分散型企業環境におけるインシデント自動対応のための時間グラフとベイズ推論に基づくDFIRの形式的オーケストレーション

1. 序論

デジタル・フォレンジクスおよびインシデントレスポンス（DFIR）の分野は、この10年間で大きく進化した。これは、マルチクラウドアーキテクチャ、マイクロサービス、コンテナ化されたワークロード、継続的インテグレーション（CI/CD）、エッジデバイス、生成AIベースのシステムなどの普及により攻撃対象領域が拡大したことに起因する。Data Breach Investigations Report 2024は、分析された侵害の大多数が外部ベクトルおよび多段階の攻撃チェーンを含み、初期侵入、ラテラルムーブメント、データ流出を組み合わせていることを示している（VERIZON, 2024）。検知および封じ込めに要する中央値の時間は依然として高く、決定論的相関のみに依存する従来アプローチの構造的限界を示唆している。

広く記録された事例は、この複雑性を示している。Log4Shell脆弱性（CVE-2021-44228）はJavaアプリケーションにおけるリモートコード実行を可能にし、その後にMITRE ATT&CK分類におけるラテラルムーブメント（T1021）やコマンド＆コントロールチャネルを介したデータ流出（T1041）といった手法が続くケースが多く観測された（MITRE, 2024; CISA, 2021）。同様に、Microsoft OutlookのCVE-2023-23397はユーザー操作なしでNTLMハッシュの漏洩を可能にし、Kerberos悪用（T1558）やActive Directory侵害を含むハイブリッド攻撃チェーンに組み込まれた（MICROSOFT, 2023）。

中心的な問題は、複数の異種テレメトリソースに分散したイベントの因果系列を信頼性高く再構築することである。これにはアプリケーションログ、OS監査、ネットワークイベント、クラウド監査ログ、eBPFによる計測などが含まれるが、それらはしばしば不完全であったり部分的に改ざんされている。Splunk Enterprise SecurityやIBM QRadarなどの商用SIEMツールは主にルールベースおよびパターン相関により動作しており、複雑な確率的因果依存関係をモデル化する能力は限定的である（SPLUNK, 2024; IBM, 2024）。

本研究では以下の研究課題を設定する。

RQ1: 分散したフォレンジックイベントを、時間的因果性を保持しつつ攻撃チェーンの自動推論を可能にする形で形式的にモデル化するにはどうすればよいか。

RQ2: インシデント再構築における不確実性を定量化するために、確率モデルを運用上のスケーラビリティを維持しながら統合することは可能か。

RQ3: 時間グラフ指向アーキテクチャにより、精度および対応時間の面でどの程度の測定可能な改善が得られるか。

本研究の主な貢献は以下である。

C1: 明示的な因果制約を持つ有向時間グラフにおけるMAP推論としてインシデント再構築を定式化した数学的モデル。

C2: 局所因子分解の仮定の下で計算量 $O(|E_d|\log|V|)$ を持つ推論アルゴリズムの導出。

C3: 公開データセットおよび実際の企業環境で実証的に検証されたスケーラブル実装。これにはeBPFベースの最新テレメトリおよびクラウドセキュリティパイプライン（CNAPP）との統合を含む。

2. 基礎および関連研究

2.1 フォレンジックイベントの形式モデリング

フォレンジックイベントを以下のタプルとして定義する。

$$ e = (t, s, a, \alpha) $$

ここで $t \in \mathbb{R}^+$ はタイムスタンプ、$s$ はテレメトリのソース、$a$ は観測されたアクション、$\alpha \in \mathbb{A}$ は構造化された属性ベクトルである。

イベント集合 $E = {e_1, \dots, e_n}$ が与えられたとき、因果関係を有向非巡回グラフとしてモデル化する。

$$ G = (V, E_d) $$

ここで $V$ はイベント集合に対応し、$E_d \subseteq V \times V$ は時間順序と整合する因果的先行関係を表す。

時間的一貫性を次のように要求する。

$$ (v_i, v_j) \in E_d \Rightarrow t_i \le t_j $$

この定式化はプロビナンスグラフモデル（KING; CHEN, 2003）に近いが、確率的構造を明示的に導入している点が異なる。

2.2 プロビナンスと再構築

PASSのようなシステムは、OSレベルでの依存関係追跡を活用した（KING; CHEN, 2003）。古典的文献ではタイムラインの線形再構築が強調されている（CASEY, 2011; CARRIER; SPAFFORD, 2003）が、このアプローチは分散的かつ弾力的な環境には不十分である。

DARPA Transparent Computingデータセットは、大規模プロビナンスグラフ研究を拡張した（DARPA, 2018）。しかし、その後の多くの研究は異常検知に重点を置いており、確率的因果再構築には焦点を当てていない。

2.3 機械学習とログ

DeepLogはLSTMを用いた系列モデリングを採用している（DU et al., 2017）。近年の研究ではログ解析にトランスフォーマーモデルが利用されているが、因果性および確率的説明可能性に関する形式的保証を欠く場合が多い。

2.4 標準とガバナンス

NIST SP 800-61r2はインシデント対応のガイドラインを定義している（NIST, 2012）。これはAIおよびクラウドセキュリティにおける最新のガバナンスおよびリスク管理実践によって補完されている（NIST, 2023）。ISO/IEC 27035は組織的プロセスを体系化している（ISO, 2016）。しかし、これらの文書はいずれも因果チェーン再構築を数学的に形式化していない。

3. 脅威モデルと形式化

本研究では、リモートコード実行、ラテラルムーブメント、およびローカルログの部分的改ざんが可能な攻撃者を想定する。ただし、すべての分散ソースを同時に侵害する能力は持たないと仮定する。

