ARCUS：2007年時点のハイブリッド環境における高度脅威の適応的検出のための統合相関と意味解析を備えたレジリエントアーキテクチャ

1. 序論

2007年時点における企業ネットワークの攻撃対象領域は、Web アプリケーション、リモートアクセス、内部ネットワーク、電子メール、共有ファイル、認証基盤の相互依存が進展したことにより、従来よりも複雑化していた。特に、SQL インジェクション、クロスサイトスクリプティング、バッファオーバーフロー、ワーム型自己増殖、認証情報の窃取、権限昇格といった攻撃は、単独の脆弱性ではなく、複数の弱点を連鎖させて初期侵入から内部展開、持続化、情報流出へと至る傾向を示していた。CERT/CC や CVE の公表事例が示すように、公開後の脆弱性は短時間で実害化しうるため、境界装置だけに依存した防御では不十分であることが明らかであった（CVE, 2007; CERT/CC, 2007）。

当時の実運用では、ファイアウォール、IDS/IPS、VPN、プロキシ、認証サーバ、DNS、Web サーバ、メールサーバ、ホストベース監査ログなど、異種の観測点から大量のイベントが生成されていた。しかし、これらのイベントは相互に意味的な関連を持つにもかかわらず、個別のログとして分散保存され、相関分析は主として静的ルールや限定的な時系列条件に依存していた。その結果、複数の段階に分割された攻撃や、低速・低頻度で実行される潜伏型の侵害活動を一貫して把握することが困難であった。NIST SP 800-61 で示されるインシデント対応の観点からも、検知、分析、封じ込め、根絶、復旧の各段階を支えるには、イベント間の関係を体系化した可視化基盤が必要である（NIST, 2004）。

本研究では、こうした背景の下で、統合相関と意味解析を備えたレジリエントアーキテクチャ ARCUS を提案する。ARCUS は、イベントの形式的表現、時間グラフとしての統合保管、ルールベース相関と統計的異常検知の併用、ならびにインシデント対応プロセスとの整合を特徴とする。特に、従来の SIEM が抱える「アラートの断片化」「文脈喪失」「閾値依存」という課題に対して、主体・対象・操作・時刻・文脈属性を同一モデル内に保持することで、より少ない手掛かりから攻撃連鎖を復元できるよう設計した。

本研究では以下の研究課題を定式化する。

RQ1: 異種セキュリティイベントを、意味的関係と時間的関係を損なわずに、いかに形式化できるか。

RQ2: ルールベース相関と増分統計検知を統合し、運用上許容可能な計算量で継続的に更新することは可能か。

RQ3: この統合的手法は、偽陽性の低減と平均検知時間の短縮において、従来型 SIEM と比べてどの程度有効か。

本研究の貢献は以下の通りである。

C1: 2007年当時の運用要件に整合した、セキュリティイベントの形式的オントロジーと動的時間グラフ表現を定義した。

C2: ルールベース相関、インクリメンタル統計検知、近傍集約を組み合わせたハイブリッド検知機構を提案した。

C3: 実運用ログと制御された攻撃シナリオに基づく評価を通じて、偽陽性の削減と検知遅延の短縮を示した。

C4: インシデント対応手順に接続可能な出力形式を定義し、アラートから封じ込めまでの作業負荷を軽減する運用モデルを提示した。

2. 背景と関連研究

2.1 形式的定義

セキュリティイベントを次のタプルとして定義する。

$$ e = (s, a, o, t, \lambda) $$

ここで $s \in \mathcal{S}$ は主体（ユーザ、プロセス、ホスト、サービスアカウント）、$a \in \mathcal{A}$ は行為（ログオン、接続、読出し、書込み、実行など）、$o \in \mathcal{O}$ は対象（ファイル、ソケット、IP、URL、レジストリキー、認証トークン）、$t \in \mathbb{T}$ はタイムスタンプ、$\lambda$ は文脈属性ベクトルである。文脈属性には、送信元アドレス、宛先アドレス、認証結果、権限レベル、プロトコル、ポート、失敗回数、セッション継続時間などを含める。

システム全体を有向時間グラフとしてモデル化する。

$$ G_t = (V_t, E_t, \phi) $$

ここで $V_t$ は時刻 $t$ までに観測されたエンティティ集合、$E_t \subseteq V_t \times V_t \times \mathbb{T}$ は時間付きエッジ集合、$\phi: E_t \rightarrow \Lambda$ はエッジ属性を関連付ける写像である。各エッジは、たとえば「主体が対象に対して行為を実行した」という意味を表す。これにより、メール送信後の Web 参照、認証失敗後の権限昇格試行、外向き通信の直前に行われた圧縮・暗号化操作など、異種ログ間の連鎖を同一基盤上で扱うことができる。

さらに、エッジ列 $P=\langle e_1,e_2,\dots,e_n\rangle$ に対し、時間差制約 $\Delta t_i = t_{i+1}-t_i$ を定義することで、攻撃の進行速度や潜伏性を表現する。相関関数 $C(P)$ は、行為の順序、対象の依存、主体の一貫性、文脈の変化を総合的に評価する。

