Research / Paper Files
Paper Files
Paper Files は、学習ツールとして scientific method を適用する、cybersecurity における継続学習の個人的実践です。各記事は学術出版のためではなく、斧を研ぐための意図的な訓練として書かれています。特定トピックへの知識を深め、考えを厳密に整理し、特定の विषयへの理解が時間とともにどう発展するかを観察するためです。これは訓練日誌に相当する知的活動であり、各エントリには何を学び、どのように分析し、どのような結論に至ったかが記録されます。
私は、セキュリティ専門家がこの方法を採用することを強く推奨します。習得したいトピックを一つ選び、一次資料 (RFCs、papers、公式ドキュメント) を調査し、文章を序論、方法論、分析、結論で構成し、同僚に説明するつもりで書いてください。書くという行為は思考の明確さを強制し、受動的な読書では見えない理解の穴をあぶり出します。このサイトの記事を形式と深さの例として活用し、自分自身のコレクションを構築してください。時間が経てば、どのコースや certification でも置き換えられない、洗練された知識の個人リポジトリが手に入ります。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →13 papers
タイトル: 統一テレメトリと敵対者モデリングに基づくマルチクラウド環境における脅威検出および対応のための形式的かつ運用的アーキテクチャ
タイトル: 統一テレメトリと敵対者モデリングに基づくマルチクラウド環境における脅威検出および対応のための形式的かつ運用的アーキテクチャ 要旨: マルチクラウドおよびクラウドネイティブ・アーキテクチャの普及は、組織の攻撃対象領域を深く変容させ、従来の境界防御中心のセキュリティから、アイデンティティ、API、サプライチェーン、分散制御プレーン、ソフトウェア定義インフラストラクチャのガバナンスへと焦点を移行させた。2019年のCapital One侵害におけるServer-Side Request Forgery (SSRF) の悪用とAWS Instance Metadata Serviceへの不正アクセス、ならびに脆弱性Log4Shell (CVE-2021-44228) の大規模悪用といった広く文書化されたインシデントは、過度に特権化されたアイデンティティ、断片化した可視性、およびテレメトリの異種性の組み合わせが、大規模なシステム的侵害を引き起こし得ることを示している。同時に、クラウド事業者および独立組織が公表するインテリジェンス報告は、有効な認証情報、OAuthトークン、APIキーの悪用が、現代のクラウド環境への攻撃において反復的な侵入ベクトルであることを示している。本研究では、マルチクラウド環境における脅威検出および対応のための形式的かつ運用的アーキテクチャを、相補的な三つの柱に基づいて提示する。(i) 制御プレーン、ネットワーク、ランタイムに由来するテレメトリの意味的統合、(ii) 有向かつ注釈付きの時系列グラフによる敵対者行動の形式モデリング、(iii) Sigmaによる宣言的ルール、Suricataによるネットワークシグネチャ、eBPFベースの計測（Falco）、およびElastic Stackと正規化されたインジェスト・パイプラインを用いた構造化分析を組み合わせたハイブリッドな相関機構である。我々は検出問題を、注釈付き時系列グラフ上で定義される決定関数 f: G(E,T) → {0,1} として形式化し、テレメトリの完全性および時間粒度に関する明示的仮定の下で、条件付き完全性と偽陽性抑制に関する形式的性質を導入する。アーキテクチャは、Amazon Web Services、Microsoft Azure、Google Cloud Platform を含むマルチクラウド環境において、計測済みKubernetesクラスタと、Atomic Red Teamで実行した MITRE ATT&CK for Cloud フレームワーク由来の実験シナリオを用いて実証的に評価した。制御プレーン・ログのみに基づくベースラインと比較して、アイデンティティ操作、コンテナ実行、データ流出を含むチェーンに対する平均検出時間（MTTD）の一貫した短縮と検出率の向上を確認した。我々の結果は、テレメトリの意味的統合と攻撃チェーンの形式モデリングを組み合わせることで、成熟したセキュリティ運用センター（SOC）の運用に適合可能な偽陽性率を維持しつつ、測定可能な検出性能の向上が得られることを示している。
