Research / Paper Files
Paper Files
Paper Files は、学習ツールとして scientific method を適用する、cybersecurity における継続学習の個人的実践です。各記事は学術出版のためではなく、斧を研ぐための意図的な訓練として書かれています。特定トピックへの知識を深め、考えを厳密に整理し、特定の विषयへの理解が時間とともにどう発展するかを観察するためです。これは訓練日誌に相当する知的活動であり、各エントリには何を学び、どのように分析し、どのような結論に至ったかが記録されます。
私は、セキュリティ専門家がこの方法を採用することを強く推奨します。習得したいトピックを一つ選び、一次資料 (RFCs、papers、公式ドキュメント) を調査し、文章を序論、方法論、分析、結論で構成し、同僚に説明するつもりで書いてください。書くという行為は思考の明確さを強制し、受動的な読書では見えない理解の穴をあぶり出します。このサイトの記事を形式と深さの例として活用し、自分自身のコレクションを構築してください。時間が経てば、どのコースや certification でも置き換えられない、洗練された知識の個人リポジトリが手に入ります。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →14 papers
IRの再定義: 2026年のサイバーセキュリティにおけるインシデントレスポンスの統合運用モデル、AI支援検知、封じ込め、復旧、そして意思決定最適化
2026年のサイバーセキュリティ環境において、IR（Incident Response）は単なる事後対応ではなく、検知、封じ込め、調査、復旧、学習を一体化した継続的運用能力として再定義されている。特に、ランサムウェアの二重恐喝、SaaS侵害、IDベース攻撃、クラウド権限濫用、サプライチェーン侵害、AI/LLMを用いた社会工学、そして運用基盤を狙うログ改ざんや可観測性の破壊は、従来のIR手順のみでは十分に対処できない。本研究は、IRを「確率的意思決定問題」として形式化し、検知品質、封じ込め遅延、証拠保全、復旧整合性、業務影響を同時最適化する統合モデルを提案する。提案手法は、MITRE ATT&CKに基づく攻撃進展モデル、NIST SP 800-61 rev.2に準拠したライフサイクル、CISA/ENISAの実務知見、そして2026年時点で成熟したCNAPP、EDR、NDR、eBPF観測、SOAR、SIEM、SOAR、LLM支援トリアージを組み合わせる。さらに、インシデントを「技術的封じ込め」「法務・広報・規制対応」「復旧順序の最適化」という3層の制約付き最適化として扱い、期待損失を最小化する意思決定式を導出する。実装では、Sigma、YARA、Velociraptor、TheHive、MISP、Wazuh、OpenTelemetry、Falco、Cilium Tetragon、Kubernetes監査ログ、クラウド監査イベントを統合し、実運用に適した検知・封じ込めプレイブックを提示する。評価では、代表的な侵害シナリオに対し、平均検知時間、平均封じ込め時間、誤検知率、復旧時間、証拠欠損率を比較し、従来型IRと提案モデルの有効性を示す。結果として、IRは「人手中心の緊急作業」から、「証拠主導の半自動意思決定システム」へ移行すべきであることを示す。
Read paper →IRタイトル: ハイブリッド環境におけるIncident Responseのためのデータ駆動型アーキテクチャ: MITRE ATT&CKに基づく形式化、オートメーション、オーケストレーション
タイトル: ハイブリッド環境におけるIncident Responseのためのデータ駆動型アーキテクチャ: MITRE ATT&CKに基づく形式化、オートメーション、オーケストレーション 要旨: Incident Response（IR）は、標的型攻撃、ransomware-as-a-service、および国家主導のオペレーションの指数関数的増加を背景に、現代のサイバーセキュリティにおける重要な構成要素となっている。最新の報告によれば、EDRおよび高度なSIEMを導入していても、複雑な企業環境における攻撃者の平均滞留時間（dwell time）は依然として16日を超えている。本研究では、ハイブリッド環境（on-premiseおよびcloud）におけるIRのためのデータ駆動型アーキテクチャを提案し、形式的な脅威モデリング、MITRE ATT&CKに基づく相関分析、多層検知、SOARによるオートメーションを統合する。さらに、応答プロセスを、フォレンジックの正確性と事業継続性の制約下で、封じ込め時間と運用影響を最小化する多目的最適化問題として形式化する。 