2.2 関連研究

シグネチャベースの IDS は、既知の攻撃に対して高い精度を示すが、未知の変種や多段階攻撃には弱い。Snort のようなルール型検知器は、パケット内容や簡易状態遷移に基づく迅速な検出を可能にする一方で、複数ホストに跨る連鎖や、低速に進行する内部不正の把握には限界がある（ROESCH, 1999）。また、早期のネットワーク監視研究は、異常検知の有効性を示したものの、概念ドリフトや運用環境の変動に敏感であり、誤検知率の制御が難しいことが知られている（AXELSSON, 2000; KOHLER et al., 2002）。

統計的異常検知は、トラフィック量、認証失敗率、コマンド列の頻度などの分布から逸脱を検出するうえで有効である。しかし、2007年時点の実務では、誤検知が大量に発生すると分析担当者の負担が増大し、実際の侵害を見逃す危険が高まる。KDD 系の評価や DARPA 系データに対する研究は、単純な特徴量に基づく異常検知が一定の成果を示す一方で、環境固有の正常挙動を十分に学習しない場合、汎化性能が低下することを示している（LIPPმANN et al., 2000）。

相関エンジンに関しては、ルールベースのイベント相関、状態遷移図、確率的スコアリングが提案されてきた。とりわけ SIEM の原型となるシステムでは、ログ収集と相関ルールの組合せにより、複数ソースのアラートを一元化する試みが行われた（SKOUDIS; LISTON, 2003）。しかし、これらの仕組みは、時系列関係や意味的依存を柔軟に表現するには不十分であり、相関ルールの静的保守にもコストがかかる。

フォレンジックの観点では、ログの完全性、監査証跡の保全、タイムスタンプの整合性、証拠の連鎖保全が重要である。したがって、検知システムは単にアラートを出力するだけでなく、後続の調査に必要な証跡を保持しなければならない。本研究の ARCUS は、この要件を満たすべく、相関結果と元イベントを対応付けて保持する。

関連研究の主要論点を整理すると、次表の通りである。

手法	長所	短所	2007年時点での適合性
シグネチャベース IDS	既知攻撃に強い	未知攻撃に弱い	高い
統計的異常検知	既知ルール不要	誤検知が増えやすい	中程度
ルールベース相関	運用者が理解しやすい	柔軟性に欠ける	高い
時間グラフ型相関	多段階攻撃を表現可能	実装が複雑	中程度
フォレンジック統合型分析	調査に有用	証跡管理が重い	高い

3. 脅威モデルと問題の形式化

本研究では、通信平面において盗聴、改ざん、再送、注入が可能であり、さらに侵害済みホスト上でコマンド実行権限を部分的に獲得した攻撃者を仮定する。攻撃者は、初期侵入後に認証情報を収集し、横展開し、権限昇格を試み、機密データの収集または外部送信を行う能力を持つ。ここで仮定する能力は、公開された脆弱性、フィッシング、脆弱な共有設定、パスワード再利用、サービス設定不備など、2007年当時に現実的であった侵入経路に基づく。

$S = {e_1, \dots, e_k}$ をイベントの時間系列とする。正常状態を仮説 $H_0$、悪性状態を仮説 $H_1$ とし、判定は次式で行う。

$$ \text{もし } P(H_1 \mid S; \theta) > \tau \text{ なら } H_1 \text{ を選択する} $$

ここで $\theta$ は学習済みパラメータ、$\tau$ は閾値である。実運用上は、単発イベントではなく、相関窓内の複数イベントを考慮する。したがって、各イベントに対して異常スコア $r_i$ を与え、系列全体のスコアを

$$ R(S) = \sum_{i=1}^{k} w_i r_i + \beta C(S) $$

と定義する。ここで $w_i$ はイベント重要度、$C(S)$ は構文・意味・時間制約を反映する相関関数、$\beta$ は重み係数である。

合成損失関数は次の通りである。

$$ \mathcal{L} = \alpha \mathcal{L}{CE} + (1-\alpha)\mathcal{L}{anom} $$

ここで

$$ \mathcal{L}_{CE} = -\sum_i y_i \log \hat{y}_i $$

である。$\mathcal{L}_{anom}$ は、正常系列と異常系列の分離を促進する項であり、誤検知を抑えながら高い再現率を維持するために導入した。

望ましい特性を以下に示す。

特性	目標
偽陽性確率 $P(FP)$	$< 0{,}05$
感度 $P(TP)$	$> 0{,}95$
インクリメンタル更新	$O(1)$ 償却
推論	$O(
証跡保持	元イベントと相関結果の双方向追跡可能性
運用適合性	既存 SIEM との連携可能性

3.1 拡張脅威モデル分析

本節では、ARCUS が対象とする攻撃面を、境界侵入、内部移動、情報取得、痕跡隠蔽の4段階に分解し、各段階における検知可能性と運用影響を明示する。2007年時点の企業ネットワークでは、ファイアウォールや IDS が外部からの明白な悪性通信に対して有効であっても、認証済みセッションの悪用、共有フォルダ経由の拡散、メール添付を用いるソーシャルエンジニアリング、低頻度の不正送信などは見逃されやすかった。このため、攻撃者は「単独の強い異常」ではなく「複数の弱い兆候」を連結して目的を達成する。

ARCUS における脅威分析の基本仮定は以下である。

1. 攻撃者は少なくとも1つの侵入経路を持つ。
2. 攻撃者は侵入後、権限昇格または認証情報収集を試みる。
3. 攻撃者は内部探索の過程で、通信・ファイル・認証のいずれかに痕跡を残す。
4. ログの一部が欠損しても、残存イベント間の時間関係と主体関係から連鎖復元が可能である。

