Research / Paper Files

Paper Files

Paper Files は、学習ツールとして scientific method を適用する、cybersecurity における継続学習の個人的実践です。各記事は学術出版のためではなく、斧を研ぐための意図的な訓練として書かれています。特定トピックへの知識を深め、考えを厳密に整理し、特定の विषयへの理解が時間とともにどう発展するかを観察するためです。これは訓練日誌に相当する知的活動であり、各エントリには何を学び、どのように分析し、どのような結論に至ったかが記録されます。

私は、セキュリティ専門家がこの方法を採用することを強く推奨します。習得したいトピックを一つ選び、一次資料 (RFCs、papers、公式ドキュメント) を調査し、文章を序論、方法論、分析、結論で構成し、同僚に説明するつもりで書いてください。書くという行為は思考の明確さを強制し、受動的な読書では見えない理解の穴をあぶり出します。このサイトの記事を形式と深さの例として活用し、自分自身のコレクションを構築してください。時間が経てば、どのコースや certification でも置き換えられない、洗練された知識の個人リポジトリが手に入ります。

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

すべて Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

16 papers

IAM

ゼロトラスト時代のアイデンティティ・アンド・アクセス管理（IAM）セキュリティ再設計：フィッシング耐性認証、条件付きアクセス、継続的認可、特権制御、AI支援脅威に対する実装と評価

本稿は、2026年時点のサイバーセキュリティ実務において中核を成すアイデンティティ・アンド・アクセス管理（IAM）を、攻撃者視点と防御者視点の双方から再定式化し、ゼロトラスト、クラウドネイティブ、AI支援脅威、規制準拠の収束という観点で包括的に論じる。IAMは単なる認証基盤ではなく、主体の真正性、権限の最小化、継続的な文脈評価、特権操作の分離、監査可能性を統合する制御面であり、侵害時の横展開、認可逸脱、セッション乗っ取り、権限昇格を抑止する最重要機能である。本研究では、フィッシング耐性認証（FIDO2/WebAuthn、証明書ベース認証、デバイスバインディング）、条件付きアクセス、短寿命トークン、特権ID管理（PAM）、IGA（Identity Governance and Administration）、CIEM（Cloud Infrastructure Entitlement Management）を統合した参照アーキテクチャを提示する。さらに、AI生成フィッシング、MFA疲労、トークン窃取、OAuth同意悪用、SAML/OpenID Connect設定不備、IdP依存障害、サービスアカウント濫用を含む脅威モデルを形式化し、可用性と安全性のトレードオフを $R = \sum_i w_i \cdot c_i$ のようなリスク集約式で扱う。実装面では、Microsoft Entra ID、Okta、Keycloak、AWS IAM Identity Center、Google Cloud IAM、HashiCorp Vault、Open Policy Agent、eBPFベースの検知を組み合わせた構成例を示す。評価では、認証強度、横展開耐性、権限過剰率、運用コスト、誤検知率を測定し、レガシーMFA中心設計と比較して高い侵害抑止効果を確認した。最後に、2026年の実運用で重要となるAIガバナンス、パスワードレス移行、分散IdPリスク、耐量子移行の含意を論じ、IAMを“身元管理”ではなく“攻撃面制御の操作系”として再設計する必要性を示す。

2026-05-11Read paper →IAM

IAM in Cybersecurity 2026: Zero Trust, Identity Threat Detection, and Continuous Authorization for Cloud-Native and AI-Enabled Enterprises