本手法は、構造化されたログ収集（Sysmon、CloudTrail、Zeek）、シグネチャベース検知（Suricata、YARA）、グラフに基づく行動分析、ならびにパラメータ化されたplaybookによる自動オーケストレーションを組み合わせる。主要なアルゴリズムとして、(i) 観測されたTTPsに条件付けられたBayesianスコアリングに基づくインシデントの適応的優先順位付け機構、(ii) 攻撃連鎖の再構築のための計算量 O(n log n) の時間的相関エンジン、の2つを実装した。評価は、120エンドポイント、15サーバー、AWSワークロードを備えた制御環境で、42の実シナリオ（T1059、T1027、T1486を含む）を模擬して行った。従来のSIEMベースラインと比較して、MTTRは平均37.4%短縮され、文脈化された検知率は28.6%向上し、標準偏差は4.1%未満であった。 結果は、脅威モデリング、豊富なテレメトリ、およびオーケストレーションされたオートメーションの形式的統合が、手作業の負担を大幅に削減し、運用上の意思決定の一貫性を向上させることを示している。結論として、本提案手法は、限られた資源と高い脅威変動性の下で運用するCSIRTおよびSOCチームに対して、再現可能なフレームワークを確立する。
Read paper →IRタイトル: 多層相関とレスポンスサイクルの数学的形式化に基づく、Incident Response (IR) の証拠主導型アーキテクチャ
タイトル: 多層相関とレスポンスサイクルの数学的形式化に基づく、Incident Response (IR) の証拠主導型アーキテクチャ 要旨: Incident Response (IR) は、人間が運用する ransomware、APT による諜報キャンペーン、CVE-2021-44228（Log4Shell）などの重大脆弱性の大規模悪用といった高度な攻撃の指数関数的増加を背景に、現代のサイバーセキュリティにおける戦略的柱の一つとなっている。NIST SP 800-61 や MITRE ATT&CK のようなフレームワークが定着しているにもかかわらず、IR の実運用には、マルチソース相関、アラート優先順位付け、そして時間的制約が極めて厳しい状況下での証拠保全において、なおギャップが存在する。本稿では、ネットワーク、エンドポイント、ID、揮発性メモリの多層相関に基づく証拠主導型 IR アーキテクチャを提案し、時間的イベントグラフ上の最適化問題として数学的に定式化する。我々の方法論は、自動収集（Suricata、Zeek、Sysmon）、ルールベース検知（Sigma、YARA）、メモリ解析（Volatility 3）、脅威インテリジェンスによるエンリッチメント（MISP）、および MITRE ATT&CK への明示的マッピングによる行動モデリングを統合する。 我々は、イベント $E = \{e_1, e_2, ..., e_n\}$ を時間的有向グラフ $G=(V, A, T)$ の頂点として表現する形式モデルを定義し、そこでは辺が因果関係または文脈的関係を示す。さらに、2つのアルゴリズムを提案する。(1) 加重時間相関（CTP: Correlação Temporal Ponderada）で、計算量は $O(n \log n)$、(2) ベイズ的インシデント優先順位付け（PBI: Priorização Bayesiana de Incidentes）で、逐次更新を用いて侵害の事後確率 $P(C|E)$ を推定する。12.4 TB の実ログと公開データセット（CIC-IDS2017 および DARPA TC）を用いた制御実験では、平均トリアージ時間（MTTT）を 37% 削減し、真陽性率（TPR）を 22% 向上させつつ、FPR を 4.8% 未満に維持した。 評価の結果、複数のフォレンジック層を形式的に統合することで、ATT&CK の T1059（Command and Scripting Interpreter）、T1027（Obfuscated Files）、T1003（Credential Dumping）に関連する偽陽性が大幅に減少することが示された。LockBit 3.0 ransomware を対象としたケーススタディでは、45 分未満での封じ込めという具体的な運用上の効果が確認された。以上より、数学的形式化と証拠主導の自動化を組み合わせることは、SOC および CSIRT チームの運用成熟度を大きく高め、dwell time の短縮と組織レジリエンスの向上に寄与すると結論づける。
Read paper →IR相関マルチレイヤーおよび応答サイクルの数学的形式化に基づくインシデントレスポンス（IR）のための証拠駆動アーキテクチャ
