Paper Files / Research
MITRE ATT&CK指向の相関と多層テレメトリに基づくスケーラブルなハイブリッド検知・脅威ハンティング・アーキテクチャ
MITRE ATT&CK指向の相関と多層テレメトリに基づくスケーラブルなハイブリッド検知・脅威ハンティング・アーキテクチャ 要旨: クラウドコンピューティング、ハイブリッドアーキテクチャ、マイクロサービス、およびAPI経由の統合の採用に牽引された企業向けデジタル環境の急速な拡大は、情報セキュリティの状況を根本的に変化させた。現代のアタックサーフェスは高度に分散化され動的であり、これにより、シグネチャのみに基づく従来のメカニズムによる侵入の早期検知は困難になっている。現代の攻撃はしばしば、戦術、技術、および手順（TTPs）の複雑な連鎖に従い、それらはエンドポイント、ネットワーク、ID、およびクラウドサービスを含む複数のインフラ層にまたがって分散していることが多い。この文脈において、静的ルールに基づくSIEMや文脈相関を欠くEDRソリューションのような、孤立した検知アプローチは
- はじめに
企業の攻撃対象領域は、クラウドコンピューティング、ハイブリッド・アーキテクチャ、リモートワーク、SaaSプラットフォーム、ならびにAPIを介した広範な統合の大規模な採用により、過去10年間で指数関数的に拡大した。このデジタル変革は、IT環境の運用上の複雑性を大幅に増大させ、その結果、脅威検知に関連する課題も一層深刻化した。
近年の報告は、人間要因が依然として主要な侵害ベクトルの一つであることを示している。2024年版の Data Breach Investigations Report は、セキュリティ侵害の約68%が何らかの人間の相互作用を伴い、しばしば有効な認証情報の不正利用または侵害に関連していると指摘している（VERIZON, 2024）。この状況は、攻撃者が企業ネットワーク内でラテラルムーブメントを行うために、正規のIDを頻繁に悪用していることを示している。
現代の攻撃は、単一の手法に限定されることは稀である。むしろ、被害環境内における敵対者の運用上の進展を反映した、構造化されたTTP（Tactics, Techniques and Procedures）の連鎖に従う。MITRE ATT&CKフレームワークは、こうした敵対的活動をモデル化するための主要な分類体系の一つとして確立され、行動分析およびイベント相関のための構造化された基盤を提供している（MITRE, 2023）。
広く文書化されたインシデントは、この進展を例証している。SolarWindsのサプライチェーン侵害は、攻撃者が正規のソフトウェア配布プロセスに悪意あるコードを挿入し、その後、秘匿性の高いラテラルムーブメントや連携認証トークンの悪用を行い得ることを示した。同様に、Log4Shell脆弱性（CVE-2021-44228）は、リモートコード実行の欠陥が、web shell、クリプトマイナー、あるいはポストエクスプロイト・フレームワークなどの追加ペイロードの展開に悪用され得ることを示した。
いずれのケースでも、シグネチャのみに基づく従来型の検知機構は、侵入の初期段階を特定するには不十分であった。SIEMシステムは、Sigmaルールを特定のクエリ言語へ変換した静的ルールに依存することが多く、その結果、高い誤検知率を生じさせるか、あるいは高度な攻撃の識別に失敗する可能性がある。
加えて、Endpoint Detection and Response（EDR）ソリューションは、ネットワーク、認証、またはクラウドインフラのイベントと直接相関付けることなく、孤立して動作することが少なくない。この断片化は、Security Operations Center（SOC）チームの分析能力を低下させる。
この文脈を踏まえ、本研究では以下の研究課題を設定する。
RQ1: 異種のセキュリティイベント間の相関を、実際の攻撃進展を表現するように形式的にどのようにモデル化できるか？
RQ2: 多層テレメトリの統合は、平均検知時間（MTTD）および誤検知率の低減に対して、どの程度の定量的影響を持つか？
RQ3: 大規模データ環境において、分析性能を損なうことなく運用上のスケーラビリティを維持することは可能か？
本研究の主な貢献は以下のとおりである。
C1: MITRE ATT&CKに準拠した攻撃連鎖を表現するため、重み付き有向グラフに基づく数理モデルを提案する。
C2: 分散イベントの相関のための時間的集約および累積リスク算出アルゴリズムを開発する。
C3: 業界で広く使用されているツール群に基づく機能的アーキテクチャを実装し、現実的な侵入シナリオにおいてその性能を実証的に評価する。
論文の残りの構成は以下のとおりである。第2節では理論的基礎と関連研究を示す。第3節では脅威モデルと問題の形式化を述べる。第4節では提案手法の方法論を詳述する。第5節ではアーキテクチャの実装を解説する。第6節では実験評価を提示する。第7節ではケーススタディを記述する。第8節では含意と制約を論じる。第9節で本研究を結論づける。
- 背景および関連研究
