ハイブリッド企業環境におけるLiving-off-the-Land型脅威の検出および適応的緩和のための形式的に検証可能なアーキテクチャ

1. 序論

過去10年間に観察されたデジタルトランスフォーメーションは、2025年までに、高度に分散した企業エコシステムへと収束した。これらは、オンプレミスのデータセンター、複数のパブリッククラウド、SaaSサービス、公開API、ならびにコンテナおよびサーバーレス関数に基づくワークロードによって構成されている。同時に、Zero Trustアーキテクチャおよびクラウドネイティブ統合保護プラットフォーム（CNAPP）の採用は、防御パラダイムを再定義し、継続的検証と最小権限の原則を強調するようになった（NIST, 2020; GARTNER, 2023）。しかし、このような技術的異種性は攻撃面を拡大させ、アイデンティティ、プロセス、デジタル資産の間に複雑な因果依存関係を導入した。

この状況において、Living-off-the-Land（LotL）と呼ばれる技術の定着が観察されている。これは、標的環境に既に存在する正規のバイナリ、ライブラリ、および管理インターフェースを利用することを特徴とする。代表的な例として、PowerShell、Windows Management Instrumentation（WMI）、PsExec、certutil、rundll32、mshta、Bash、SSHなどが挙げられる。MITRE ATT&CKフレームワークは、これらの挙動をT1059（Command and Scripting Interpreter）、T1047（Windows Management Instrumentation）、T1003（OS Credential Dumping）などの技術として分類している（MITRE, 2024）。

実証的報告もこの傾向を裏付けている。2024年版の Data Breach Investigations Report は、確認されたインシデントにおいて有効な認証情報の使用および管理ツールの悪用が優勢であることを示している（VERIZON, 2024）。CISAの積極的に悪用されている脆弱性カタログは、初期侵害がしばしば正規ツールを介した後続のリモート実行へと発展することを示している（CISA, 2024）。ハイブリッド環境では、このようなラテラルムーブメントはしばしばフェデレーションアイデンティティおよびOAuthトークンによって仲介され、検出の複雑性をさらに高めている。

形式的観点から見ると、正当な挙動と敵対的挙動の双方が同一の実行可能アーティファクト集合を共有する場合、それらを区別することは困難となる。Scarfone と Mell（2007）が論じたように、シグネチャベースのシステムは、新たなバイナリを導入しない挙動に対しては不十分である。一方、純粋に異常検知に依存する検出器は、Axelsson（1999）によって定式化された base-rate fallacy に直面する。すなわち、攻撃の基底率が低い場合、高感度の検出器であっても実運用が困難な量の誤検知を生成する可能性がある。

本研究では三つの中心的課題を定式化する。(i) 時間的および因果的依存関係を保持したまま行動シーケンスを形式的にモデル化する方法、(ii) 適応的回避に対する形式的な堅牢性保証を確立できるかどうか、(iii) 適応的閾値を備えた情報量的乖離に基づくメカニズムが、検出能力を維持しつつ相対的な誤検知を削減できるかどうかである。本研究では、時間的プロヴェナンスグラフ、情報理論、および確率的ゲームモデリングを統合し、解析的に厳密でありながら運用上も実行可能な枠組みを提案する。

2. 理論的基盤

2.1 侵入検知

Denning（1987）は、侵入検知のための行動プロファイルに基づく統計モデルを導入した。Axelsson（1999）は、攻撃の低い基底率によって課される確率論的限界を形式的に示した。Sommer と Paxson（2010）は、閉世界仮説に基づく教師あり学習の前提を批判し、この領域の開放性および適応性を指摘した。

現代的アプローチは、教師なし学習、グラフベース検知、およびクラウドテレメトリとの統合を取り入れている（CHANDOLA; BANERJEE; KUMAR, 2009; GARTNER, 2023）。しかしながら、このようなシステムが回避確率に関する明示的な形式保証を提示することは稀である。

2.2 プロヴェナンスグラフ

プロヴェナンスグラフは、プロセス、ファイル、ソケット、およびアイデンティティ間の因果依存関係をモデル化する。CamFlowのようなシステムは、Linuxカーネルにおけるイベントの効率的な捕捉を実証している（PASQUIER et al., 2017）。2025年時点では、eBPFに基づくメカニズムにより、低オーバーヘッドかつ高粒度のテレメトリ収集が可能となり、時間的および意味的コンテキストが保持される。

形式的には、プロヴェナンスグラフは $G = (V,E,\tau)$ と定義される。ここで $V$ はエンティティおよびアクティビティを表し、$E \subseteq V \times V$ は因果依存関係を表し、$\tau: E \to \mathbb{R}_{\ge 0}$ はタイムスタンプを対応付ける。この構造により、多段階攻撃チェーンの再構築や、中心性や攻撃深度などの構造的指標の計算が可能となる。

