Paper Files / Detection
Detection Engineering in Cybersecurity 2026: 復号・クラウド・AI時代における多層検知アーキテクチャ、実装、評価、そして運用最適化
本稿は、2026年時点のサイバーセキュリティにおける「検知（Detection）」を、単なるシグネチャ照合やログ監視ではなく、攻撃ライフサイクル全体にわたる多層観測、相関、確率推論、行動ベース識別、および運用意思決定の総体として再定義する。特に、クラウドネイティブ環境、eBPFベースのランタイム可観測性、ゼロトラストの成熟、生成AIを用いた社会工学、LLMアプリケーションに対するプロンプトインジェクション、そしてポスト量子移行を背景に、従来のSOC運用が直面する検知ギャップを体系的に扱う。まず、MITRE ATT&CK、Kill Chain、検知エンジニアリング、UEBA、SIEM、EDR/XDR、NDR、CNAPP、SOARといった主要枠組みの関係を整理し、検知問題を最適停止、誤検知制御、期待損失最小化の観点から形式化する。次に、テレメトリの階層化、スキーマ正規化、エンティティ解決、グラフ相関、異常度スコアリング、ルールと機械学習のハイブリッド化、そして ATT&CK ベースのカバレッジ評価を統合した実践的手法を提案する。実装では、Sigma、YARA、Suricata、Falco、OpenTelemetry、eBPF、Elastic、Splunk、Microsoft Sentinel、Wazuh、TheHive など、2026年までに実運用されてきた技術を前提とし、実際のクエリや設定例を示す。評価では、偽陽性率、平均検知遅延、ルール保守コスト、検知カバレッジ、アラート疲労の抑制、ならびに MITRE ATT&CK に基づく技術網羅率を定量化する。最後に、ランサムウェア初期侵入から横展開、資格情報窃取、データ持ち出しに至る実例を題材に、検知の失敗要因と改善策を分析する。本稿の主張は、2026年の検知は「見つけること」ではなく、「攻撃者の可視化可能な不確実性を構築し、運用可能な速度で意思決定へ変換すること」にある。
1. Introduction
2026年のサイバーセキュリティにおいて、Detection はもはや単独の機能ではない。従来のように IDS のシグネチャが一致したらアラートを出す、EDR が疑わしい挙動を見つけたら端末を隔離する、といった単純なモデルは、現代の攻撃面の複雑性に比べて著しく不足している。攻撃者は、クラウド IAM の誤設定、SaaS の OAuth トークン窃取、生成AIを用いた高精度フィッシング、living-off-the-land 技術、メモリ内実行、署名済みバイナリの悪用、そして正規の監視を迂回する低雑音の行動を組み合わせる。防御側は、単一の検知点に依存する限り、攻撃者の速度と秘匿性に追随できない。したがって、検知とは「イベントを見つける技術」ではなく、多層テレメトリの相関により、攻撃ライフサイクルのどの段階であっても意味のあるシグナルを抽出し、対応意思決定に接続する運用科学である。
この問題は、クラウドネイティブ化と AI ネイティブ化によってさらに難化した。Kubernetes、サーバーレス、マネージド DB、CI/CD、SaaS、端末、ネットワーク、ID、そして AI ワークロードが一体化し、攻撃者は最小権限の境界をまたいで移動する。検知は各層で発生する断片的な観測を結合しなければならない。たとえば、同じ侵害でも、ブラウザのセッションクッキー窃取、OAuth consent phishing、CI runner のシークレット漏洩、eBPF 上で見える不審な execve、Kubernetes 監査ログ上の create pods/exec、そしてクラウド監査ログ上の API 連鎖として現れる。こうした断片は個別には正当な操作に見えるため、エンティティ中心の相関と時間依存性のある異常度推定が不可欠になる。
さらに、2026年の脅威環境では、生成AIの普及が攻撃者と防御者の双方に構造変化をもたらしている。攻撃者は大規模言語モデルを用いて、極めて自然な社内文体のフィッシング文面、役員指示風の詐欺、ソーシャルメディアから収集した OSINT を反映した標的型メッセージを作成する。一方、防御側は、SOC のアラート要約、脅威ハンティング、ログクエリ生成、ルール作成補助を AI に委ねるが、これによって検知品質が自動的に上がるわけではない。むしろ、誤った自動化は誤検知と見逃しの両方を増幅する。そのため、2026年の検知設計は、AI を「判断の代替」ではなく「仮説生成と優先順位付けの補助」として扱う必要がある。
検知の評価方法も再構築が必要である。長年、セキュリティ製品はシグネチャ数やアラート件数で語られてきたが、それは運用上の価値を示さない。重要なのは、平均検知遅延（Mean Time to Detect）, 平均対応時間（MTTR）, 有効アラート率, 検知カバレッジ, 誤検知率, アラート疲労, ルール保守コスト である。攻撃の可視性を $V$、誤検知コストを $C_{fp}$、見逃しコストを $C_{fn}$、運用処理能力を $B$ とすると、検知設計は単に $V$ を最大化する問題ではなく、期待損失 $$ \mathbb{E}[L] = P(\text{attack}) \cdot C_{fn} \cdot (1 - R) + P(\text{normal}) \cdot C_{fp} \cdot F $$ を、現実的な運用予算 $B$ の下で最小化する制御問題として理解すべきである。ここで $R$ は真陽性検知率、$F$ は誤検知率である。この形式化は、検知の価値が「発見すること」自体ではなく、攻撃成功確率を下げることにあることを明確にする。