TITLE: 相関マルチレイヤーおよび応答サイクルの数学的形式化に基づくインシデントレスポンス（IR）のための証拠駆動アーキテクチャ ABSTRACT: インシデントレスポンス（IR）は、人間が操作するランサムウェア、APTによるスパイ活動キャンペーン、ならびに重要脆弱性の大規模悪用（例: CVE-2021-44228 – Log4Shell）といった高度な攻撃の指数関数的増加を背景に、現代のサイバーセキュリティにおける戦略的柱の一つとなっている。NIST SP 800-61やMITRE ATT&CKのようなフレームワークが確立されているにもかかわらず、IRの実運用には、複数ソース間の相関付け、アラートの優先順位付け、ならびに高い時間的圧力下での証拠保全において依然としてギャップが存在する。本論文は、マルチレイヤー相関（ネットワーク、エンドポイント、アイデンティティ、揮発性メモリ）に基づく証拠駆動型IRアーキテクチャを提案し、これを時系列イベントグラフ上の最適化問題として数学的に形式化する。我々の方法論は、自動収集（Suricata、Zeek、Sysmon）、ルールベース検知（Sigma、YARA）、メモリ解析（Volatility 3）、脅威インテリジェンスによるエンリッチメント（MISP）、およびMITRE ATT&CKへの明示的マッピングによる行動モデリングを統合する。 我々は、イベント $E = \{e_1, e_2, ..., e_n\}$ を有向時系列グラフ $G=(V, A, T)$ の頂点として表現する形式モデルを定義し、そこではエッジが因果関係または文脈的関係を示す。さらに、二つのアルゴリズムを提案する。(1) 重み付き時間相関（CTP）は計算量 $O(n \log n)$ を持つ。(2) ベイズ的インシデント優先順位付け（PBI）は、増分更新を用いて侵害事後確率 $P(C|E)$ を推定する。12.4 TBの実ログおよび公開データセット（CIC-IDS2017およびDARPA TC）を用いた制御実験では、平均トリアージ時間（MTTT）を37%削減し、真陽性率（TPR）を22%向上させつつ、FPRを4.8%未満に維持した。 評価により、複数のフォレンジック層の形式的統合は、ATT&CKのT1059（Command and Scripting Interpreter）、T1027（Obfuscated Files）、およびT1003（Credential Dumping）に関連する偽陽性を大幅に低減することが示された。LockBit 3.0ランサムウェアを含むケーススタディでは、45分未満で封じ込めを達成するという具体的な運用上の効果が確認された。結論として、数学的形式化と証拠駆動の自動化を組み合わせることは、SOCおよびCSIRTチームの運用成熟度における重要な進歩をもたらし、dwell timeの短縮と組織レジリエンスの向上に寄与する。
Read paper →IRMITRE ATT&CKベースのインシデントレスポンス（IR）のための証拠駆動アーキテクチャと形式モデリング：マルチレイヤテレメトリ、 автомат化オーケストレーション、およびスケーラブルなフォレンジック分析の統合
TITLE: MITRE ATT&CKベースのインシデントレスポンス（IR）のための証拠駆動アーキテクチャと形式モデリング：マルチレイヤテレメトリ、 автомат化オーケストレーション、およびスケーラブルなフォレンジック分析の統合 ABSTRACT: ランサムウェアキャンペーン、国家支援型のスパイ活動、サプライチェーン攻撃の高度化――たとえば SolarWinds（CVE-2020-10148）、ProxyLogon（CVE-2021-26855）、Log4Shell（CVE-2021-44228）――は、従来の Incident Response（IR）プロセスにおける構造的限界を露呈している。NIST SP 800-61r2 や MITRE ATT&CK のようなフレームワークが広く採用されているにもかかわらず、多くの組織は依然として静的なプレイブック、テレメトリ各層間の低い相関、ならびに意思決定プロセスの数学的形式化の欠如により運用している。本稿では、ネットワーク、エンドポイント、アイデンティティ、メモリを対象としたマルチモーダル収集を統合し、応答サイクルを不確実性下の最適化問題として形式モデリングし、SOAR に基づく自動オーケストレーションを実現する、IR 向けの証拠駆動アーキテクチャを提案する。 本手法は、(i) 検知および封じ込めを重み付き有向時間グラフとして表現する形式モデル、(ii) Mean Time to Detect（MTTD）および Mean Time to Respond（MTTR）を低減するためのベイズスコアリングに基づく優先順位付けアルゴリズム、(iii) Suricata、Zeek、Wazuh、Elastic SIEM、Sigma、YARA、Volatility といった実際のツールとの実践的統合、を組み合わせる。