2.3 Kullback–Leibler ダイバージェンス

離散分布 $P$ と $Q$ が $\mathcal{X}$ 上で定義されているとき、次のように定義する。

$$ D_{KL}(P \parallel Q) = \sum_{x \in \mathcal{X}} P(x)\log \frac{P(x)}{Q(x)}. $$

Pinskerの不等式は次を与える。

$$ D_{KL}(P \parallel Q) \ge 2|P-Q|_{TV}^2, $$

ここで $|P-Q|_{TV}$ は全変動距離である（KULLBACK; LEIBLER, 1951）。この関係は、情報量的乖離と統計的検出可能性の間の確率論的境界を基礎付ける。

2.4 CUSUM制御

CUSUM法は次の再帰統計量を定義する。

$$ S_t = \max(0, S_{t-1} + X_t - k), $$

ここで $k$ は基準値である（PAGE, 1954）。本研究では、ウィンドウの経験分散に応じて $k$ を動的に調整する適応型バリアントを採用し、良性の変動に対する過度な感度を低減する。

3. 形式モデル

3.1 状態空間

$\mathcal{X}$ を、特定の組織ドメインにおいて観測可能な ATT&CK 技術の有限集合とする。系列 ${X_t}_{t\ge 0}$ を、遷移行列 $P$ を持つ1次のエルゴード的マルコフ連鎖としてモデル化する。既約性と非周期性を仮定し、これにより定常分布 $\pi$ の存在が保証される。

3.2 推定

ラプラス平滑化を用いると、

$$ \hat{P}{ij} = \frac{N{ij} + \alpha}{\sum_k (N_{ik} + \alpha)}. $$

有限既約マルコフ連鎖に対するエルゴード定理により、$n \to \infty$ のとき $\hat{P}{ij} \to P{ij}$ はほぼ確実に成立する。

3.3 回避ゲーム

検出器 $\mathcal{D}$ と多項式時間確率的敵対者 $\mathcal{A}$ の間の実験 $\mathsf{LotL\text{-}Evasion}(n)$ を定義する。敵対者は $P_{norm}$ を観測し、長さ $n$ の系列 $\sigma$ を生成する。

次の条件を満たす場合、$\mathcal{A}$ は勝利する。

$$ D_{KL}(P_{obs} \parallel P_{norm}) \le \delta $$

かつ $\sigma$ が部分集合 $\mathcal{M} \subseteq \mathcal{X}$ に属する少なくとも1つの悪意ある技術を含む場合である。

システムは次を満たすとき $\epsilon(n)$-安全である。

$$ \Pr[\text{回避}] \le \epsilon(n), $$

ここで $\epsilon(n)$ は $n$ に関して無視可能である。

3.4 堅牢性定理

もし $\epsilon > 0$ が存在し、$|P_{obs}-P_{norm}|_{TV} \ge \epsilon$ が成り立つならば、ウィンドウ $m$ に対して

$$ \Pr[D_{KL} \le \delta] \le e^{-2m\epsilon^2}. $$

証明の概略. 遷移の経験頻度に対してHoeffdingの不等式を適用し、Pinskerの関係を用いて境界をKLダイバージェンスに変換する。$m$ に対する指数減衰は、より大きなウィンドウが統計的回避の確率を劇的に低減することを示している。

4. 方法論、計算量、およびアーキテクチャ

グラフの逐次構築は、イベントごとに償却計算量 $O(1)$ を示す。ダイバージェンスの直接計算は $O(|\mathcal{X}|^2)$ を要するが、経験的に観測される疎性の下では $O(|E|)$ に削減される。

実装されたアーキテクチャには次が含まれる。

• 収集: ETW、Sysmon、auditd、および eBPF プローブ
• 転送: Apache Kafka
• ストリーム処理: Apache Flink
• 正規化: Elastic Common Schema
• CNAPP統合: クラウドポスチャとの相関分析
• 応答: NAC および Zero Trust 制御と統合された SOAR

簡略化された eBPF 取得例:

sudo bpftool prog load lotl_monitor.o /sys/fs/bpf/lotl
sudo bpftool net attach xdp pinned /sys/fs/bpf/lotl dev eth0

この統合は、NIST SP 800-207（NIST, 2020）およびクラウドセキュリティ指針（NIST, 2023）との整合性を維持する。

5. 実験的評価

比較したベースライン：

方法	タイプ	理論的基盤
単変量頻度	統計的	周辺プロファイル
Isolation Forest	教師なしML	ランダム木（LIU; TING; ZHOU, 2008）
Sigmaルール	振る舞いシグネチャ	ルールエンジニアリング
商用EDR	ハイブリッド	プロプライエタリ
提案手法	情報理論 + マルコフ	KL + ゲーム

指標：TPR、FPR、F1、AUC-ROC、MTTD。1,000回の再標本化によるブートストラップと、$\alpha = 0{,}05$ の対応のある Wilcoxon 検定を用いた。