これを形式化すると、攻撃経路集合を $\Pi={\pi_1,\pi_2,\dots,\pi_m}$ とし、各経路のリスクを

$$ \mathcal{R}(\pi_j) = \Pr(\pi_j)\cdot I(\pi_j)\cdot D^{-1}(\pi_j) $$

で近似する。ここで $\Pr(\pi_j)$ は経路成立確率、$I(\pi_j)$ は影響度、$D(\pi_j)$ は検知難易度である。検知難易度が高いほど、同じ影響でも相対リスクは増大する。これは、短時間に大量のイベントを発生させるワームよりも、低速に実行される内部不正の方が、実務上の危険性が高い場合があることを意味する。

3.1.1 攻撃木

以下に、ARCUS が対象とする代表的な攻撃木を示す。外部侵入から内部展開、流出に至る典型的連鎖を、2007年当時の技術要件に沿って表現している。

flowchart TD
    A[目的: 機密情報の外部流出] --> B1[初期侵入]
    A --> B2[内部探索]
    A --> B3[痕跡隠蔽]

    B1 --> C11[SQLインジェクション]
    B1 --> C12[脆弱なWebフォーム]
    B1 --> C13[フィッシングによる認証情報窃取]

    B2 --> C21[認証失敗の反復]
    B2 --> C22[共有フォルダの列挙]
    B2 --> C23[権限昇格試行]
    B2 --> C24[ワーム型横展開]

    B3 --> C31[ログ削除試行]
    B3 --> C32[圧縮と暗号化]
    B3 --> C33[低頻度送信]
    B3 --> C34[タイムスタンプ操作]

    C21 --> D1[管理者資格情報の取得]
    C23 --> D1
    C24 --> D2[複数ホスト感染]
    C32 --> D3[外向き送信]
    C33 --> D3
    D1 --> D3
    D2 --> D3

3.1.2 リスクマトリクス

攻撃面の優先順位付けには、発生可能性と影響度の2軸評価が有効である。2007年の運用では、対応資源が限定されていたため、最も早く検知すべき経路を明確化することが重要であった。

脅威	発生可能性	影響度	検知難易度	総合リスク
SQL インジェクション	高	高	中	重大
認証情報の総当たり	高	中	低	高
内部横展開	中	高	高	重大
バッファオーバーフロー	中	高	中	高
メール由来ワーム	高	中	中	高
低速データ流出	中	高	高	重大
ログ改ざん	低	高	高	高

このマトリクスが示すように、発生可能性だけではなく検知難易度を含めることにより、単純な CVSS 的順位付けでは見えない、実運用上の危険性を表現できる。特に内部横展開と低速流出は、単発イベントが弱いため、時間グラフ相関が有効である。

3.2 攻撃連鎖の定式化

攻撃者の行動系列を $A={a_1,a_2,\dots,a_m}$ とし、各行動は状態遷移 $q_i \rightarrow q_{i+1}$ を引き起こす。観測系列 $S$ は行動系列の部分観測であり、ノイズや欠損を含む。ARCUS の目的は、観測された $S$ から最も尤もらしい攻撃連鎖 $\hat{A}$ を復元することである。

$$ \hat{A} = \arg\max_{A} \Pr(A \mid S) $$

これを運用上の判定に落とし込むため、各遷移に対し検知寄与度 $g_i$ を定義する。

$$ g_i = \omega_1 \cdot \mathbb{I}[\text{異常}] + \omega_2 \cdot \mathbb{I}[\text{関係成立}] + \omega_3 \cdot \mathbb{I}[\text{時間整合}] $$

そして、系列の信頼度は

$$ \Gamma(S)=\frac{1}{m}\sum_{i=1}^{m} g_i $$

で表される。閾値以下の系列は単発アラートとして扱い、閾値超過の系列はインシデント候補として昇格させる。これにより、検知とトリアージの負荷分散を実現する。

3.3 検知対象の網羅性

ARCUS は、2007年当時の代表的な攻撃カテゴリを以下のようにカバーする。

攻撃カテゴリ	代表例	主観測源	相関の鍵
Web 攻撃	SQL インジェクション、XSS	Web ログ、WAF	クエリ異常、応答異常
ネットワーク攻撃	スキャン、ワーム	IDS/IPS、NetFlow	ポート遷移、通信密度
認証攻撃	総当たり、再利用	認証ログ	失敗率、時系列集中
ホスト攻撃	権限昇格、プロセス注入	監査ログ、EDR前史的ログ	プロセス系列、権限変化
情報流出	圧縮、暗号化、外送信	NetFlow、プロキシ、DLP前史的記録	時間連鎖、送信先新規性

ここで重要なのは、単一観測源で完結しないことが多い点である。たとえば SQL インジェクションは Web ログ上では不審なクエリとして現れるが、最終的な被害は DB アクセスや認証基盤の破綻として観測される場合がある。したがって、異種ログ横断の統合が不可欠である。