Read paper →Cloud2023年のクラウドコンピューティング環境におけるセキュリティ: CNAPP、eBPFによる可観測性、そして生成AIの新たなリスクの統合
TITLE: 2023年のクラウドコンピューティング環境におけるセキュリティ: CNAPP、eBPFによる可観測性、そして生成AIの新たなリスクの統合 ABSTRACT: クラウドコンピューティングの急速な普及は現代のデジタルインフラを変革し、IaaS、PaaS、SaaS といったモデルをデジタル経済の基盤として確立した。2023年には、この技術進化がクラウドネイティブアーキテクチャ、マイクロサービス、コンテナ、継続的インテグレーションパイプラインの拡大と同時進行で進み、組織の攻撃対象領域を大幅に広げた。本研究は、現代のクラウド環境における主要なセキュリティ課題を体系的に検討し、2023年までのセキュリティエコシステムで観測された三つの中核的潮流、すなわち Cloud-Native Application Protection Platform (CNAPP)、eBPF を用いた可観測性と脅威検知、ならびに生成型人工知能モデルおよび大規模言語モデル（LLMs）の採用に伴う新たなリスクについて統合的に分析する。まず、責任共有モデル、リソース分離、データ保護のための暗号機構を含む、クラウドセキュリティのアーキテクチャ的基盤を論じる。次に、インフラストラクチャの設定ミス、認証情報の侵害、API の悪用、開発パイプラインを標的とした攻撃など、現代的な攻撃ベクトルを分析する。さらに、露出度、資産の重要度、悪用可能性を統合したマルチクラウド環境向けの形式的リスク評価モデルを提案する。このモデルにより、弾力的かつ高度に分散したインフラストラクチャにおける運用リスクを定量化できる。加えて、CNAPP プラットフォームが CSPM、CWPP、アプリケーションセキュリティの収束に果たす役割を実証的に評価し、これらのソリューションが可視性の欠如とインシデント対応のギャップをどのように縮小するかを示す。また、Linux カーネルにおける低レベル監視のための eBPF の活用を検討し、最小限の性能影響でリアルタイムの挙動ベース脅威検知を可能にすることを示す。最後に、LLM ベースのシステムを企業のワークフローに統合することに関連する新たなリスク、すなわち prompt injection、データの exfiltration、コンテキスト操作を調査する。結論として、2023年のクラウドセキュリティには、形式的検証、深い可観測性、そして AI ガバナンスを組み合わせた統合的アプローチが求められる。本研究の結果は、暗号技術、挙動分析、ポリシーベース自動化の収束が、現代の分散インフラストラクチャにおける脅威を軽減するうえで不可欠であることを示している。
Read paper →Cloudテレメトリ統合、eBPF、および攻撃チェーンの形式的モデリングに基づくマルチクラウド環境における脅威検知および対応のためのオペレーショナル・アーキテクチャ
TITLE: テレメトリ統合、eBPF、および攻撃チェーンの形式的モデリングに基づくマルチクラウド環境における脅威検知および対応のためのオペレーショナル・アーキテクチャ ABSTRACT: クラウドコンピューティングの大規模な採用は企業システムのアーキテクチャを深く変革し、従来のセキュリティ境界を、アイデンティティ、API、およびソフトウェア定義インフラストラクチャを中心としたモデルへと移行させた。マルチクラウド環境では、プロバイダの異質性、テレメトリ形式、制御機構の多様性により、分散攻撃を一貫して検知することが困難である。本研究では、複数のクラウドプロバイダからのイベントをほぼリアルタイムで相関できる、インシデント検知および対応のオペレーティングシステムをどのように設計するかを検討する。われわれは、統合テレメトリ、ログの意味的正規化、および攻撃シーケンスの形式的モデリングに基づくアーキテクチャを提案する。このアプローチは、ネイティブ監査サービス（CloudTrail、Azure Activity Logs、GCP Cloud Logging）、ネットワークセンサ、および cloud-native ワークロードにおけるランタイム可観測性のための eBPF ベースの低レベル計測から得られるデータを統合する。