時間的グラフを用いたDFIRのための形式的に基礎づけられたアーキテクチャ：暗号学的整合性保証と攻撃チェーンの確率的再構成

1. はじめに

Digital Forensics and Incident Response（DFIR）の分野は、過去10年にわたり、デジタルインフラの複雑化と企業環境における攻撃対象領域の大幅な拡大に対応して著しく発展してきた。現代の計算エコシステムは、クラウドサービス、ハイブリッド環境、マイクロサービスアーキテクチャ、分散デバイスを統合し、大量のセキュリティ・テレメトリを生成する。この文脈において、デジタル・フォレンジック調査は大規模な計算問題となり、イベント間の因果関係および時間的一貫性を保持できる自動化手法が要求される（BISHOP, 2018）。

広く文書化されたインシデントは、この運用上の複雑性を示している。CVE‑2021‑44228、通称 Log4Shell の脆弱性に対する大規模な悪用は、広く利用されているライブラリにおける脆弱性が、企業環境においてリモートコード実行と急速な拡散を可能にしうることを示した（NIST, 2021）。SolarWinds Orion ソフトウェアの侵害に代表されるサプライチェーン攻撃は、高度な攻撃者が、初期侵害、横方向移動、データ流出を含む多段階かつ持続的なキャンペーンを通じて活動していることを明らかにした（MANDIANT, 2023）。LockBit や ALPHV/BlackCat のようなグループによって実行される現代のランサムウェア・キャンペーンでは、永続化、正当な資格情報の悪用、監査機構の無効化の組み合わせも観察される。

これらの活動の大部分は、実際の攻撃キャンペーンで経験的に観測された敵対的な戦術と技術を体系化する MITRE ATT&CK フレームワークを用いて記述できる（MITRE, 2024）。T1059（Command and Scripting Interpreter）、T1021（Remote Services）、T1078（Valid Accounts）、T1070（Indicator Removal）といった技術は、高度な攻撃の進行中にしばしば連続して現れる。しかし、ATT&CK は脅威分析に有用な分類体系を提供する一方で、異種ログから攻撃チェーンを形式的に再構築することは依然として大きな課題である。

現代の DFIR における中心的問題は、セキュリティインシデントを構成するイベントの因果的連鎖を、一貫性を保ちながら検証可能な形で再構築することである。大規模組織では、EDR システム、ファイアウォール、プロキシ、ID プラットフォーム、クラウドサービスから、日次で数十億件のイベントが生成されることがある。これらのデータを手作業で分析することは実用的ではなく、また、ルールベースあるいはヒューリスティックな相関に依存する自動化アプローチは、誤検知を生むか、重要な因果関係を見落とすことが多い（ANDERSON, 2020）。

実証的報告もこの運用上のギャップを裏付けている。Verizon Data Breach Investigations Report は、攻撃者が初回検知前に侵害環境内で長期間潜伏することが頻繁にあると記録している（VERIZON, 2023）。同様に、Mandiant による運用分析では、調査対象インシデントのかなりの割合が、攻撃の特定前に顕著な横方向移動を伴っていることが示されている（MANDIANT, 2023）。

このような状況を踏まえ、本研究では以下の研究課題を検討する。

RQ1: 因果性と時間的一貫性を保持するように、フォレンジック・イベントをどのように形式化できるか？

RQ2: グラフ指向の確率推論を用いることで、複雑な攻撃チェーンをより高精度に再構築できるか？

RQ3: 大規模テレメトリ環境においてそのようなモデルを適用した場合、性能およびスケーラビリティにどのような影響があるか？

主な貢献は以下のとおりである。

C1: 明示的な整合性および時間的一貫性の性質を備えたデジタル証拠表現のための時間グラフ・モデルの形式的定義。

C2: MITRE ATT&CK フレームワークのパターンに条件付けられたベイズ推論に基づく攻撃確率再構築アルゴリズムの提案。

C3: 拡張可能なプロトタイプの実装と代表的データセット上での実験評価により、調査精度と再構築時間における測定可能な向上を示すこと。

論文の残りの構成は以下のとおりである。第2節では理論的基礎と関連研究を示す。第3節では脅威モデルと本研究課題を形式化する。第4節では提案手法を説明する。第5節では実験実装を詳述する。第6節では実証評価を提示する。第7節では含意と制約を議論する。最後に、第8節で本研究を結論づける。

2. 背景および関連研究

デジタル・フォレンジックは、デジタル証拠の取得、保全、分析、提示という4つの古典的段階に基づいている（KENT et al., 2006）。形式的には、観測された証拠集合を次のように表せる。