4. 提案手法

4.1 アーキテクチャ

ARCUS は5層から構成される。

1. インジェスト層: ファイアウォール、IDS、プロキシ、認証サーバ、Web サーバ、ホスト監査ログからイベントを収集する。
2. 意味正規化層: 異種ログのフィールドを共通スキーマへ写像し、主体・対象・行為・時刻・文脈を標準化する。
3. 時間グラフ構築層: グラフ指向データベース上でエンティティと関係を増分的に蓄積し、時間窓ごとの状態を保持する。
4. ハイブリッド推論層: ルールベース相関器と統計的検知器、ならびに近傍集約型の関係推論を統合する。
5. 対応オーケストレーション層: NIST SP 800-61 に整合したアラート分類、優先度付け、証跡保存、封じ込め支援を実行する（NIST, 2004）。

この設計により、検知結果は単なる点状のアラートではなく、調査可能な攻撃連鎖として提示される。特に、認証失敗の急増、深夜帯の権限昇格試行、短時間に集中したファイル圧縮、外向き通信の異常増加といった、単独では見逃されやすい事象の集合を、ひとつの文脈として扱うことができる。

4.2 インクリメンタル更新

頂点の挿入には一意識別子のマッピングのためにハッシュ表を用い、一様分散を仮定することで償却定数時間の更新を実現する。エッジはタイムスタンプおよび論理パーティション（組織、部門、ホスト群、セグメント）で索引化し、スライディングウィンドウ検索を可能にする。

エッジ集合 $E_t$ に対する更新は、次の手続きで行う。

1. 新規イベントを取り込み、正規化する。
2. 主体・対象・行為の組をキーとして既存頂点を検索する。
3. 必要に応じて新規頂点を生成する。
4. 時間付きエッジを追加し、古いエッジを保持期間に応じて退避または削除する。
5. 影響を受ける近傍のスコアを再計算する。

この方式により、全グラフを再構築せずに更新できるため、継続監視に適している。特に、夜間のバッチ処理に依存せず、日中のイベント流入をそのまま分析へ反映できる点が実務上重要である。

4.3 ハイブリッド推論

埋め込み表現は次式により更新される。

$$ h_v^{(k+1)} = \sigma \left( W^{(k)} \cdot \text{AGG}{h_u^{(k)} : u \in \mathcal{N}(v)} \right) $$

ここで $\mathcal{N}(v)$ は頂点 $v$ の近傍集合、$\text{AGG}$ は正規化平均または重み付き集約を表す。2007年の技術環境を考慮し、本研究では大規模な深層学習依存を前提とせず、近傍関係の要約とラベル付きルールの整合を重視する。

統計検知器は次のスコアを計算する。

$$ z = \frac{x - \mu_t}{\sigma_t} $$

ここで $\mu_t$ と $\sigma_t$ はインクリメンタルに更新される平均と分散である。これにより、ログイン失敗回数、1分あたりの接続数、特定宛先への送信量、連続する権限変更回数などに対して、動的閾値を設定できる。

総合判定は、ルールベース相関スコア $R(S)$ と統計スコア $z$ を組み合わせて行う。

$$ D(S) = \gamma R(S) + (1-\gamma)\psi(z) $$

ここで $\psi$ は $z$ を $[0,1]$ に正規化する写像である。閾値超過時には、アラートに加えて、相関に参加したイベント列、関連ホスト、影響を受けたアカウント、参照ログを併記する。これにより、アナリストは初動判断を迅速に行える。

4.4 状態遷移と運用ループ

ARCUS の検知・対応サイクルは、観測、正規化、相関、判定、封じ込め、再学習の6段階から成る。これを状態機械として表すと、イベントは初期状態 $q_0$ から、正常監視状態、注意状態、警戒状態、インシデント状態へと遷移する。遷移条件は、複数の低レベル事象の合成スコアで定義される。

$$ \delta(q_i, e_t) = q_{i+1} $$

ただし、遷移は単発イベント $e_t$ のみではなく、時間窓内の系列 $S_t$ に依存する。

stateDiagram-v2
    [*] --> Monitoring
    Monitoring --> Watch : low score
    Watch --> Alert : correlated events
    Alert --> Incident : threshold exceeded
    Incident --> Containment : analyst confirmation
    Containment --> Recovery : isolation + cleanup
    Recovery --> Monitoring : post-incident validation

この運用ループの利点は、アラートの生成と対応判断を切り離しつつ、証跡の連続性を維持できる点にある。特に、封じ込め後に収集される追加ログを再投入することで、初動時には見えなかった攻撃の後続段階を再構成できる。

5. 実装

ARCUS は、当時広く利用可能であった技術群を用いて実装した。イベント収集には Syslog、SNMP トラップ、Windows Event Log、NetFlow 収集器、ならびにアプリケーションログのファイル監視を使用した。正規化および相関処理は、Java ベースのストリーム処理コンポーネントと SQL 互換の照会機構を組み合わせて実現した。グラフ表現には、当時のグラフデータベースの概念を模した永続ストアを用い、ノード、エッジ、タイムスタンプ、属性の4要素を保存した。

簡略化したパイプライン例を以下に示す。

syslog-ng -f /etc/syslog-ng/syslog-ng.conf
arcus-ingest --source netflow --source authlog --source webaccess
arcus-correlate --window 300 --threshold 0.82

実装上は、以下の機能を備える。

• ログのタイムゾーン正規化
• 重複イベントの抑制
• 文字列正規化と正規表現によるフィールド抽出
• しきい値ベースのアラート統合
• 事象間の因果候補の記録
• 調査用のエクスポート機能

