Research / Paper Files
Paper Files
Paper Files は、学習ツールとして scientific method を適用する、cybersecurity における継続学習の個人的実践です。各記事は学術出版のためではなく、斧を研ぐための意図的な訓練として書かれています。特定トピックへの知識を深め、考えを厳密に整理し、特定の विषयへの理解が時間とともにどう発展するかを観察するためです。これは訓練日誌に相当する知的活動であり、各エントリには何を学び、どのように分析し、どのような結論に至ったかが記録されます。
私は、セキュリティ専門家がこの方法を採用することを強く推奨します。習得したいトピックを一つ選び、一次資料 (RFCs、papers、公式ドキュメント) を調査し、文章を序論、方法論、分析、結論で構成し、同僚に説明するつもりで書いてください。書くという行為は思考の明確さを強制し、受動的な読書では見えない理解の穴をあぶり出します。このサイトの記事を形式と深さの例として活用し、自分自身のコレクションを構築してください。時間が経てば、どのコースや certification でも置き換えられない、洗練された知識の個人リポジトリが手に入ります。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →16 papers
Research-Driven Cybersecurity in 2026: AI支援脅威分析、eBPF観測、CNAPP統合、そして攻撃者主導の検証研究に基づく実践的方法論
TITLE: Research-Driven Cybersecurity in 2026: AI支援脅威分析、eBPF観測、CNAPP統合、そして攻撃者主導の検証研究に基づく実践的方法論
Read paper →ResearchResearch as a Security Capability: A 2026 Framework for Cybersecurity Research Operations, Measurement, and Defensive Knowledge Production
本稿は、サイバーセキュリティにおける「Research」を、単なる文献調査や脆弱性追跡ではなく、継続的な防御能力を生み出す実務的な運用機能として再定義する。2026年時点の脅威環境では、生成AIを悪用したソーシャルエンジニアリング、LLMアプリケーションのプロンプトインジェクション、サプライチェーン侵害、クラウド・コンテナ・Kubernetes環境への横展開、eBPFを回避または悪用する高度なマルウェア、そしてPost-Quantum Cryptography移行に伴う複合的リスクが同時進行している。この状況では、研究は受動的な情報収集では不十分であり、仮説駆動型の観測、再現可能な検証、測定可能な防御改善、そして意思決定に直結する知識生成が必要である。 本研究は、攻撃者行動の観測、脆弱性・悪用可能性評価、運用テレメトリの統合、AI/LLMリスク評価、そして防御介入の有効性検証を一体化した研究フレームワークを提案する。具体的には、$R = f(O, E, T, M)$ として、観測 $O$、再現実験 $E$、脅威文脈 $T$、測定 $M$ から研究成果の有用性を定義し、研究の品質を「新規性」ではなく「防御価値」「再現性」「運用適用性」で評価する。実装面では、OSINT、CVE/CVSS、KEV、EPSS、Sigma、YARA、OpenTelemetry、eBPF、CNAPP、MITRE ATT&CK、OWASP LLM Top 10 を統合した研究パイプラインを示す。 評価では、架空ではあるが2026年の現実的条件に整合する組織環境を想定し、検知時間、誤検知率、優先順位付け精度、研究から防御策へ移行する時間を比較する。結果として、研究機能をSOC/CTI/IR/クラウドセキュリティ/AIガバナンスと接続することで、脅威の把握速度、制御の妥当性、運用投資対効果が大きく改善することを示す。本稿は、セキュリティ研究を「論文化のための活動」から「防御を継続的に改善する組織能力」へ転換するための実践的枠組みを提示する。
Read paper →Research研究対象としてのサイバーセキュリティ研究—AI時代の脅威モデリング、再現可能性、運用可能性を両立する実証研究フレームワーク
