Research / Paper Files
Paper Files
Paper Files は、学習ツールとして scientific method を適用する、cybersecurity における継続学習の個人的実践です。各記事は学術出版のためではなく、斧を研ぐための意図的な訓練として書かれています。特定トピックへの知識を深め、考えを厳密に整理し、特定の विषयへの理解が時間とともにどう発展するかを観察するためです。これは訓練日誌に相当する知的活動であり、各エントリには何を学び、どのように分析し、どのような結論に至ったかが記録されます。
私は、セキュリティ専門家がこの方法を採用することを強く推奨します。習得したいトピックを一つ選び、一次資料 (RFCs、papers、公式ドキュメント) を調査し、文章を序論、方法論、分析、結論で構成し、同僚に説明するつもりで書いてください。書くという行為は思考の明確さを強制し、受動的な読書では見えない理解の穴をあぶり出します。このサイトの記事を形式と深さの例として活用し、自分自身のコレクションを構築してください。時間が経てば、どのコースや certification でも置き換えられない、洗練された知識の個人リポジトリが手に入ります。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →14 papers
暗号学的保証と検証可能な妥当性確認を備えた現代インフラストラクチャにおけるデジタル・インシデント対応のための形式的かつ運用的アーキテクチャ
TITLE: 暗号学的保証と検証可能な妥当性確認を備えた現代インフラストラクチャにおけるデジタル・インシデント対応のための形式的かつ運用的アーキテクチャ ABSTRACT: 現代のデジタル・エコシステムの複雑性は、クラウド・コンピューティング、マイクロサービス・アーキテクチャ、人工知能、分散インフラストラクチャの大規模な採用によってさらに増大しており、Digital Forensics and Incident Response (DFIR) に対してより厳格なアプローチを必要としている。従来のインシデント対応フレームワークは、主として運用手順と組織ガバナンスに焦点を当てており、証拠の完全性の数学的形式化および証拠保全連鎖の検証可能性に関する重要な空白を残している。本研究では、応用暗号の基礎、形式的検証手法、ならびに企業環境、重要インフラ、クラウド・プラットフォームにおけるインシデント対応のためのテレメトリ収集および相関付けの運用メカニズムを組み合わせた統合アーキテクチャを提案する。我々は、敵対者の能力クラスに基づく DFIR 固有の脅威モデルを形式化し、証拠チェーンの完全性、真正性、改ざん不能性を捉えるセキュリティ・ゲームを定義する。さらに、衝突耐性ハッシュ関数と Merkle tree に基づく暗号学的連鎖機構を導入し、これを現代的なデジタル署名および改ざん不能ストレージと組み合わせる。加えて、証明可能な正当性特性と計算量解析を備えた、方向性非巡回グラフとしてモデル化されたフォレンジック相関アルゴリズムを提示する。本アーキテクチャは、YARA、Sigma、Suricata、SIEM/SOAR におけるテレメトリ・パイプライン、ならびに Linux 環境における eBPF ベースの可観測性メカニズムを含む、現代のセキュリティ運用で広く用いられているツール群との統合を目的として設計されている。さらに、提案手法を従来のインシデント対応ワークフローと比較する質的実験評価を実施し、取り込み遅延、計算オーバーヘッド、敵対的改変に対する耐性を検討した。デジタル化された病院環境における一例と、産業用 ICS/SCADA ネットワークにおける一例という2つのケーススタディは、強い規制上・運用上の制約を持つ領域における本モデルの適用可能性を示している。我々は、DFIR 実務に暗号学的保証と形式仕様を体系的に組み込むことにより、証拠上の信頼性および調査の監査可能性が大幅に向上し、その代償として中程度の計算オーバーヘッドと運用複雑性の増大を伴うと結論づける。本研究は、応用暗号、形式的検証、および運用セキュリティ工学の収束に寄与し、2024年の現代サイバーセキュリティの要求に整合している。
Read paper →DFIRタイトル: 暗号学的保証と検証可能な妥当性確認を備えた、現代インフラにおけるデジタルインシデント対応のための形式的・運用的アーキテクチャ
