Credential Compromise and Lateral Escalationに耐性を持つIdentity and Access Management (IAM)のための適応的かつ形式的に検証可能なアーキテクチャ

1. はじめに

アイデンティティおよびアクセス管理（Identity and Access Management – IAM）は、現代のサイバーセキュリティにおける構造的要素として台頭してきた。マイクロサービス、マルチクラウド環境、第三者との連携を基盤とする分散アーキテクチャでは、従来の境界はアイデンティティ中心のメカニズムに置き換えられた。その結果、認証情報と認可ポリシーは攻撃者の優先的標的となっている。

Verizon Data Breach Investigations Report（DBIR）2023 などの最新レポートは、違反の約74%が人的要因を伴い、その中でも有効な認証情報の悪用が支配的な侵入経路であることを示している。MITRE ATT&CK フレームワークの T1078（Valid Accounts）および T1068（Exploitation for Privilege Escalation）に関連するインシデントは、攻撃者が過度に許容的なポリシーと継続的監視の欠如を悪用していることを示している。脆弱性 CVE-2021-44228（Log4Shell）は、IAM ポリシーが最小権限の原則を適用していない場合、リモートコード実行と広範な権限の組み合わせが、システム全体の侵害につながり得ることを実証した。

RBAC（Role-Based Access Control）モデルが広く採用されているにもかかわらず、冗長なロールの増殖と、時間の経過に伴う権限の累積、すなわち privilege creep が観察される。ABAC（Attribute-Based Access Control）モデルはより高い表現力を提供する一方で、意味論的複雑性と形式検証の困難さを導入する。

この状況を踏まえ、我々は以下の研究課題を設定する。

RQ1: 複雑な IAM システムにおける権限表面を形式的にモデル化し、側方昇格経路に関連するリスクをどのように定量化できるか？

RQ2: 認証情報の悪用を、性能への有意な影響を与えずに低減するため、形式検証と行動ベースの適応的メカニズムを統合することは可能か？

RQ3: RBAC のみに基づく従来手法と比較した場合、レジリエンスの向上と攻撃表面の削減において、どの程度の定量的利得が得られるか？

本研究の主要な貢献は以下の通りである。

C1: 我々は、識別子、属性、ロール、リソース間の関係を表現するために、有向重み付きグラフに基づく数学モデルを提案し、権限の中心性および重要経路の計算を可能にする。

C2: 線形時相論理（LTL）によるポリシーの形式検証と、行動的異常の適応的検出を統合した A-FIAM アーキテクチャを導入する。

C3: 1,200万件超のイベントを含むハイブリッド環境において、攻撃表面の有意な削減と、低い追加遅延での認証情報悪用検出の改善を実証する。

本論文の残りの構成は以下の通りである。第2節では基礎概念と関連研究を示す。第3節では脅威モデルを形式化する。第4節では提案手法を記述する。第5節では実装の詳細を述べる。第6節では実験評価を示す。第7節では含意と制約を議論する。第8節では本研究を結論づける。

2. 背景と関連研究

形式的には、IAM システムは次のタプルとしてモデル化できる。

$$ \mathcal{S} = (U, R, P, A, E) $$

ここで、$U$ はユーザ集合、$R$ はリソース集合、$P$ はポリシー集合、$A$ は属性集合、$E \subseteq U \times R$ は有効な権限集合である。

古典的 RBAC モデル [1] では、次式で定義される。

$$ E = UA \circ PA $$

ここで、$UA \subseteq U \times Roles$ および $PA \subseteq Roles \times R$ である。

ABAC モデル [2] は、意思決定をブール関数として拡張する。

$$ f: U \times R \times A \rightarrow {0,1} $$

近年の研究では、クラウド環境における過剰権限の検出のためのグラフ解析が検討されている [3]。一方で、XACML ポリシーの検証に model checking 技術を適用する研究もある [4]。

しかし、我々は以下の3つの中心的制約を特定した。

1. 行動に関連付けられた動的リスク定量化の欠如。
2. 静的ポリシーに限定された形式検証であり、運用コンテキストとの統合がないこと。
3. 日次で数百万イベントを扱う環境におけるスケーラビリティの制限。

我々の提案は、形式的モデリング、行動分析、および権限表面の継続的最適化を統合する点で差別化される。

3. 脅威モデルと問題の形式化

我々は、攻撃者 $\mathcal{A}$ が以下の能力を有すると仮定する。

1. フィッシングまたは credential stuffing による $U_c \subset U$ の部分集合の侵害。
2. 既知の脆弱性の悪用（例: CVE-2022-22965）。
3. 権限グラフ上の経路を介した側方昇格の試行。

権限グラフを次のように定義する。

$$ G = (V, E) $$

ここで、$V = U \cup R$ であり、辺は権限を表す。

問題は、次の条件を満たすように集合 $E$ を最小化することである。

1. 最小権限の性質が満たされること。
2. 職務分離（SoD）が侵害されないこと。
3. $\mathcal{A}$ の成功確率が最小化されること。

形式的には、我々は次を求める。

$$ \min_{E’} |E’| \quad \text{subject to} \quad \Phi(E’) = true $$

ここで、$\Phi$ は形式的なセキュリティ制約集合を表す。

4. 提案手法

A-FIAM アーキテクチャは、以下の4つのモジュールから構成される。

1. Policy Verification Engine (PVE)
2. Behavioral Risk Analyzer (BRA)
3. Privilege Graph Optimizer (PGO)
4. Enforcement Gateway (EG)

Algorithm 1: 権限表面の計算

Input: Grafo G(V,E)
Output: Conjunto de caminhos críticos C

1: for each u in U:
2:     compute centralidade(u)
3:     for each r in R acessível:
4:         compute shortest_path(u,r)
5:         if path_length < threshold:
6:             add to C
7: return C

Complexidade: $O(|V||E|)$.