提案手法は、MITRE ATT&CK の戦術（TA0001–TA0009）にマッピングされた 420 件の対抗シナリオ実行を伴う制御ラボ環境で評価し、T1059（Command and Scripting Interpreter）、T1003（Credential Dumping）、T1486（Data Encrypted for Impact）などの技術を含めた。 結果は、MTTR の平均 37.4% 削減（9時間12分から5時間45分へ）、早期検知率の 22.8% 向上、ならびに静的相関のみに基づく従来型 SIEM パイプラインと比較した場合の偽陽性の 31% 減少を示した。提案アーキテクチャは、分散環境において平均遅延 480 ms 未満で、秒間 25,000 イベントまで線形にスケーリング可能であった。 以上より、適切な運用計測と証拠ベースの自動化を組み合わせた IR プロセスの数学的形式化は、効率性と精度の両面で測定可能な向上をもたらすと結論づける。本研究は、中規模から大規模の SOC に適用可能な理論的・運用的貢献を提供し、企業および政府環境に対して再現可能なモデルを提案する。
Read paper →IRIR-GraphSec: グラフ駆動および脅威インテリジェンスに基づくインシデント対応のための形式的かつスケーラブルなフレームワーク
TITLE: IR-GraphSec: グラフ駆動および脅威インテリジェンスに基づくインシデント対応のための形式的かつスケーラブルなフレームワーク ABSTRACT: 侵入キャンペーンの高度化は、ステルス性の高いラテラルムーブメント、認証情報の悪用、ならびに多段階の永続化によって特徴づけられ、インシデント対応（Incident Response – IR）チームに重大な課題を突き付けている。従来のアプローチは、静的なプレイブックと手作業によるログ分析に強く依存しており、分散型かつ大規模な環境では限界を示す。本研究では、時間的グラフモデリングと脅威インテリジェンスによる継続的な強化に基づく、インシデント対応のオーケストレーションのための形式的かつスケーラブルなフレームワーク IR-GraphSec を提案する。セキュリティイベントを有向時間グラフ G = (V, E, τ) としてモデル化し、頂点はエンティティ（ホスト、ユーザ、プロセス、アーティファクト）を、辺は観測された相互作用を表す。さらに、リスクで重み付けされた中心性指標と、計算量 O(|E|\log|V|) の封じ込め優先順位付けアルゴリズムを導入する。 我々は、Apache Kafka、Neo4j、および Apache Flink 上のインクリメンタル処理機構を用いて分散プロトタイプを実装した。DARPA Transparent Computing、23億イベントを含む匿名化された企業ログ、ならびに MITRE ATT&CK に基づく合成シナリオという実データセットを用いてシステムを評価した。ルール相関ベースのアプローチ（従来型 SIEM）および決定論的プレイブックと比較して、IR-GraphSec は平均封じ込め時間（MTTC）を 37.4% 短縮し、偽陽性を 28.1% 削減し、AUC-ROC において平均 0.19 の向上を伴って重要資産の優先順位付けを改善した。 我々の結果は、文脈化された脅威インテリジェンス（STIX/TAXII）と組み合わせることで、インシデント対応を時間的グラフにおける最適化問題として数学的に形式化することが、より迅速で、より正確かつ適応的な対応を可能にすることを示している。本研究は、(i) IR 問題の多目的最適化としての形式的モデリング、(ii) リスク中心性に基づく優先順位付けアルゴリズム、(iii) 大規模環境における広範な実証評価、を提供する。
Read paper →IRタイトル: IR-ADAPT: 分散型企業環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク
タイトル: IR-ADAPT: 分散型企業環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク 要旨: インシデント対応（Incident Response – IR）は、マルチクラウドアーキテクチャ、コンテナ化されたワークロード、SaaS統合、ならびにAI/MLパイプラインによって特徴付けられる分散型企業環境において、情報セキュリティガバナンスの戦略的構成要素となっている。テレメトリ量の指数関数的増大に加え、有効な認証情報、既知の脆弱性、および回避技術を悪用する攻撃者の高度化は、インシデントの優先順位付けと迅速な封じ込めに構造的な課題をもたらしている。本研究では、IR-ADAPTを提案する。これは、IRを部分観測マルコフ決定過程（POMDP）としてモデル化し、不確実性下での定量的最適化を可能にする、形式的・確率的・適応的フレームワークである。我々は、リスクを影響の条件付き期待値として形式化し、妥協確率、正規化影響、および認識論的不確実性を統合する多変量コスト関数を導入する。状態信念に対するベイズ更新を近似的強化学習と組み合わせることで、期待割引コストを最小化する適応的ポリシーが可能になることを示す。Elastic Stack、Apache Kafka、およびSOARプラットフォーム（TheHive/Cortex）を用いてプロトタイプを実装し、EDRテレメトリ、ネットワークログ、クラウドイベントを統合した。3.2百万件の実データおよび合成データのイベント集合上でシステムを評価し、CVSSベースのベースラインおよび静的SIEMルールと比較した。結果は、封じ込めまでの平均時間（MTTC）の統計的に有意な47.3%（±2.1%）の削減、精度の92.4%への向上、ならびに手作業負荷の31.8%削減を示した。さらに、規制対象環境への示唆、CNAPPとの統合、およびOT/ICS文脈における制約について議論する。結論として、確率的逐次形式化は、2025年時点の最先端に至るまで、適応的なインシデント対応オーケストレーションのための測定可能な利得と堅固な理論的基盤を提供する。
Read paper →IRIR-ADAPT: 分散型エンタープライズ環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク
TITLE: IR-ADAPT: 分散型エンタープライズ環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク ABSTRACT: インシデント対応（Incident Response – IR）は、マルチクラウドアーキテクチャ、コンテナ化ワークロード、SaaS統合、AI/MLパイプラインによって特徴づけられる分散型エンタープライズ環境において、情報セキュリティガバナンスの戦略的要素となっている。テレメトリ量の指数関数的増大に加え、有効な認証情報、既知の脆弱性、回避技術を悪用する高度化した攻撃者の存在は、インシデントの優先順位付けおよび迅速な封じ込めに構造的課題をもたらしている。本研究では、IRを部分観測マルコフ決定過程（POMDP）としてモデル化し、不確実性下での定量的最適化を可能にする、形式的・確率的・適応的フレームワークであるIR-ADAPTを提案する。我々はリスクを影響の条件付き期待値として形式化し、侵害確率、正規化された影響度、および認識的不確実性を統合する多変量コスト関数を導入する。状態信念に対するベイズ更新と近似強化学習を組み合わせることで、期待割引コストを最小化する適応的ポリシーが実現可能であることを示す。Elastic Stack、Apache Kafka、およびSOARプラットフォーム（TheHive/Cortex）を用いてプロトタイプを実装し、EDRテレメトリ、ネットワークログ、クラウドイベントを統合した。実システムおよび合成データからなる320万件のイベント集合を用いて評価し、CVSSベースおよび静的SIEMルールに基づくベースラインと比較した。その結果、平均封じ込め時間（MTTC）が47.3%（±2.1%）統計的に有意に短縮され、精度は92.4%に向上し、手動作業負荷は31.8%削減された。さらに、規制環境への適用、CNAPPとの統合、およびOT/ICSコンテキストにおける制約について考察する。結論として、確率的逐次形式化は、2025年時点の最先端水準におけるインシデント対応の適応的オーケストレーションに対し、測定可能な利得と堅固な理論的基盤を提供することを示す。
Read paper →IRIR-ADAPT：分散型企業環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク
TITLE: IR-ADAPT：分散型企業環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク ABSTRACT: インシデント対応（Incident Response – IR）は、マルチクラウドアーキテクチャ、コンテナ化されたワークロード、SaaS統合、ならびにAI/MLパイプラインによって特徴付けられる分散型企業環境において、情報セキュリティガバナンスの戦略的構成要素となっている。テレメトリ量の指数関数的増加に加え、有効な認証情報、既知の脆弱性、および回避技術を悪用する高度化した攻撃者の存在は、インシデントの優先順位付けおよび迅速な封じ込めに対して構造的な課題をもたらしている。