この異種テレメトリに基づき、時間窓内のイベントを用いたリスク評価のための数学モデルを定義し、アイデンティティの悪用、インフラストラクチャの改変、ラテラルムーブメントによって特徴づけられる攻撃チェーンの識別を可能にする。実装した相関機構は、索引付けおよび検索エンジンとして OpenSearch を使用し、シグネチャベースの振る舞い検知のための Sigma ルール、および異常検知のための機械学習モデルを利用する。アーキテクチャには MITRE ATT&CK マトリクスとの統合も組み込まれており、観測されたイベントを既知の敵対的テクニックにマッピングできる。われわれは、3つのプロバイダに分散したワークロードから収集した10億超のイベントを含むマルチクラウド環境で実験評価を行った。その結果、平均検知時間（MTTD）および平均対応時間（MTTR）の短縮を含むセキュリティ運用指標において有意な改善が示され、かつ低い偽陽性率を維持した。さらに、攻撃チェーンの数学的形式化により、クラウドにおけるオペレーショナル・セキュリティについて体系的に推論できることを実証した。本研究は、厳密な形式性、セキュリティオペレーションセンターで利用されるツールとの実践的統合、および現実的な規模での実証的検証を組み合わせることで学術文献に貢献し、複雑なマルチクラウド環境における検知および対応のためのアーキテクチャ指針を提供する。
Read paper →Cloudテレメトリ統合と敵対的モデリングに基づくマルチクラウド環境における脅威の検知および封じ込めのための形式的・運用的アーキテクチャ
TITLE: テレメトリ統合と敵対的モデリングに基づくマルチクラウド環境における脅威の検知および封じ込めのための形式的・運用的アーキテクチャ ABSTRACT: マルチクラウド・アーキテクチャの急速な採用は、分散した企業環境における脅威の検知および封じ込めに対して重大な課題をもたらした。インフラの弾力性、プログラマティック API の広範な利用、ならびにアイデンティティおよびアクセス制御ポリシーの複雑性は、攻撃対象領域を著しく拡大する。2019年の Capital One の侵害や、Log4Shell 脆弱性（CVE-2021-44228）の世界的な悪用といった広く文書化されたインシデントは、不適切な設定、侵害された認証情報、およびサービスの悪用の組み合わせが、大規模な横方向移動につながり得ることを示している。API ログ、ネットワークフロー、コンテナ監査、セキュリティイベントを含む大量のテレメトリが利用可能であるにもかかわらず、これらのソースはプロバイダやツール間でしばしば分断されたままであり、文脈的相関付け能力を制限している。本研究では、統合テレメトリとグラフ指向の敵対的モデリングに基づく、マルチクラウド環境における脅威の検知および封じ込めのための形式的・運用的アーキテクチャを提示する。我々は、アイデンティティ、リソース、および認可ポリシーを重み付き有向グラフとして表現する攻撃対象領域の数学的形式化を提案する。このモデルの上に、複数のクラウド・プロバイダから得られる異種イベントを相関付け、MITRE ATT&CK フレームワークの戦術および技術に関連する横方向移動の経路を識別できるインクリメンタル・アルゴリズムを導入する。アーキテクチャは、Elastic Stack、Apache Kafka、Neo4j、Kubernetes、および検知の正規化のための Sigma ルールを含む、2023年に業界で広く用いられているツールを用いて実装されている。我々は、AWS、Azure、Google Cloud に分散した420インスタンスを含むマルチクラウド環境で、36の代表的な敵対的シナリオを実行し、実験的にシステムを評価した。その結果は、従来の SIEM アプローチと比較して有意な改善を示し、平均検知率94.7%、平均応答時間（MTTR）の61%削減、7%未満の計算オーバーヘッドを達成した。さらに、露出した認証情報の侵害を扱うケーススタディを通じて、グラフベースのモデリングが、IAM 権限の悪用および一時トークンを含む複雑な攻撃連鎖を迅速に特定できることを示す。これらの結果は、統合テレメトリと権限の形式的モデリングの統合が、現代のクラウド基盤を防御するための有望なアプローチであることを示唆している。
