Research / Paper Files
Paper Files
Paper Files は、学習ツールとして scientific method を適用する、cybersecurity における継続学習の個人的実践です。各記事は学術出版のためではなく、斧を研ぐための意図的な訓練として書かれています。特定トピックへの知識を深め、考えを厳密に整理し、特定の विषयへの理解が時間とともにどう発展するかを観察するためです。これは訓練日誌に相当する知的活動であり、各エントリには何を学び、どのように分析し、どのような結論に至ったかが記録されます。
私は、セキュリティ専門家がこの方法を採用することを強く推奨します。習得したいトピックを一つ選び、一次資料 (RFCs、papers、公式ドキュメント) を調査し、文章を序論、方法論、分析、結論で構成し、同僚に説明するつもりで書いてください。書くという行為は思考の明確さを強制し、受動的な読書では見えない理解の穴をあぶり出します。このサイトの記事を形式と深さの例として活用し、自分自身のコレクションを構築してください。時間が経てば、どのコースや certification でも置き換えられない、洗練された知識の個人リポジトリが手に入ります。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →14 papers
Detection Engineering in Cybersecurity 2026: 復号・クラウド・AI時代における多層検知アーキテクチャ、実装、評価、そして運用最適化
本稿は、2026年時点のサイバーセキュリティにおける「検知（Detection）」を、単なるシグネチャ照合やログ監視ではなく、攻撃ライフサイクル全体にわたる多層観測、相関、確率推論、行動ベース識別、および運用意思決定の総体として再定義する。特に、クラウドネイティブ環境、eBPFベースのランタイム可観測性、ゼロトラストの成熟、生成AIを用いた社会工学、LLMアプリケーションに対するプロンプトインジェクション、そしてポスト量子移行を背景に、従来のSOC運用が直面する検知ギャップを体系的に扱う。まず、MITRE ATT&CK、Kill Chain、検知エンジニアリング、UEBA、SIEM、EDR/XDR、NDR、CNAPP、SOARといった主要枠組みの関係を整理し、検知問題を最適停止、誤検知制御、期待損失最小化の観点から形式化する。次に、テレメトリの階層化、スキーマ正規化、エンティティ解決、グラフ相関、異常度スコアリング、ルールと機械学習のハイブリッド化、そして ATT&CK ベースのカバレッジ評価を統合した実践的手法を提案する。実装では、Sigma、YARA、Suricata、Falco、OpenTelemetry、eBPF、Elastic、Splunk、Microsoft Sentinel、Wazuh、TheHive など、2026年までに実運用されてきた技術を前提とし、実際のクエリや設定例を示す。評価では、偽陽性率、平均検知遅延、ルール保守コスト、検知カバレッジ、アラート疲労の抑制、ならびに MITRE ATT&CK に基づく技術網羅率を定量化する。最後に、ランサムウェア初期侵入から横展開、資格情報窃取、データ持ち出しに至る実例を題材に、検知の失敗要因と改善策を分析する。本稿の主張は、2026年の検知は「見つけること」ではなく、「攻撃者の可視化可能な不確実性を構築し、運用可能な速度で意思決定へ変換すること」にある。
Read paper →Detection2026年のサイバー防御における検知工学：多層テレメトリ、行動連鎖、統計的異常検知、eBPF可観測性、そしてAI時代の侵入兆候把握