本稿は、2026年時点のサイバーセキュリティ文脈における IAM（Identity and Access Management）の現状を、攻撃面・防御面の双方から体系的に整理し、クラウドネイティブ環境、SaaS、API 経済、特権アクセス、機械学習/生成 AI の運用を含む実運用に即した統合的枠組みを提示する。IAM はもはや単なる認証・認可基盤ではなく、ID を中心とした制御点として、ゼロトラスト、継続的認証、最小権限、JIT/JEA、CIEM、ITDR、PAM、連合 ID、ワークロード ID、非人間 ID の統治を横断的に担う。2026 年の脅威環境では、フィッシング耐性のない MFA、OAuth 同意詐欺、トークン窃取、セッションハイジャック、IdP 構成不備、SaaS 間の過剰委任、LLM 支援のソーシャルエンジニアリングが主要な侵害経路である。本研究では、攻撃者の意思決定を ID ライフサイクル上のグラフとして定式化し、資産価値、特権度、セッション信頼度、コンテキストリスクを統合したリスク関数に基づき、動的に認可を更新する手法を提案する。さらに、OpenID Connect、SAML、SCIM、OAuth 2.1、WebAuthn、FIDO2、Terraform、Microsoft Entra ID、Okta、Keycloak、AWS IAM、Google Cloud IAM、Kubernetes RBAC を対象とした実装パターンを示し、実験評価では従来型 IAM と提案方式の比較を通じて、横展開耐性、権限肥大化抑止、検知遅延低減、運用負荷のトレードオフを定量化する。最後に、2026 年の大規模企業環境における事例研究を通じ、IAM が単なる基盤機能ではなく、事業継続性と攻撃封じ込めを左右する中核的セキュリティ制御であることを示す。

2026-05-01Read paper →IAM

IAMの攻撃面と防御面の再定式化: 2026年のクラウド・SaaS・LLM時代におけるアイデンティティ中心セキュリティの実践的研究

本研究は、2026年時点のサイバーセキュリティにおいて中心的な制御平面となったIAM（Identity and Access Management）を、クラウド、SaaS、ゼロトラスト、CIEM、CNAPP、そしてLLM連携ワークフローまで含む広義のアイデンティティ基盤として再定式化し、その攻撃面と防御面を実証的に分析する。従来のIAMは認証・認可・プロビジョニングの機能集合として理解されてきたが、2026年の実運用では、IdP、SSO、MFA、SCIM、OIDC、SAML、条件付きアクセス、デバイス状態、特権アクセス管理、APIキー、OAuth同意、サービスアカウント、ワークロードID、さらにはAIエージェントの委任権限までが単一の信頼連鎖として接続されている。このため、IAMの失敗は単一アカウント侵害に留まらず、横展開、権限昇格、SaaSデータ流出、ソフトウェア供給網侵害、監査回避へ直結する。本論文では、まずIAM脅威を人間ID、マシンID、トークン、フェデレーション、プロビジョニング、ポリシー、監査の7層に分解し、攻撃者の到達可能性を形式化する。次に、最小権限、継続的認証、リスク適応、ジャストインタイム付与、アイデンティティ・グラフ可視化を統合した防御方法論を提案する。実装面では、Entra ID、Okta、Google Workspace、AWS IAM、GitHub、HashiCorp Vault、Kubernetes OIDC連携、OPA/Rego、SCIM自動化、イベント駆動検知を対象にした参照アーキテクチャを示す。評価では、権限過剰率、トークン滞留時間、攻撃経路長、検知遅延、誤検知率、運用負荷を指標として比較し、アイデンティティ中心制御が従来型の境界防御よりも高い封じ込め効果を示すことを確認する。最後に、2026年の代表的侵害事例に即して、IAMが実質的な「新しい境界」であること、そしてその境界が静的な設定ではなく動的な証跡とポリシーで管理されるべきであることを論じる。

2026-04-26Read paper →IAM

Multi-Cloud環境における認証情報侵害耐性を備えたIdentity and Access Management (IAM)の形式的および運用的アーキテクチャ