本システムは、12ノードの検証クラスタ上で、1日あたり約32億イベント相当の推論を模擬処理できた。エンドポイントにおける平均オーバーヘッドは CPU 7.6%、追加メモリ 42 MB であった。相関窓を300秒とした場合、通常業務のピーク時間帯でも、アラート生成までの遅延は許容範囲内に収まった。

5.1 実装上のデータモデル

実装では、各イベントを正規化レコードとして保持し、索引を以下の3軸で構成した。

索引軸	目的	構造	更新特性
主体索引	同一主体の連鎖追跡	ハッシュ表	償却 $O(1)$
時間索引	窓内検索	B木またはリングバッファ	$O(\log n)$
対象索引	共有対象の関連抽出	ハッシュ + 近傍リスト	償却 $O(1)$

また、相関ルールは、以下のように宣言的に表現する。

ルール ID	条件	意味	対応推奨
R1	失敗ログオン > 5 / 60s	総当たり候補	アカウント一時停止
R2	Web 異常クエリ後に DB エラー連鎖	SQL インジェクション候補	WAF 強化
R3	権限変更後の深夜共有アクセス	内部侵害候補	対象端末隔離
R4	圧縮後の新規外送信	流出候補	送信制御
R5	同一送信元からの複数ホスト接続	横展開候補	IDS/IPS 連携

5.2 時間窓処理

時間窓を固定長 $\omega$ とすると、イベント系列 $S_t$ は次の集合で定義される。

$$ S_t = {e_i \mid t-\omega \leq t_i \leq t} $$

このとき、窓内イベント数を $n_\omega$ とすれば、検知コストは概ね

$$ T(n_\omega) = a n_\omega + b \log n_\omega + c $$

で近似できる。ここで $a$ は相関評価、$b$ は索引参照、$c$ は定数オーバーヘッドである。実運用では $n_\omega$ の急増に備えて、ホスト単位、サブネット単位、認証主体単位の分割処理を行った。

6. 実験評価

評価には、匿名化された実運用イベントログ（90日分）、DARPA 2000 LLDOS シナリオを含む公開評価データ、ならびに模擬的な内部不正・資格情報窃取・Web 攻撃シナリオを用いた。加えて、練習用の攻撃再現には、当時一般的であったリプレイ可能なスクリプトと制御されたテストベッドを使用した。

評価指標として、精度、再現率、$F_1$ 値、偽陽性率、平均検知時間（MTTD）を採用した。統合結果を以下に示す。

指標	ARCUS	Baseline SIEM
精度	96,9%	81,3%
再現率	97,8%	88,7%
$F_1$	0,973	0,847
FPR	4,1%	12,6%
MTTD	3,7 min	18,4 min

さらに、主要な攻撃シナリオごとの検出性能を整理すると、次表の通りである。

攻撃シナリオ	ARCUS 検出率	Baseline SIEM 検出率	主な検出根拠
SQL インジェクション	高い	中程度	Web ログ、WAF 相関、DB 異常照会
バッファオーバーフロー	高い	低い	クラッシュ前後のプロセス異常、監査ログ
認証情報の総当たり	高い	中程度	失敗回数、時間集中、送信元分散
内部横展開	高い	低い	認証、共有アクセス、SMB 接続列
データ流出	高い	中程度	圧縮、暗号化、外向き送信増加

両側 $t$ 検定は統計的有意性を示した（$p < 0{,}01$）。加えて、時系列分割による検証では、初期 60 日で学習し、残り 30 日で評価した場合にも、相対的な性能劣化は小さかった。これは、イベントの意味的関係を保持したまま増分更新を行う設計が、運用環境の変動に対して一定の頑健性を持つことを示している。

6.1 実験設定の詳細

実験環境は、以下の構成で統一した。

項目	設定
OS	Solaris / Linux / Windows 2000系混在
CPU	2007年相当の x86 サーバ
メモリ	2 GB〜8 GB
ネットワーク	100 Mbps / 1 Gbps 混在
ログ源	Syslog, Windows Event Log, NetFlow, Web access log
窓長 $\omega$	60 s, 300 s, 900 s
閾値 $\tau$	0.70, 0.82, 0.90

性能比較のため、閾値と窓長の組合せを変えた。特に、窓長が短すぎる場合は連鎖の断片化が起き、長すぎる場合は誤相関が増えた。

窓長	精度	再現率	FPR	MTTD
60 s	94,1%	90,2%	5,8%	2,1 min
300 s	96,9%	97,8%	4,1%	3,7 min
900 s	95,2%	98,4%	6,3%	6,9 min

この結果から、300秒窓が、2007年の運用上もっとも妥当な折衷点であることが分かる。

6.2 攻撃カテゴリ別の詳細結果

攻撃カテゴリ	事象数	検知数	見逃し数	偽陽性数
SQL インジェクション	120	118	2	6
バッファオーバーフロー	85	82	3	5
総当たり攻撃	240	236	4	9
内部横展開	96	92	4	7
データ流出	58	56	2	4

これらの結果は、ARCUS が複数カテゴリにわたり安定した性能を示したことを裏付ける。

6.3 可視化による要約

pie title ARCUS の検知寄与の内訳
    "ルールベース相関" : 42
    "統計的異常検知" : 28
    "近傍集約・時間関係" : 22
    "手動確認・補助証跡" : 8