本稿は、2026年時点のサイバーセキュリティにおける「検知」を、単なるアラート生成ではなく、観測、相関、推論、優先順位付け、封じ込め判断を含む一連の工学体系として再定義する。現代の侵入は、MFA疲労攻撃、OAuth同意悪用、Cloud/SaaS設定の逸脱、Living-off-the-Land、コンテナ・Kubernetes横断移動、LLMを用いた社会工学、さらにはAI生成コンテンツを介した欺瞞まで多様化しており、既知シグネチャ中心の監視だけでは実用的な防御が成立しない。本研究では、エンドポイント、ID、ネットワーク、クラウド制御プレーン、SaaS監査ログ、コンテナ実行系、eBPF由来のカーネル・ユーザ空間観測を統合した検知アーキテクチャを提案する。方法論の核心は、(1) 行動をATT&CK技法へ写像するイベント正規化、(2) 時系列グラフ上での因果連鎖推定、(3) アラートの重み付けを情報理論量と資産重要度で行うスコアリング、(4) 低ノイズな検知ルールと半教師あり異常検知の併用、である。さらに、実運用を想定し、Sigma、YARA、KQL、Falco、eBPF、OpenTelemetry、Wazuh、Suricataを組み合わせた実装指針を示す。評価では、公開データセットと模擬攻撃に基づき、検知遅延、再現率、誤検知率、運用負荷の観点から比較を行い、単純なIOCベース監視に対し、行動連鎖モデルが高い検知率と低いアナリスト負荷を両立することを示す。最後に、AI時代の検知における限界として、敵対的回避、モデル汚染、ログ欠損、暗号化トラフィック、プライバシー制約を論じ、ゼロトラスト、CNAPP、AIガバナンス、ポスト量子暗号の文脈における将来展望を提示する。
Read paper →Detectionエンドポイント、ネットワーク、およびメモリ・テレメトリに基づくMITRE ATT&CK指向の確率的時間相関を用いたマルチレイヤー検知ハイブリッドアーキテクチャ
TITLE: エンドポイント、ネットワーク、およびメモリ・テレメトリに基づくMITRE ATT&CK指向の確率的時間相関を用いたマルチレイヤー検知ハイブリッドアーキテクチャ ABSTRACT: 現代の企業環境で観測される侵入キャンペーンの複雑化は、孤立したセンサーに基づく従来の検知アーキテクチャに課題を突きつけている。今日の攻撃は、living-off-the-land（LOLBins）技術、広く利用可能なポストエクスプロイト用フレームワーク、ならびに難読化されたコマンド＆コントロール・チャネルをしばしば悪用し、その結果、ネットワーク、エンドポイント、揮発性メモリに分散したイベント連鎖を生じさせる。IDS/IPS、EDR、SIEMプラットフォームといったツールは広く採用されているものの、その分析統合は主として統語的な相関モデルに制約されており、多様なイベント間に存在する時間的・意味的依存関係を捉えることができない。MITRE ATT&CKフレームワークは、Tactics, Techniques and Procedures（TTPs）の記述のための運用オントロジーとして確立されているが、検知システムにおける利用はしばしば静的マッピングや記述的可視化に限定されている。本研究では、ネットワーク、エンドポイント、およびメモリのテレメトリを統合し、ATT&CKモデルと意味論的に整合した形式的な確率的時間相関メカニズムを備える、マルチレイヤー検知ハイブリッドアーキテクチャを提案する。このアーキテクチャは、Suricata、Sysmon、Volatility 3、およびSigma/YARAルールを含む広く利用されているセンサー群と、Kafkaに基づく取り込み層およびElastic Common Schemaに従って構造化されたインデクシングを組み合わせる。私たちは検知プロセスを不確実性下の推論問題として定式化し、重み付けされた時間グラフとしてモデル化する。ここでイベントはATT&CK技術で注釈付けされた頂点を表し、辺は定義された時間窓内で意味論的に互換な遷移を表す。さらに、個々の技術の文脈確率とTTP間の遷移重みを統合する条件付きリスク関数を導入し、攻撃連鎖全体の尤度を推定可能にした。時間インデックス付き構造を用いることで、これらのグラフの増分構築が時間窓あたりO(n log n)の計算量で実行可能であることを解析的に示す。実験評価は、文献で広く参照されているデータセット（CIC-IDS2017およびUNSW-NB15）と、隔離された実験室環境におけるマルウェア実行の制御シナリオを用いて行った。その結果、孤立したセンサーと比較して、F1-scoreの相対的改善と運用ノイズの質的削減において一貫した向上が示された。さらに、模擬的な企業環境および医療インフラにおける追加のケーススタディでは、credential dumpingおよびlateral movementを伴う攻撃連鎖の検知時間の短縮が示された。本研究は、ATT&CK指向の時間相関に関する数学的定式化、広く採用されているツールに基づく再現可能なアーキテクチャ、および攻撃の発生頻度が低い環境における侵入検知に伴う統計的限界の批判的分析を提供する。