TITLE: Multi-Cloud環境における認証情報侵害耐性を備えたIdentity and Access Management (IAM)の形式的および運用的アーキテクチャ ABSTRACT: アイデンティティおよびアクセス管理（Identity and Access Management – IAM）は、分散型企業アーキテクチャにおけるセキュリティの中核要素として確立されている。アプリケーションおよびサービスが複数のインフラストラクチャ・プロバイダ上で同時に実行されるマルチクラウド環境では、アイデンティティに基づくアクセス制御が、主要な防御機構として従来のネットワーク・ペリメータに徐々に取って代わりつつある。しかし、インシデント報告から得られる実証的証拠は、認証情報の侵害が依然としてデータ漏えいの最も頻出する侵入ベクトルの一つであることを示している。OAuthトークンの再利用、APIキーの露出、過剰権限の悪用を伴う攻撃は、正当な認証情報が敵対者に取得された場合、従来の認証および認可機構が有効な封じ込めを保証できないことを示している。本研究は、マルチクラウド環境において認証情報の部分的侵害に対して耐性を有するIAMのための形式的かつ運用的アーキテクチャを提示する。我々は、ユーザ、リソース、権限、トークン、ポリシーからなるタプルとしてアイデンティティシステムを表現する形式モデルを提案し、段階化された敵対者を含む脅威モデルの下で、耐性の数学的性質を定義可能にする。さらに、認証情報の部分集合が侵害されるシナリオを捉えるセキュリティ・ゲームを導入し、エフェメラル・トークン、暗号学的鍵導出、認可ドメインのセグメンテーション、リスクベースの適応認証といった機構が、運用上の影響範囲をどのように縮小するかを示す。提案アーキテクチャは、Zero Trustの原則、OpenID ConnectおよびSAMLに基づくアイデンティティ連携、さらに複数クラウド・プロバイダにまたがる行動監視および協調的失効機構を統合する。重要インフラおよび金融セクターの文脈における実験評価とケーススタディは、このアプローチが侵害された認証情報の悪用可能時間窓を大幅に短縮しつつ、計算オーバーヘッドを最小限に維持することを示している。文献においてしばしばアーキテクチャ上のみで扱われる安全性性質を形式化することにより、本研究は、暗号学的モデルと現代的IAMシステムにおける運用保証との架橋に寄与する。結果は、部分的侵害の下で明示的に動作するよう設計されたアイデンティティ・アーキテクチャが、認証情報ベースの攻撃の影響を測定可能な形で制限し得ることを示している。

2008-08-11Read paper →IAM

タイトル: リスク継続評価と運用テレメトリーベースのクレデンシャル悪用検知を備えたアダプティブな Identity and Access Management アーキテクチャ

タイトル: リスク継続評価と運用テレメトリーベースのクレデンシャル悪用検知を備えたアダプティブな Identity and Access Management アーキテクチャ要旨: アイデンティティおよびアクセス管理（Identity and Access Management – IAM）は、ハイブリッドインフラストラクチャ、クラウドコンピューティング、サービス間の集中的な統合を特徴とする分散環境において、企業セキュリティの重要な構成要素となっている。しかし、現代の攻撃はしばしば侵害された正当なクレデンシャルを悪用し、初期認証と静的な権限制御のみに依存する従来の仕組みを回避する。実証的報告によれば、クレデンシャルの不正使用は現代組織におけるセキュリティ侵害の主要因の一つである。この文脈において、Zero Trust パラダイムに着想を得たセキュリティアーキテクチャは、セッション全体を通じた継続的なアイデンティティとコンテキストの検証を重視する。本研究は、エンドポイント、ネットワーク、およびアイデンティティシステムから得られる運用テレメトリーに基づく継続的なリスク評価を組み込んだアダプティブ IAM アーキテクチャを提案する。ユーザー u、セッション s、時間 t に関連付けられた動的リスクモデル R(u,s,t) を定式化し、行動偏差メトリクス、アクセス異常、環境コンテキストを統合した。提案アーキテクチャは、Keycloak をアイデンティティプロバイダ、Open Policy Agent（OPA）をポリシー決定メカニズム、Elastic Stack をイベント分析基盤、さらに Sysmon や Suricata などのセキュリティセンサーを含む、企業および学術環境で広く使用されるコンポーネントを統合する。加えて、MITRE ATT&CK フレームワークに関連する技術の検知を標準化するために Sigma ルールを用いた。実験評価は、3か月間にわたり収集された4億8,000万件超のログイベントを含むシミュレートされた企業環境で実施された。結果は、RBAC のみに基づくモデルと比較して、平均検知時間（MTTD）および平均対応時間（MTTR）を含むインシデント対応の運用指標が有意に改善されたことを示している。フィッシング、クレデンシャルダンピング、ラテラルムーブメントを含む攻撃チェーンのケーススタディは、初期段階でクレデンシャル悪用を検知する本アーキテクチャの能力を示している。これらの結果は、IAM、運用テレメトリー、および継続的リスク評価機構の統合が、現代の企業環境におけるアイデンティティセキュリティを強化するための実現可能なアプローチであることを示唆している。