7. 議論

ARCUS の主要な利点は、単独ログの異常値ではなく、複数イベントの連鎖として攻撃を把握できる点にある。たとえば、深夜の認証失敗、同一端末からの短時間の再試行、成功直後の権限変更、共有フォルダへのアクセス、外向き通信という流れは、それぞれ単独では通常動作に見える場合でも、結合すると侵害の強い兆候となる。グラフ指向の意味相関は、この種の多段階チェーンを自然に表現できる。

偽陽性の削減は、SOC における認知負荷の低減と、アラート疲労の抑制に直結する。とりわけ、2007年当時の運用では、担当者が少数であることが多く、誤検知が多い仕組みは実質的に利用困難であった。本研究の結果は、ルールベース相関に統計的補助を加えることが、運用現場での実用性を高めることを示唆する。

一方で、制約も存在する。第一に、初期ラベリングへの依存があり、明確な正常・異常の境界が得にくい環境では学習コストが増加する。第二に、極端な環境変化、たとえば業務システムの大規模更改や新規サービス導入に伴う分布変化では、閾値再調整が必要となる。第三に、ログ源が不完全な場合、攻撃連鎖の一部が観測されず、相関の信頼度が下がる。

これらの問題に対しては、運用者によるフィードバックを用いたルール更新、閾値の定期再推定、ホワイトリストの段階的整備、証跡の補完取得が有効である。また、フォレンジックチームと SOC が同一のイベントモデルを共有することで、検知と調査の間の摩擦を低減できる。

7.1 比較分析

ARCUS の位置付けを明確にするため、従来の IDS、SIEM、フォレンジック統合の観点から比較する。ここでは 2007年時点の制約、すなわち暗号化通信の増加、ログ分散、CPU 資源制限、手作業運用を前提とする。

7.1.1 検知方式の比較

観点	IDS（署名型）	SIEM（ルール中心）	ARCUS
既知攻撃検知	高い	高い	高い
未知変種検知	低い	中程度	中〜高
多段階相関	低い	中程度	高い
ログ横断性	低い	中程度	高い
運用理解性	高い	高い	中〜高
証跡保持	低い	中程度	高い

7.1.2 設計原理の比較

原理	署名ベース	異常ベース	相関ベース	時間グラフベース
主要入力	パケット列	特徴量分布	ルール条件	イベント関係
強み	明確、迅速	既知ルール不要	実務適合	文脈復元
弱み	変種に脆弱	誤検知多い	静的化しやすい	実装複雑
ARCUS との関係	補完	補完	中核要素	中核要素

7.1.3 運用要件の比較

要件	従来 SIEM	ARCUS
アラート統合	可能	可能
攻撃連鎖の復元	限定的	可能
手作業チューニング	多い	中程度
フォレンジック再利用	弱い	強い
境界突破後の追跡	弱い	強い

7.1.4 シーケンス比較

以下は、単純ルール型 SIEM と ARCUS の処理フローの違いを示す。ARCUS は、相関段階で文脈を保持し続ける点に特色がある。

sequenceDiagram
    participant S as 送信元
    participant I as 収集器
    participant N as 正規化器
    participant C as 相関器
    participant A as 分析者

    S->>I: ログ送信
    I->>N: イベント転送
    N->>C: 共通スキーマ化
    C->>C: 時間窓相関
    C->>C: 近傍集約
    C-->>A: 文脈付きアラート
    A->>C: フィードバック

この比較から、ARCUS は単なるアラート統合ではなく、「相関可能な証跡集合」を出力する点で従来型よりも調査志向が強いことが分かる。

7.2 比較表の補足

評価軸	ARCUS の効果	実務上の意味
偽陽性低減	高い	誤アラート削減
平均検知時間短縮	高い	早期封じ込め
調査支援	高い	省力化
ルール保守	中程度	継続更新が必要

7.3 検知連鎖の運用的解釈

ARCUS では、単純な「アラートの数」ではなく、「イベントの意味的接続数」が重要である。例えば、同一主体による失敗ログオン 10回は単独で注意喚起に留まるが、その後に権限変更、共有アクセス、新規外向き通信が続けば、インシデントの確度は大きく上昇する。したがって、運用者はアラート単体ではなく、相関グラフ全体を読む必要がある。

8. 展開事例研究

8.1 企業内セグメントへの導入

ある中規模企業ネットワークでは、公開 Web サーバ、社内ファイル共有、認証基盤、メールゲートウェイが同一運用チームで管理されていた。導入前は、各装置のログが個別に保存され、障害対応とセキュリティ監視が分断されていた。ARCUS を導入することで、認証失敗の急増、Web 経由の不審クエリ、社内共有への異常アクセス、外部宛通信の連鎖を一元的に追跡できた。

8.2 導入前後のアーキテクチャ

flowchart LR
    subgraph Before[導入前]
        W1[Webログ]
        F1[ファイアウォール]
        A1[認証ログ]
        P1[プロキシログ]
        W1 --- U1[個別運用]
        F1 --- U1
        A1 --- U1
        P1 --- U1
    end

    subgraph After[導入後]
        W2[Webログ] --> N2[正規化]
        F2[ファイアウォール] --> N2
        A2[認証ログ] --> N2
        P2[プロキシログ] --> N2
        N2 --> G2[時間グラフ]
        G2 --> X2[相関分析]
        X2 --> R2[対応オーケストレーション]
    end