Read paper →Detectionテレメトリ多層化と意味的相関に基づくハイブリッドアーキテクチャによる企業環境における高度脅威検知
TITLE: テレメトリ多層化と意味的相関に基づくハイブリッドアーキテクチャによる企業環境における高度脅威検知 ABSTRACT: サイバー攻撃の高度化が進み、さらにハイブリッドおよびマルチクラウド・インフラストラクチャの拡大が相まって、現代のセキュリティ運用（Security Operations Centers – SOCs）には重大な課題が課されている。今日の攻撃手法は、zero-day 脆弱性、正規IDの悪用、living-off-the-land binaries（LOLBins）、および複雑なラテラルムーブメントの連鎖を活用し、それらはしばしばエンドポイント、企業ネットワーク、クラウドサービスにまたがって分散している。この文脈において、シグネチャのみに基づく、あるいは個別の異常検知に依存する従来の機構は、特に運用スケーラビリティと誤検知削減の観点で顕著な限界を示す。本論文では、MITRE ATT&CKフレームワークから導出されたTactics, Techniques, and Procedures（TTPs）のグラフに基づくイベントの意味的相関を指向した、マルチレイヤ・テレメトリに基づくハイブリッド検知アーキテクチャを提示する。本提案は、ネットワークセンサー、エンドポイント・テレメトリ、アイデンティティ関連イベント、およびクラウドネイティブ環境由来のログを統合し、eBPF に基づく計装や CNAPP（Cloud-Native Application Protection Platform）との連携といった現代的なコンポーネントを組み込む。われわれは検知プロセスを動的イベントグラフ上の推論問題として定式化し、観測可能な活動の系列を ATT&CK 技術にマッピングし、意味的に相関させることで攻撃チェーンを識別する。本モデルは、シグネチャベース検知（YARA および Suricata）、構造化された行動ルール（Sigma）、および行動パターンの統計解析という3つの相補的パラダイムを統合する。実験評価には、広く用いられている学術ベンチマーク（UNSW-NB15 および CIC-IDS2017）と、シミュレートされた企業環境で実施した制御下の red teaming キャンペーンから成るデータセットを用いた。結果は、性能指標における有意な改善を示しており、precision 0.89、recall 0.83、F1-score 0.86 を達成し、個別アプローチと比較して false positive rate を 38.2% 削減した。また、mean time to detect（MTTD）は 6.1 分から 4.2 分へ短縮された。これらの結果は、TTP グラフに基づく意味的相関とマルチレイヤ・テレメトリを組み合わせることで、複雑な企業シナリオにおける現代的 SOC の運用効果を高める有望なアプローチであることを示している。
Read paper →Detectionテレメトリと攻撃時系列グラフのベイズ融合に基づく多段階適応型サイバー脅威検知
TITLE: テレメトリと攻撃時系列グラフのベイズ融合に基づく多段階適応型サイバー脅威検知 ABSTRACT: 現代のデジタル基盤は、ハイブリッド・クラウド環境、分散アーキテクチャ、および大量の運用テレメトリ・フローによって特徴づけられ、その複雑性の増大は、サイバー脅威の早期検知に対して大きな課題を課している。決定論的ルールに基づく従来のセキュリティ情報イベント管理（SIEM）システムは、多段階キャンペーンの識別において構造的な限界を示し、とりわけ攻撃者が正規の認証情報、低可視なラテラルムーブメント、および回避技術を利用する場合に顕著である。