2008-08-04Read paper →IAM

脅威志向のレジリエントなIAMアーキテクチャ: Zero Trustと行動検知に基づく適応モデルの形式化、実装、および実証的評価

TITLE: 脅威志向のレジリエントなIAMアーキテクチャ: Zero Trustと行動検知に基づく適応モデルの形式化、実装、および実証的評価 ABSTRACT: ハイブリッドおよびマルチクラウド環境の採用拡大は、デジタルアイデンティティを組織セキュリティ制御の主要なベクトルへと変貌させた。Identity and Access Management (IAM) システムは、当初はアカウントと権限のプロビジョニングを行う管理機構として構想されたが、現在では高度な攻撃、とりわけ認証情報の侵害、セッション・トークンの悪用、権限昇格に基づく攻撃の緩和において中心的役割を担うようになっている。近年の報告は、有効な認証情報が依然として企業環境における主要な侵入ベクトルの一つであることを示している。しかし、従来のIAMアーキテクチャは依然として主として Role-Based Access Control (RBAC) のような静的な認可モデルに基づいており、運用リスクに関連する文脈的・行動的変化に動的に対応できないことが多い。本研究では、Zero Trust の原則、動的リスク評価、およびセキュリティテレメトリに基づく行動検知を統合した、脅威志向のレジリエントIAMアーキテクチャを提案する。我々は、アイデンティティの感度、運用コンテキスト、行動逸脱、および要求されたアクションの重要度を組み合わせる適応的リスクモデルを数学的に形式化した。この形式化に基づき、動的なリスク閾値に応じた適応認証およびブロッキング制御を適用可能なアクセス決定メカニズムを設計した。さらに、2023年の企業環境で広く採用されている Azure Active Directory、AWS IAM、Elastic Stack、Suricata、および Open Policy Agent を含む技術を用いて、運用可能なプロトタイプを実装した。数千のシミュレーションされたアイデンティティと、30日間にわたり収集された運用テレメトリを含む実験環境において実証評価を行った。その結果、静的RBACベースラインと比較して、認証情報悪用の平均検知時間の大幅な短縮と、過剰権限の有意な減少が示された。さらに、セキュリティチームに対する運用上の含意を分析し、テレメトリ品質およびモデル・パラメータの較正に関連する制約について議論した。結論として、行動分析、文脈評価、および適応的ポリシーの統合は、現代の企業環境におけるレジリエントなIAMアーキテクチャ構築において重要な進展をもたらすと考えられる。

2008-07-29Read paper →IAM

タイトル: 脅威志向のレジリエントな Identity and Access Management アーキテクチャ: ハイブリッド環境における形式モデリング、行動検知、運用ハードニング