3.1 ベイズ的定式化

$\Theta$ を事前知識（例：MITRE ATT&CKと整合する遷移）から導出されるパラメータ集合とする。

次を定義する。

$$ P^ = \arg\max_{P \in \mathcal{P}(G)} \Pr(P \mid E, \Theta) $$

ベイズ則を適用すると、

$$ \Pr(P \mid E, \Theta) \propto \Pr(E \mid P, \Theta)\Pr(P \mid \Theta) $$

局所条件付き独立性を仮定すると、

$$ \Pr(P) = \prod_{v_i \in P} \Pr(v_i \mid Pa(v_i)) $$

ここで $Pa(v_i)$ は直接の前駆ノードを表す。

3.2 ロバスト性

敵対的ノイズを最大 $\epsilon n$ 個の偽イベントの挿入としてモデル化する。ただし $\epsilon < 0{,}15$ とする。正当な遷移と偽遷移の間に確率的分離 $\delta$ が存在する場合、以下を満たせばMAP経路は不変である。

$$ \delta > \log\left(\frac{1}{1-\epsilon}\right) $$

これは安定性の解析的閾値を与える。

4. 方法論

TGI-DFIRアーキテクチャは4層で構成される。

1. OWASPに準拠した収集および正規化（OWASP, 2023）。
2. 時間グラフ構築。
3. MAP推論。
4. NIST互換の自動オーケストレーション。

4.1 計算量

初期ソート： $O(n \log n)$。
エッジ構築： $O(|E_d|)$。

DAG上での動的計画法による推論：

$$ f(v) = \max_{u \in Pa(v)} { f(u) + w(u,v) } $$

総計算量：

$$ O(|E_d|\log|V|) $$

5. 実装

Apache Kafka（APACHE, 2024）によるインジェスト、Elasticsearch（ELASTIC, 2024）によるインデックス化、Neo4j（NEO4J, 2024）による保存を実装し、Kubernetesでオーケストレーションした。

インフラ構成：24ノード（Xeon Gold、256 GB RAM）。

指標	値
Throughput	1,2 bilhão eventos/dia
Latência média	3,4 s
p95	5,8 s

eBPFテレメトリとの統合により、低オーバーヘッドで効率的なカーネルイベント取得が可能となった。

6. 実験評価

使用したデータセット：

• DARPA Transparent Computing（DARPA, 2018）。
• 実際の企業ログ（12 TB）。
• Log4ShellおよびCVE-2023-23397に着想を得たシナリオ。

6.1 結果

方法	F1-score	MTTT (h)
ルールベースSIEM	0,68	5,6
LSTMモデル	0,81	3,2
TGI-DFIR	0,91 ± 0,02	1,7

平均トリアージ時間は47.3%短縮された。対応のあるt検定では $p < 0,01$ が得られ、統計的有意性が確認された。

7. 議論

時間グラフモデリングは多段階依存関係を形式的に捉えることができる。ベイズ推論は、決定論的相関とは異なり、不確実性の明示的な定量化を提供する。

SOARおよびCNAPPプラットフォームとの統合は運用上実行可能であり、NISTおよびISOの標準との整合性も維持される。

制約としては、テレメトリ品質への依存および $\Theta$ の初期パラメータ化が挙げられる。

8. 結論

我々は、インシデント再構築を有向時間グラフ上のMAP推論として形式化した。さらに、現代の分散型企業環境においてスケーラビリティを維持しつつ、精度の統計的に有意な向上と対応時間の短縮を達成できることを示した。

参考文献

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation/.

CASEY, E. Digital Evidence and Computer Crime. 第3版. Amsterdam: Academic Press, 2011.

CARRIER, B.; SPAFFORD, E. Getting Physical with the Digital Investigation Process. International Journal of Digital Evidence, 2003. Available at: https://www.utica.edu/academic/institutes/ecii/publications/articles/A0482B9D-FE25-ADFD-CC114CBDA2F16E4A.pdf.

CISA. Apache Log4j Vulnerability Guidance. 2021. Available at: https://www.cisa.gov/uscert/apache-log4j-vulnerability-guidance.

DARPA. Transparent Computing Dataset. 2018. Available at: https://www.darpa.mil/program/transparent-computing.

DU, M. et al. DeepLog. In: ACM CCS, 2017. Available at: https://dl.acm.org/doi/10.1145/3133956.3134015.

ELASTIC NV. Elasticsearch Guide. 2024. Available at: https://www.elastic.co/guide/.

IBM. IBM QRadar SIEM. 2024. Available at: https://www.ibm.com/security/qradar.

ISO. ISO/IEC 27035. 2016.

KING, S.; CHEN, P. Backtracking Intrusions. In: SOSP, 2003. Available at: https://dl.acm.org/doi/10.1145/945445.945464.

MICROSOFT. CVE-2023-23397 Advisory. 2023. Available at: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/.

NIST. SP 800-61r2. 2012. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final.

NIST. AI Risk Management Framework. 2023. Available at: https://www.nist.gov/itl/ai-risk-management-framework.

NEO4J INC. Neo4j Documentation. 2024. Available at: https://neo4j.com/docs/.

OWASP FOUNDATION. Logging Cheat Sheet. 2023. Available at: https://cheatsheetseries.owasp.org/cheatsheets/Logging_Cheat_Sheet.html.

SPLUNK INC. Splunk Enterprise Security. 2024. Available at: https://www.splunk.com/.

VERIZON. Data Breach Investigations Report 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/.