同時に、純粋に機械学習に基づくアプローチは、分布変化下で性能劣化を起こしやすく、運用上の解釈可能性を欠くことが多い。本研究では、証拠の増分的ベイズ融合と、攻撃時系列グラフに基づく構造モデリングを統合した、多段階の適応型検知アーキテクチャを提案する。本提案は、エンドポイント、ネットワーク、アイデンティティ、およびクラウド環境から得られる異種テレメトリを相関付けるとともに、イベント間の明示的な時間依存性と MITRE ATT&CK タクソノミーとの意味的整合性を維持する。問題は、動的グラフ $G_t=(V_t,E_t,w_t)$ 上の攻撃連鎖に対する確率的推論として定式化され、ここで重みは悪意ある挙動の条件付き確率を表す。さらに、毎分 $10^6$ 件を超えるイベントストリームを処理しつつ、確率的収束と低い運用レイテンシを維持可能な増分ベイズ更新機構を開発した。実装は Apache Kafka と Apache Flink に基づくストリーム処理アーキテクチャ上で行い、グラフの永続化には Neo4j、状態管理には RocksDB を用いた。実験評価は、UNSW-NB15、CIC-IDS2017、および約4億イベントを含む匿名化された企業コーパスを用いて実施した。ルールベース手法、Random Forest、LSTM ネットワークと比較して、提案手法は平均精度 0.91、再現率 0.88、F1-score 0.89 を達成し、従来の SIEM システムに対して偽陽性率を 42% 削減した。これらの結果は、テレメトリの確率的融合と攻撃連鎖の構造表現を組み合わせることで、ロバスト性、解釈可能性、およびスケーラビリティにおいて大きな向上が得られることを示している。さらに、クラウド向けの最新セキュリティアーキテクチャ、CNAPP プラットフォームとの統合、および adversarial な仮説の事前モデリングに関連する限界についても論じる。
Read paper →Detectionタイトル: セマンティック相関、マルチソース・テレメトリ、および適応統計モデルに基づく高度な脅威のプロアクティブ検出のためのマルチレイヤー・ハイブリッドアーキテクチャ
タイトル: セマンティック相関、マルチソース・テレメトリ、および適応統計モデルに基づく高度な脅威のプロアクティブ検出のためのマルチレイヤー・ハイブリッドアーキテクチャ 要旨: 高度な脅威を効率的に検知することは、現代のサイバーセキュリティにおける主要な運用上の課題の一つであり続けている。現代の企業環境は、オンプレミス資源、パブリッククラウド、およびコンテナ化されたワークロードを組み合わせたハイブリッドインフラストラクチャによって特徴付けられ、エンドポイント、ネットワーク、アイデンティティプラットフォームから発生する異種のテレメトリが大量に生成される。この文脈において、シグネチャのみに基づく従来の検知メカニズムは、マルチステージ攻撃、ファイルレスマルウェア、living-off-the-land 技術に対して重大な限界を示す。本研究は、MITRE ATT&CK オントロジーに基づくセマンティック相関、イベントの時間的分析、および異常行動を識別するための適応統計モデルを統合した、高度な脅威をプロアクティブに検知するためのマルチレイヤー・ハイブリッドアーキテクチャを提案する。われわれは、検知問題を、遅延に関する運用上の制約と許容可能な偽陽性率を考慮しつつ、異種イベントストリームにおける攻撃チェーンの確率的推論として定式化する。提案アーキテクチャは、検知プロセスを三つの主要層に編成する: (i) ネットワークセンサー、エンドポイントエージェント、アイデンティティログから得られるマルチソース・テレメトリの収集と正規化; (ii) ATT&CK 技術グラフに基づくセマンティック相関により、敵対的活動の妥当な系列を識別すること; そして (iii) Isolation Forest などの異常検知アルゴリズムを用いた適応統計モデリングにより、これまで観測されていない行動的逸脱を識別すること。われわれは、MISP 経由の脅威インテリジェンスソースと統合された Elastic Stack、Suricata、Sysmon、および Wazuh を用いて、運用可能なプロトタイプを実装した。