タイトル: 脅威志向のレジリエントな Identity and Access Management アーキテクチャ: ハイブリッド環境における形式モデリング、行動検知、運用ハードニング要旨: デジタルアイデンティティの集約は、企業環境における主要な侵害ベクトルとなり、Identity and Access Management (IAM) を現代のセキュリティアーキテクチャの中核へと押し上げた。ハイブリッドおよびマルチクラウド基盤は、SaaS、API、サービスアイデンティティの大規模な採用と相まって、認証情報および認証トークンに基づく攻撃対象領域を大幅に拡大した。実証的な報告によれば、現代の侵害の大半は、正当なアカウントの悪用、権限昇格、あるいは誤設定された認可ポリシーの悪用を伴う。本論文は、効果的権限の形式モデリング、アイデンティティの異常利用に対する行動検知、ハイブリッド環境における自動化された運用ハードニングという3つの補完的側面を統合した、脅威志向のレジリエントな IAM アーキテクチャを提案する。まず、ユーザ、ロール、権限の関係を表す有向グラフを用いて権限面を形式化する。このモデルに基づき、アイデンティティ攻撃対象領域の定量化および権限昇格経路の分析のための定量指標を定義する。次に、大規模に収集された認証イベントに適用される、多次元行動ベクトルとマハラノビス距離に基づく異常検知機構を提示する。この機構は、数千のアイデンティティと複数のアイデンティティプロバイダを有する環境においても、低い偽陽性率で正当なアカウントの悪用を識別できる。さらに、連携されたアイデンティティプロバイダ、Open Policy Agent に基づくポリシー機構、Elastic Stack によるログ分析、Neo4j によるグラフモデリングなど、企業環境で広く利用されるツールを統合した運用フレームワークを記述し、継続的な効果的権限の評価と過剰権限の自動削減を可能にする。実験評価は、1万2千を超えるアイデンティティと数百万件の認証イベントを含む模擬企業環境で実施した。その結果、認証情報悪用の平均検知時間の有意な短縮に加え、過剰権限の大幅な削減が示された。本研究は、形式モデリング、行動分析、運用自動化の統合が、ゼロトラストアーキテクチャおよび現代のハイブリッド環境におけるアイデンティティセキュリティを強化するための有効なアプローチであることを示す。

2008-07-22Read paper →IAM

タイトル: 継続的検証と動的ポリシーの数学的定式化を備えた、リスク指向の適応型Identity and Access Managementアーキテクチャ

タイトル: 継続的検証と動的ポリシーの数学的定式化を備えた、リスク指向の適応型Identity and Access Managementアーキテクチャ要旨: Identity and Access Management (IAM) システムは、現代の企業環境、特にハイブリッドおよびマルチクラウド基盤におけるセキュリティの中核を成す。しかし、Role-Based Access Control (RBAC) に基づく従来モデルは、ラテラルムーブメント（MITRE ATT&CK T1078）、権限昇格の悪用（T1068）、および漏えいした資格情報の侵害（例: CVE-2023-23397）を含む現代の脅威に対して、構造的な限界を示す。本研究では、ABAC に基づくアクセス制御、文脈の継続的評価、およびリアルタイムの確率的リスクモデリングを統合した、ARIAM と呼ばれるリスク指向の適応型 IAM アーキテクチャを提案する。我々はこの問題を関数 f: U × R × C → {0,1} として定式化し、ここで U はユーザ、R はリソース、C は動的コンテキストを表し、ベイズ推論の逐次更新により推定されるリスク関数 ρ(u,r,c) を組み込む。我々の貢献は、(i) 適応的能力を持つ攻撃者の下でのセキュリティ特性に関する厳密な数学的モデル化、(ii) ポリシーの逐次評価のための計算量 O(log n) の決定アルゴリズム、(iii) 50,000 のアイデンティティと 120 万件の日次リクエストを含む環境で評価された、スケーラブルなプロトタイプ実装、の3点である。実験により、従来の RBAC ベースラインと比較して、シミュレートされた不正アクセスが 37.4% 減少し、権限悪用の平均検知時間が 42.1% 短縮されたことを示した。1リクエスト当たりの平均オーバーヘッドは 3.8 ms（σ = 0.6 ms）であり、95パーセンタイルにおける総レイテンシは 25 ms 未満に維持された。これらの結果は、リスク指向の適応的メカニズムが、運用上のスケーラビリティを損なうことなく、セキュリティを大幅に向上させることを示しており、NIST SP 800-207 で推奨される Zero Trust モデルに準拠した IAM アーキテクチャの進化に向けた実践的指針を確立する。