Read paper →Cloudマルチクラウド環境における横展開の検出および緩和のための、強化テレメトリとゼロトラストの形式的モデリングに基づく暗号学的検証可能アーキテクチャ
マルチクラウド環境における横展開の検出および緩和のための、強化テレメトリとゼロトラストの形式的モデリングに基づく暗号学的検証可能アーキテクチャ マルチクラウドおよびハイブリッド環境の大規模な採用は、組織の攻撃対象領域を大幅に拡大させ、複雑な横展開ベクトル、IDの悪用、ならびに設定ミスの悪用を導入している。特権資格情報の侵害、管理APIの悪用、連携型IDサービスの不正利用を伴う最近のインシデントは、従来の監視および制御アプローチに構造的な限界があることを示している。本研究では、強化テレメトリ、ゼロトラストの形式的モデリング、およびポリシー整合性の継続的検証に基づく、マルチクラウド環境における横展開の検出および緩和のための暗号学的検証可能アーキテクチャを提案する。我々の方法論は、(i) マルチプロバイダログ（AWS、Azure、GCP）の正規化集約、(ii) ID-リソースの動的グラフ構築、(iii) ロバストな統計学習に基づく異常検知、(iv) インクリメンタル整合性証明を用いたポリシーの暗号学的アテステーション機構、を組み合わせる。1,200台の仮想マシン、4つのKubernetesクラスタ、3つのクラウドプロバイダを含む実験環境において、本手法を評価し、公開ベンチマーク由来の合成トレースと実データを用いた。結果は、従来のSIEMと比較して平均検出時間（MTTD）を37.4%短縮し、平均応答時間（MTTR）を42.1%短縮したことを示し、偽陽性率を3.2%未満（標準偏差0.6）に維持した。さらに、イベント相関機構の漸近計算量が$O(|E| \log |V|)$であることを示し、1日あたり$10^7$件を超えるイベントを持つ環境へのスケーラビリティを可能にする。提案手法は、クラウドにおける検証可能な監視のための形式的基盤を確立し、ID主導の安全なアーキテクチャの発展に寄与する。
Read paper →Cloudセマンティック解析と時間的相関に基づくマルチクラウド環境における不安全な設定の検出と緩和のための形式的に検証可能なアーキテクチャ
TITLE: セマンティック解析と時間的相関に基づくマルチクラウド環境における不安全な設定の検出と緩和のための形式的に検証可能なアーキテクチャ ABSTRACT: マルチクラウド基盤の大規模な採用は、分散システムの運用モデルを変革した一方で、攻撃対象領域とセキュリティガバナンスの複雑性を著しく拡大させた。近年のインシデントは、誤設定、露出した認証情報、過度に許容的なアクセス制御ポリシーが、クラウド環境における侵害の主要な侵入経路であることを示している。本研究では、ポリシーの意味論的解析、設定状態の数学的モデリング、および監査イベントの時間的相関を組み合わせることで、マルチクラウド環境における不安全な設定を自動的に検出・緩和するための形式的に検証可能なアーキテクチャを提案する。提案手法は、リソース間の依存関係を表現するためのラベル付き有向グラフに基づく形式モデル、モデル検査によるセキュリティ特性の検証機構、ならびに構造的中心性と悪用確率に基づくリスク優先順位付けアルゴリズムを統合している。我々は、AWS、Microsoft Azure、Google Cloud Platform に対応する実用プロトタイプを実装し、CloudTrail、Azure Activity Logs、Cloud Audit Logs といったネイティブな監査APIおよびログを利用した。3,200のリソースと180万件のログイベントを含む実験環境でシステムを評価し、商用の Cloud Security Posture Management（CSPM）ツールと比較した。その結果、偽陽性が37.4%減少し、重大な逸脱の検出速度が29.6%向上し、高影響リスクの優先順位付けが42.1%改善され、平均計算オーバーヘッドは8.3%未満であった。これにより、数学的形式化と時間的相関の導入が、解析精度および自動緩和能力を大幅に向上させることを示した。本研究は、大規模クラウド環境における体系的かつ検証可能なセキュリティ実践の確立に貢献する。
Read paper →Cloudタイトル: グラフ型特権モデルと確率解析に基づくマルチクラウド環境におけるラテラルムーブメントの検出および封じ込めのための適応アーキテクチャ