実験評価は、複数の Windows および Linux 仮想マシンを含む制御環境で実施され、攻撃セキュリティの文献で広く文書化されたツール、すなわち Metasploit、Cobalt Strike、Mimikatz を用いた現実的な攻撃シナリオを実行した。結果は、ネットワーク IDS のみに基づくアプローチと比較して、平均検知時間 (MTTD) の大幅な改善と、ATT&CK 技術のカバレッジ向上を示した。われわれは、MTTD の約 37% の削減と、検知された技術カバレッジの 21% の増加を観測した。これらの結果は、セマンティック相関、統計分析、および分散テレメトリを組み合わせたハイブリッドアーキテクチャが、特にハイブリッドおよび cloud-native 環境における現代の Security Operations Center (SOC) 運用に対して有望なアプローチであることを示している。
Read paper →Detection適応的マルチレイヤ型高度脅威検知：異種テレメトリのベイズ融合と時間グラフに基づく手法
適応的マルチレイヤ型高度脅威検知：異種テレメトリのベイズ融合と時間グラフに基づく手法 2025年におけるサイバー脅威の高度化は、マルチステージ攻撃、ゼロデイ脆弱性の悪用、サプライチェーン侵害、アイデンティティの悪用、さらに生成系人工知能モデルの悪用を含み、従来の検知メカニズムに重大な課題を突きつけている。本研究では、異種テレメトリの再帰的ベイズ融合と動的時間グラフによる構造モデリングに基づく適応的マルチレイヤ検知アーキテクチャを提案する。本問題を、時間に沿った悪意ある活動の存在を表す潜在二値過程に対する推論として定式化し、ネットワーク、エンドポイント、アイデンティティ、アプリケーション、およびクラウドワークロードから得られる観測イベントに基づいて推定する。提案手法は、(i) イベントのセマンティック正規化、(ii) 統計的および構造的特徴量の抽出、(iii) 時間グラフのインクリメンタル構築、(iv) 数値安定性のための対数尤度更新を用いたベイズ推論、を統合する。さらに、観測されたトポロジカル指標の分布と履歴ベースラインとの間のKullback–Leiblerダイバージェンスに基づく構造的検出器を導入する。提案モデルを、広く利用されている公開データセット（CIC-IDS2017およびUNSW-NB15）と、23億件の匿名化イベントを含む企業データセットに対して実証的に評価し、Random Forest、XGBoost、LSTMと比較した。結果は、F1スコアの統計的に有意な向上と、偽陽性率およびラテラルムーブメント検知までの平均時間の一貫した低減を示した。さらに、Zero TrustおよびCNAPP環境における含意、コンセプトドリフトへのロバスト性、ならびにデータポイズニングのリスクについて議論する。複数の弱い証拠を確率的に整合的に融合する手法と時間グラフの構造解析を組み合わせることで、精度と遅延の両面で大きな改善を実現しつつ、現代の分散アーキテクチャにおける運用スケーラビリティを維持できることを示す。
Read paper →Detectionタイトル: ヘテロジニアス・テレメトリと時系列グラフのベイズ融合に基づく高度脅威の適応型多層検知
タイトル: ヘテロジニアス・テレメトリと時系列グラフのベイズ融合に基づく高度脅威の適応型多層検知 要旨: 2025年におけるサイバー脅威の高度化、すなわちマルチステージ攻撃、ゼロデイ脆弱性の悪用、サプライチェーン侵害、IDの悪用、ならびに生成AIモデルの悪用を含む脅威は、従来の検知機構に対して重大な課題を突きつけている。本研究では、異種テレメトリの再帰的ベイズ融合と動的時系列グラフによる構造モデリングに基づく適応型多層検知アーキテクチャを提案する。我々はこの問題を、ネットワーク、エンドポイント、アイデンティティ、アプリケーション、クラウド上のワークロードから得られる観測イベントに基づいて時間とともに推定される、悪意ある活動の存在を表す二値潜在過程に対する推論として定式化する。手法は、(i) イベントの意味論的正規化、(ii) 統計的・構造的特徴抽出、(iii) 時系列グラフの逐次構築、(iv) 数値安定性のための対数尤度による更新を用いたベイズ推論、を統合する。