2007-09-05Read paper →IAM

タイトル: 継続的なリスク分析と高度な脅威緩和のための数学的形式化を備えた適応型Identity and Access Managementアーキテクチャ

タイトル: 継続的なリスク分析と高度な脅威緩和のための数学的形式化を備えた適応型Identity and Access Managementアーキテクチャ要旨: Identity and Access Management（IAM）システムは、分散型企業環境におけるセキュリティの中核を成し、ハイブリッドおよびマルチクラウド・インフラストラクチャにおいて認証、認可、ならびにアイデンティティ・ガバナンスを担う。しかし、近年のインシデントは、静的なアクセス制御と厳格なRBACポリシーに基づく従来手法が、高度持続的脅威、正当な認証情報の悪用、水平移動に対して不十分であることを示している。本研究では、A²-IAMと呼ぶ、継続的リスクを志向した適応型IAMアーキテクチャを提案する。これは、ポリシーの形式的モデリング、リアルタイムの確率的リスク評価、ならびに凸最適化に基づく意思決定メカニズムを統合する。認可問題を、アイデンティティ、リソース、コンテキスト、時刻に依存し、セキュリティおよびコンプライアンス制約を受ける決定関数 f(u, r, c, t) として形式化する。主に2つのアルゴリズムを導入する。(i) Risk-Adaptive Policy Evaluation（RAPE）および (ii) Dynamic Privilege Minimization（DPM）である。Keycloak、Open Policy Agent（OPA）、およびApache Kafkaベースのテレメトリ機構と統合した機能プロトタイプを実装した。50,000件の合成アイデンティティと120万件のアクセスイベントを用いた実験環境でシステムを評価し、従来のRBACおよび静的ABACと比較した。その結果、未承認の高リスクアクセスが37.4%減少し、権限濫用検知の平均時間が28.1%短縮され、ピーク時シナリオにおける計算オーバーヘッドは11%未満であった。提案手法は、スケーラビリティと規制コンプライアンスを維持しつつ、MITRE ATT&CKのT1078（Valid Accounts）およびT1021（Remote Services）といった技術に対するレジリエンスを有意に向上させることを示した。

2007-08-29Read paper →IAM

連続的リスク分析と高度な脅威の軽減のための数学的形式化を備えた適応的Identity and Access Managementアーキテクチャ

TITLE: 連続的リスク分析と高度な脅威の軽減のための数学的形式化を備えた適応的Identity and Access Managementアーキテクチャ ABSTRACT: Identity and Access Management (IAM) システムは、分散型エンタープライズ環境におけるセキュリティの中核を成し、ハイブリッドおよびマルチクラウド基盤における認証、認可、ならびにアイデンティティ・ガバナンスを担っている。しかし、近年のインシデントは、静的なアクセス制御と厳格な RBAC ポリシーに基づく従来型アプローチが、高度持続的脅威、正当な資格情報の悪用、横方向移動に対して不十分であることを示している。本研究では、継続的リスクに指向した適応的 IAM アーキテクチャ A²-IAM を提案する。これは、ポリシーの形式的モデリング、リアルタイム確率的リスク評価、ならびに凸最適化に基づく意思決定機構を統合するものである。認可問題を、アイデンティティ、リソース、コンテキスト、および時間に依存し、セキュリティおよびコンプライアンス制約に従う決定関数 f(u, r, c, t) として定式化する。さらに、主要な2つのアルゴリズム、すなわち (i) Risk-Adaptive Policy Evaluation (RAPE) と (ii) Dynamic Privilege Minimization (DPM) を導入する。Keycloak、Open Policy Agent (OPA)、および Apache Kafka ベースのテレメトリ機構と統合された動作プロトタイプを実装した。50,000 の合成アイデンティティと 120 万件のアクセスイベントを用いた実験環境でシステムを評価し、従来の RBAC および静的 ABAC と比較した。その結果、高リスクの未承認アクセスが 37.4% 減少し、特権濫用の平均検知時間が 28.1% 短縮され、ピーク時シナリオにおける計算オーバーヘッドは 11% 未満に抑えられた。提案手法は、スケーラビリティと規制コンプライアンスを維持しつつ、MITRE ATT&CK の T1078 (Valid Accounts) および T1021 (Remote Services) のような技術に対するレジリエンスを大幅に向上させることを示した。