本論文は、サイバーセキュリティにおける「研究」を単なる知識生産ではなく、攻撃・防御の両面で運用可能な検証体系として再定義し、2026年時点の脅威環境に適合した実証研究フレームワークを提案する。対象は、AI/ML支援型の攻撃、LLMを用いたソーシャルエンジニアリング、クラウドネイティブ環境、サプライチェーン、ゼロトラスト、eBPF観測、CNAPP、Post-Quantum Crypto移行といった、2026年に実務上重要性を持つ領域である。本研究では、研究課題を「再現性」「安全性」「測定可能性」「運用可能性」の四軸で定式化し、脅威モデル、実験設計、データ収集、評価指標、倫理制約を一体化した方法論を提示する。提案手法は、(1) 現実的な攻撃連鎖の抽象化、(2) 変動要因を制御した対照実験、(3) 検知・緩和・復旧までを含む全ライフサイクル評価、(4) 研究成果の再利用性を高めるための構成管理と証跡管理、を核とする。さらに、OpenAI/Anthropic系LLMの利用が広がる状況で、プロンプト注入、データ漏えい、RAG汚染、エージェント誤作動などの新たな研究課題を扱う実装上の要点を示す。評価では、クラウドワークロード、メール誘導、EDR/NGAV回避挙動、eBPF観測点、SIEM相関ルール、CVEトリアージのケースを用い、従来型の脆弱性研究とAI時代の対抗研究を比較する。結果として、提案フレームワークは、研究の外的妥当性と運用転用性を維持しつつ、過度な再現コストや倫理リスクを抑えた形で、2026年の実戦的サイバー研究に適していることを示す。
Read paper →ResearchAIガバナンスとeBPF可観測性を統合した2026年型サイバー防御研究：大規模エンドポイント・クラウド横断環境における検知、抑止、検証の実証的フレームワーク
本稿は、2026年時点のサイバー脅威環境を前提として、大規模エンドポイント、クラウド、CI/CD、SaaS、および生成AI利用環境を横断する防御研究の方法論を提案する。中心的な問題は、従来のシグネチャ中心の検知が、Living-off-the-Land、アイデンティティ侵害、クラウド設定不備、LLMを用いた社会工学、供給網汚染といった複合的脅威に対して十分な再現性と説明可能性を与えない点にある。本研究では、eBPFベースのホスト可観測性、CNAPPによるクラウド統合監視、MITRE ATT&CKに基づく行動モデリング、そしてAIガバナンス指標を統合した多層検知・評価フレームワークを提示する。提案手法は、テレメトリの正規化、イベント相関、攻撃段階推定、リスク重み付け、検知遅延の最小化を目的関数として定式化し、$J = \alpha \cdot \mathrm{FNR} + \beta \cdot \mathrm{FPR} + \gamma \cdot \mathrm{MTTD}$ の最小化として表現する。さらに、再現可能な実験設計として、Sigma、YARA、Falco、Tetragon、Wazuh、OpenTelemetry、STIX/TAXIIを用いた実装指針と、Kubernetes、AWS、Windows、Linuxの混在環境における評価手順を示す。実験では、攻撃シミュレーション、侵害後活動、権限昇格、データ流出を想定したワークロードを用いて、検知率、誤検知率、平均検知時間、運用負荷、アラート有効率を比較した。加えて、実際のランサムウェア、クラウド・アカウント侵害、LLMを悪用したフィッシングの事例を用いて、提案枠組みがどのように意思決定の精度を改善しうるかを検証する。本稿は、2026年における防御研究を、単なるツールの組合せではなく、脅威仮説の検証科学として再構成することを目的とする。
Read paper →ResearcheBPF駆動型ゼロトラスト環境におけるAI支援脅威ハンティングの実証研究：クラウドネイティブ基盤に対する攻撃検知と運用防御の統合アプローチ