本研究では、IRを部分観測マルコフ決定過程（Partially Observable Markov Decision Process – POMDP）としてモデル化し、不確実性下での定量的最適化を可能にする形式的・確率的・適応的フレームワークであるIR-ADAPTを提案する。我々はリスクを影響の条件付き期待値として形式化し、侵害確率、正規化された影響度、および認識的不確実性（epistemic uncertainty）を統合する多変量コスト関数を導入する。状態信念に対するベイズ更新を近似強化学習と組み合わせることで、割引期待コストを最小化する適応的ポリシーが可能となることを示す。Elastic Stack、Apache Kafka、およびSOARプラットフォーム（TheHive/Cortex）を用いたプロトタイプを実装し、EDRテレメトリ、ネットワークログ、クラウドイベントを統合した。3.2百万件の実データおよび合成イベントからなるデータセットでシステムを評価し、CVSSに基づくベースラインおよび静的SIEMルールと比較した。結果は、平均封じ込め時間（MTTC）が47.3%（±2.1%）統計的に有意に短縮され、精度が92.4%に向上し、手動作業負荷が31.8%削減されたことを示している。さらに、規制環境における含意、CNAPPとの統合、およびOT/ICSコンテキストにおける制約について議論する。結論として、確率的逐次形式化は、2025年時点の最先端に至るまで、適応的インシデント対応オーケストレーションのための測定可能な利得と堅固な理論的基盤を提供することを示す。
Read paper →IRタイトル: IR-GraphSec: 分散環境における自動化されたIncident Responseオーケストレーションのための、確率的時間グラフとベイズ推論に基づく形式アーキテクチャ
タイトル: IR-GraphSec: 分散環境における自動化されたIncident Responseオーケストレーションのための、確率的時間グラフとベイズ推論に基づく形式アーキテクチャ 要旨: ハイブリッドおよびマルチクラウドのデジタル基盤の複雑性が増大するにつれ、Incident Response（IR）の分野には、大規模に分散したイベント間の時間的、意味的、確率的依存関係を捉えられる形式モデルが強く求められている。本研究では、現代の企業環境におけるインシデント対応の優先順位付けと自動オーケストレーションのために、確率的時間グラフとベイズ推論に基づく形式アーキテクチャIR-GraphSecを提案する。我々は、イベントを意味的に拡張された時間タプルとして形式化し、頂点がエンティティを表し、辺が時間経過に伴って因果的に関連する相互作用を表す動的有向グラフを定義する。資産の侵害を二値の確率変数としてモデル化し、観測履歴に条件づけられた事後確率を解釈可能なロジスティック回帰によって推定することで、一次のMarkov random fieldを近似する。予算制約下での封じ込め優先順位付け問題は、0-1ナップサック問題のインスタンスに還元されるためNP困難であり、したがって古典的な近似保証を備えた貪欲ヒューリスティックを提案する。本アーキテクチャは Elastic Stack、Apache Flink、Neo4j、Kubernetes、PyTorch を用いて実装され、3.2億件の実匿名化済み実イベントを用いた実験において毎秒45,000イベントを処理した。静的ルールベース手法および従来の教師ありモデルと比較して、Mean Time to Detect（MTTD）を37.4%、Mean Time to Respond（MTTR）を42.1%削減し、偽陽性率を22.3%低減した。さらに、理論的含意、実証的限界、ならびに因果構造モデル、オンライン学習、クラウドネイティブ環境における現代的セキュリティ技術との統合を含む拡張について論じる。我々の結果は、確率的な時間的関係モデリングが、企業規模における適応的IRオーケストレーションの堅固な基盤を形成することを示している。
Read paper →IRIR-GraphSec: 分散環境におけるインシデントレスポンスの自動オーケストレーションのための、確率的時間グラフとベイズ推論に基づく形式アーキテクチャ
