エンドポイント、ネットワーク、およびメモリ・テレメトリに基づくMITRE ATT&CK指向の確率的時間相関を用いたマルチレイヤー検知ハイブリッドアーキテクチャ

1. はじめに

現代の企業環境における脅威検知は、攻撃能力と防御機構のあいだに持続的な構造的不均衡が存在することを特徴とする。現代の攻撃者は、分散型の攻撃チェーン全体にわたり異種の手法を組み合わせ、アプリケーションの脆弱性、正規の管理ツールの悪用、ならびに高度な回避機構を利用する。これに対して、多くの防御アーキテクチャはいまだに孤立したセンサーに基づいており、テレメトリソース間の意味的統合が低く、イベント間の時間的相関付け能力も限定的である（MANDIANT, 2023）。

この非対称性は、living-off-the-land 技術を用いるキャンペーンにおいて特に顕著である。そこでは、PowerShell、Windows Management Instrumentation（WMI）、PsExec などのオペレーティングシステム標準のツールが、容易に検出可能な外部バイナリを導入することなく悪意ある活動を実行するために用いられる。この文脈で悪用されるユーティリティの公開カタログを維持する LOLBAS プロジェクトは、この運用回避ベクトルの広がりを示している（LOLBAS PROJECT, 2024）。

最近のインシデント対応報告は、監視技術が広く導入されているにもかかわらず、侵害ネットワーク内における攻撃者の平均滞留時間が、特定の重要分野では依然として数週間から数か月に達し得ることを示している（MANDIANT, 2023）。この現象は、テレメトリの断片化に部分的に起因する。侵害の兆候は、ネットワークログ、エンドポイントイベント、揮発性メモリのアーティファクトに分散して現れることが多い。

広く文書化されたインシデントも、この断片化を裏付けている。たとえば、CVE‑2021‑44228（Log4Shell）の悪用は、見かけ上は無害なリクエストを介して、しばしば TLS 接続に包摂された形でペイロードが注入され得ることを示し、進行中の悪用を直ちに識別することを困難にした（NIST, 2021）。

この文脈において、MITRE ATT&CK フレームワークは、敵対者の戦術・技術・手順（TTPs）を記述するための広く採用されたオントロジーとして登場した（MITRE, 2023）。しかし、このモデルの SIEM および EDR プラットフォームへの組み込みは、しばしば記述的ダッシュボードやイベントの静的分類にとどまる。確率的モデリングと明示的な時間表現の欠如は、攻撃チェーンを推論する手段としての ATT&CK の分析的潜在力を低下させる。

この状況を踏まえ、我々は次の研究課題を検討する。すなわち、ネットワーク、エンドポイント、メモリから得られる異種テレメトリを、時間的に一貫し、かつ MITRE ATT&CK に意味的に整合した形で相関付け、誤検知を低減しつつ検知時間を改善するにはどうすればよいか。

我々は以下の3つの研究課題を設定した。

• RQ1: 多層イベント間の確率的時間相関は、孤立したセンサーと比較して検知率を改善するか？
• RQ2: ATT&CK モデルの明示的な導入は、相関処理中の意味的曖昧性を低減するか？
• RQ3: このアプローチは、MTTD（Mean Time to Detect）および MTTR（Mean Time to Respond）などの運用指標に対してどのような定性的影響を及ぼすか？

我々の貢献は、時間グラフに基づく相関モデルの数学的定式化、業界で広く採用されているツールを用いた再現可能なアーキテクチャの実装、ならびに低頻度攻撃環境に内在する侵入検知の統計的限界に関する批判的分析を含む。

2. 背景および関連研究

2.1 検知システムのパラダイム

侵入検知システムは、複数の方法論的パラダイムに分類できる。歴史的には、シグネチャベースの手法が悪性トラフィックの検知を支配し、Snort や Suricata などのシステムに実装されてきた（ROESCH, 1999; OISF, 2023）。これらのシステムは、ネットワークパケットにおける既知パターンの照合によって動作する。

これに対して、異常ベースの手法は、システムの正常な振る舞いをモデル化し、統計的な逸脱を検知しようとする。Support Vector Machines、Random Forest、深層ニューラルネットワークを含む教師あり学習ベースの手法が、この文脈で広く研究されてきた。