さらに、観測されたトポロジー指標の分布と歴史的ベースラインとの間のKullback–Leiblerダイバージェンスに基づく構造検知器を導入する。我々は、このモデルを広く用いられている公開データセット（CIC-IDS2017およびUNSW-NB15）と、23億件の匿名化イベントを含む企業データセット上で実証的に評価し、Random Forest、XGBoost、およびLSTMと比較した。結果は、$F1$スコアの統計的に有意な改善と、誤検知率およびラテラルムーブメントの平均検知時間の一貫した低減を示している。Zero TrustおよびCNAPP環境における含意、concept driftに対する頑健性、ならびにデータポイズニングのリスクについて論じる。複数の弱い証拠を一貫した確率的融合で統合し、時系列グラフの構造解析と組み合わせることで、分散型の現代アーキテクチャにおける運用上のスケーラビリティを維持しつつ、精度と遅延の面で大幅な向上が得られることを示す。
Read paper →Detection多モーダル時間モデリングと大規模確率推論による高度持続的脅威の適応的検知
TITLE: 多モーダル時間モデリングと大規模確率推論による高度持続的脅威の適応的検知 ABSTRACT: ハイブリッド環境およびクラウドネイティブ環境における高度持続的脅威（APT）の高度化は、侵害の早期検知に対して重大な課題をもたらしている。2025年の運用環境には、マルチクラウドアーキテクチャ、CNAPP（Cloud-Native Application Protection Platforms）、エフェメラルなワークロード、eBPFを介したテレメトリ、ならびに大規模言語モデル（LLMs）に関連する新たなリスクが組み込まれている。本研究では、動的な多モーダルグラフと多変量Hawkes過程の統合に基づくAPT適応検知のための形式モデルを提案し、明示的なベイズ的視点の下で構成する。イベントフローを異種の時系列として形式化し、悪意ある活動の伝播をスペクトル安定性制約を備えた自己励起過程としてモデル化する。最適判定は、偽陽性率に対する明示的な制限を伴う0–1損失の下で導出し、ベースレート問題に対処する。アーキテクチャはApache Kafka、Apache Flink、および分散ストレージを用いた分散環境に実装し、eBPFベースのテレメトリ抽出とMITRE ATT&CKに整合したコンテキスト強化を組み込んだ。モデルはCIC-IDS2017、DARPA Transparent Computing、および23億イベントを含む匿名化された企業データセット上で評価した。その結果、Isolation Forest、LSTM、Sigmaルールといったベースラインと比較して、F1スコアにおける統計的に有意な向上（p < 0.01）、偽陽性率38%削減、AUC 0.97を示した。さらに、AIベースシステムのセキュリティ、モデルガバナンス、ならびに新たな耐量子制御との統合に関する含意についても議論する。以上より、関係的確率モデリングは、観測可能性、コンプライアンス、サイバー・レジリエンスに関する現代的要求に適合し、大規模な適応検知に対して理論的に堅牢かつ運用上実行可能な基盤を提供することが示された。
Read paper →Detectionタイトル: マルチモーダル時間モデル化と大規模確率推論による適応的高度持続的脅威検知
タイトル: マルチモーダル時間モデル化と大規模確率推論による適応的高度持続的脅威検知 要旨: ハイブリッドおよびクラウドネイティブ環境における高度持続的脅威（APT）の高度化は、侵害の早期検知に対して重大な課題をもたらしている。2025年の運用環境には、マルチクラウドアーキテクチャ、CNAPP（Cloud-Native Application Protection Platforms）、エフェメラルなワークロード、eBPFによるテレメトリ、ならびに大規模言語モデル（LLMs）に関連する新たなリスクが含まれる。本研究では、動的なマルチモーダルグラフと多変量Hawkes過程の統合に基づく、APTの適応的検知のための形式モデルを提案し、これを明示的なベイズ的観点の下で構築する。イベントフローを異種時間系列として定式化し、悪意ある活動の伝播を、スペクトル安定性制約を伴う自己励起過程としてモデル化する。