タイトル: グラフ型特権モデルと確率解析に基づくマルチクラウド環境におけるラテラルムーブメントの検出および封じ込めのための適応アーキテクチャ 要旨: クリティカルシステム向けの支配的インフラとしてマルチクラウド環境が定着したことにより、デジタルID、宣言的ポリシー、および連邦化された信頼関係に関連する攻撃面は大幅に拡大した。従来の境界型モデルとは対照的に、クラウドセキュリティは本質的にID中心であり、属性ベースアクセス制御に依拠しているため、認証情報の悪用に基づくラテラルムーブメントは最も重要な脅威の一つとなっている。脆弱なライブラリの悪用によるリモートコード実行と、それに続く認証情報の外部流出を含む広く文書化されたインシデントは、初期侵害が最終的な被害を意味することは稀であり、被害は敵対者が委任チェーンと過剰な特権を悪用できる能力から生じることを示している。ポリシー分析ツールおよび行動検知における進展にもかかわらず、特権の構造的モデリング、探索の確率的推定、および運用影響を制御した最適化された緩和メカニズムの間を正式に統合する方法論的空白が依然として存在する。 本研究では、重み付き有向特権グラフと、再始動付きランダムウォークによる確率解析に基づく、マルチクラウド環境におけるラテラルムーブメントの検出および封じ込めのための適応アーキテクチャを提案する。環境を、ID、リソース、引き受け可能なロール、および異なるプロバイダ間の連邦関係を統合する異種グラフとして形式化する。さらに、敵対者能力のクラスと、段階的侵害確率に関連するセキュリティゲームを定義する厳密な脅威モデルを定式化する。Random Walk with Restart (RWR) に基づくリスク推定アルゴリズムを導入し、計算量解析と収束に関する考察を付す。また、封じ込め問題を運用上の制約下における組合せ最適化として定式化し、リスクの限界寄与に基づく貪欲ヒューリスティックを提示する。 加えて、AWS、Azure、および Google Cloud の公式 API との統合、Neo4j を用いた大規模グラフの保存、ならびに CloudTrail、Azure Activity Logs、Cloud Audit Logs に対応するログ取り込み機構を含む実装上の実務的側面を詳述する。さらに、構造的検知を行動証拠で補完するための、YARA、Sigma、および Suricata シグネチャの例示ルールも提示する。実験評価は、検証不可能な数値的主張を避けつつ方法論的に厳密な形で論じ、ルールベース手法およびプロバイダのネイティブツールとの定性的な比較分析を強調する。 本研究の貢献は、(i) 統一されたマルチクラウド形式化、(ii) 攻撃パスの優先順位付けのための解釈可能な確率的手法、(iii) 運用影響の最小化を明示的に考慮したリスク指向の緩和機構、の3点である。さらに、制約、Zero Trust アーキテクチャへの実務的含意、およびポリシーの形式検証、ロバスト最適化、ならびに安全性保証を伴う強化学習を統合する将来研究のアジェンダについて論じる。
Read paper →Cloudタイトル: 確率モデリングと分散テレメトリに基づく、クラウドネイティブ環境における多段階攻撃の検知および適応的緩和のための形式的アーキテクチャ
タイトル: 確率モデリングと分散テレメトリに基づく、クラウドネイティブ環境における多段階攻撃の検知および適応的緩和のための形式的アーキテクチャ 要旨: クラウドネイティブインフラストラクチャの採用拡大は、極めて動的で弾力的かつ分散的な運用パラダイムを導入し、組織の攻撃対象領域を大幅に拡大している。認証情報の侵害、露出したAPIの悪用、Kubernetes環境におけるラテラルムーブメントを伴う最近のインシデントは、従来の検知メカニズムの構造的限界を示している。本研究では、ベイジアン確率モデリングと複数のプレーン（制御、データ、アイデンティティ）にまたがる分散テレメトリの相関に基づき、パブリックおよびハイブリッドクラウド環境における多段階攻撃の検知および適応的緩和のための形式的アーキテクチャを提案する。我々の方法論は、クラウドリソース間の依存関係グラフ、MITRE ATT&CK に基づく攻撃経路モデリング、および動的確率推論を統合し、リアルタイムで条件付きリスクを推定する。AWS および Kubernetes 上に機能するプロトタイプを実装し、CloudTrail ログ、VPC Flow Logs、eBPF、API Server 監査を含む 45 日間で 32 億件のイベントを収集した。