タイトル: 暗号学的保証と検証可能な妥当性確認を備えた、現代インフラにおけるデジタルインシデント対応のための形式的・運用的アーキテクチャ 要旨: 現代のデジタルエコシステムは、クラウドコンピューティング、マイクロサービスアーキテクチャ、人工知能、および分散インフラストラクチャの大規模な採用によって複雑性が増しており、Digital Forensics and Incident Response (DFIR) に対してより厳格なアプローチを必要としている。従来のインシデント対応フレームワークは、主として運用手順と組織ガバナンスに重点を置いており、証拠の整合性の数学的形式化および保全連鎖（chain of custody）の検証可能性において重要な欠落を残している。本研究では、応用暗号学の基礎、形式的検証手法、およびテレメトリの収集・相関のための運用メカニズムを組み合わせ、企業環境、重要インフラ、クラウドプラットフォームにおけるインシデント対応を実現する統合アーキテクチャを提案する。DFIR に特化した脅威モデルを敵対者能力クラスに基づいて形式化し、証拠連鎖の整合性、真正性、不変性を捉える安全性ゲームを定義する。さらに、衝突耐性ハッシュ関数と Merkle 木に基づく暗号的連鎖機構を導入し、現代的なデジタル署名および不変ストレージと組み合わせる。加えて、計算量解析と証明可能な正当性を備えた有向非巡回グラフとしてモデル化されたフォレンジック相関アルゴリズムを提示する。本アーキテクチャは、YARA、Sigma、Suricata、SIEM/SOAR におけるテレメトリパイプライン、ならびに Linux 環境における eBPF ベースのオブザーバビリティ機構を含む、現代のセキュリティ運用で広く用いられるツール群との統合を目的として設計されている。提案手法を従来のインシデント対応フローと比較する質的実験評価を実施し、取り込み遅延、計算オーバーヘッド、および敵対的改ざんに対する耐性を検討した。医療デジタル化環境における1件の事例研究と、産業用 ICS/SCADA ネットワークにおける1件の事例研究は、厳しい規制上および運用上の制約を持つ分野における本モデルの適用可能性を示している。暗号学的保証と形式仕様を DFIR の実務に体系的に組み込むことで、証拠としての信頼性と調査の監査可能性が大幅に向上し、その代償として中程度の計算オーバーヘッドとより高い運用複雑性が生じることを結論づける。本研究は、応用暗号学、形式検証、運用セキュリティ工学の収束に寄与し、2024年における現代サイバーセキュリティの要求に整合している。
Read paper →DFIR高忠実度DFIRのための証拠駆動アーキテクチャ：多層相関、数学的形式化、および企業環境における実証評価
TITLE: 高忠実度DFIRのための証拠駆動アーキテクチャ：多層相関、数学的形式化、および企業環境における実証評価 ABSTRACT: 企業向けサイバー攻撃の高度化に伴い、複数の異種証拠ソースから複雑な攻撃連鎖を再構成できるDigital Forensics and Incident Response (DFIR) の方法論が求められている。現代の企業環境では、エンドポイント、ネットワーク、クラウドサービス、ならびにEDR、SIEM、観測可能性プラットフォームを含むセキュリティツール群から、大量のテレメトリが生成される。しかし、これらの証拠を運用上統合し、厳密な時系列相関を行うことは依然として大きな課題である。本研究は、検証可能な時系列グラフによる形式モデリングに基づく、高忠実度デジタルフォレンジック調査のための証拠駆動アーキテクチャを提案する。このモデルは、デジタルアーティファクト、因果関係、およびMITRE ATT&CKフレームワークに従う敵対的技術のラベルを表現する数学的構造を導入し、同時に暗号学的完全性と時間的一貫性の性質を保持する。運用アーキテクチャは、Sysmon、Suricata、Auditd、Elastic Stack、Volatility 3、YARAを含む、産業界で広く採用されているツール群に加え、インシデント対応のオーケストレーション機構を統合する。さらに、正規化されたイベントからフォレンジックグラフを構築するEviGraph-Builderと、多段階攻撃連鎖を確率的に再構成するCausalPath-Reconstructという2つの主要アルゴリズムを提案する。