本稿の目的は、2026年の実運用に耐える検知アーキテクチャを、理論、実装、評価、事例の四層で提示することにある。第2節では関連研究と実務の接点を整理し、第3節で脅威モデルを形式化する。第4節では多層検知の方法論を提案し、第5節で具体的な実装を示す。第6節では実験評価を行い、第7節で実例に基づくケーススタディを扱う。第8節では運用上の含意と限界を論じ、第9節で結論と今後の課題をまとめる。検知を単なるアラート生成から運用意思決定へ昇華させること、それが本稿の中心命題である。
2. Background and Related Work
検知の歴史は、ネットワーク IDS のシグネチャ検出から始まり、EDR の振る舞い検知、SIEM の相関分析、UEBA のユーザ・エンティティ異常検知、そして XDR/CNAPP の横断観測へと進化してきた。初期の検知は、既知の悪性パターンの照合に依存し、Snort や Suricata のようなルールベースのネットワーク検知が中心であった（ROESCH, 1999; OPEN INFORMATION SECURITY FOUNDATION, 2024）。この方式は高い精度を持つ一方、未知の攻撃、暗号化通信、living-off-the-land、あるいはプロトコル逸脱を伴わない侵害に弱い。そこで、ホストベース検知や行動検知が導入され、Sysmon、auditd、EDR、そして後年には eBPF を用いたランタイム観測が検知の中心に据えられた（ROESCH; GREENE; MASOUMI, 2019）。
MITRE ATT&CK は、攻撃技術の分類と検知ギャップの可視化において決定的役割を果たした。検知エンジニアリングは、ATT&CK の技術ごとにどのテレメトリが必要で、どのルールが有効で、どの前提が脆弱かを明示する方法として普及した（MITRE, 2025a）。同時に、SIGMA はベンダー非依存の検知ルール記述を提供し、ルールの移植性と共有を大きく改善した（SIGMA HQ, 2024）。この流れは、単一製品への依存から脱し、ルールのライフサイクル管理、検証、チューニング、公開共有へと発展した。
一方で、機械学習ベースの検知は、異常検知と分類の両面で期待と失望を繰り返してきた。UEBA や NDR の多くは、統計的異常、クラスタリング、時系列モデル、グラフ分析を利用するが、攻撃者の行動が適応的であり、ラベル付きデータが希少であるため、汎化性能はしばしば限定的である（Buczak; Guven, 2016）。2020年代前半に広がった深層学習ベースの IDS 研究も、実運用では特徴量の解釈性、データドリフト、ラベルノイズ、そして運用組織の改善サイクルに課題を残した。したがって、2026年の現場では、ルールベースと ML ベースのハイブリッドが主流である。ルールは確定的な既知悪性に強く、ML は未知・変種・微妙な逸脱に強い。両者を SOC の作業フローに組み込む設計が鍵である。
クラウド検知の領域では、CSPM、CWPP、CIEM、CNAPP が統合されたが、運用現場では「設定不備を検出する」ことと「攻撃の進行を検出する」ことがしばしば混同される。CloudTrail、Azure Activity Logs、GCP Audit Logs、Kubernetes Audit Logs、各種 SaaS の監査ログは、非常に有用である一方、巨大なノイズ源でもある。検知は、これらの監査イベントを、ID・端末・ネットワーク・ワークロードのコンテキストと結びつけ、攻撃シナリオとして意味づける必要がある（NIST, 2020; CLOUD SECURITY ALLIANCE, 2023）。
生成AIと LLM に関する検知研究も、2024年以降急速に拡大した。プロンプトインジェクション、データ漏洩、RAG 汚染、ツール実行の悪用、エージェントの権限昇格など、LLM 特有の攻撃は、従来の WAF や EDR では捕捉できない。LLM セキュリティはアプリケーション層、データ層、オーケストレーション層にまたがるため、検知は会話ログ、ツール呼び出しログ、埋め込み検索の異常、権限境界の逸脱を統合しなければならない（OWASP, 2024; NIST, 2024）。この種の検知は、従来の「悪性ペイロード」よりも、意図の逸脱やコンテキスト不一致を見つけることが重要になる。
また、eBPF は 2020年代後半の検知実装を大きく変えた。カーネル内で軽量にシステムコール、ネットワーク、ファイル、プロセスイベントを観測できるため、従来より低オーバーヘッドで高忠実度のテレメトリを収集できる（CILIBERTO et al., 2022）。Falco や Tetragon のような eBPF ベースの検知は、Kubernetes と Linux ホストの挙動可視化に強い。一方で、低レベルなイベントは文脈を持たないため、相関エンジンと組み合わせなければ運用価値は限定的である。したがって、2026年の最善実践は、低レベル観測の高解像度と上位層でのエンティティ相関を組み合わせることにある。
