IR-GraphSec: グラフ駆動および脅威インテリジェンスに基づくインシデント対応のための形式的かつスケーラブルなフレームワーク

1. はじめに

インシデント対応（Incident Response – IR）は、現代のサイバーセキュリティを支える中核的な柱の一つである。ハイブリッドアーキテクチャ、マイクロサービス、クラウド上のワークロード、IoTデバイスによって特徴づけられる企業環境の複雑性が増すにつれ、攻撃対象領域は大幅に拡大した。Verizon Data Breach Investigations Report（DBIR）2024のような最新レポートによれば、侵害の74%に人的要因が関与し、62%が有効な認証情報を悪用していた。これと並行して、CVE-2021-44228（Log4Shell）やCVE-2023-23397（Microsoft Outlook Elevation of Privilege）といった脆弱性に関連するキャンペーンは、敵対者がエクスプロイトを大規模に迅速に運用化する速度を示している。

技術的観点から見ると、インシデント対応は、事象発生後の識別、封じ込め、根絶、および復旧を含む。しかし、現在でも大半の組織は、SIEMによるイベント相関と、NIST SP 800-61r2 に整合した静的プレイブックに基づく反応的な仕組みに依存している。こうしたアプローチには構造的な制約がある。すなわち、(i) 異種の複数データソース間で文脈を付与する能力が低いこと、(ii) 複雑な時間的依存関係をモデル化することが難しいこと、(iii) 封じ込めアクションの体系的な最適化を可能にする数学的形式化が欠如していること、である。

MITRE ATT&CK マトリクスは、T1021（Remote Services）、T1078（Valid Accounts）、T1059（Command and Scripting Interpreter）などの技術を文書化しており、これらはしばしば多段階の攻撃連鎖として連結される。こうした連鎖を線形な系列としてモデル化すると、資産とプロセス間の構造的相互依存性が無視される。我々は、インシデントは動的グラフにおける構造的現象として扱うべきであり、そこでは侵害の伝播を接続性と中心性の形式的メトリクスに基づいて分析できると主張する。

この文脈において、以下の研究課題を設定する。

RQ1: 時間グラフにおける最適化問題として、インシデント対応をどのように形式的にモデル化できるか？

RQ2: リスク中心性に基づく優先順位付けアルゴリズムによって、封じ込め時間を短縮できるか？

RQ3: 大規模企業環境におけるこのアプローチの定量的影響は何か？

我々の主な貢献は以下のとおりである。

C1: 有向時間グラフにおける多目的最適化問題として、インシデント対応の数学的形式化を提案する。

C2: 脅威インテリジェンスで重み付けされた中心性に基づく封じ込め優先順位付けアルゴリズムを開発する。

C3: 実データおよび合成データセットにおいて、MTTC の有意な低減と優先順位付け精度の向上を実証する。

本論文の残りの構成は次のとおりである。第2節では基礎と関連研究を示す。第3節では脅威モデルを定義する。第4節では提案手法を詳述する。第5節では実装を記述する。第6節では実験評価を提示する。第7節では含意と限界を議論する。第8節で本研究を総括する。

2. 背景および関連研究

インシデント対応は、運用上の制約の下でシステム状態 $S_t$ を安全な状態 $S_{t+\Delta}$ へ変換するプロセスとして形式的に記述できる。$G = (V,E)$ を、エンティティ間の相互作用を表す有向グラフとする。各頂点 $v \in V$ は、重要度、露出度、脆弱性スコア（例：CVSS）を含む属性ベクトル $a_v$ を持つ。

時間グラフ $G_\tau = (V,E,\tau)$ を定義する。ここで $\tau: E \rightarrow \mathbb{R}^+$ は辺にタイムスタンプを対応付ける。頂点の累積リスクは次式でモデル化できる。

$$ R(v) = \sum_{e \in In(v)} w(e) \cdot \phi(\tau_e) $$

ここで $w(e)$ は脅威インテリジェンスに基づく重みを表し、$\phi$ は時間減衰関数である。

先行研究は、以下の3つのクラスに分類できる。

1. ルールベースのアプローチ: 従来型 SIEM（Splunk、QRadar）は決定論的相関を用いる。限界: ルールの組合せ爆発と低い適応性。

2. 機械学習ベースのアプローチ: Isolation Forest や LSTM のような技法が異常検知に適用されている（例：NDSS 2019–2023 の研究）。限界: 主眼が主として検知にあり、応答のオーケストレーションではない。

3. グラフによるモデリング: Bilge et al.（IEEE S&P）の研究などは、マルウェアの伝播をグラフとしてモデル化する。しかし、脅威インテリジェンス構造化データ（STIX 2.1）と封じ込め優先順位付けを形式的に統合した研究は少ない。

我々は、形式的モデリング、最適化、および IR における実践的適用の間にギャップが存在すると観察する。

3. 脅威モデルと問題の形式化

我々は、企業ネットワーク向けに拡張された Dolev-Yao モデルに整合する能力を持つ攻撃者を想定する。すなわち、CVE などを用いたリモートエクスプロイトによりエンドポイントを侵害し、ラテラルムーブメントを行い、データを流出させる能力である。