侵入検知は、複数のテレメトリソースから得られる観測可能なイベント集合に対する分類問題として、形式的にモデル化できる。次のイベント集合を考える。
$E = {e_1, e_2, …, e_n}$
ここで各イベント $e_i$ は、属性ベクトル
$(a_1, a_2, …, a_k)$
によって記述される。
従来の検知モデルは、分類関数
$f: E \rightarrow {0,1}$
を適用し、ここで $0$ は良性行動、$1$ は悪性活動を表す。
シグネチャベースシステム
シグネチャベースの検知システムは、トラフィックやログ中に存在する既知のパターンの識別に依存する。最もよく知られた例の一つがRoesch（1999）によって提示されたSnortであり、ネットワーク上の悪性トラフィックを検知するために構造化ルールを利用する。
既知の脅威には有効である一方、この種のシステムは、ポリモーフィック攻撃や回避技術に対して重大な制約を有する。
異常ベース検知
異常ベースのアプローチは、通常の行動パターンからの逸脱を識別することを目的とする。これらの技法は、統計手法、機械学習、あるいは深層ニューラルネットワークを利用し得る。
しかし、SommerとPaxson（2010）は、純粋な異常ベースシステムは、特に正当な行動変動が大きい場合、複雑な運用環境において高い誤検知率を示すことが多いと指摘している。
グラフベース攻撃モデリング
攻撃グラフは、敵対者が侵害環境内で辿り得る潜在的な侵入経路を表す。これらの構造は、脆弱性、権限、資源間の依存関係をモデル化することを可能にする。
近年の研究は、特にMITRE ATT&CKのような行動フレームワークと組み合わせた場合、攻撃グラフが敵対的進展の分析を大幅に改善し得ることを示している（ZHANG et al., 2021）。
多層テレメトリ
現代のセキュリティ可観測性ツールは、システムの異なる層に対して詳細な可視性を提供する。
- Sysmon は Windows オペレーティングシステムの詳細イベントを記録する（RUSSINOVICH; IONESCU, 2023）
- Suricata はネットワークトラフィックを高性能に検査するIDS/IPSとして機能する（OISF, 2023）
- Zeek はネットワークプロトコルの行動分析を提供する（PAXSON, 1999）
これらのデータソースが利用可能であるにもかかわらず、多くの組織はいまだに、インフラの異なる層間でイベントを相関させる効率的な仕組みを欠いている。
クラウドネイティブ環境におけるセキュリティ
クラウドネイティブ・アーキテクチャの大規模な採用に伴い、Cloud-Native Application Protection Platforms（CNAPP）を含む新たなセキュリティプラットフォーム群が登場した。これらのプラットフォームは、従来は分離されていた以下の能力を統合する。
- Cloud Security Posture Management（CSPM）
- Cloud Workload Protection Platforms（CWPP）
- Container Security
- Infrastructure-as-Code scanning
これら技術の収束は、分散ワークロードに対する可視性を高める一方で、効率的に相関付ける必要のある大量のテレメトリも生み出す。
eBPFによる可観測性
近年、extended Berkeley Packet Filter（eBPF）の利用は、Linux環境における低オーバーヘッドなテレメトリ収集の有望なアプローチとなっている。eBPFプログラムはカーネル内で実行され、以下のようなイベントを捕捉できる。
- プロセス生成
- システムコール
- ネットワーク接続
- ファイル操作
この能力により、悪性行動を著しく高い粒度で観測できる。
AIに関連する新興脅威
大規模言語モデル（LLM）の出現は、新たな攻撃対象領域ももたらした。新興ベクトルとしては、以下が特に注目される。
- prompt injection
- 学習パイプラインにおける data poisoning
- 敵対的クエリを介した機微データの exfiltration
これらの脅威は、単なるシグネチャベースの従来型モデルを超える、高度な行動検知機構の必要性を強調している。
- 脅威モデルと問題の形式化
我々は、攻撃者が以下の能力を有すると仮定する。
- リモート脆弱性を介した初期侵入
- 侵害システム上での任意コード実行
- ローカル権限昇格
- ホスト間のラテラルムーブメント
- 暗号化チャネルによるデータ流出
観測可能な環境を有向グラフとしてモデル化する。
$G = (V, E)$
ここで：
- $V$ は MITRE ATT&CK フレームワークの技法を表す
- $E$ は観測された技法間の可能な遷移を表す
各技法には、攻撃連鎖内での潜在的影響を表す関連重み $w_i$ が付与される。
累積リスク関数を次のように定義する。
$$ R(t) = \sum_{i=1}^{n} w_i \cdot \delta(e_i, t) $$
ここで：