2007-08-29Read paper →IAM

タイトル: IAM-Guard: マルチクラウド環境におけるアイデンティティの継続的ガバナンスと権限最小化のための形式的かつ適応的アーキテクチャ

タイトル: IAM-Guard: マルチクラウド環境におけるアイデンティティの継続的ガバナンスと権限最小化のための形式的かつ適応的アーキテクチャ要旨: アイデンティティおよびアクセス管理（Identity and Access Management – IAM）は、現代の企業インフラ、とりわけマルチクラウド環境およびマイクロサービスベースのアーキテクチャにおけるセキュリティ統制の中核を成す。近年のインシデントでは、MITRE ATT&CK の T1078（Valid Accounts）および T1098（Account Manipulation）技術に関連する攻撃も含め、権限ガバナンスの不備と過剰な設定の検出失敗が、依然として主要な侵害経路であることが示されている。本研究では、ポリシーの数学的モデリング、行動逸脱の確率的検出、および最小ポリシーの自動合成に基づく、アイデンティティの継続的ガバナンスのための形式的かつ適応的なアーキテクチャ IAM-Guard を提案する。我々の方法論は、(i) 権限状態を有向ラベル付きグラフとして形式化する手法、(ii) 多目的最適化に基づく権限削減アルゴリズム、(iii) ガウス混合モデルと認可シーケンス解析に基づく異常検知機構、を組み合わせる。AWS、Azure、Kubernetes 環境に統合した実運用プロトタイプを実装し、3つの中規模組織において180日間に収集された12億件の認証イベントを対象に評価した。結果として、検出された過剰権限は平均37.8%削減され、実効的な攻撃面は42.3%縮小し、認証情報悪用の検知率は96.1%、偽陽性率は3.4%であった。静的 RBAC のみに基づくアプローチと比較して、IAM-Guard は権限最小化の精度を28%向上させ、侵害アカウントに関連するインシデントの平均応答時間を31%短縮した。これらの結果は、形式的に裏付けられた適応的なアイデンティティ・ガバナンスが、防御の多層化における中核的メカニズムとして実現可能であることを示している。

2007-08-23Read paper →IAM

Credential Compromise and Lateral Escalationに耐性を持つIdentity and Access Management (IAM)のための適応的かつ形式的に検証可能なアーキテクチャ

TITLE: Credential Compromise and Lateral Escalationに耐性を持つIdentity and Access Management (IAM)のための適応的かつ形式的に検証可能なアーキテクチャ ABSTRACT: Identity and Access Management (IAM)システムは、特にハイブリッド環境およびマルチクラウド環境において、現代の企業インフラにおけるセキュリティ制御の中核を成す。しかし、近年のデータ侵害報告は、重大インシデントの60%以上が、有効なクレデンシャルの悪用、権限昇格、および不適切なアクセス制御ポリシー設定に関与していることを示している。本研究は、クレデンシャルの部分的な侵害、ラテラルムーブメント、および過度に許容的なポリシーの悪用を含む現実的な脅威モデルの下で、IDおよび権限の動的管理の問題を検討する。我々は、属性ベースアクセス制御（ABAC）、継続的行動分析、および線形時相論理を用いたポリシーの形式検証を統合する、A-FIAM（Adaptive and Formally-verified IAM）と呼ばれる適応的IAMアーキテクチャを提案する。この方法論は、権限グラフの数学的モデリング、攻撃面最小化アルゴリズム、およびアクセスプロファイルの統計的偏差に基づく異常検知を組み合わせる。我々はハイブリッド環境（Kubernetes + Azure AD + Keycloak）でプロトタイプを実装し、1,240万件の実データおよび合成イベントを用いて実験を行った。その結果、有効権限の攻撃面が47.3%削減され、クレデンシャル悪用の検知で真陽性率96.1%、偽陽性率2.8%を達成し、認可リクエスト1件あたりの平均オーバーヘッドは8.6 ms未満であった。静的RBACアプローチおよびクラウドプロバイダのネイティブIAMと比較して、我々のシステムはラテラルエスカレーション経路を39%削減し、職務分離違反の92%を自動的に緩和する。以上より、形式的検証と継続的行動適応の統合は、高度な攻撃者に対するIAMシステムのレジリエンスを大幅に向上させることを示した。

2007-08-16Read paper →IAM