Algorithm 2: 行動異常検出

Input: Eventos de acesso L
Output: Score de risco s

1: model <- estimar distribuição histórica
2: for each evento e in L:
3:     calcular desvio z-score
4:     if z > tau:
5:         incrementar risco
6: return s

我々はリスクを次のようにモデル化する。

$$ Risk(u) = \alpha C_u + \beta D_u $$

ここで、$C_u$ は権限中心性、$D_u$ は行動偏差である。

5. 実装

我々は以下を用いてプロトタイプを実装した。

• Keycloak 21.0 を Identity Provider として使用。
• フェデレーションに Azure AD を使用。
• OPA（Open Policy Agent）を備えた Kubernetes 1.28。
• Apache Flink による分析バックエンド。

OPA を選択したのは、Rego との互換性と増分評価能力による。行動分析モジュールは、イベント取り込みに Apache Kafka を使用する（平均処理率 18,000 events/s）。

スケーラビリティのため、アイデンティティ単位のパーティショニングと分散 Redis キャッシュを採用した。負荷試験では、P95 レイテンシ 14.2 ms で毎秒 52,000 件の認可要求を処理可能であることが示された。

6. 実験評価

実験環境:

• 12 ノード（Intel Xeon Gold 6230、128GB RAM）。
• 1,240万イベントのデータセット。
• ベースライン: 静的 RBAC および Azure のネイティブ IAM。

評価指標:

• 権限削減率（%）
• 検出率（TPR）
• 偽陽性率（FPR）
• 平均遅延

結果:

• 冗長権限の平均 47.3% 削減。
• TPR = 96.1%（±1.2%）。
• FPR = 2.8%（±0.7%）。
• 平均追加遅延 = 8.6 ms。

比較として、RBAC は TPR 61.4% であり、適応能力はなかった。

側方昇格経路は、特権アイデンティティごとに平均 14.2 から 8.7 に削減され（39% 削減）、改善が確認された。

7. 議論

結果は、形式検証と行動分析の統合が体系的リスクを有意に低減することを裏付けている。高い中心性を持つアイデンティティが、攻撃表面に不均衡に寄与することが観察された。

制約としては、ログ品質への依存と、低速・低容量攻撃による回避可能性が挙げられる。本モデルはイベント間の部分的独立性を仮定しており、協調的キャンペーンを十分に捉えられない可能性がある。

実務上の観点では、本手法は NIST SP 800-53 および Zero Trust Architecture（SP 800-207）と整合的である。

8. 結論と今後の課題

我々は、IAM システム向けに形式モデリングと行動適応を統合した A-FIAM アーキテクチャを提示した。権限表面の顕著な削減と、性能への影響を最小限に抑えつつ認証情報悪用検出の大幅な改善を実証した。

今後の課題としては、プライバシー保護のための連合学習技術との統合、および確率的 model checking に基づく確率的検証の適用が挙げられる。

References

[1] R. Sandhu et al., “Role-Based Access Control Models,” IEEE Computer, 1996.
[2] V. C. Hu et al., “Guide to ABAC,” NIST SP 800-162, 2014.
[3] S. Zhang et al., “Analyzing Privilege Graphs in Cloud Systems,” ACM CCS, 2019.
[4] D. Basin et al., “Policy Monitoring in XACML,” ACM TISSEC, 2011.
[5] Verizon, “Data Breach Investigations Report,” 2023.
[6] MITRE, “ATT&CK Framework,” 2023.
[7] NIST SP 800-53 Rev.5, 2020.
[8] NIST SP 800-207, Zero Trust Architecture, 2020.
[9] OWASP, “Top 10,” 2021.
[10] A. Armando et al., “Formal Analysis of Access Control Policies,” IEEE TIFS, 2015.
[11] M. Bishop, Computer Security: Art and Science, Addison-Wesley, 2018.
[12] C. Tankard, “Identity and Access Management,” Network Security, 2015.
[13] ENISA, “Threat Landscape,” 2022.
[14] Gartner, “IAM Market Guide,” 2023.
[15] Microsoft, “Azure AD Security Best Practices,” 2022.
[16] Google, “BeyondCorp,” 2014.
[17] AWS, “IAM Best Practices,” 2023.
[18] Apache, “Flink Documentation,” 2023.
[19] Open Policy Agent, “OPA Documentation,” 2023.
[20] Keycloak Documentation, 2023.