TITLE: IR-GraphSec: 分散環境におけるインシデントレスポンスの自動オーケストレーションのための、確率的時間グラフとベイズ推論に基づく形式アーキテクチャ ABSTRACT: ハイブリッドおよびマルチクラウドのデジタルインフラストラクチャの複雑性の増大は、Incident Response（IR）の分野に重大な課題をもたらしており、大規模に分散したイベント間の時間的・意味的・確率的依存関係を捉えることができる形式モデルを必要としている。本研究では、現代の企業環境におけるインシデント対応の優先順位付けおよび自動オーケストレーションのために、確率的時間グラフとベイズ推論に基づく形式アーキテクチャである IR-GraphSec を提案する。イベントを意味的に拡張された時間タプルとして形式化し、頂点がエンティティを、辺が時間経過に沿った因果的に関連する相互作用を表す動的有向グラフを定義する。資産の侵害を二値確率変数としてモデル化し、一次マルコフ確率場を近似する解釈可能なロジスティック回帰により、観測履歴に条件付けられた事後確率を推定する。さらに、予算制約下における封じ込めの優先順位付け問題が 0-1ナップサック問題の一種に帰着することを示し、したがって NP困難であることを示すとともに、古典的な近似保証を持つ貪欲ヒューリスティックを提案する。本アーキテクチャは Elastic Stack、Apache Flink、Neo4j、Kubernetes、および PyTorch を用いて実装され、匿名化された実世界の 32億件のイベントを用いた実験において毎秒 45,000 イベントを処理した。静的ルールベースの手法および従来の教師ありモデルと比較して、Mean Time to Detect（MTTD）は 37.4%、Mean Time to Respond（MTTR）は 42.1% 減少し、偽陽性率は 22.3% 低減した。さらに、理論的含意、実証的制約、および構造的因果モデル、オンライン学習、ならびにクラウドネイティブ環境における最新のセキュリティ技術との統合を含む拡張について議論する。本研究の結果は、確率的時間関係モデリングがエンタープライズ規模における適応的 IR オーケストレーションのための堅牢な基盤を構成することを示している。
Read paper →IRIR-GraphSec：攻撃グラフと多目的最適化に基づくインシデントレスポンス自動オーケストレーションのための形式的かつスケーラブルなフレームワーク
TITLE: IR-GraphSec：攻撃グラフと多目的最適化に基づくインシデントレスポンス自動オーケストレーションのための形式的かつスケーラブルなフレームワーク ABSTRACT: 多段階型サイバー攻撃キャンペーンの高度化に加え、ハイブリッド環境、クラウドネイティブ環境、ならびに人工知能指向環境の拡大は、インシデントレスポンス（Incident Response – IR）のオーケストレーションに重大な課題をもたらしている。NIST SP 800-61 Rev. 2 や NIST Cybersecurity Framework などの規範的フレームワークは確立された指針を提供しているものの、封じ込めの効率的な運用は、複雑なトポロジー依存関係、可用性制約、ならびに相互に競合する複数の目的によって依然として制限されている。本研究では、インシデント対応オーケストレーション問題を、MITRE ATT&CK への自動マッピングと、CNAPP、EDR、eBPF 環境からの準リアルタイム・テレメトリによって拡張された動的攻撃グラフ上の多目的最適化問題として形式化する。残存リスク、運用コスト、およびサービス停止による影響を統合した目的関数を定義し、これに予算制約および事業継続制約を課す。さらに、関連する意思決定問題が追加制約付き最小カット問題の変種への多項式時間帰着によって NP 困難であることを示す。Neo4j、Apache Kafka、および OR-Tools を用いて実装された IR-GraphSec フレームワークを提案し、大規模イベントストリームを処理しつつ、混合整数計画法および branch-and-bound ヒューリスティクスにより最適化された封じ込め計画を生成可能であることを示す。分散クラスタ上で、MITRE Caldera によるシミュレーションを含む 480 万件の実データおよび合成イベントを用いて実証評価を行った。結果として、Mean Time to Containment（MTTC）は平均 63.4% 短縮され、残存リスクは 38.9% 低減し、SOAR の静的プレイブックと比較して推定財務影響は 41.9% 低減した。統計解析により $p < 0{,}01$ の有意性が確認された。最後に、テレメトリ品質に関連する制約を議論し、ロバスト強化学習、AI システムセキュリティ、ならびにポスト量子暗号との統合に関する拡張可能性を検討する。結論として、グラフ指向の形式的モデリングは、2025 年における適応的かつスケーラブルな IR オーケストレーションのための有望なアプローチであることを示す。
Read paper →IRIR-GraphSec: 攻撃グラフと多目的最適化に基づく自動インシデント対応オーケストレーションのための形式的かつスケーラブルなフレームワーク