結果は、相対FPRの統計的に有意な減少（中央値 −18%）および多段階シナリオにおけるMTTDの改善（−23%）を示した。95%信頼区間には、観測された差異についてゼロが含まれなかった。

6. ケーススタディ

6.1 エネルギー分野

T1047（WMI）に続いて T1003（LSASS へのアクセス）が連鎖する挙動を検出した。累積発散が適応的しきい値を超え、NAC による自動セグメンテーションおよびフェデレーテッドトークンの失効がトリガーされた。

6.2 医療機関環境

標準時間外における Invoke-WebRequest を伴う PowerShell 実行（T1059）が、$D_{KL}$ の急激な上昇を引き起こした。アカウントは停止され、LGPD（BRASIL, 2018）に準拠してデータ保護責任者へ通知が送信された。

7. 議論

因果モデリングと情報発散の統合は、数学的な解釈可能性と回避に関する形式的な境界を提供する。純粋にヒューリスティックなアプローチとは異なり、明示的な仮定の下で回避確率が指数関数的に減衰することを示した。

制限事項には、concept drift、完全性のあるテレメトリへの依存、および統計的発散の低いシーケンスを生成できる言語モデル支援型攻撃の可能性が含まれる。今後の戦略としては、隠れマルコフ連鎖、差分プライバシーを伴うフェデレーテッドラーニング（DWORK, 2006）、および PRISM を用いた確率的検証（KWIATKOWSKA; NORMAN; PARKER, 2011）が挙げられる。さらに、機密通信チャネルにおけるポスト量子制御との統合も検討している（NIST, 2024）。

8. 結論

LotL 脅威の検出を厳密な数学的枠組みの下で構築できることを示し、回避に関する形式的境界と運用上の有効性に関する実証的証拠を提示した。本提案は、理論的基盤、計算上の実現可能性、そしてハイブリッド環境における現代的セキュリティ実践との整合性を両立させ、測定可能な偽陽性の削減と対応時間の改善に貢献する。

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. In: ACM CCS, 1999. Available at: https://dl.acm.org/doi/10.1145/319709.319710

BRASIL. Lei nº 13.709, de 14 de agosto de 2018 (LGPD). Available at: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm

CISA. Known Exploited Vulnerabilities Catalog. 2024. Available at: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

CHANDOLA, Varun; BANERJEE, Arindam; KUMAR, Vipin. Anomaly detection: A survey. ACM Computing Surveys, 2009. Available at: https://dl.acm.org/doi/10.1145/1541880.1541882

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, 1987. Available at: https://ieeexplore.ieee.org/document/1702202

DWORK, Cynthia. Differential privacy. In: ICALP, 2006. Available at: https://link.springer.com/chapter/10.1007/11787006_1

GARTNER. Innovation Insight for CNAPP. 2023. Available at: https://www.gartner.com

KULLBACK, Solomon; LEIBLER, Richard A. On information and sufficiency. Annals of Mathematical Statistics, 1951. Available at: https://projecteuclid.org/euclid.aoms/1177729694

KWIATKOWSKA, Marta; NORMAN, Gethin; PARKER, David. PRISM 4.0: Verification of probabilistic real-time systems. In: CAV, 2011. Available at: https://link.springer.com/chapter/10.1007/978-3-642-22110-1_47

LIU, Fei Tony; TING, Kai Ming; ZHOU, Zhi-Hua. Isolation Forest. IEEE ICDM, 2008. Available at: https://ieeexplore.ieee.org/document/4781136

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org

NIST. Guide to Intrusion Detection and Prevention Systems (SP 800-94). 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final

NIST. Zero Trust Architecture (SP 800-207). 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final

NIST. Security and Privacy Controls for Information Systems and Organizations (SP 800-53 Rev. 5). 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final

NIST. Secure Software Development Framework (SP 800-218). 2022. Available at: https://csrc.nist.gov/publications/detail/sp/800-218/final

NIST. Digital Identity Guidelines (SP 800-63-3). 2017. Available at: https://pages.nist.gov/800-63-3/

NIST. Post-Quantum Cryptography Standardization. 2024. Available at: https://csrc.nist.gov/projects/post-quantum-cryptography

PAGE, E. S. Continuous inspection schemes. Biometrika, 1954. Available at: https://academic.oup.com/biomet/article-abstract/41/1-2/100/233320

PASQUIER, Thomas et al. CamFlow: Managed data-sharing for cloud services. IEEE Symposium on Security and Privacy, 2017. Available at: https://ieeexplore.ieee.org/document/7958609

SCARFONE, Karen; MELL, Peter. Guide to Intrusion Detection and Prevention Systems (SP 800-94). NIST, 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final

SOMMER, Robin; PAXSON, Vern. Outside the closed world. IEEE Symposium on Security and Privacy, 2010. Available at: https://ieeexplore.ieee.org/document/5504793

VERIZON. Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/