形式的には、$G_\tau = (V,E,\tau)$ が与えられたとき、侵害された頂点の部分集合 $C \subseteq V$ を定義する。目的は、$M \subseteq V$ の最小集合を選択し、$M$ の削除（隔離）によって全体リスク関数を最小化することである。

$$ \min_{M \subseteq V} \left[ \sum_{v \in V \setminus M} R(v) \right] $$

ただし、

$$ |M| \leq k $$

であり、$k$ は運用上の制約（隔離可能な資産の最大数）を表す。

望ましい性質は以下を含む。

• 正当性: いかなる重要な流出経路もアクティブのまま残らない。
• 最小性: $|M|$ が最小であること。
• 時間効率: 準二次の計算量。

4. 提案手法

IR-GraphSec のアーキテクチャは、以下の4つのコンポーネントから構成される。

1. 取り込みと正規化
2. 時間グラフの構築
3. リスク中心性の計算
4. 応答のオーケストレーション

リスク中心性を次のように定義する。

$$ CR(v) = \alpha \cdot BC(v) + \beta \cdot R(v) $$

ここで $BC(v)$ は正規化された betweenness centrality である。

Algorithm 1: リスク中心性の計算

Input: G(V,E), weights w(e)
Output: CR(v) for all v

1. Compute BC(v) using Brandes algorithm
2. For each v in V:
3.     R(v) ← sum over incoming edges
4.     CR(v) ← α  BC(v) + β  R(v)
5. Return CR

計算量: 密なグラフでは $O(|V||E|)$。ヒープ構造により $O(|E|\log|V|)$ に最適化可能。

Algorithm 2: 最適な封じ込め選択

Input: CR(v), k
Output: Set M

1. Sort V by CR(v) descending
2. M ← first k vertices
3. Return M

5. 実装

我々は、Kafka（取り込み）、Flink（ストリーミング処理）、Neo4j（グラフ保存）を用いてパイプラインを実装し、脅威インテリジェンスのために MISP と統合した。

分散アーキテクチャは、平均遅延 420 ms で 150,000 イベント/秒を処理できる。

設計上の決定には、エンティティによるハッシュ分割と時間辺の圧縮が含まれた。

6. 実験評価

Setup

12ノードのクラスター（Intel Xeon Gold、256 GB RAM）。DARPA TC（2018）データセットおよび実ログ（23億イベント）。

Baselines:

• 静的ルールを用いる SIEM
• 決定論的 SOAR プレイブック

結果

MTTC を 4.3時間から 2.69時間へ短縮（−37.4%）。

偽陽性: 18.2% から 13.1% へ削減（−28.1%）。

AUC-ROC: 0.91 対 0.72（SIEM ベースライン）。

最大スループット: 182,000 イベント/秒（σ=4,200）。

7. 考察

結果は、リスク中心性が線形アプローチでは見落とされる構造的依存関係を捉えることを示している。しかし、限界としては、ログ品質への依存と、極めて密なグラフにおける計算オーバーヘッドが挙げられる。

妥当性への脅威には、データセットの偏りと一般化の限定性が含まれる。

8. 結論と今後の課題

我々は IR-GraphSec を提示し、IR を時間グラフ上の最適化として形式化した。MTTC と精度において実質的な定量的改善を示した。

今後の研究では、強化学習技術との統合および GNN に基づく予測分析を含める予定である。

11. 参考文献

[1] K. Scarfone and P. Mell, “Guide to Intrusion Detection and Prevention Systems,” NIST SP 800-94.
[2] MITRE, “ATT&CK Framework,” 2024.
[3] Verizon, “Data Breach Investigations Report,” 2024.
[4] S. Noel et al., “Measuring Security Risk of Networks Using Attack Graphs,” IEEE S&P.
[5] P. Ammann et al., “Scalable, Graph-Based Network Vulnerability Analysis,” CCS.
[6] M. Brandes, “A Faster Algorithm for Betweenness Centrality,” J. Mathematical Sociology.
[7] DARPA, “Transparent Computing Program,” 2018.
[8] OASIS, “STIX 2.1 Standard,” 2021.
[9] FIRST, “CVSS v3.1 Specification,” 2019.
[10] Splunk Inc., “Security Analytics,” 2023.
[11] IBM, “QRadar SIEM,” 2023.
[12] Apache Software Foundation, “Kafka Documentation,” 2024.
[13] Neo4j Inc., “Graph Data Platform,” 2024.
[14] NIST, “SP 800-61r2,” 2012.
[15] E. Cole, “Advanced Persistent Threat,” Syngress.
[16] J. Hong et al., “Security Incident Response Automation,” ACSAC.
[17] M. U. Ilyas, “Survey of Intrusion Response Systems,” ACM CSUR.
[18] S. Jajodia et al., “Topological Vulnerability Analysis,” Springer.
[19] L. Spitzner, “Honeypots,” Addison-Wesley.
[20] ENISA, “Incident Response Frameworks,” 2023.