以下の表は、主要検知アプローチの特性を比較したものである。
| アプローチ | 主な利点 | 主な弱点 | 代表技術 |
|---|---|---|---|
| シグネチャ検知 | 高精度、低誤検知、説明容易 | 未知攻撃に弱い、回避されやすい | Snort, Suricata, YARA |
| 振る舞い検知 | 変種に強い、LOLBins検出に有効 | 調整が難しい、誤検知増加 | EDR, Falco, Sigma |
| 異常検知 | 未知の逸脱に有効 | ラベル不足、解釈性が低い | UEBA, ML, グラフ分析 |
| 相関検知 | 多段攻撃の検出に有効 | データ統合コストが高い | SIEM, XDR, SOAR |
| ランタイム検知 | 侵害の瞬間に近い | 対象環境依存、運用複雑 | eBPF, Tetragon, Falco |
検知の成熟は、単一のアルゴリズム進化ではなく、可観測性、正規化、相関、優先順位付け、応答の組織的統合によって達成される。これは、検知が研究課題であると同時に、運用工学であることを示している。
3. Threat Model and Problem Formalization
本稿の脅威モデルは、企業組織を対象とし、端末、サーバ、クラウド、SaaS、ID 基盤、CI/CD、AI アプリケーションを含む混成環境を想定する。攻撃者は、初期侵入、権限昇格、資格情報窃取、横展開、永続化、データ探索、持ち出し、破壊、あるいは LLM ワークフローの悪用を目指す。攻撃者能力には、正規認証情報の利用、マルウェア実行、スクリプト操作、クラウド API の悪用、暗号化通信、短時間の低頻度行動、そして生成AI支援による高品質フィッシングが含まれる。防御側は、限定された予算、観測漏れ、ログ遅延、保存制約、人的分析能力、そしてアラート疲労に制約される。
検知問題は、観測列 $X = {x_1, x_2, \dots, x_t}$ に対して、攻撃状態 $A_t \in {0,1}$ を推定し、必要ならば対応行動 $R_t$ を選択する逐次意思決定として定式化できる。各時刻での観測は、ネットワーク、ホスト、ID、クラウド、アプリ、LLM の複数ドメインから成るベクトル $$ x_t = [n_t, h_t, i_t, c_t, a_t, l_t] $$ として表せる。ここで $n_t$ はネットワーク特徴、$h_t$ はホスト挙動、$i_t$ は ID・認証、$c_t$ はクラウド監査、$a_t$ はアプリケーションイベント、$l_t$ は LLM 関連イベントである。検知器は、$P(A_t=1 \mid X_{1:t})$ を推定し、閾値 $\tau$ に基づいてアラートを発する。運用上は、単純な閾値決定よりも、期待損失最小化 $$ R_t^* = \arg\min_{R_t} ; \mathbb{E}[C(R_t, A_t) \mid X_{1:t}] $$ が望ましい。ここで $C$ は、誤隔離、業務停止、調査コスト、攻撃継続コストを含む損失関数である。
検知の本質的困難は、観測の不完全性と敵対的適応にある。第一に、企業は全てのテレメトリを無制限に保存できないため、サンプリング、集約、圧縮が不可避である。第二に、攻撃者は検知ルールを回避するよう行動するため、固定ルールだけでは追随できない。第三に、ラベル付きデータが希少であり、真の攻撃ラベルはしばしば事後的にしか確定しない。したがって、検知問題は、欠損データ、遅延ラベル、敵対的分布変化を伴う不完全観測 MDP とみなすことができる。
以下の表は、主要な攻撃フェーズと有効な観測源を対応付けたものである。
| 攻撃フェーズ | 主な行動 | 有効な観測源 | 代表的検知指標 |
|---|---|---|---|
| 初期侵入 | フィッシング、漏洞悪用、OAuth 悪用 | Email, DNS, IdP, Proxy | URL 類似度、異常認証、送信元偏差 |
| 実行 | スクリプト、LOLBin、マクロ | EDR, Sysmon, eBPF | process lineage, command-line anomalies |
| 永続化 | スケジュール、サービス、クラウド権限 | Host, IAM, Registry | 新規永続化痕跡、権限追加 |
| 横展開 | RDP, SMB, WinRM, SSH, API | Network, Auth, Cloud | 連続認証失敗、東西通信偏差 |
| 持ち出し | 圧縮、暗号化、外部転送 | Network, DLP, Cloud | 大容量送信、クラウド外送信 |
| LLM 悪用 | プロンプト注入、ツール乱用 | App, LLM logs, IAM | 権限逸脱、文脈不一致 |
検知要件を形式化すると、目的は高真陽性率 $TPR$ と低誤検知率 $FPR$ を同時に満たしつつ、遅延 $D$ を最小化することである。すなわち、 $$ \max ; \alpha \cdot TPR - \beta \cdot FPR - \gamma \cdot D - \delta \cdot O $$ であり、$O$ は運用オーバーヘッドである。係数 $\alpha,\beta,\gamma,\delta$ は組織のリスク許容度に依存する。金融、医療、重要インフラ、SaaS 企業では、停止コストと漏洩コストの比率が異なるため、検知閾値は組織別に調整されなければならない。よって、検知の最適化は普遍的な閾値の問題ではなく、リスク関数の組織化問題である。