実験評価は、実際のインシデントおよびAtomic Red Teamに基づく制御環境を含む49シナリオで実施された。その結果、従来の手作業プロセスと比較して、調査時間が平均で50%以上短縮され、敵対的技術の正しい相関付け率が大幅に向上することが示された。さらに、セキュリティ・オペレーション・センター（SOC）における運用上の含意、時刻同期要件、チェーン・オブ・カストディの保持、および現代のクラウドセキュリティ・プラットフォームやハイブリッド環境との統合について論じる。これらの結果は、数学的形式化と証拠相関の自動化を組み合わせることが、企業DFIRにおける重要な進歩であり、より迅速で再現可能かつ検証可能な調査に寄与することを示している。
Read paper →DFIRタイトル: 高忠実度DFIRのためのエビデンス指向アーキテクチャ：多層相関、数学的形式化、および企業環境における実証評価
タイトル: 高忠実度DFIRのためのエビデンス指向アーキテクチャ：多層相関、数学的形式化、および企業環境における実証評価 要旨: 企業向けサイバー攻撃の高度化に伴い、複数の異種証拠 स्रोतから複雑な攻撃チェーンを再構成できるDigital Forensics and Incident Response (DFIR) 手法が求められている。現代の企業環境では、エンドポイント、ネットワーク、クラウドサービス、および EDR、SIEM、可観測性ツールを含むセキュリティプラットフォームから大量のテレメトリが生成される。しかし、これらの証拠を運用上統合し、厳密に時系列相関させることは依然として大きな課題である。本研究は、検証可能な時相グラフによる形式モデル化に基づく、高忠実度デジタルフォレンジック調査のためのエビデンス指向アーキテクチャを提案する。本モデルは、デジタルアーティファクト、因果関係、および MITRE ATT&CK フレームワークに従う敵対的技術のラベルを表現する数学的構造を導入し、同時に暗号学的完全性と時系列的一貫性の特性を保持する。運用アーキテクチャは、Sysmon、Suricata、Auditd、Elastic Stack、Volatility 3、YARA を含む業界で広く採用されているツール群に加え、インシデント対応のオーケストレーション機構を統合する。われわれは2つの主要アルゴリズムを提案する。EviGraph-Builder は正規化されたイベントからフォレンジックグラフを構築し、CausalPath-Reconstruct は多段階攻撃チェーンの確率的再構成を担う。実験評価は、実際のインシデントおよび Atomic Red Team に基づく制御環境を含む49のシナリオで実施した。その結果、従来の手作業プロセスと比較して、調査時間が平均50%以上短縮され、敵対的技術の正しい相関率が有意に向上することが示された。さらに、SOC（Security Operations Center）に対する運用上の含意、時刻同期要件、チェーン・オブ・カストディの保全、および現代的なクラウドセキュリティプラットフォームやハイブリッド環境との統合について論じる。これらの結果は、数学的形式化と証拠相関の自動化の組み合わせが企業DFIRにおける重要な前進を構成し、より迅速で再現可能かつ検証可能な調査に寄与することを示している。
Read paper →DFIR時間的グラフを用いたDFIRのための形式的に基礎づけられたアーキテクチャ：暗号学的整合性保証と攻撃チェーンの確率的再構成
TITLE: 時間的グラフを用いたDFIRのための形式的に基礎づけられたアーキテクチャ：暗号学的整合性保証と攻撃チェーンの確率的再構成 ABSTRACT: 現代のサイバー攻撃キャンペーンの高度化は、Digital Forensics and Incident Response (DFIR) の実務に重大な課題を突きつけている。現代の企業環境では、エンドポイント、ネットワーク、アプリケーション、クラウドインフラストラクチャなど複数の層に由来する膨大な量のテレメトリが生成されるため、インシデントの手作業による再構成は事実上不可能である。監視システムやSIEMプラットフォームはイベント相関のための機構を提供するものの、この種のアプローチはしばしば、デジタル証拠間の因果関係および時間的一貫性を保持するための形式的基礎を欠いている。本研究では、確率的推論と証拠の整合性を保証する暗号学的機構を備えた時間的グラフに基づくDFIRのための形式アーキテクチャを提示する。