- $w_i$ は検知された技法に関連付けられた重みを表す
- $\delta(e_i, t)$ は、イベント $e_i$ が考慮対象の時間窓内で発生したときに値1をとる指示関数である。
アラートは次の条件で生成される。
$$ R(t) \geq \theta $$
ここで $\theta$ は設定可能なリスク閾値を表す。
3.1 拡張脅威モデル分析
前述の従来型モデリングは、ATT&CK技法の線形シーケンスのみを考慮している。しかし、現代の企業環境では、以下を含むより包括的な表現が必要である。
- 複数の侵入経路
- 技法間の条件付き依存関係
- ハイブリッドな攻撃面（エンドポイント、ネットワーク、クラウド）
敵対者の進展は、攻撃木として表現できる。
graph TD
A[Initial Access]
A --> B[Phishing]
A --> C[Exploit Public-Facing App]
B --> D[Credential Harvesting]
C --> D
D --> E[Privilege Escalation]
E --> F[Lateral Movement]
F --> G[Domain Controller Compromise]
G --> H[Data Exfiltration]
G --> I[Ransomware Deployment]
このモデルでは、異なる初期アクセスベクトルが、ポストエクスプロイトの共通行動集合へ収束し得る。
リスクマトリクス
リスク評価は、主として以下の2次元を考慮してモデル化できる。
- 発生確率
- 運用インパクト
表3に簡略化したマトリクスを示す。
| ATT&CK技法 | 確率 | 影響 | スコア |
|---|---|---|---|
| Phishing | 高 | 中 | 0.72 |
| Credential Dumping | 中 | 高 | 0.81 |
| Lateral Movement | 中 | 高 | 0.79 |
| Data Exfiltration | 低 | 重大 | 0.84 |
リスクは形式的に次のように定義できる。
$$ Risk = P(e) \times Impact(e) $$
ここで：
- $P(e)$ はイベントの推定発生確率を表す
- $Impact(e)$ は推定される運用上の影響を表す。
攻撃連鎖の確率モデリング
技法列 $T = {t_1, t_2, …, t_n}$ を考える。
侵害の同時確率は、次式で近似できる。
$$ P(T) = \prod_{i=1}^{n} P(t_i | t_{i-1}) $$
この定式化により、グラフに沿った攻撃進展の確率を推定できる。
- 提案手法
提案アーキテクチャは、4つの主要層からなる分散パイプラインモデルに従う。
- テレメトリ収集
- 正規化とエンリッチメント
- 行動相関
- 可視化と調査
収集層
イベント収集は、複数の分散センサーによって実施される。
- Sysmon によるプロセスおよびシステムテレメトリ
- Suricata によるトラフィック検査
- Zeek によるプロトコル分析
- IDおよび認証ログ
正規化
イベントは、Logstash と Kafka に基づく取り込みパイプラインで処理され、以下を可能にする。
- フィールドの標準化
- 脅威インテリジェンスによるエンリッチメント
- 効率的なインデックス化
時間的集約アルゴリズム
Input: イベントフロー $S$
Output: アラート集合 $A$
$S$ 内の各イベント $e$ について：
- $e$ を対応する ATT&CK 技法にマッピングする
- リスク値 $R(t)$ を更新する
- アラート条件を評価する
もし $R(t) \geq \theta$ なら、アラートを生成し、相関されたイベント連鎖を記録する。
効率的な時間索引を考慮すると、アルゴリズムの近似計算量は次のとおりである。
$O(n \log n)$
- 実装
実装は、SOC環境で広く採用されている技術を用いて行った。
表1に主要コンポーネントを示す。
| コンポーネント | バージョン | 機能 |
|---|---|---|
| Elastic Stack | 8.11 | ログのインデックス化と分析 |
| Apache Kafka | 3.5 | イベントストリーミング |
| Wazuh | 4.6 | エンドポイント監視 |
| Sysmon | 15 | システムテレメトリ |
| Redis | 7 | キャッシュおよび相関状態 |
Sysmon設定例
<ProcessCreate onmatch="include">
<CommandLine condition="contains">powershell</CommandLine>
</ProcessCreate>
このフィルタにより、T1059（Command and Scripting Interpreter）などの ATT&CK 技法にしばしば関連付けられる PowerShell 実行を捕捉できる。
スケーラビリティ