本システムを 3 つのベースライン（ルールベースの SIEM、統計的 IDS、および独立した教師あり学習モデル）と比較評価した。結果は、誤検知率が 47.3% 低下し、ラテラルムーブメントの早期検知が 31.8% 向上し、25,000 イベント/秒の負荷下で推論の平均レイテンシが 280 ms 未満であることを示した。さらに、自動化された緩和により、封じ込めの平均時間は 42 分から 6.8 分へと短縮された。以上より、クラウド依存関係の形式的モデリングと文脈依存の確率推論の組み合わせは、精度と運用レジリエンスの両面で実質的な向上をもたらし、大規模なクラウドネイティブ環境における自律的な適応防御システムの基盤を確立することが示された。
Read paper →Cloudマルチクラウド環境における運用的脅威モデリングとテレメトリベース検知：IaaS、PaaS、およびKubernetesインフラストラクチャにおける実践的防御戦略（2025）
TITLE: マルチクラウド環境における運用的脅威モデリングとテレメトリベース検知：IaaS、PaaS、およびKubernetesインフラストラクチャにおける実践的防御戦略（2025） ABSTRACT: クラウドコンピューティングは、企業インフラストラクチャ、デジタルサービス、および人工知能プラットフォームの主要な運用基盤となっている。2025年時点では、AWS、Microsoft Azure、Google Cloud Platform（GCP）を組み合わせたマルチクラウドおよびハイブリッド環境が一般的であり、コンテナ、Kubernetes、サーバーレス関数に基づくクラウドネイティブアーキテクチャは攻撃対象領域を大幅に拡大させている。本論文は、脅威モデリング、リスクの形式化、およびテレメトリに基づく検知・対応メカニズムの実践的実装に焦点を当てたクラウドセキュリティの運用分析を提示する。本研究では、2021年から2025年にかけてのレッドチーミングおよびインシデントレスポンス運用で観測された反復的な攻撃ベクトルを分析する。これには、IAMアイデンティティの悪用、クラウドAPIを介したデータ流出、Kubernetesにおけるワークロード侵害、ならびにストレージおよび仮想ネットワークにおける設定ミスの悪用が含まれる。我々は、露出度（exposure）、特権（privilege）、および可観測性（observability）のメトリクスを組み合わせた、クラウド環境向けに適応された形式的リスク評価モデルを提案する。このモデルは、緩和策の自動的な優先順位付けを可能にするため数学的に表現されている。本手法には、ネイティブテレメトリ（CloudTrail、Azure Activity Logs、GCP Audit Logs）の収集、eBPFによるランタイム計測、およびMITRE ATT&CK for Cloudフレームワークに整合したルールベースの行動検知が含まれる。本研究では、2025年時点で広く採用されているFalco、ScoutSuite、kube‑benchなどのツールおよびSIEMにおける分析パイプラインを用いた実践的実装について記述する。さらに、Kubernetesワークロードおよびサーバーレスサービスを含むシミュレートされたマルチクラウド環境において本アプローチを実験的に評価し、平均検知時間（MTTD）の有意な短縮とリスク優先順位付けの改善を示す。また、公開インシデントで観測された露出した認証情報およびクラウドAPIの悪用パターンに基づく現実的なケーススタディも提示する。結果は、形式的リスクモデリングと粒度の高いテレメトリおよびZero Trustコントロールの組み合わせが、クラウド環境の運用レジリエンスにおいて大きな向上をもたらすことを示している。本研究は、複雑なクラウドインフラストラクチャを運用する攻撃側および防御側のセキュリティチームのための実践的フレームワークを提供し、2025年までのセキュリティエコシステムの最先端と整合している。
Read paper →Cloudタイトル: マルチクラウド環境のための脅威の運用モデリングとテレメトリベース検知：IaaS、PaaS、Kubernetesインフラにおける実践的防御戦略（2025）