我々は、フォレンジックイベントを時間的に整合した有向グラフ上の型付き頂点として表現する数学モデルを提案し、プロセス、ファイル、ネットワーク接続、ID間の因果依存関係を捉えられるようにする。このグラフ上において、MITRE ATT&CKフレームワークで記述される戦術的・技術的パターンに条件づけられたベイズ推論を利用して、攻撃者の最も起こり得る一連の行動を推定する攻撃確率再構成アルゴリズム（RPA: Reconstrução Probabilística de Ataque）を導入する。さらに、調査パイプライン全体を通じて証拠の整合性と検証可能性を保証する、ハッシュの暗号学的連鎖機構を実装した。提案アーキテクチャは、DARPA Transparent Computingデータセット、大規模な実環境の企業ログ、およびLog4Shell脆弱性の悪用を想定した合成シナリオという3つの代表的データセットを用いて実験的に評価した。その結果、純粋にヒューリスティックな相関付けや孤立した統計的検知のみに基づく手法と比較して、精度、再現率、攻撃チェーン再構成時間の各指標において大幅な改善が示された。平均して37.4%の調査再構成時間の短縮と、攻撃チェーン推論の精度における有意な向上を確認した。さらに、現代のSIEMプラットフォームとの統合に関する実務上の含意、ならびにログ品質とストレージコストに関連する制約についても論じる。結論として、時間的グラフに基づく形式モデリング、確率的推論、暗号学的保証の組み合わせは、現代の企業環境におけるスケーラブルかつ検証可能なDFIRシステムに向けた有望な基盤を構成するといえる。
Read paper →DFIR現代DFIRのための証拠指向アーキテクチャ：多層相関、タイムラインの数学的形式化、ならびにハイブリッド環境における自動オーケストレーション
TITLE: 現代DFIRのための証拠指向アーキテクチャ：多層相関、タイムラインの数学的形式化、ならびにハイブリッド環境における自動オーケストレーション ABSTRACT: 現代の計算環境の複雑性の増大—ハイブリッド・インフラストラクチャ、クラウド・ワークロード、コンテナ、分散システムによって特徴づけられる—は、Digital Forensics and Incident Response (DFIR) 分野に新たな課題を突きつけている。従来の調査手法は、主としてアーティファクトの手動収集およびログのアドホックな相関に依存しており、現代システムが生成するデータの規模、可変性、および異質性の前では限界を示している。さらに、Advanced Persistent Threats (APTs)、ransomware-as-a-service (RaaS) 攻撃、ならびに重要な脆弱性に対する自動化された悪用キャンペーンは、初期侵害からラテラルムーブメントまでの時間間隔を劇的に短縮している。この文脈において、多様なテレメトリソースを統合し、攻撃連鎖を時間的に正確に再構築できる、形式化され拡張可能なアプローチの開発が不可欠となる。本研究では、以下の3つの主要な柱に基づく現代DFIRのための証拠指向アーキテクチャを提案する。(i) 有向非巡回グラフを用いたフォレンジック・タイムライン再構築の数学的形式化、(ii) ネットワーク、エンドポイント、アイデンティティ、クラウドの各層から得られるイベントの自動的な取り込み、正規化、相関のためのパイプライン、(iii) インシデント対応のためのオーケストレーションおよび自動化プラットフォームとの運用統合である。提案モデルは、セキュリティイベントを構造化されたエンティティとして表現し、相関されたイベント間に確率的な因果関係を設定する。実験実装では、Elastic Stack、Suricata、Zeek、Sysmon、Volatility 3、および TheHive と Cortex に基づく SOAR プラットフォームから構成される技術スタックを用いる。MITRE ATT&CK フレームワークに整合した37のシナリオを用いてアーキテクチャを評価し、合計1.2 TBのデータと約8600万件のイベントを対象とした。その結果、従来のSIEMのみに基づく手法と比較して、平均調査時間 (MTTI) の大幅な短縮、誤検知の低減、ならびに攻撃連鎖再構築の精度向上が示された。加えて、セキュリティオペレーションセンター (SOC) への実務的示唆、モデルの限界、および動的グラフに基づく分析や、調査優先順位付けのための機械学習技術との統合を含む将来的拡張について議論する。