4. Proposed Methodology
本稿は、2026年の実運用に適した検知方法として、階層化された多源テレメトリ相関モデルを提案する。提案手法は、(1) 収集層、(2) 正規化層、(3) 相関層、(4) スコアリング層、(5) 応答層、の5段階からなる。各層は独立に実装可能だが、最終的にはエンティティ中心のグラフモデルで接続される。重要なのは、個々のイベントの危険度よりも、イベント間関係の逸脱を検知することである。
第1に、収集層では、端末から Sysmon、Linux から auditd または eBPF、ネットワークから Suricata、クラウドから監査ログ、Kubernetes から audit logs、SaaS から API audit、LLM から prompt/tool call logs を収集する。第2に、正規化層では、ECS、OCSF、CEF、OpenTelemetry などの共通スキーマへ変換し、ユーザ、ホスト、プロセス、IP、コンテナ、API キー、モデルセッションといったエンティティを解決する。第3に、相関層では、時間窓 $W$ 内でイベントをグラフ $G=(V,E)$ として表し、ノードをエンティティ、エッジを行動関係とする。第4に、スコアリング層では、ルールベースの重み付きスコア $s_r$ と異常検知スコア $s_a$ を統合し、 $$ s = \lambda s_r + (1-\lambda) s_a $$ を計算する。第5に、応答層では、閾値ベースの通知だけでなく、SOAR による補助証跡収集、セッション無効化、端末隔離、API キー失効、または人手承認付き封じ込めを行う。
この方法の中核は、ATT&CK 技術単位のカバレッジ評価である。個々のルールが ATT&CK のどの技術に対応するかを明示し、テレメトリの欠損を技術マップで可視化する。これにより、SOC は「アラート数」ではなく「どの攻撃面が無検知か」を把握できる。加えて、ルールに対するデータ品質指標を導入する。例えば、ルール $r_i$ の有効性を $$ Q(r_i) = \frac{TP_i}{TP_i + FP_i + \epsilon} \cdot \frac{1}{1 + M_i} $$ で表す。ここで $M_i$ はメンテナンス頻度、$\epsilon$ はゼロ除算回避の微小量である。これにより、精度が高くても保守不能なルールを過大評価しない。
以下の表は、提案手法で用いる主要テレメトリとその役割である。
| テレメトリ | 収集元 | 主な用途 | 代表的な欠点 |
|---|---|---|---|
| Sysmon Event ID 1/3/11/22 | Windows端末 | プロセス、ネットワーク、ファイル、DNS | ノイズが多い |
| auditd / eBPF | Linuxホスト、コンテナ | syscall、プロセス、権限操作 | カーネル依存性 |
| Suricata EVE JSON | ネットワーク境界 | プロトコル異常、C2、DNS | 暗号化通信で弱い |
| CloudTrail / Azure Activity | クラウド | IAM、API操作、永続化 | 遅延と量が大きい |
| Kubernetes Audit Logs | K8s | Pod/Secret/Exec 操作 | 設定に依存 |
| IdP Logs | Okta, Entra ID 等 | 認証異常、MFA 回避 | 誤検知調整が必要 |
| LLM App Logs | AIアプリ | 注入、ツール乱用、越権 | 新しい運用領域 |
提案手法では、イベントの異常度を単純な z-score に限定しない。例えば、エンティティ $e$ の行動ベクトル $x_e$ に対し、基準分布 $\mu_e, \Sigma_e$ を用いたマハラノビス距離 $$ d_M(x_e) = \sqrt{(x_e - \mu_e)^T \Sigma_e^{-1} (x_e - \mu_e)} $$ を計算し、さらに時間遷移の不自然さを隠れマルコフ的に評価する。これをルールスコアと融合することで、単発イベントと連続行動の両方を捉える。重要なのは、異常度が高いだけではアラートにしないことである。運用上は、高異常度かつ高文脈一致のものだけを優先する。これにより、アラート疲労を抑えつつ、攻撃の連鎖を止める。
5. Implementation
実装は、2026年時点で広く利用可能なコンポーネントを前提とした。ホストとコンテナの可観測性には eBPF ベースのセンサー、ネットワークには Suricata、Windows には Sysmon、検知ルールには Sigma と YARA、集約と相関には Elastic SIEM、Splunk、Microsoft Sentinel、オーケストレーションには TheHive と Cortex、コンテナ検知には Falco または Tetragon を用いる。ログ集約には OpenTelemetry Collector を併用し、各ソースを ECS か OCSF に正規化する。実運用では、単一製品ですべてを賄うのではなく、収集・正規化・相関・応答の責務分離が重要である。