$E = {e_1, e_2, …, e_n}$

ここで各イベント $e_i$ は次の構造属性を持つ。

$(t_i, s_i, m_i)$

ここで $t_i$ はタイムスタンプ、$s_i$ は発生元（例えば、エンドポイント、ファイアウォール、アプリケーション）を示し、$m_i$ はメタデータの集合に対応する。

従来モデルでは、イベントを独立した観測として扱い、タイムスタンプに基づいて並べるだけであることが多い。このタイムライン中心のアプローチは、計算上のアクション間に存在する因果依存関係を無視し、複雑な攻撃チェーンの再構築を困難にする（BISHOP, 2018）。

代替として、プロベナンス・グラフ（provenance graphs）はシステムセキュリティ文献において広く研究されてきた。このようなモデルでは、有向グラフ $G = (V, E)$ がプロセス、ファイル、ネットワーク接続を含む計算エンティティとその相互作用を表現する（BATES et al., 2015）。

この概念は、次のように時間グラフへ拡張できる。

$G = (V, E, \tau)$

ここで $\tau : V \rightarrow \mathbb{R}$ は各頂点をある時刻に対応付ける。グラフの時間的一貫性は次を満たす必要がある。

$$ \forall (u,v) \in E,\ \tau(u) \leq \tau(v) $$

この性質により、グラフ内で矛盾した因果依存関係の形成が防止される。

過去10年の間に、さまざまな provenance 収集システムが提案されてきた。PASS システムはオペレーティングシステムレベルでの provenance 追跡機構を導入し、SPADE フレームワークは分散監査イベント収集を探究した（FREIRE et al., 2008; BATES et al., 2015）。

多段階攻撃の検知という特定の文脈では、Milajerdi らが HOLMES を提案し、ATT&CK フレームワークで定義された段階を用いてシステムイベントを相関させた（MILAJERDI et al., 2019）。このシステムは悪意ある挙動の検知に有効である一方、攻撃チェーンの完全性や明示的な確率的再構築に関する形式的保証は提供しない。

企業環境では、Splunk Enterprise Security や IBM QRadar のような SIEM プラットフォームが、ルールベース相関、ヒューリスティクス、統計モデルを用いて疑わしいパターンを識別する（SPLUNK, 2023; IBM, 2023）。しかし、こうしたシステムはしばしば分析用ブラックボックスとして動作し、生成された推論の形式的検証を困難にする。

近年、現代的な可観測性およびセキュリティアーキテクチャは、クラウド環境およびコンテナ化ワークロード由来のテレメトリも統合するようになり、それらはしばしば CNAPP（Cloud-Native Application Protection Platforms）上で相関される（SCARFONE; SOUPPAYA, 2022）。この監視対象の拡大は、調査分析のための拡張可能な形式モデルの必要性をさらに強めている。

本研究のアプローチは、時間グラフに基づく形式的モデリング、ATT&CK 指向の確率推論、そして証拠の整合性を保証する暗号学的手法という3つの補完的次元を統合する点で差別化される。

3. 脅威モデルと問題の形式化

我々は、標準的なログ記録機構によって監視された企業環境において多段階キャンペーンを実行可能な攻撃者 $\mathcal{A}$ を想定する。想定する能力は以下を含む。

1. 既知脆弱性のリモート悪用;
2. 侵害ホスト上での任意コード実行;
3. ローカル権限昇格;
4. 正当な資格情報を用いた横方向移動;
5. ログの削除または改ざんの試行。

これらの能力は、文書化された高度持続的脅威のキャンペーンで観測されたパターンと整合的である（TANKARD, 2011; MITRE, 2024）。

さらに、監視対象インフラは、EDR、認証ログ、ネットワークフロー、アプリケーションイベントを含む複数ソースからのテレメトリを生成すると仮定する。ただし、これらのデータには遅延、部分的損失、または時間的不整合が含まれる可能性がある。

本研究で扱う問題を次のように定義する。観測イベント集合 $E_{obs}$ が与えられたとき、敵対的アクションの系列を再構築したい。

$A = (a_1, a_2, …, a_k)$

これは次の事後確率を最大化する。

$$ A^ = \arg\max_A P(A | E_{obs}) $$

ここで $A$ は脅威モデルに適合する技術の連鎖を表す。

システムにおいて望ましい基本特性は3つである。

整合性: 記録された証拠は、検知されずに改変されてはならない。

完全性: あり得るすべての連鎖が調査用グラフに表現可能でなければならない。

正当性: 閾値 $\theta$ を超える確率で推定された連鎖は、想定された攻撃モデルと整合していなければならない。

これらの特性が提案アーキテクチャの理論的基盤を提供する。

4. 提案手法

GT‑DFIR アーキテクチャは、以下の4つの主要モジュールから構成される。

1. イベントの取り込みと正規化;
2. 時間 provenance グラフの構築;
3. 確率推論エンジン;
4. 暗号学的整合性レイヤ。

取り込み段階では、複数ソース由来のイベントが共通の表現スキーマへ変換される。各イベントは、プロセス、ファイル、ネットワーク、ユーザーのいずれかのカテゴリに属する型付き頂点へ変換される。