Read paper →DFIRタイトル: ハイブリッド環境における現代DFIRのための証拠駆動型アーキテクチャ: 多層相関、タイムラインの数学的形式化、および自動化オーケストレーション
タイトル: ハイブリッド環境における現代DFIRのための証拠駆動型アーキテクチャ: 多層相関、タイムラインの数学的形式化、および自動化オーケストレーション 要旨: 現代の計算環境の複雑性の増大—ハイブリッドインフラストラクチャ、クラウドワークロード、コンテナ、分散システムによって特徴づけられる—は、Digital Forensics and Incident Response (DFIR) 分野に新たな課題を突きつけている。主として手動によるアーティファクト収集とログのアドホックな相関に基づく従来の調査手法は、現代システムによって生成されるデータの規模、可変性、異種性に直面すると限界を示す。さらに、Advanced Persistent Threats (APTs) キャンペーン、ransomware-as-a-service (RaaS) 攻撃、重要脆弱性の自動化された悪用は、初期侵害から横展開までの時間間隔を劇的に短縮している。この文脈において、複数のテレメトリソースを統合し、攻撃チェーンを時間的精度をもって再構築できる、形式化されスケーラブルなアプローチを開発することが不可欠である。本研究では、現代DFIRのための証拠駆動型アーキテクチャを、(i) 有向非巡回グラフを用いたフォレンジックタイムライン再構築の数学的形式化、(ii) ネットワーク、エンドポイント、アイデンティティ、クラウドの各層から得られるイベントの自動取り込み、正規化、および相関を行うパイプライン、(iii) インシデント対応のためのオーケストレーションおよび自動化プラットフォームとの運用統合、という三つの主要な柱に基づいて提案する。提案モデルはセキュリティイベントを構造化されたエンティティとして表現し、相関されたイベント間に確率的な因果関係を確立する。実験実装では、Elastic Stack、Suricata、Zeek、Sysmon、Volatility 3、および TheHive と Cortex を基盤とする SOAR プラットフォームから構成される技術スタックを使用した。我々は、MITRE ATT&CK フレームワークに整合した37のシナリオからなるデータセットを用いて本アーキテクチャを評価し、総計1.2 TBのデータと約8,600万イベントを扱った。結果は、従来のSIEMのみに基づく手法と比較して、平均調査時間（MTTI）の有意な短縮、誤検知の減少、および攻撃チェーン再構築の精度向上を示した。さらに、セキュリティオペレーションセンター（SOC）への実務的含意、モデルの制限、ならびに動的グラフに基づく分析および調査優先度付けのための機械学習技術との統合を含む拡張可能性について論じる。
Read paper →DFIRDFIRにおける証拠の形式的オーケストレーションと確率的分析：多元ソース相関のための時間グラフに基づくスケーラブルアーキテクチャ
TITLE: DFIRにおける証拠の形式的オーケストレーションと確率的分析：多元ソース相関のための時間グラフに基づくスケーラブルアーキテクチャ ABSTRACT: Digital Forensics and Incident Response (DFIR) は、企業環境の高度化する異種性、デジタル証拠の揮発性、ならびに living-off-the-land 技術およびアンチフォレンジック回避を用いる攻撃者の巧妙化に起因する構造的課題に直面している。本研究は、多元ソースの時間グラフに基づくデジタル証拠のオーケストレーションおよび確率的相関のための形式的アーキテクチャを提案し、インシデント再構築問題の明示的な数学的モデリングを行う。提案手法は、分散収集、MITRE ATT&CK に準拠した意味的正規化、因果グラフの構築、およびイベントを攻撃チェーンへ割り当てるためのベイズ推論を統合する。我々は、この問題を、異種のフォレンジック観測集合が与えられたときの侵害状態列の事後確率最大化として定式化する。実装として、Elastic Stack、Apache Kafka、Neo4j に基づくパイプライン上に機能プロトタイプを構築し、12 TB の実ログおよび 18 種類の異なる ATT&CK 技術を表現する合成トレースからなるデータセットで評価した。 