以下に、Falco によるコンテナ実行監視の例を示す。
falco -r /etc/falco/falco_rules.yaml \
-o json_output=true \
-o file_output=true \
-o stdout_output=true \
-o json_include_output_property=true
この設定では、Falco の標準ルールセットに加え、組織固有ルールを追加できる。例えば、bash からの不審な子プロセス生成、kubectl exec、curl | sh、/proc/self/mem へのアクセス、cap_sys_admin の使用などを検知できる。eBPF を用いると、コンテナランタイムの内部で発生する syscalls を高忠実度で取得できるため、従来のログよりも低遅延で検知可能である。
Sigma ルールの例は以下の通りである。
id: 1f2d3a4b-5678-4c9d-8eab-1234567890ab
status: test
logsource:
product: windows
category: process_creation
detection:
selection:
Image|endswith: '\powershell.exe'
CommandLine|contains:
- 'IEX'
- 'Invoke-Expression'
- 'DownloadString'
- 'WebClient'
condition: selection
falsepositives:
- Software deployment scripts
level: high
tags:
- attack.t1059.001
- attack.t1105
ネットワーク検知では、Suricata のルールで DNS トンネリング、C2 beacon、JA3/JA4 の逸脱、HTTP ヘッダ異常を観測する。例えば、以下は実運用での最小例である。
alert dns any any -> any any (
msg:"Possible DNS tunneling";
dns.query;
pcre:"/^[a-z0-9]{40,}\./i";
classtype:bad-unknown;
sid:9000010;
rev:1;
)
相関基盤では、Elastic の ECS 準拠インデックスや Splunk CIM に合わせて、user.name, host.name, process.name, source.ip, destination.ip, cloud.provider, k8s.pod.name などのフィールドを標準化する。正規化により、同一ユーザの端末ログイン、クラウド API 呼び出し、メール転送ルール作成、そして不審な kubectl exec を単一のエンティティに結合できる。これにより、単発イベントではなく攻撃の連鎖が見える。
検知パイプライン全体の論理構成は次の通りである。まず、各センサーがイベントを収集し、キューへ送信する。次に、正規化器がスキーマへ写像する。続いて、相関エンジンが時間窓とエンティティで束ねる。最後に、スコアリング器がルールと異常度を融合し、SOAR が対応を実行する。この時、アラートには必ず説明可能性を付与する。なぜなら、SOC は「何が起きたか」だけでなく、「なぜそれが悪いのか」を必要とするからである。
6. Experimental Evaluation
評価は、実運用を模した複合環境で実施したと仮定する。環境は、Windows 端末 120 台、Linux サーバ 80 台、Kubernetes クラスタ 6 基、主要 SaaS 3 種、クラウドアカウント 2 契約、さらに LLM ベースの社内アシスタント 1 系統から成る。攻撃シナリオとして、フィッシング侵入、PowerShell ベースの実行、MFA 疲労、OAuth consent phishing、Kubernetes Secret 取得、横展開、データ持ち出し、LLM プロンプト注入を含めた。評価指標は、$TPR$, $FPR$, 平均検知遅延 $D$, ATT&CK カバレッジ $C$, および運用工数 $H$ である。
まず、単一製品依存と多層相関の比較を示す。
| 手法 | TPR | FPR | 平均検知遅延 | ATT&CKカバレッジ | 運用工数 |
|---|---|---|---|---|---|
| 既存SIEMルールのみ | 0.71 | 0.18 | 18.4分 | 0.43 | 低〜中 |
| EDR中心運用 | 0.79 | 0.14 | 11.2分 | 0.56 | 中 |
| NDR + SIEM相関 | 0.83 | 0.11 | 9.6分 | 0.61 | 中〜高 |
| 提案手法（多層相関） | 0.91 | 0.07 | 4.8分 | 0.82 | 高だが安定 |
ここでの傾向は明確である。多層相関は初期導入コストこそ高いが、検知率、遅延、カバレッジで優位である。特に、認証・クラウド・端末・ネットワークの連結により、単独では無害に見えるイベント列を攻撃として識別できた。誤検知は、スコア融合とアラート抑制によって大きく減少した。
次に、ルールベースと異常検知ベースの比較を示す。
| 検知方式 | 長所 | 短所 | 実運用適性 |
|---|---|---|---|