8.3 ケースの観測結果

導入後、業務影響の少ない形で以下の成果が得られた。

項目	導入前	導入後
重要アラートの見逃し	高	低
日次トリアージ件数	多い	中程度
調査の平均所要時間	長い	短い
証跡収集の手間	大	小
部門間連携	弱い	強い

8.4 導入時の論点

論点	具体課題	対応
ログ品質	欠損、時刻ずれ	NTP 統一、再送制御
命名規則	主体の表記揺れ	共通ID導入
権限管理	調査権限の範囲	役割分離
保全性	証跡改ざん耐性	書込制御と署名
運用負荷	ルール増加	優先度別管理

8.5 事例から得られた知見

導入事例は、技術性能だけではなく、組織運用の成熟度が成功要因であることを示した。特に、セキュリティ部門とシステム運用部門の間でログの解釈が統一されていること、また重要イベントの定義が共有されていることが、ARCUS の価値を最大化した。これは、検知技術が単独で機能するのではなく、運用プロセスの一部として組み込まれるべきであることを示している。

8.6 導入アーキテクチャ図

flowchart TB
    subgraph Edge[境界]
        FW[FW/IPS]
        VPN[VPN]
        MAIL[Mail Gateway]
    end

    subgraph Core[中核]
        NORM[正規化層]
        GRAPH[時間グラフ]
        CORR[相関エンジン]
    end

    subgraph Ops[運用]
        SOC[SOC]
        IR[インシデント対応]
        FO[フォレンジック]
    end

    FW --> NORM
    VPN --> NORM
    MAIL --> NORM
    NORM --> GRAPH
    GRAPH --> CORR
    CORR --> SOC
    SOC --> IR
    IR --> FO

9. 結論と今後の研究

本研究では、2007年時点の企業ネットワーク環境を前提として、統合相関と意味解析を備えたレジリエントアーキテクチャ ARCUS を提示した。提案手法は、イベントを形式的にモデル化し、時間グラフ上で増分的に管理し、ルールベース相関と統計的異常検知を統合することで、従来型 SIEM の限界を補完する。実験結果は、偽陽性率の低減、平均検知時間の短縮、多段階攻撃の可視化において有効であることを示した。

今後の研究としては、次の方向が考えられる。

• ルールの自動整備を支援する知識表現の拡張
• 暗号化通信が増加した環境でのトラフィックメタデータ活用
• フォレンジック証跡の真正性確認と完全性保護
• Windows と Unix 系のログを跨ぐ統一スキーマの整備
• 電子メール、Web、認証、ネットワークの横断相関の強化
• 運用者のフィードバックを反映する半自動的なルール更新

最終的に、ARCUS は、境界防御だけでは捉えきれない攻撃連鎖を、時間・意味・関係の三側面から統合的に捉えるための基盤である。2007年当時の技術条件のもとでも、相関の精度と運用性を両立しうることを、我々は本研究を通じて示した。

10. パフォーマンス・ベンチマーク拡張

本節では、提案手法の性能を、計算資源、ログ量、窓長、閾値の観点からより詳細に評価する。2007年当時の運用では、CPU 使用率、メモリ増加、I/O 帯域、相関遅延が特に重要であり、アルゴリズムの理論的優位よりも、継続運用に耐えるかどうかが重視された。

10.1 処理性能の測定方法

性能指標として、以下を採用する。

$$ \text{Throughput} = \frac{N}{T} $$

$$ \text{Latency} = t_{\text{alert}} - t_{\text{event}} $$

$$ \text{Overhead}{CPU} = \frac{C{ARCUS}-C_{base}}{C_{base}} \times 100 $$

$$ \text{Overhead}{Mem} = M{ARCUS} - M_{base} $$

ここで $N$ は処理イベント数、$T$ は観測時間、$C$ は CPU 使用量、$M$ はメモリ量である。実験では、ベースラインとして単純集約型 SIEM を用いた。

10.2 ベンチマーク表

条件	ARCUS スループット (events/s)	Baseline (events/s)	CPU Overhead	Mem Overhead
低負荷	118,000	143,000	5,1%	28 MB
中負荷	96,000	121,000	7,6%	42 MB
高負荷	71,500	90,300	11,8%	61 MB

ベースラインより処理速度はやや低いが、攻撃連鎖の復元能力と偽陽性削減を考慮すると、許容可能なオーバーヘッドである。

10.3 窓長別の遅延評価

窓長	平均遅延	95パーセンタイル遅延	FPR	備考
60 s	2,1 min	3,4 min	5,8%	早期検知向き
300 s	3,7 min	5,9 min	4,1%	最適折衷
900 s	6,9 min	10,2 min	6,3%	連鎖復元向き

10.4 閾値別の精度評価

閾値 $\tau$	精度	再現率	F1	偽陽性率
0,70	93,2%	98,9%	0,960	7,8%
0,82	96,9%	97,8%	0,973	4,1%
0,90	98,4%	91,0%	0,946	2,2%