実験結果は、ルールベースの決定論的手法と比較して、タイムライン再構築精度が 27.4% 向上し、平均調査時間（MTTI）が 34.1% 短縮され、複雑な攻撃チェーン識別における F1 スコアが 22.8% 改善されたことを示している。アーキテクチャは、15,000 イベント/秒の負荷下でもイベント当たり平均処理遅延を 420 ms 未満に維持し、8 つの処理ノードまで線形スケーラビリティを示した。以上より、確率的形式化と時間グラフの組み合わせは、DFIR における精度と運用効率を大幅に向上させ、大規模なデジタル調査のための信頼性が高く監査可能な自動化に向けた厳密な基盤を確立することが示された。
Read paper →DFIR確率的時間相関と暗号学的完全性保証を備えたグラフ指向DFIRのための形式的かつスケーラブルなアーキテクチャ
TITLE: 確率的時間相関と暗号学的完全性保証を備えたグラフ指向DFIRのための形式的かつスケーラブルなアーキテクチャ ABSTRACT: 2025年の計算環境の複雑性の増大—クラウドネイティブアーキテクチャ、マイクロサービス、エフェメラルなワークロード、DevSecOpsパイプライン、ハイブリッド環境、および人工知能システムとの統合によって特徴付けられる—は、Digital Forensics and Incident Response（DFIR）の分野に重大な課題をもたらしている。時間的不確実性、統計的ノイズ、そしてログ改ざんの可能性という条件下で、複数の異種ソースにまたがるインシデントの因果的再構築は、依然として形式的観点から未解決の問題である。本研究では、グラフ指向DFIRのための数学的に基礎付けられたアーキテクチャを提案する。このアーキテクチャは、明示的な時間的不確実性、ベイズ推論、およびMerkleツリーと不変ストレージ（WORM）による暗号学的完全性保証を備えた確率的非巡回因果グラフモデルに基づいている。攻撃シーケンス再構築の問題を、DAG上の許容可能な経路に対する条件付き確率の最大化問題として形式化し、それが対数確率の総和最小化と等価であることを示す。さらに、2つのアルゴリズムを導入する。(i) Reconstrução Temporal Causal（RTC）は計算量 O(|E_c| log |V|) を持ち、(ii) Verificação de Integridade Incremental（VII）は包含証明を O(log n) で実行する。本アーキテクチャは Elastic Stack 8.x、Apache Kafka 3.5、コンプライアンスモードの S3 Object Lock、および PostgreSQL 上に実装され、DARPA Transparent Computing と Los Alamos Cybersecurity Dataset を含む実データおよび合成データ計12TBで評価された。結果は、精度の統計的に有意な向上（91.4% 対 64.2%）、平均トリアージ時間の37.8%削減、および制御可能な計算オーバーヘッド（8.6%）を示した。我々は、確率的形式主義、暗号学的保証、および因果モデリングの統合が、NISTおよびISO/IEC 27037の指針、ならびにMITRE ATT&CKタクソノミーと整合し、eBPF、CNAPP、およびAI指向環境を含む現代的シナリオにも適合する、厳密で監査可能かつスケーラブルな現代DFIRの基盤を提供すると主張する。
Read paper →DFIR分散型企業環境におけるインシデント自動対応のための時間グラフとベイズ推論に基づくDFIRの形式的オーケストレーション
TITLE: 分散型企業環境におけるインシデント自動対応のための時間グラフとベイズ推論に基づくDFIRの形式的オーケストレーション ABSTRACT: マルチクラウドアーキテクチャ、コンテナ化されたワークロード、エッジデバイス、APIを介した統合、および人工知能ベースのシステムによって特徴づけられる分散型企業環境の複雑性の増大は、Digital Forensics and Incident Response（DFIR）の分野に重大な課題をもたらしている。現代の攻撃チェーンは通常多段階であり、異種コンポーネントにおける脆弱性を悪用し、リモート実行、ラテラルムーブメント、永続化、およびデータ流出の技術を組み合わせている。