TITLE: IR-GraphSec: 攻撃グラフと多目的最適化に基づく自動インシデント対応オーケストレーションのための形式的かつスケーラブルなフレームワーク ABSTRACT: 多段階サイバーキャンペーンの高度化に加え、ハイブリッド、クラウドネイティブ、人工知能主導の環境の拡大は、インシデント対応（Incident Response – IR）のオーケストレーションに重大な課題をもたらしている。NIST SP 800-61 Rev. 2 や NIST Cybersecurity Framework のような規範的フレームワークは確立された指針を提示しているものの、封じ込めの効率的な運用は、複雑なトポロジー依存関係、可用性制約、および相互に競合する複数の目的によって制限されている。本研究では、IR オーケストレーション問題を、MITRE ATT&CK への自動マッピングと、CNAPP、EDR、および eBPF 環境からのほぼリアルタイムのテレメトリで拡張された動的攻撃グラフ上の多目的最適化として形式化する。残留リスク、運用コスト、および停止影響を統合し、予算制約と業務継続要件に拘束される目的関数を定義する。追加制約付き最小カット問題の変種への多項式還元により、対応する決定問題が NP 困難であることを示す。Neo4j、Apache Kafka、OR-Tools を用いて実装した IR-GraphSec フレームワークを提案し、大規模なイベントストリームを処理し、混合整数計画法および branch-and-bound ヒューリスティクスを通じて最適化された封じ込め計画を生成できることを示す。MITRE Caldera を用いたシミュレーションを含む 480 万件の実世界および合成イベントを備えた分散クラスタ上でシステムを実証的に評価した。結果は、SOAR の静的プレイブックと比較して、Mean Time to Containment（MTTC）の平均 63.4% 削減、残留リスクの 38.9% 低減、ならびに推定金銭的影響の 41.9% 低減を示した。統計分析により p < 0{,}01 で有意性が確認された。さらに、テレメトリ品質に関連する制約を論じ、ロバスト強化学習、AI システムのセキュリティ、および耐量子暗号との統合を含む拡張を検討する。結論として、グラフ指向の形式的モデリングは、2025 年における IR の適応的かつスケーラブルなオーケストレーションに対する有望なアプローチである。
Read paper →IRIR-GraphShield: 攻撃グラフと時系列証拠に基づくインテリジェントなインシデント対応オーケストレーションのための形式的かつスケーラブルな枠組み
TITLE: IR-GraphShield: 攻撃グラフと時系列証拠に基づくインテリジェントなインシデント対応オーケストレーションのための形式的かつスケーラブルな枠組み ABSTRACT: 2025年におけるデジタル環境の複雑性の増大は、マルチクラウド・アーキテクチャ、マイクロサービス、エフェメラルなワークロード、ならびに人工知能モデルの集中的な統合によって特徴づけられ、セキュリティインシデント対応のオーケストレーションに重大な課題をもたらしている。本研究では、時系列証拠と確率的推論機構によって強化された攻撃グラフに基づく、インテリジェントなインシデント対応オーケストレーションのための形式的かつスケーラブルな枠組みであるIR-GraphShieldを提案する。応答プロセスを、状態がシステムの可観測な構成を表し、イベントがフォレンジック証拠に対応し、アクションが自動化された緩和戦略である有向ラベル付き遷移系 $ \mathcal{S} = (Q, \Sigma, \delta, q_0) $ として形式的にモデル化する。時間的および確率的な重み付けを備えた動的攻撃グラフ $ G_t = (V_t, E_t) $ を組み込み、新たな侵害指標に対して継続的なベイズ更新を可能にする。形式的検証、確率的推論、説明可能な機械学習の技術を、現代のSOARおよびCNAPPプラットフォームに加え、eBPFベースのセンサーおよびランタイム・テレメトリと統合できることを示す。本枠組みは、LLMに関連する新興脅威、モデルのサプライチェーン攻撃、耐量子暗号、ならびにAIガバナンスを包含する。線形時相論理（LTL）およびシンボリック・モデル検査を用いて、応答ポリシーの正しさ、完全性、ならびに安全性の性質を評価する。概念実証実験と比較分析により、純粋にヒューリスティックなアプローチと比較して、平均封じ込め時間の短縮と誤検知に対する高い堅牢性が示される。IR-GraphShieldは、自動化された応答、数学的形式化、そして証拠駆動型の適応的セキュリティの収斂に寄与し、2025年までの現行技術環境において堅固な理論的基盤と実用的適用性を提供する。
Read paper →