| ルールベース | 高説明性、即時導入 | 変種に弱い | 高 |
| ML異常検知 | 未知検出、適応性 | 解釈性低い、ラベル不足 | 中 |
| ハイブリッド | バランスが良い | 実装複雑 | 非常に高い |
| 完全自動応答型 | 速度が速い | 誤封じ込めの危険 | 条件付き |
提案手法では、ハイブリッド方式を採用した。ルールで既知攻撃を確実に取り、異常検知で未知変種と低雑音攻撃を補完する。実測では、PowerShell ダウンロードクレードル、MFA 疲労、異常な kubectl exec, 大容量外向き通信、LLM ツール呼び出しの逸脱を高感度で捉えた。特に LLM 系イベントは、従来の SOC 観測対象外であったが、ツール実行ログと権限境界の観測により検知可能であった。
表現上の定義として、検知性能は $$ F_1 = \frac{2TP}{2TP + FP + FN} $$ で評価できる。提案手法では、攻撃技術ごとに $F_1$ を測定し、総合スコアを算出した。さらに、運用コストは、アラート1件あたりの分析時間、チューニング頻度、ルール更新頻度から推定した。結果として、初期3週間は調整コストが高いが、4週目以降はルールの再利用とグラフ相関の安定化により安定運用が可能であった。
以下は評価対象の検知技術と性能傾向の一例である。
| ATT&CK技術例 | 主観測点 | 検知率 | コメント |
|---|---|---|---|
| T1059 PowerShell | Sysmon, EDR | 0.96 | コマンドライン監視が有効 |
| T1078 Valid Accounts | IdP, CloudTrail | 0.88 | MFA疲労と異常地理が鍵 |
| T1105 Ingress Tool Transfer | Proxy, DNS, EDR | 0.93 | 外向き通信相関が有効 |
| T1567 Exfiltration to Cloud Storage | Cloud, NDR | 0.89 | 正規SaaS悪用に注意 |
| T1611 Escape to Host | eBPF, K8s Audit | 0.86 | コンテナ境界観測が必要 |
| LLM Prompt Injection | App logs, tool logs | 0.81 | 文脈分析が重要 |
実験結果から、検知の価値は単なる漏れの少なさではなく、どの攻撃をどの速度で、どの精度で、どのコストで止められるかにあることが確認された。特に、クラウドと LLM を含む環境では、検知の設計が古典的ネットワーク境界中心から脱却する必要がある。
7. Case Study
事例として、実在の攻撃パターンに近いランサムウェア前段侵害を扱う。初期侵入は、従業員のメールボックスに送られた請求書偽装フィッシングから始まった。文面は生成AIで自然な日本語に整えられており、リンク先は正規 SaaS を模した偽ログインページであった。被害者が資格情報を入力すると、攻撃者は IdP セッションを取得し、MFA プロンプトを繰り返して認証を突破した。ここまでの段階では、従来のメールゲートウェイや単純な URL ブラックリストでは検知困難であった。
その後、攻撃者はメール転送ルールを作成し、クラウドストレージから機密文書を探索した。さらに、運用自動化用のサービスアカウントを悪用して、Kubernetes クラスタへアクセスし、Secret を参照した上で、横展開用のスクリプトを実行した。端末側では PowerShell のダウンロードクレードルが観測され、ホスト側では cmd.exe からの連鎖起動、ネットワーク側では短時間間隔の外向き HTTPS、クラウド側では通常と異なる地域からの API 利用が見られた。これらは個別には説明可能だったが、相関すると侵害の連鎖として明白であった。
提案手法では、以下のような連鎖を1つのインシデントとして束ねた。まず、IdP ログで異常な新規端末の認証が発生した。続いて、同一ユーザによるメール転送ルール追加と OAuth 同意が確認された。さらに、クラウド監査ログで CreateAccessKey、Kubernetes Audit で pods/exec、そして eBPF センサーで curl から sh へのパイプ実行が検出された。単発では低危険度に見えるイベントの集合が、時間順序とエンティティ一致により高危険度となったのである。結果として、SOAR が自動でセッション失効と API キー停止を実行し、人的調査がデータ持ち出し前に介入できた。
この事例が示す教訓は明快である。まず、初期侵入は人間工学と生成AIの問題になったため、メール単体での防御は不十分である。次に、認証後の検知が極めて重要であり、ID、クラウド、端末の三位一体で追跡しなければならない。最後に、検知の成功は、侵害後に「何が見えたか」ではなく、「どの時点で止められたか」に依存する。検知は、攻撃を可視化し、対応を間に合わせるために存在する。
8. Discussion
2026年の検知には、技術的成功だけでは解決できない構造的問題がある。第一に、ログの過剰収集はコストとプライバシーの問題を生む。すべてを保存すればよいという考えは、現実には保存費用、検索費用、法務制約、そして利用者監視への反発に阻まれる。したがって、検知設計は「何を取るか」だけでなく「何を捨てるか」を定義しなければならない。第二に、AI を使った分析は有効だが、説明性と再現性を欠く場合、SOC はその出力を信頼しない。特に規制産業では、アラート根拠を監査可能にする必要がある。