この文脈において、決定論的ルールに基づく従来のSIEMアプローチは、不確実性および敵対的ノイズの下で複雑な因果系列を再構築するには不十分である。本研究では、インシデント再構築を、明示的な因果制約を伴う有向時間グラフ上でのMAP（Maximum a Posteriori）推論問題として数学的に形式化する。フォレンジックイベントを構造化タプルとしてモデル化し、条件付き局所因子分解に基づく確率的フレームワークを導入することで、不確実性の形式的な定量化を可能にする。さらに、スプリアスイベントの限定的な敵対的挿入下におけるロバスト性の特性を示し、MAP経路の不変性に関する解析的条件を確立する。Apache Kafka、Elasticsearch、Neo4j、およびKubernetesに基づくスケーラブルなインフラストラクチャ上にTGI-DFIRアーキテクチャを実装し、最新のCNAPPパイプラインおよびeBPFテレメトリとの統合を行った。提案手法は、DARPA Transparent Computingデータセット、実際の企業ログ（12 TB）、および2025年までに広く悪用された脆弱性に着想を得たシナリオを用いて実証的に評価した。結果は、ルールベース手法および深層学習の逐次モデルと比較して、精度の統計的に有意な向上（F1 = 0.91 ± 0.02）および平均トリアージ時間の47.3%削減を示した。結論として、時間グラフとベイズ推論の統合は、現代の分散型企業環境におけるインシデント対応の自動オーケストレーションに対して、厳密な形式的基盤と運用上実行可能なアプローチを提供することを示す。
Read paper →DFIRDFIRにおける証拠の形式的かつ相関的オーケストレーション：ハイブリッド環境における確率的時間再構成とインシデント帰属のためのスケーラブルな枠組み
TITLE: DFIRにおける証拠の形式的かつ相関的オーケストレーション：ハイブリッド環境における確率的時間再構成とインシデント帰属のためのスケーラブルな枠組み ABSTRACT: ハイブリッドインフラストラクチャの複雑性の増大、クラウドコンピューティングの大規模導入、マイクロサービス指向アーキテクチャ、eBPFに基づくオブザーバビリティ、さらに人工知能システムの統合は、Digital Forensics and Incident Response（DFIR）分野の課題を大幅に拡大させている。2025年には、重大な脆弱性、サプライチェーン、ならびにliving-off-the-land技術を悪用するインシデントが、ログ相関の線形的アプローチや静的なSIEMルールの限界を明確に示した。本研究では、攻撃チェーンの確率的時間再構成のための形式的枠組みを提案する。この枠組みは、条件付き重みとMITRE ATT&CKマトリクスから導出される意味的制約を備えた有向グラフに基づく。問題を、異種かつ潜在的に不整合な証拠の下で事後確率を最大化する非巡回部分グラフ上のベイズ推論として定式化する。また、分散した情報源間のクロックドリフトを補償するためのベイズ的時間アラインメント機構と、確率的しきい値により制御された枝刈りを備える敵対的知識指向の再構成アルゴリズムを導入する。観測完全性の仮定の下でε近似的正当性の形式的性質を示し、提案アルゴリズムの漸近的計算量を解析する。Apache Kafka、Apache Spark、Elasticsearch、Neo4jに基づく分散実装を、Atomic Red Teamによるシミュレーションおよび匿名化された企業ログを含む合計1.2 TBのイベントデータセットで評価した。その結果、F1 = 0.895 ± 0.02を達成し、従来のSIEMベースラインを29.7%上回り、平均調査時間を37.4%削減した（p < 0.01）。さらに、AI/MLワークロード環境への拡張、CNAPPとの統合、およびデジタル証拠のチェーン・オブ・カストディにおける法的含意について議論する。結果は、意味的制約の明示的な導入と厳密な確率モデル化の組み合わせが、スケーラブルで形式的基盤を持つDFIRに対する実質的な進展をもたらすことを示している。
Read paper →DFIRDFIR-GraphX：ハイブリッドおよびマルチクラウド環境におけるインシデント対応とデジタルフォレンジックのための確率的時間グラフに基づく形式的アーキテクチャ