アルゴリズム1: 時間グラフの構築

Input: 正規化済みイベント集合 E
Output: 時間グラフ G

1: G ← (V = ∅, E = ∅) を初期化
2: 各イベント e ∈ E について:
3:     頂点 v_e を作成
4:     v_e を V に追加
5:     因果依存関係 D を特定
6:     各 d ∈ D について:
7:         辺 (d, v_e) を E に追加
8:     G を返す

時間インデックスを用いて依存関係を特定する場合、このアルゴリズムの計算量はおおよそ $O(n \log n)$ である。

アルゴリズム2: 攻撃確率再構築（RPA）

Input: グラフ G, 技術集合 T
Output: 攻撃チェーン A

1: 仮説集合 H を初期化
2: 各技術 t ∈ T について:
3:     整合する部分グラフ S_t を特定
4:     確率 P(t | S_t) を推定
5:     H を更新
6:     H 上でベイズ推論を適用
7:     最も高い確率を持つチェーンを返す

確率推論は次の関係に基づく。

$$ P(A|E) \propto P(E|A)P(A) $$

ここで $P(A)$ は攻撃チェーンの事前確率、$P(E|A)$ は観測証拠の尤度に対応する。

証拠の整合性を保証するために、ハッシュの暗号学的連鎖を用いる。

$$ h_i = SHA256(e_i || h_{i-1}) $$

この機構は検証可能な記録の連鎖を作成し、保存されたイベントへの未検知の改変を防止する。

5. 実装

我々は、Intel Xeon Gold プロセッサと 128 GB の RAM を各ノードに搭載した8ノードからなる分散アーキテクチャを用いて実験用プロトタイプを実装した。

イベントの取り込みには Elastic Stack を用い、Elastic Common Schema（ECS）標準に基づいて正規化を行った（ELASTIC, 2024）。時間グラフの保存と問い合わせは Neo4j を用いて実装し、これにより構造クエリと時間インデックスに対する効率的なサポートが提供される（NEO4J, 2023）。

確率推論エンジンは Python で開発し、条件付き確率の計算およびグラフ解析のための科学計算ライブラリを利用した。

観測された平均取り込み速度は毎秒約 50,000 イベントであり、平均処理遅延は 220 ms であった。水平スケーラビリティを確保するため、時間窓 $\Delta t$ による分割を採用し、複数ノードでの並列処理を可能にした。

6. 実験評価

実験評価では、3つの異なるデータセットを使用した。

Dataset	サイズ	説明
DARPA Transparent Computing	5,1 TB	セキュリティ研究のためのオペレーティングシステム・テレメトリ
Logs corporativos	4,2 TB	13億件の匿名化された実世界イベント
Cenários Log4Shell	800 GB	CVE‑2021‑44228 悪用のシミュレーション

提案アーキテクチャを2つのベースライン手法と比較した。

Identifier	Method
B1	ルールベース相関（従来型 SIEM）
B2	独立した統計的検知

評価指標には Precision、Recall、F1‑score、および Reconstruction Time（TR）を含めた。

Method	Precision	Recall	F1	TR (min)
B1	0,74	0,68	0,71	42,3
B2	0,69	0,64	0,66	38,7
GT‑DFIR	0,91	0,87	0,89	26,5

調査用再構築時間は平均 37,4% 短縮された（$\sigma = 4,8$）。t 検定に基づく統計検定では $p < 0,01$ で有意性が示された。

アーキテクチャによって導入された平均計算オーバーヘッドは 12,6% であり、調査精度の向上を考慮すれば許容可能な値であると判断された。

7. 考察

実験結果は、時間グラフ指向のモデリングが、フォレンジック調査中の因果的曖昧性を大幅に低減することを示している。イベント間の依存関係を明示的に表現することで、本システムは純粋に時系列的なアプローチで一般的な誤った推論を回避する。

ベイズ推論の利用により、経験的に観測された攻撃パターン、特に MITRE ATT&CK フレームワークで文書化されたパターンに関する事前知識を取り込むことも可能となる（MITRE, 2024）。専門知識と観測証拠のこの統合は、調査推論の堅牢性を向上させる。