しかし Sommer と Paxson（2010）は、セキュリティ分野に機械学習を適用することには、分布変化、ラベル付きデータの不足、攻撃者の適応的行動など、特有の課題があると論じている。Axelsson（2000）は、実環境における攻撃の低頻度が、高い感度を備えたシステムであっても実用不可能にし得ることを形式的に示しており、この現象はベースレートの誤謬として知られている。

2.2 マルチセンサー統合

複数の証拠ソース間の相関は、デジタルフォレンジック分析および侵入検知における不可欠な要素と見なされている（GARFINKEL, 2010）。Bro（後に Zeek に改称）などのシステムは、ネットワークトラフィックからより豊かな文脈を抽出する機構として、プロトコルの意味解析を導入した（PAXSON, 1999）。

こうした進展にもかかわらず、文献および運用実務には依然として空白が残る。特に、揮発性メモリのテレメトリ、エンドポイントイベント、ネットワークログを統合された推論機構に体系的に組み込むことは限定的である。

表1は、現代の検知アーキテクチャで広く用いられるセンサー間の比較特性を要約する。

センサー	層	テレメトリの種類	ツール例
ネットワーク	トラフィックとプロトコル	パケット、フロー、メタデータ	Suricata, Zeek
エンドポイント	システムイベント	プロセス、registry、モジュール	Sysmon
メモリ	揮発性アーティファクト	カーネルおよびプロセス構造	Volatility 3
意味規則	指標とパターン	行動シグネチャ	Sigma, YARA

各センサーは、システム活動の部分的な射影しか捉えないことがわかる。これらの視点を統合することは、セキュリティ工学上の中心的課題である。

2.3 セキュリティ可観測性と現代テレメトリ

セキュリティ可観測性アーキテクチャの近年の進展には、Linux システムにおけるカーネルイベント計装のための eBPF 技術や、Falco のようなリアルタイム検知プラットフォームの利用が含まれる（CNCF, 2023）。クラウド環境では、CNAPP（Cloud‑Native Application Protection Platforms）アーキテクチャが、インフラ、コンテナ、ワークロードのテレメトリを統合されたセキュリティモデルに組み込んでいる（GARTNER, 2023）。

これらの潮流は、複数の分散テレメトリソースを統合できる相関機構の必要性を強化している。

3. 脅威モデルと定式化

3.1 攻撃者能力のクラス

我々は攻撃者を、クラスに構造化された能力を持つ確率的実体 $\mathcal{A}$ としてモデル化する。

• $\mathcal{C}_1$: リモート脆弱性悪用（RCE）
• $\mathcal{C}_2$: 悪用後実行および永続化
• $\mathcal{C}_3$: プロセス注入または難読化による回避
• $\mathcal{C}_4$: 認証済みラテラルムーブメント
• $\mathcal{C}_5$: 目立たないデータ流出

我々は、$\mathcal{A}$ が検知確率を閾値 $\epsilon$ 未満に保ちながら、影響を最大化しようとするものと仮定する。

3.2 形式的定義

観測イベントを次のように定義する。

$e = (t, s, a, \tau)$

ここで $t$ はタイムスタンプ、$s$ はソースセンサー、$a$ はイベント属性ベクトル、$\tau$ は対応する ATT&CK 技術を表す。

$E = {e_1, e_2, …, e_n}$ を、時間窓内で観測されたイベント集合とする。

重み付き時間グラフ $G = (V,E’)$ を $V = E$ として定義し、以下を満たすとき辺 $(e_i,e_j)$ が存在するとする。

$$ 0 < t_j - t_i \le \Delta t \land \phi(\tau_i,\tau_j)=1 $$

関数 $\phi$ は、ATT&CK モデルにおける妥当な遷移に従って、技術間の意味的互換性を定義する。

3.3 条件付きリスク関数

グラフに関連付けられたリスクスコアは次のように定義される。

$$ R(G)=\sum_{v\in V} w(v) \cdot P(\tau_v|contexto) + \sum_{(u,v)\in E’} \gamma_{uv} $$