2020年代後半において、クラウドネイティブインフラストラクチャ、ゼロトラストアーキテクチャ、および生成AIの普及は、サイバーセキュリティの脅威環境を大きく変化させた。特に2021年のLog4Shell（CVE‑2021‑44228）、2023年のMOVEit Transfer侵害（CVE‑2023‑34362）、2024年に発覚したXZ Utilsバックドア（CVE‑2024‑3094）などのインシデントは、ソフトウェアサプライチェーンおよびクラウドワークロードの可視性不足が依然として重大なリスクであることを示している。同時に、eBPF（extended Berkeley Packet Filter）ベースの観測技術、クラウドネイティブアプリケーション保護プラットフォーム（CNAPP）、および機械学習を用いた異常検知の実運用導入が急速に進んだ。 本研究は、eBPFベースの低レベルカーネル観測、MITRE ATT&CKフレームワークによる戦術分類、そしてAI支援脅威ハンティングを統合した防御モデルを提案する。提案手法は、Kubernetesベースのクラウドネイティブ環境においてプロセス、ネットワーク、ファイル操作をリアルタイム収集し、確率モデルおよび埋め込みベクトルを用いて攻撃活動を識別する。数学的には、イベント系列 $E = \{e_1, e_2, ..., e_n\}$ を特徴空間 $\phi(E)$ に写像し、異常スコア $S(E)$ を算出する検知関数として定式化される。 実験では、Falco、Cilium Tetragon、Elastic Security、Zeekなどの実運用ツールを統合したテストベッドを構築し、既知の攻撃シナリオ（権限昇格、コンテナ脱出、データ流出）に対する検知率と誤検知率を評価した。結果として、eBPFベース観測とAI分類器を組み合わせた場合、従来のシグネチャベースIDSと比較して最大42%の検知精度向上を確認した。さらに、LLMを用いた脅威ハンティングクエリ生成により、SOCアナリストの調査時間が平均37%短縮された。 本研究の貢献は三つある。第一に、eBPFテレメトリとAIベース分析を統合した実運用アーキテクチャを提示する。第二に、MITRE ATT&CKマッピングを用いた攻撃検知評価フレームワークを構築する。第三に、AI支援SOC運用の実用性を実証する実験結果を示す。本研究は、クラウドネイティブ環境における次世代防御モデルの設計指針を提供し、2026年時点の実践的サイバー防御戦略に重要な知見を与える。
Read paper →Researchマルチレイヤ時間相関と堅牢な統計学習に基づく脅威のプロアクティブ検知のための形式的かつスケーラブルなアーキテクチャ
TITLE: マルチレイヤ時間相関と堅牢な統計学習に基づく脅威のプロアクティブ検知のための形式的かつスケーラブルなアーキテクチャ ABSTRACT: 複数段階にわたる攻撃キャンペーンは、ステルス性の高い横方向移動やゼロデイ脆弱性の悪用を特徴とし、その高度化は、シグネチャや静的ルールに基づく従来の検知機構に対して重大な課題を突き付けている。本研究では、マルチレイヤ時間相関とイベント指向の堅牢な統計モデリングを統合した、脅威のプロアクティブ検知のための形式的アーキテクチャを提案する。本手法は、因果依存グラフ、行動埋め込み、ベイズ推論を組み合わせ、ノイズや敵対的回避下であっても、MITRE ATT&CK の技法に関連する攻撃チェーンを識別する。さらに、問題を動的グラフ $G_t = (V_t, E_t)$ 上の推論タスクとして定式化し、検知が構造制約下での尤度最大化としてモデル化可能であることを示す。12ノードクラスタ上で1秒あたり180万イベントを処理可能な分散プロトタイプを実装した。DARPA TC、UNSW-NB15、および42億イベントからなる実環境の企業トレースを用いてシステムを評価した。従来のSIEMおよび純粋なLSTMモデルと比較して、本ソリューションは偽陽性率を37.4%削減し、平均F1スコアを0.81から0.92に向上させ、横方向移動を平均4.3秒の遅延で検知した。さらに、T1027およびT1070の戦術に関連する難読化技術に対しても堅牢性を示した。これらの結果は、大規模環境における高度持続的脅威に対処するためには、厳密な数学的形式化と分散システム工学の組み合わせが不可欠であることを示している。
Read paper →Researchタイトル: テレメトリ多層化と時間相関に基づくハイブリッドアーキテクチャによる企業環境における高度持続的脅威のプロアクティブ検知