最適意思決定は、偽陽性率の明示的制約を伴う0–1損失の下で導出され、ベースレート問題の本質に対処する。アーキテクチャはApache Kafka、Apache Flink、分散ストレージを用いた分散環境上に実装し、eBPFベースのテレメトリ抽出およびMITRE ATT&CKに整合した文脈付与を組み込んだ。評価はCIC-IDS2017、DARPA Transparent Computing、および23億イベントを含む匿名化された企業データセットで実施した。結果は、Isolation Forest、LSTM、Sigmaルールなどのベースラインと比較して、F1スコアの統計的に有意な向上（p < 0.01）、偽陽性率の38%削減、AUC 0.97を示した。さらに、AIベースシステムのセキュリティ、モデルガバナンス、および新興の耐量子制御との統合に関する含意を議論する。以上より、関係的確率モデリングは、可観測性、コンプライアンス、およびサイバー耐性に関する現代的要件に適合する、大規模な適応的検知のための堅牢な理論的基盤と運用上実行可能な枠組みを提供することを結論づける。
Read paper →Detection異種企業環境における確率的融合と継続学習に基づく高度脅威の適応型マルチレイヤ検知
異種企業環境における確率的融合と継続学習に基づく高度脅威の適応型マルチレイヤ検知 現代の企業環境における脅威検知は、ハイブリッドインフラストラクチャ、マルチクラウドアーキテクチャ、モバイルデバイス、コンテナ化されたワークロード、APIによって露出する攻撃面、さらに人工知能ベースのシステムの統合拡大が収束していることにより、構造的に複雑な問題となっている。最近の報告によれば、侵害された認証情報、既知の脆弱性の悪用、および正規ツールの不正利用が依然として主要な侵入ベクトルの一つであり、攻撃者の平均滞在時間（dwell time）も依然として顕著であることから、従来の検知メカニズムの限界が示されている（VERIZON, 2024; MANDIANT, 2023）。本研究では、ほぼリアルタイムの検知問題を、システム全体の侵害状態という潜在状態に対する確率的推論として定式化する。この潜在状態はマルコフ過程によってモデル化され、複数のテレメトリ層から得られる異種証拠の融合によって推定される。われわれは、AMuLeT（Adaptive Multi-Layer Threat detection）フレームワークを提案する。これは層ごとに教師あり分類器とオートエンコーダを組み合わせ、近似的条件付き独立の仮定の下で対数尤度比規則によって統合するものである。さらに、コンセプトドリフトおよび敵対的進化を緩和しつつ、歴史的に重要なパラメータを保持するため、弾性正則化を用いた継続学習メカニズムを導入する。本手法は、広く利用されている公開データセットおよび大規模企業データセット上で実証的に評価され、総計で数十億件のイベントを対象とした。結果として、単独モデルと比較して、AUC、F1-score、偽陽性率、および平均検知時間の短縮において統計的に有意な改善が確認された。さらに、NISTの推奨事項およびCNAPP、eBPF、大規模言語モデルのセキュリティといった最新動向を踏まえた実務的含意を議論し、動的グラフおよび差分プライバシーの形式的保証を伴うフェデレーテッドラーニングを含む将来拡張の方向性を示す。
Read paper →Detectionタイトル: 高度脅威の適応型マルチレイヤー検知：異種企業環境における確率的融合と継続学習に基づく手法
タイトル: 高度脅威の適応型マルチレイヤー検知：異種企業環境における確率的融合と継続学習に基づく手法 要旨: 現代の企業環境における脅威検知は、ハイブリッドインフラストラクチャ、マルチクラウドアーキテクチャ、モバイルデバイス、コンテナ化されたワークロード、APIによって露出する攻撃面、ならびに人工知能ベースのシステムの統合拡大が収束することにより、構造的に複雑な問題となっている。最近の報告によれば、侵害された認証情報、既知脆弱性の悪用、正規ツールの悪用は依然として主要な侵入ベクトルの一つであり、攻撃者の平均滞留時間（dwell time）も依然として長く、従来の検知機構の限界を示している（VERIZON, 2024; MANDIANT, 2023）。