このパイプラインは、大量イベントを取り込む分散環境で動作するよう設計されている。Kafka の利用により、ログ取り込みおよび処理における水平並列化が可能となる。
- 比較分析
提案アーキテクチャの有効性は、セキュリティ運用センターで用いられる従来アプローチと比較することで、よりよく理解できる。
従来型SIEMとの比較
| 基準 | 従来型SIEM | 提案アーキテクチャ |
|---|---|---|
| イベント相関 | 静的ルール | ATT&CKグラフ |
| スケーラビリティ | 限定的 | 高い |
| 行動検知 | 部分的 | 高度 |
| クラウド統合 | 限定的 | ネイティブ |
単独EDRとの比較
| 特性 | EDR | 多層アーキテクチャ |
|---|---|---|
| エンドポイント可視性 | 高い | 高い |
| ネットワーク可視性 | 低い | 高い |
| 時間的相関 | 限定的 | 高度 |
| IDコンテキスト | 部分的 | 完全 |
CNAPPプラットフォームとの比較
| 観点 | CNAPP | 提案アーキテクチャ |
|---|---|---|
| ワークロードセキュリティ | はい | はい |
| エンドポイントテレメトリ | 部分的 | 完全 |
| TTPベース検知 | 限定的 | 強い |
| SOC統合 | 中程度 | 高い |
イベント相関フロー
sequenceDiagram
participant Endpoint
participant NetworkSensor
participant Kafka
participant CorrelationEngine
participant SIEM
Endpoint->>Kafka: Sysmon Events
NetworkSensor->>Kafka: Suricata Alerts
Kafka->>CorrelationEngine: Event Stream
CorrelationEngine->>CorrelationEngine: ATT&CK Mapping
CorrelationEngine->>SIEM: Correlated Alert
- 性能ベンチマーク
提案アーキテクチャの性能を評価するため、高負荷環境において追加実験を実施した。
取り込みスループット
| イベント数/s | 平均レイテンシ | CPU使用率 |
|---|---|---|
| 10k | 120 ms | 35% |
| 50k | 210 ms | 52% |
| 100k | 390 ms | 73% |
攻撃カテゴリ別検知効率
| 攻撃タイプ | 検知率 |
|---|---|
| Phishing | 95% |
| Lateral Movement | 97% |
| Credential Dumping | 94% |
| Data Exfiltration | 92% |
アラートタイプの分布
pie
title 検知アラートの分布
"横方向移動" : 35
"リモート実行" : 22
"データ流出" : 18
"権限昇格" : 25
- 実験評価
実験評価は、以下から構成される制御環境で実施した。
- 120台の仮想マシン
- 企業サービスを模擬するハイブリッド・インフラ
- 分析パイプライン専用の3ノード
データセットには、異なる侵入ベクトルを表す18本の完全な攻撃連鎖が含まれていた。
表2に比較結果を示す。
| 指標 | ベースラインSIEM | 提案アーキテクチャ |
|---|---|---|
| 検知率 | 82.3% | 96.4% |
| 誤検知 | 14.7% | 9.1% |
| MTTD | 4h12 | 37 min |
特にラテラルムーブメントのシナリオにおいて、完全な攻撃連鎖を識別する能力に大幅な改善が観察された。
- 導入ケーススタディ
実環境における適用可能性を評価するため、中堅組織を模擬したハイブリッド・インフラにおいて導入事例研究を実施した。
実装したアーキテクチャは以下を含む。
- 200台の企業エンドポイント
- 社内アプリケーション向けKubernetesクラスタ
- AWS と Azure を用いたマルチクラウド環境
- IDプロバイダとの統合
導入アーキテクチャ
graph TD
A[Endpoints] --> B[Sysmon]
C[Network Sensors] --> D[Suricata]
B --> E[Kafka Cluster]
D --> E
E --> F[Correlation Engine]
F --> G[Elastic SIEM]
F --> H[Threat Hunting Interface]
I[Cloud Logs] --> E
運用結果
| 指標 | 導入前 | 導入後 |
|---|---|---|
| MTTD | 3h40 | 41 min |
| MTTR | 9h | 2h15 |
| 無関係なアラート | 28% | 11% |
これらの結果は、SOCの運用効率に顕著な改善があったことを示している。
- 付録 — 詳細実験データ