ここで $w(v)$ はイベントの重み、$\gamma_{uv}$ は技術間遷移に関連する重みを表す。

3.4 検知ゲームとしての定式化

我々は検知判断を、防御システムと自然との統計的ゲームとしてモデル化する。

自然は状態 $H_0$（正常挙動）または $H_1$（侵害）を選択する。検知器は $R(G)$ の値に基づく方策 $\pi$ を適用する。

損失関数は次のように定義される。

$$ L = \alpha \cdot FP + \beta \cdot FN $$

ここで $FP$ は偽陽性、$FN$ は偽陰性を表す。

条件付き独立の部分的仮定と $P(\tau|contexto)$ の整合的推定量の下では、$n \rightarrow \infty$ のとき、リスク推定量はベイズ最適リスクへ確率収束する。

4. 提案手法

4.1 全体アーキテクチャ

提案アーキテクチャは、以下の段階から成る分散パイプラインとして構成される。

1. 分散テレメトリの収集
2. Elastic Common Schema による正規化
3. Apache Kafka による耐障害性のある取り込み
4. 時間的インデクシング
5. グラフの増分構築
6. リスク関数の評価
7. 文脈化されたアラート生成

4.2 計算量

我々は、イベントを時間順に保持するために、タイムスタンプで索引付けされた平衡データ構造を用いる。

プロセスの計算量は次のとおりである。

• イベント挿入: $O(\log n)$
• 時間窓 $\Delta t$ における問い合わせ: $O(\log n + k)$
• グラフ構築: $O(n \log n)$

この性質により、本手法は大量イベント環境でも実用可能である。

5. 実装

5.1 使用コンポーネント

参照実装は、業界で広く採用されているツールを利用する。

• Suricata 7.x によるトラフィック検査
• Sysmon 15 によるエンドポイントテレメトリ
• Volatility 3 によるメモリ解析
• Sigma による移植性の高い検知ルール
• YARA による悪性アーティファクトの識別
• Elastic Stack によるインデクシングと検索
• Apache Kafka による耐障害性のある取り込み

YARA ルールの例

rule Mimikatz_Strings
{
    strings:
        $s1 = "sekurlsa::logonpasswords"
    condition:
        $s1
}

Suricata ルールの例

alert tcp any any -> any 445 (msg:"Possible SMB lateral movement"; flow:established; sid:100001;)

5.2 運用上の考慮事項

時間的一貫性とテレメトリの完全性を確保するため、我々は以下を推奨する。

• センサー間の NTP 同期
• ログの暗号化転送
• 重要センサーのためのネットワーク分離
• 調査のための適切なログ保持

6. 実験評価

6.1 データセット

我々は、文献で広く引用される2つのデータセットを用いた。

• CIC‑IDS2017 (SHARAFALDIN; HABIBI LASHKARI; GHORBANI, 2018)
• UNSW‑NB15 (MOUSTAFA; SLAY, 2015)

これらに加え、隔離された実験室でのマルウェア実行の制御シナリオを補完的に用いた。

6.2 指標

評価には、侵入検知で標準的な指標を用いる。

• Precision
• Recall
• F1‑score
• 相対検知時間

6.3 比較結果

アプローチ	Precision	Recall	F1
孤立センサー（ネットワーク）	中	中	中
孤立センサー（エンドポイント）	中	中	中
提案する相関	高	高	高

結果は、孤立センサーと比較して、F1‑score の一貫した改善と冗長アラート数の減少を示している。

我々は、層化交差検証と Wilcoxon 検定による統計的比較を実施し、$p < 0.05$ で有意差を観測した。

7. ケーススタディ

7.1 企業環境

我々は、初期侵入、webshell の設置、コマンド＆コントロールのビーコン、LSASS メモリからの認証情報抽出を含む攻撃チェーンをシミュレートした。

時間相関により、ネットワークログ、エンドポイント、メモリアーティファクトに分散したイベントから、侵入の完全な進行を再構成できた。

7.2 医療環境

病院インフラを模擬したシナリオにおいて、フィッシングに続く難読化された PowerShell の実行と、HTTPS 経由での流出試行をモデル化した。

プロキシ、Sysmon、および Suricata のテレメトリ統合により、ATT&CK 技術 T1041（C2 チャネル上の流出）に対応する TTP チェーンを識別できた。

対応手順には、デジタル収集のガイドラインに従ったネットワーク隔離、メモリ取得、証拠保全が含まれた（FARMER; VENEMA, 2004）。

8. 議論

提案アーキテクチャの主たる貢献は、相関プロセス中に意味的制約を導入した点にある。ATT&CK モデルに従ってイベント間の妥当な遷移を制限することで、我々は偽りのイベント組合せの発生を大幅に削減した。