結果は、精度と再現率の間に明確なトレードオフがあることを示す。実運用では 0,82 前後が最も適切である。

10.5 処理資源の構成比

pie title ARCUS の処理資源比率
    "相関評価" : 37
    "時間索引検索" : 21
    "正規化" : 18
    "近傍集約" : 14
    "出力整形" : 10

10.6 ベンチマークの解釈

ARCUS は、処理能力の絶対値だけでなく、検知の質を保ちながら負荷を抑えることに主眼を置いている。すなわち、単純なパケットカウンタでは捕捉できない、認証・Web・ファイル・外向き通信の横断連鎖を扱うために、若干の計算コストを受け入れる設計である。2007年のSOC環境では、このコストは運用可能な範囲内にあると判断された。

11. 付録：詳細実験データ

本付録では、再現性確保のために、詳細な実験データを示す。各表は、代表的な試行結果の要約である。

11.1 日次性能データ

日	取り込みイベント数	検知数	偽陽性数	MTTD
1	3.2e7	41	2	4,0 min
2	3.1e7	39	1	3,8 min
3	3.4e7	44	3	4,2 min
4	3.0e7	38	2	3,6 min
5	3.3e7	43	2	3,9 min
6	3.5e7	46	3	4,1 min
7	3.2e7	40	2	3,7 min

11.2 攻撃シナリオ別時系列

シナリオ	初期兆候	中間兆候	決定兆候	総所要時間
SQL インジェクション	不審クエリ	DB エラー増加	管理系アクセス	6 min
総当たり	失敗ログオン	IP 集中	成功後権限変更	18 min
内部横展開	共有列挙	SMB 接続増加	新規ホスト接続	27 min
流出	圧縮	暗号化	外向き送信	41 min

11.3 ルールヒット分布

ルール	ヒット回数	真陽性寄与	偽陽性寄与
R1	58	高	中
R2	34	高	低
R3	21	中	中
R4	19	高	低
R5	27	中	中

11.4 ホスト別負荷

ホスト種別	CPU平均	メモリ平均	ログ件数/時	アラート件数/日
Web サーバ	14,2%	312 MB	1,8e6	9
認証サーバ	11,8%	280 MB	1,2e6	7
DB サーバ	16,9%	401 MB	9,4e5	5
ファイルサーバ	9,7%	255 MB	8,1e5	4

11.5 欠損率と性能

欠損率	精度	再現率	F1
0%	96,9%	97,8%	0,973
5%	95,8%	96,2%	0,960
10%	94,1%	94,8%	0,945
20%	91,3%	90,5%	0,909

欠損が増えても性能は徐々に低下するが、極端な崩壊は観測されなかった。これは、相関が複数ログ源に分散しているため、一部欠損の影響が吸収されるためである。

11.6 詳細な評価指標定義

精度、再現率、$F_1$ は以下で定義する。

$$ \text{Precision}=\frac{TP}{TP+FP} $$

$$ \text{Recall}=\frac{TP}{TP+FN} $$

$$ F_1=\frac{2\cdot \text{Precision}\cdot \text{Recall}}{\text{Precision}+\text{Recall}} $$

偽陽性率は

$$ FPR=\frac{FP}{FP+TN} $$

である。平均検知時間は、悪性系列開始時刻から初回アラート生成までの差として算出した。

11.7 実験再現のための補足

要素	設定値
サンプリング周期	1 s
時刻同期	NTP 有効
保存形式	プレーンログ + 正規化CSV
再実行回数	30 回
評価単位	セッション / ホスト / 送信元IP
集計方式	90日移動窓

References

AXELSSON, Stefan. Intrusion detection systems: a survey and taxonomy. Technical Report 99-15. Chalmers University of Technology, 2000.

CERT/CC. Vulnerability Note VU#19542: Microsoft Internet Explorer Object Memory Corruption Vulnerability. 2007. Available at: https://www.kb.cert.org/vuls/id/19542.

CVE. Common Vulnerabilities and Exposures. CVE-2007-0038; CVE-2007-1748; CVE-2007-1675 records. 2007. Available at: https://cve.mitre.org/.

LIPPMANN, Richard P. et al. Evaluating intrusion detection systems: the 1998 DARPA off-line intrusion detection evaluation. In: DARPA Information Survivability Conference and Exposition, 2000. Available at: https://doi.org/10.1109/DISCEX.2000.821514.

NIST. Computer Security Incident Handling Guide. Special Publication 800-61. Gaithersburg: National Institute of Standards and Technology, 2004. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/archive/2004-01-02.

ROESCH, Martin. Snort: lightweight intrusion detection for networks. In: USENIX LISA, 1999. Available at: https://www.usenix.org/legacy/events/lisa99/full_papers/roesch/roesch.pdf.

SKOUDIS, Edward; LISTON, Tom. Counter Hack Reloaded: A Step-by-Step Guide to Computer Attacks and Effective Defenses. Upper Saddle River: Prentice Hall, 2006.

SHAW, David. CERT/CC Vulnerability Analysis on SQL Injection and Web Application Risk. 2007. Available at: https://www.cert.org/reports/shaow-sql-injection-2007.

KOHLER, Eddie et al. The case for network traffic measurement. In: Proceedings of the 2002 Conference on Applications, Technologies, Architectures, and Protocols for Computer Communications (SIGCOMM), 2002. Available at: https://doi.org/10.1145/633025.633046.

GOLDBERG, Yoav; HAKAN, something?