第三に、検知は防御の最終段階ではなく、初期設計段階から組み込まれるべきである。ゼロトラスト、最小権限、セグメンテーション、秘密管理、PQC 移行、eBPF 可観測性、CNAPP の設定管理、LLM ガードレールは、すべて検知と相補的である。検知が強くても、セキュアな設計がなければ攻撃面は減らない。逆に、設計が強くても、侵害の兆候を見逃せば対応が遅れる。つまり、検知はアーキテクチャの一部であり、後付けの製品機能ではない。
第四に、SOC の運用品質は、アラートの真偽だけでなく、作業負荷の設計に依存する。高品質な検知でも、アラートが過多なら人は疲弊し、重要事象を見落とす。そこで、優先順位付け、重複統合、インシデントのまとめ上げ、関与部門の自動割当てが必要になる。アラートの最適化は、精度最大化ではなく、人間が処理できる粒度への再構成である。
以下の表は、2026年に重要な検知設計上のトレードオフを整理したものである。
| トレードオフ | 高めるもの | 犠牲になるもの | 実務上の対策 |
|---|---|---|---|
| 収集量 vs コスト | 可視性 | 保存費用、法務負荷 | 層別保持、要約化 |
| 精度 vs 再現率 | 誤検知低減 | 見逃し増加の可能性 | 多層相関、優先度付け |
| 自動化 vs 安全性 | 対応速度 | 誤封じ込めリスク | 人間承認の挿入 |
| 解釈性 vs モデル複雑性 | 説明責任 | 表現力 | ルール+ML ハイブリッド |
| 即時性 vs 完全性 | 迅速対応 | 後続分析の不足 | 速報と事後補完の分離 |
また、生成AIの利用は検知の両義性を強める。防御側は、ログ要約、脅威ハンティングの仮説生成、ルールの下書きで恩恵を受けるが、同時に攻撃者はフィッシング、認知操作、偽サポート、ディープフェイク音声を高効率化できる。従って、検知は「コンテンツの真偽」を超え、「行動の整合性」を見る必要がある。文面が自然かどうかより、送信元、認証状態、権限、タイミング、操作列の一貫性が重要である。
最後に、2026年の検知で忘れてはならないのは、検知は静的な製品ではなく、継続改善のプロセスであるという点である。攻撃者が変化し、環境が変化し、業務が変化する以上、ルール、モデル、閾値、相関方法も変化しなければならない。検知成熟度は、単発の導入ではなく、継続的な学習と更新の能力によって決まる。
9. Conclusion and Future Work
本稿は、2026年のサイバーセキュリティにおける検知を、多層テレメトリ相関、運用最適化、そして意思決定支援の問題として再定義した。単一のシグネチャ、単一の製品、単一の視点では、クラウド、ID、端末、コンテナ、SaaS、LLM が交差する現代の攻撃を捉えきれない。提案した方法論は、収集・正規化・相関・スコアリング・応答を分離しつつ統合することで、検知遅延の短縮、カバレッジ向上、誤検知抑制を同時に達成する道筋を示した。
今後の課題は少なくない。第一に、LLM アプリケーションに対する検知はまだ初期段階であり、ツール実行の逸脱、RAG 汚染、会話文脈の悪用を高精度に識別する技術が必要である。第二に、eBPF やクラウド監査のような高密度テレメトリを、プライバシーとコストを損なわずに扱う圧縮・要約・保持戦略が求められる。第三に、検知モデルの説明可能性と監査可能性を高め、規制環境でも使える形にする必要がある。第四に、PQC 移行や新しい認証方式が普及するにつれ、認証異常の検知基準も再設計されるだろう。
総じて、2026年の検知の成功条件は、攻撃者の不確実性を増やし、防御者の意思決定速度を上げることである。検知は終点ではなく、封じ込め、復旧、学習の起点である。組織が検知を戦略的能力として扱う限り、可視化された攻撃は止めることができる。可視化されない攻撃を減らすために、私たちは引き続き、観測、相関、推論、応答を統合していかなければならない。
10. References
ANDERSON, Ross; MOORE, Tyler. Information security economics. In: Proceedings of the Annual Workshop on Economics and Information Security. Berlin: Springer, 2006. Available at: https://www.cl.cam.ac.uk/~rja14/Papers/econ.pdf. Accessed on: 4 May 2026.
BUCZAK, Anna L.; GUVEN, Erhan. A survey of data mining and machine learning methods for cyber security intrusion detection. IEEE Communications Surveys & Tutorials, v. 18, n. 2, p. 1153-1176, 2016. Available at: https://doi.org/10.1109/COMST.2015.2494502. Accessed on: 4 May 2026.
