightweight intrusion detection for networks. In: Proceedings of the 13th USENIX Conference on System Administration (LISA ’99). Seattle: USENIX Association, 1999. Disponível em: https://www.usenix.org/conference/lisa-99/snort-lightweight-intrusion-detection-networks. Acesso em: 4 maio 2026.

SOMMER, R.; PAXSON, V. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. In: Proceedings of the IEEE Symposium on Security and Privacy. Oakland: IEEE, 2010. Disponível em: https://ieeexplore.ieee.org/document/5504793. Acesso em: 4 maio 2026.