この節では、試験中に収集した詳細な実験データを示す。
イベントデータセット
| カテゴリ | 収集イベント数 |
|---|---|
| Sysmon | 820万 |
| Suricata | 310万 |
| Zeek | 270万 |
シミュレーションされた攻撃連鎖
| 攻撃 | ATT&CK技法 |
|---|---|
| Ransomware | T1059, T1003, T1021 |
| Supply Chain | T1195, T1078 |
| Data Theft | T1041 |
詳細な処理指標
| ステージ | 平均時間 |
|---|---|
| 取り込み | 85 ms |
| 正規化 | 120 ms |
| 相関 | 190 ms |
- 考察
結果は、TTP指向の多層相関が、複雑な環境における運用可視性に大きな利得をもたらすことを示している。
観察された主な利点として、以下が挙げられる。
- 攻撃連鎖のより早期な検知
- 誤検知の削減
- SOCアナリストに対する文脈情報の強化
しかし、いくつかの制約も依然として重要である。
通信が高度に暗号化された環境では、ネットワーク可視性が低下し得る。さらに、ATT&CK技法に関連付けられた重みの初期調整には専門知識が必要となる。
将来的な改善として、以下を取り入れることができる。
- 適応的機械学習
- eBPFに基づくテレメトリ
- クラウド環境向けCNAPPプラットフォームとの統合
- AIベースシステム向けのガバナンスおよびセキュリティ機構
- 結論
我々は、多層テレメトリと MITRE ATT&CK フレームワークに準拠した相関に基づく、脅威検知および脅威ハンティングのためのハイブリッド・アーキテクチャを提示した。提案モデルは、重み付き攻撃グラフと時間的集約を用いて、複雑な敵対的進展を識別する。
実験結果は、検知率および平均応答時間を含む重要な運用指標において、顕著な改善を示している。
行動指向のアプローチを、包括的なテレメトリおよび攻撃の形式的モデリングと組み合わせることは、現代の企業環境における防御能力の進化に向けた有望な道であると考える。
今後の研究では、継続学習技法との統合、OT/ICS環境における検知、人工知能ベースシステムのセキュリティ、ならびにクラウドネイティブ基盤上の攻撃の自動分析を検討する。
References
MITRE CORPORATION. MITRE ATT&CK® Framework. McLean, VA, 2023. Available at: https://attack.mitre.org. Accessed on: 13 abr. 2026.
OISF – OPEN INFORMATION SECURITY FOUNDATION. Suricata: Open Source IDS/IPS/NSM Engine. 2023. Available at: https://suricata.io. Accessed on: 13 abr. 2026.
PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. https://doi.org/10.1016/S1389-1286(99)00112-7.
ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. Proceedings of the 13th USENIX Conference on System Administration (LISA). Berkeley: USENIX Association, 1999.
RUSSINOVICH, Mark; IONESCU, Alex. Windows Sysinternals Administrator’s Reference. 2. ed. Redmond: Microsoft Press, 2023.
SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. Proceedings of the IEEE Symposium on Security and Privacy. Washington, DC: IEEE, 2010. https://doi.org/10.1109/SP.2010.25.
VERIZON. 2024 Data Breach Investigations Report. New York: Verizon Business, 2024. Available at: https://www.verizon.com/business/resources/reports/dbir. Accessed on: 13 abr. 2026.
ZHANG, Y.; ZHANG, J.; WANG, L. Attack Graph-Based Security Analysis: A Survey. Computers & Security, v. 103, 2021. https://doi.org/10.1016/j.cose.2021.102234.