本研究では、準リアルタイムの検知問題を、システム的侵害の潜在状態に関する確率的推論として定式化し、その状態をマルコフ過程でモデル化し、複数のテレメトリ層から得られる異種エビデンスの融合によって推定する。私たちはAMuLeT（Adaptive Multi-Layer Threat detection）フレームワークを提案する。これは、各層ごとの教師あり分類器とオートエンコーダを組み合わせ、条件付き独立の近似仮説の下で対数尤度比則を用いて統合するものである。さらに、concept driftおよび敵対的進化を緩和しつつ、歴史的に重要なパラメータを保持するために、弾性正則化を伴う継続学習機構を導入する。我々は、この手法を広く利用されている公開データセットおよび大規模な企業データセット上で実証的に評価し、総計で数十億件のイベントを対象とした。結果は、単独モデルと比較して、AUC、F1-score、偽陽性率、および平均検知時間の短縮において統計的に有意な改善を示した。さらに、NISTの推奨やCNAPP、eBPF、大規模言語モデルのセキュリティといった現代的潮流を踏まえて実務上の含意を論じ、動的グラフおよび差分プライバシーの形式的保証を伴う連合学習を用いた将来拡張を示した。
Read paper →Detection自己教師あり表現学習とマルチレベル時間相関を用いた企業環境におけるサイバー脅威のハイブリッド適応型検出
TITLE: 自己教師あり表現学習とマルチレベル時間相関を用いた企業環境におけるサイバー脅威のハイブリッド適応型検出 ABSTRACT: 現代の企業環境におけるサイバー脅威の検出には、異種イベントを相関させ、複雑な時間依存関係をモデル化し、正当な認証情報の悪用、ファイルレス技術、ならびに MITRE ATT&CK に整合したマルチステージ攻撃チェーンを利用する攻撃者に適応できるメカニズムが求められる。本研究では、自己教師あり表現学習、階層的時間モデリング、および動的グラフ上の確率的相関を統合したハイブリッドアーキテクチャを提案し、概念ドリフト下において感度を損なうことなく偽陽性を低減することを目的とする。問題は $P(Y=1 \mid G_{t-k:t})$ の推定として定式化され、ここで $G_{t-k:t}$ は複数のテレメトリソース（認証ログ、エンドポイントイベント、ネットワークフロー、およびクラウドテレメトリ）から抽出された時間グラフのスライディングウィンドウを表す。自己教師ありコンポーネントは軽量 Transformer による時間的コンテキスト予測に基づき、十分なラベルが存在しない状況においても堅牢な意味的埋め込み（embeddings）の学習を可能にする。マルチレベル相関段階では、ATT&CK 技術と整合する部分グラフ上に定義された対数線形ポテンシャルを用いることで、運用上の解釈可能性を確保する。本手法は Apache Kafka、Apache Flink、PyTorch、および Neo4j を用いた分散インフラ上に実装され、24 ノードのクラスタにおいて毎秒 12 万イベントの持続スループットを達成した。モデルは CIC-IDS2017、LANL Cybersecurity Dataset、および 42 億イベントを含む企業内データセットで評価した。結果として、平均 AUC 0,982、F1 0,941、TPR 96,4%、FPR 3,1% を観測し、Isolation Forest、DeepLog、LSTM Autoencoder などのベースラインと比較して偽陽性を相対的に 38% 削減した（$p < 0{,}01$）。さらに、SIEM および CNAPP プラットフォームとの統合に関する示唆や、差分プライバシーを伴う連合学習および敵対的ロバスト性を含む拡張について議論する。これらの結果は、自己教師あり表現と確率的構造相関の組み合わせが、2025 年時点の最先端に至る大規模適応型検出のための有望なアプローチであることを示している。
Read paper →Detection高度持続型脅威の多段階適応検知：異種テレメトリの確率的相関による
1. はじめに
Read paper →