しかし、いくつかの制約は残る。推論の品質は、収集されたテレメトリの完全性と忠実性に強く依存する。ログ記録が不十分な環境では不完全なグラフが生成され、攻撃チェーンの再構築に影響を及ぼす可能性がある。

さらに、大規模な provenance グラフは数十億の頂点に達しうるため、保存と問い合わせに課題が生じる。イベントの圧縮および集約戦略は、将来研究における有望な課題である。

運用の観点では、このアーキテクチャの実運用には、既存の SIEM プラットフォームやインシデント対応ツールとの統合に加え、セキュリティアナリスト向けの専門的訓練が必要である。

8. 結論

我々は、時間グラフ、確率推論、そして証拠整合性のための暗号学的機構に基づく、Digital Forensics and Incident Response のための形式的アーキテクチャを提示した。このアプローチにより、ヒューリスティックな相関のみに基づく従来手法と比較して、複雑な攻撃チェーンをより高精度かつ効率的に再構築できることを示した。

本研究の貢献には、調査モデルの数学的形式化、確率的再構築アルゴリズムの定義、そして現代の企業環境を代表するデータセット上での実証的検証が含まれる。

実験結果は、精度指標の大幅な改善と調査用再構築時間の短縮を示している。これらの結果は、時間グラフに基づくアーキテクチャが、スケーラブルで検証可能な DFIR システムにとって有望な方向性であることを示唆している。

References

ANDERSON, Ross. Security engineering: a guide to building dependable distributed systems. 3. ed. Hoboken: Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html

BATES, Adam et al. Trustworthy whole-system provenance for the Linux kernel. In: USENIX SECURITY SYMPOSIUM. Proceedings… 2015. Available at: https://www.usenix.org/conference/usenixsecurity15

BILGE, Leyla; DUMITRAȘ, Tudor. Before we knew it: an empirical study of zero-day attacks in the real world. In: ACM CCS. Proceedings… 2012. Available at: https://doi.org/10.1145/2382196.2382284

BISHOP, Matt. Computer security: art and science. 2. ed. Boston: Addison‑Wesley, 2018. Available at: https://www.pearson.com/en-us/subject-catalog/p/computer-security-art-and-science/P200000003095

CARRIER, Brian. File system forensic analysis. Boston: Addison‑Wesley, 2005. Available at: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis

DARPA. Transparent computing program. Arlington: DARPA, 2018. Available at: https://www.darpa.mil/program/transparent-computing

ELASTIC. Elastic Common Schema (ECS) reference documentation. 2024. Available at: https://www.elastic.co/guide/en/ecs/current/index.html

FREIRE, Juliana et al. Provenance for computational tasks: a survey. Computing in Science & Engineering, 2008. Available at: https://doi.org/10.1109/MCSE.2008.79

IBM. IBM QRadar SIEM documentation. 2023. Available at: https://www.ibm.com/docs/en/qradar

KENT, Karen et al. Guide to integrating forensic techniques into incident response. NIST Special Publication 800‑86. Gaithersburg: NIST, 2006. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf

MANDIANT. M‑Trends 2023: insights into today’s cyber attack trends. 2023. Available at: https://www.mandiant.com/resources/m-trends

MILAJERDI, Sadegh M. et al. HOLMES: real-time APT detection through correlation of suspicious information flows. IEEE Symposium on Security and Privacy, 2019. Available at: https://doi.org/10.1109/SP.2019.00044

MITRE. MITRE ATT&CK framework. 2024. Available at: https://attack.mitre.org

NEO4J. Graph database platform documentation. 2023. Available at: https://neo4j.com/docs

NIST. National vulnerability database entry CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Computer security incident handling guide. NIST SP 800‑61 Revision 2. 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

NOEL, Steven et al. Measuring security risk of networks using attack graphs. IEEE Security & Privacy, 2009. Available at: https://doi.org/10.1109/MSP.2009.64

OWASP. OWASP Top 10: the ten most critical web application security risks. 2021. Available at: https://owasp.org/www-project-top-ten

SCARFONE, Karen; SOUPPAYA, Murugiah. Guidelines on security and privacy in public cloud computing. NIST, 2022. Available at: https://nvlpubs.nist.gov/nistpubs

SPLUNK. Splunk Enterprise Security documentation. 2023. Available at: https://docs.splunk.com/Documentation/ES

TANKARD, Colin. Advanced persistent threats and how to monitor and deter them. Network Security, 2011. Available at: https://doi.org/10.1016/S1353-4858(11)70086-1

VERIZON. 2023 Data breach investigations report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/