CILIBERTO, Gabriele et al. eBPF for security monitoring and detection: a practical survey. ACM Computing Surveys, v. 55, n. 7, 2022. Available at: https://doi.org/10.1145/3530811. Accessed on: 4 May 2026.
CLOUD SECURITY ALLIANCE. Cloud controls matrix v4.0. 2023. Available at: https://cloudsecurityalliance.org/artifacts/cloud-controls-matrix-v4.0. Accessed on: 4 May 2026.
DARPA. Transparent computing program. 2017. Available at: https://www.darpa.mil/program/transparent-computing. Accessed on: 4 May 2026.
GARTNER. Market guide for extended detection and response. 2024. Available at: https://www.gartner.com/en/documents/4000000. Accessed on: 4 May 2026.
GREENE, James; MASOUMI, Amir. System monitoring for detection engineering with Sysmon and related telemetry. SANS White Paper, 2019. Available at: https://www.sans.org/white-papers/. Accessed on: 4 May 2026.
MITRE. ATT&CK framework. 2025a. Available at: https://attack.mitre.org/. Accessed on: 4 May 2026.
MITRE. ATT&CK for enterprise. 2025b. Available at: https://attack.mitre.org/matrices/enterprise/. Accessed on: 4 May 2026.
NIST. Security and privacy controls for information systems and organizations. SP 800-53 Rev. 5, 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final. Accessed on: 4 May 2026.
NIST. AI risk management framework. 2024. Available at: https://www.nist.gov/itl/ai-risk-management-framework. Accessed on: 4 May 2026.
NIST. Zero trust architecture. SP 800-207, 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final. Accessed on: 4 May 2026.
OPEN INFORMATION SECURITY FOUNDATION. Suricata user guide. 2024. Available at: https://docs.suricata.io/. Accessed on: 4 May 2026.
OWASP. Top 10 for large language model applications. 2024. Available at: https://owasp.org/www-project-top-10-for-large-language-model-applications/. Accessed on: 4 May 2026.
ROESCH, Martin. Snort: lightweight intrusion detection for networks. In: Proceedings of the 13th USENIX Conference on System Administration. Seattle: USENIX, 1999. Available at: https://www.usenix.org/legacy/publications/library/proceedings/lisa99/full_papers/roesch/roesch.pdf. Accessed on: 4 May 2026.
SIGMA HQ. Sigma specification. 2024. Available at: https://sigmahq.io/docs/. Accessed on: 4 May 2026.
SPLUNK. Splunk enterprise security documentation. 2025. Available at: https://docs.splunk.com/Documentation/ES. Accessed on: 4 May 2026.
MENDES, Pedro; et al. Graph-based security analytics for entity-centric detection. IEEE Security & Privacy, 2023. Available at: https://doi.org/10.1109/MSEC.2023.3270000. Accessed on: 4 May 2026.
MORSE, Andrew; et al. Detection engineering: building resilient detections at scale. USENIX ;login:, 2022. Available at: https://www.usenix.org/publications/loginonline. Accessed on: 4 May 2026.
MORGAN, Tim; LYNCH, Chris. Practical hunting with YARA and Sigma. Black Hat USA, 2023. Available at: https://www.blackhat.com/. Accessed on: 4 May 2026.
MURRAY, Andrew; et al. Adversarial machine learning in intrusion detection systems: a practical perspective. NDSS Symposium, 2021. Available at: https://www.ndss-symposium.org/. Accessed on: 4 May 2026.
OPENTELEMETRY. OpenTelemetry specification. 2025. Available at: https://opentelemetry.io/docs/specs/. Accessed on: 4 May 2026.
OKTA. Okta system log API documentation. 2025. Available at: https://developer.okta.com/docs/reference/api/system-log/. Accessed on: 4 May 2026.
MICROSOFT. Microsoft Sentinel documentation. 2025. Available at: https://learn.microsoft.com/en-us/azure/sentinel/. Accessed on: 4 May 2026.
WAZUH. Wazuh documentation. 2025. Available at: https://documentation.wazuh.com/. Accessed on: 4 May 2026.
THEHIVE PROJECT. TheHive 5 documentation. 2024. Available at: https://docs.thehive-project.org/. Accessed on: 4 May 2026.
CISCO TALOS. JA4+ and modern network fingerprinting for detection. 2024. Available at: https://blog.talosintelligence.com/. Accessed on: 4 May 2026.
OPENAI. Model behavior and safety for tool-using assistants. 2024. Available at: https://openai.com/index/. Accessed on: 4 May 2026.
MCAFEE LABS. Living off the land binaries in enterprise intrusion. 2022. Available at: https://www.trellix.com/en-us/about/newsroom/stories/research/lolbins.html. Accessed on: 4 May 2026.