インシデント対応とデジタルフォレンジックは、歴史的に比較的静的なインフラストラクチャ、明確に定義された境界、および集中化されたローカルアイデンティティによって特徴付けられる環境の中で発展してきた。デジタルトランスフォーメーションとクラウドネイティブアーキテクチャの確立は、この状況を大きく変化させた。組織は現在、Amazon Web Services (AWS)、Microsoft Azure、Google Cloud Platform (GCP) などの複数のパブリッククラウドプロバイダーに加え、プライベートデータセンター、エッジ環境、SaaS統合を同時に運用している。認証は主に SAML 2.0 および OpenID Connect (OIDC) を介したアイデンティティフェデレーションに基づき、短寿命トークンと分散型の信頼連鎖を用いて実現されている。 統合レポートによれば、現代の攻撃は多段階的性質を持ち、初期侵入、永続化、特権昇格、横方向移動、データ流出、そして最終的な影響といった段階を含む（VERIZON, 2024; MANDIANT, 2024）。MITRE ATT&CK フレームワークは、これらの技術を継続的に更新される戦術および技術の構造化マトリクスとして体系化している（MITRE, 2025）。しかしながら、因果連鎖の事後的再構築は依然として主にアドホックなヒュー
Read paper →DFIRARC-DFIR: 異種混在する企業環境におけるインシデントの検出・再構築・自動相関のための形式的・確率的・スケーラブルなアーキテクチャ
現代のサイバーセキュリティにおける構造的な中核として確立されている。急速に進むデジタルトランスフォーメーション、ハイブリッドアーキテクチャ（オンプレミスおよびマルチクラウド）の採用、CNAPP（Cloud-Native Application Protection Platform）の統合、さらに人工知能ベースのワークロードの導入は、組織の攻撃対象領域を大幅に拡大させている。Data Breach Investigations Report（VERIZON, 2023）や M-Trends（MANDIANT, 2023; MANDIANT, 2024）などのレポートは、既知の脆弱性の悪用、認証情報の乱用、標的型フィッシング、サプライチェーン侵害が依然として主要な初期侵入ベクトルであることを示している。 象徴的なインシデントは、この問題の重大性をさらに強調している。Apache Log4j における Log4Shell 脆弱性（CVE-2021-44228）は、JNDI インジェクションを介したリモートコード実行を可能にした（MITRE, 2021; CISA, 2024）。Microsoft Outlook の CVE-2023-23397 は MAPI プロパティを悪用して NTLM 認証を強制し、ハッシュの取得を可能にした（MICROSOFT, 2023）。いずれのケースでも
Read paper →DFIRDFIR-Graph: 因果グラフに基づくハイブリッド環境における攻撃チェーンの時間的確率相関と形式的再構成
ハイブリッドおよびマルチクラウドアーキテクチャの採用、コンテナ化されたワークロードの定着、APIの集中的利用、デジタルサプライチェーンの統合、さらに eBPF によるカーネルレベルのテレメトリの導入により、現代の組織における攻撃対象領域（attack surface）は大幅に拡大した。Verizon Data Breach Investigations Report 2023（VERIZON, 2023）のような広く認知された業界レポートによれば、有効な認証情報の不正利用およびソーシャルエンジニアリングは、依然として初期侵害の主要なベクトルの一つである。特に、Zero Trust（ROSE et al., 2020）に基づく環境やフェデレーション環境においてさえ、正当なアイデンティティの悪用が相当数の侵害に関与していることが一貫して観察されている。 SolarWinds（2020）、Log4Shell 脆弱性（CVE-2021-44228）の悪用、さらに CVE-2023-23397 に関連するキャンペーンなどの事例は、攻撃者がリモートエクスプロイトを持続化、ラテラルムーブメント、データ流出と組み合わせて利用していることを示している。これらの活動は多くの場合、MITRE ATT&CK（MITRE, 2023）で記述された戦術および技術と整合している。多くのケースにおいて、攻撃者の
Read paper →