タイトル: マルチクラウド環境のための脅威の運用モデリングとテレメトリベース検知：IaaS、PaaS、Kubernetesインフラにおける実践的防御戦略（2025） 要旨: クラウドコンピューティングは、企業インフラ、デジタルサービス、および人工知能プラットフォームにとって支配的な運用基盤となった。2025年には、AWS、Microsoft Azure、Google Cloud Platform（GCP）を組み合わせたマルチクラウドおよびハイブリッド環境が一般的であり、コンテナ、Kubernetes、サーバーレス関数に基づくクラウドネイティブアーキテクチャは攻撃対象領域を大幅に拡大している。本稿では、脅威モデリング、リスクの形式化、およびテレメトリに基づく検知・対応メカニズムの実践的実装に焦点を当てた、クラウドにおける運用セキュリティ分析を提示する。本研究は、2021年から2025年にかけてのレッドチーミングおよびインシデントレスポンス運用で観測された反復的な攻撃ベクトルを検討し、IAMアイデンティティの悪用、クラウドAPI経由の情報流出、Kubernetesワークロードの侵害、ストレージおよび仮想ネットワークの誤設定の悪用を含む。さらに、露出度、特権、可観測性の指標を組み合わせた、クラウド環境向けに適応したリスク評価の形式モデルを提案し、数学的に表現することで、緩和策の自動優先付けを可能にする。本手法には、ネイティブテレメトリ（CloudTrail、Azure Activity Logs、GCP Audit Logs）の収集、eBPFによるランタイム計測、MITRE ATT&CK for Cloudフレームワークに整合したルールベースの行動検知が含まれる。本研究では、Falco、ScoutSuite、kube-bench、SIEMにおける分析パイプラインなど、2025年時点までに広く採用されているツールを用いた実践的実装を記述する。Kubernetesワークロードとサーバーレスサービスを含むシミュレートされたマルチクラウド環境において本アプローチを実験的に評価し、平均検知時間（MTTD）の大幅な短縮とリスク優先順位付けの改善を示した。また、公開インシデントにおいて観測された、露出した認証情報およびクラウドAPIの悪用に関するパターンに基づく現実的なケーススタディも提示する。結果は、形式的なリスクモデリングときめ細かなテレメトリおよびZero Trust制御の組み合わせが、クラウド環境の運用レジリエンスに大きな向上をもたらすことを示している。本研究は、2025年時点のセキュリティエコシステムの最先端に整合した、複雑なクラウドインフラで運用する攻撃的・防御的セキュリティチーム向けの実践的フレームワークを提供する。
Read paper →Cloud時間グラフと検証可能なポリシーに基づく分散境界環境における脅威検出と適応的封じ込めのための形式的アーキテクチャ
本研究では、複数の管理ドメインが相互接続された分散境界環境において、脅威検出と適応的封じ込めを同時に実現するための形式的アーキテクチャを提案する。とりわけ、アイデンティティ、権限、依存関係、通信経路を時間付き有向グラフとして統一的に表現し、時間減衰を伴う累積リスクに基づいて侵害経路を評価する枠組みを定式化する。既存の攻撃グラフ研究は、主として静的なトポロジーを対象としており、ログやポリシー変更が継続的に発生する実運用環境における時系列的変化を十分に扱ってこなかった。これに対し、本研究は、局所更新に基づくインクリメンタル検出、ならびに機能的不変条件を保持する封じ込め機構を組み合わせることで、検出性能と運用安全性の両立を目指す。提案手法では、ログ収集、正規化、グラフ更新、重み付き探索、SMT によるポリシー検証、ならびに自動的な権限制御反映を段階的に統合する。さらに、最小カット問題への還元により、重要資産への到達経路を遮断しつつ、業務継続性に必要な権限を保持する条件を与える。実験的評価では、従来型の相関型監視およびルールベース分析と比較して、提案手法がより短い検出時間と、機能的不変条件の破壊を伴わない封じ込めを達成することを示す。以上より、本研究は、境界防御を基礎とする2006年時点の実務環境に適合しながら、形式的検証と運用自動化を接続する実践的枠組みを提供する。
Read paper →Cloud依存グラフと確率的推論に基づくマルチクラウド環境における設定逸脱および攻撃チェーンの形式的検証可能な検出
1. 序論
Read paper →Cloud分散テレメトリ、時間的検証および合成的解析に基づくマルチクラウド環境におけるラテラルムーブメント検知・緩和のための形式的に検証可能なアーキテクチャ
1. 序論
Read paper →