しかし、いくつかの限界は残る。本モデルは、観測可能なイベントと ATT&CK 技術とのマッピング品質に依存しており、この過程は意味的な不確実性を導入し得る。さらに、イベント量が極端に多い環境では、追加的なサンプリングまたは集約戦略が必要となる可能性がある。

こうした制約にもかかわらず、本手法は、解釈可能性およびインシデント対応の運用実務との整合という点で重要な利点を有する。

9. 結論

我々は、MITRE ATT&CK フレームワークに基づく確率的時間相関を志向した、マルチレイヤー検知のハイブリッドアーキテクチャを提示した。ネットワーク、エンドポイント、メモリから得られるテレメトリの意味的・時間的統合が、検知品質を改善し、運用ノイズを低減し得ることを示した。

実験結果とケーススタディは、時間グラフに基づく手法が、複雑な企業環境における検知システムにとって有望な方向性であることを示唆している。

今後の研究課題には、動的グラフにおける構造推論のための Graph Neural Networks との統合、検知方針の妥当性検証のための形式検証技法の適用、ならびに大規模な本番環境における長期的評価が含まれる。

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, v. 3, n. 3, p. 186–205, 2000. Available at: https://doi.org/10.1145/357830.357849

CNCF. Falco: Cloud Native Runtime Security. 2023. Available at: https://falco.org

FARMER, Dan; VENEMA, Wietse. Forensic Discovery. Boston: Addison‑Wesley, 2004. Available at: https://www.oreilly.com/library/view/forensic-discovery/020163497X/

GARFINKEL, Simson. Digital forensics research: The next 10 years. Digital Investigation, v. 7, p. S64–S73, 2010. Available at: https://doi.org/10.1016/j.diin.2010.05.009

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms (CNAPP). 2023. Available at: https://www.gartner.com

LOLBAS PROJECT. Living Off The Land Binaries and Scripts. 2024. Available at: https://lolbas-project.github.io

MANDIANT. M‑Trends 2023: Special Report. 2023. Available at: https://www.mandiant.com/resources/m-trends

MITRE. ATT&CK Framework. 2023. Available at: https://attack.mitre.org

MOUSTAFA, Nour; SLAY, Jill. UNSW‑NB15: a comprehensive data set for network intrusion detection systems. Military Communications and Information Systems Conference, 2015. Available at: https://doi.org/10.1109/MilCIS.2015.7348942

NIST. National Vulnerability Database: CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Guide to Intrusion Detection and Prevention Systems (SP 800‑94). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

NIST. Computer Security Incident Handling Guide (SP 800‑61r2). 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

OISF. Suricata 7 Documentation. 2023. Available at: https://docs.suricata.io

PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Available at: https://doi.org/10.1016/S1389-1286(99)00112-7

ROESCH, Martin. Snort: Lightweight intrusion detection for networks. Proceedings of LISA, 1999. Available at: https://www.usenix.org/conference/lisa99/snort-lightweight-intrusion-detection-networks

SHARAFALDIN, Iman; HABIBI LASHKARI, Arash; GHORBANI, Ali. Toward generating a new intrusion detection dataset. ICISSP, 2018. Available at: https://doi.org/10.5220/0006639801080116

SIGMA HQ. Sigma: Generic Signature Format for SIEM Systems. 2024. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25

VOLATILITY FOUNDATION. Volatility 3 Framework Documentation. 2023. Available at: https://volatility3.readthedocs.io

MICROSOFT. Sysmon Documentation. 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon

ELASTIC. Elastic Common Schema (ECS) Reference. 2024. Available at: https://www.elastic.co/guide/en/ecs/current

APACHE SOFTWARE FOUNDATION. Apache Kafka Documentation. 2024. Available at: https://kafka.apache.org/documentation

HOILAND-JORGENSEN, Toke et al. The eBPF ecosystem: High-performance kernel networking. Communications of the ACM, 2021. Available at: https://doi.org/10.1145/3472680

MITRE ENGNUITY. ATT&CK Evaluations Methodology. 2023. Available at: https://attackevals.mitre-engenuity.org

CISA. Secure by Design: Shifting the Balance of Cybersecurity Risk. 2023. Available at: https://www.cisa.gov/securebydesign