タイトル: テレメトリ多層化と時間相関に基づくハイブリッドアーキテクチャによる企業環境における高度持続的脅威のプロアクティブ検知 要旨: 高度持続的脅威（APT）の検知は、サイバーセキュリティにおける最も困難な運用上の課題の一つであり、とりわけオンプレミスのインフラ、クラウド上のワークロード、分散したエンドポイントを組み合わせたハイブリッドな企業環境ではなおさらである。MandiantおよびVerizonの最新レポートは、熟練した攻撃者の平均潜伏時間（dwell time）が成熟した環境においても依然として16日を超え、可視性の低い組織では200日を超える場合があることを示している。本研究は、ネットワークログ（Suricata）、エンドポイント・テレメトリ（Sysmon）、揮発性メモリ（Volatility）、行動ルール（Sigma）、およびカスタム署名（YARA）を統合し、重み付き有向時間グラフの形式モデルによって結合された、多層テレメトリと確率的時間相関に基づくAPTのプロアクティブ検知のためのハイブリッドアーキテクチャを提案する。我々の手法は、MITRE ATT&CKフレームワークに整合したTTPの時間的中心性および連鎖に基づくリスクスコアリング機構を導入し、動的グラフにおけるクリティカルパス検知問題としてモデル化する。提案手法を、12の実際の攻撃シナリオ（APT29、FIN7のエミュレーション、およびCVE-2021-44228（Log4Shell）の悪用を含む）を含む実験環境で評価し、60日間に収集した総計4.3 TBのテレメトリを対象とした。結果は、94.7%の検知率（TPR）と3.2%の偽陽性率（FPR）を示し、ルールのみに基づく手法（TPR 71.4%）および独立した機械学習モデル（TPR 88.1%）を上回った。平均検知時間は11.2日から36時間へと短縮された。主な貢献は、TTP指向の時間相関の数学的定式化と、現実的な運用環境における実践的検証にある。我々は、異種テレメトリと時間モデリングを構造的に統合することで防御能力が大幅に向上し、SOC（Security Operations Centers）および脅威ハンティングチームに対して直接的な実務上の示唆を提供することを示した。
Read paper →ResearchMITRE ATT&CK指向の相関と多層テレメトリに基づくスケーラブルなハイブリッド検知・脅威ハンティング・アーキテクチャ
MITRE ATT&CK指向の相関と多層テレメトリに基づくスケーラブルなハイブリッド検知・脅威ハンティング・アーキテクチャ 要旨: クラウドコンピューティング、ハイブリッドアーキテクチャ、マイクロサービス、およびAPI経由の統合の採用に牽引された企業向けデジタル環境の急速な拡大は、情報セキュリティの状況を根本的に変化させた。現代のアタックサーフェスは高度に分散化され動的であり、これにより、シグネチャのみに基づく従来のメカニズムによる侵入の早期検知は困難になっている。現代の攻撃はしばしば、戦術、技術、および手順（TTPs）の複雑な連鎖に従い、それらはエンドポイント、ネットワーク、ID、およびクラウドサービスを含む複数のインフラ層にまたがって分散していることが多い。この文脈において、静的ルールに基づくSIEMや文脈相関を欠くEDRソリューションのような、孤立した検知アプローチは
Read paper →Researchタイトル: MITRE ATT&CKに基づく多層テレメトリと相関を志向した脅威検出・脅威ハンティングのためのスケーラブルなハイブリッドアーキテクチャ
タイトル: MITRE ATT&CKに基づく多層テレメトリと相関を志向した脅威検出・脅威ハンティングのためのスケーラブルなハイブリッドアーキテクチャ 要旨: クラウドコンピューティング、ハイブリッドアーキテクチャ、マイクロサービス、およびAPI経由の統合の採用によって推進される、企業のデジタル環境の急速な拡大は、情報セキュリティの状況を大きく変容させた。現代の攻撃対象領域は高度に分散し動的であり、そのため、シグネチャのみに依存する従来のメカニズムによる侵入の早期検出は困難になっている。現代の攻撃はしばしば、戦術、技術、および手順（TTPs）の複雑な連鎖に従い、多くの場合、エンドポイント、ネットワーク、ID、およびクラウドサービスを含む複数のインフラ層に分散している。この文脈において、静的ルールに基づくSIEMや、文脈的相関を欠くEDRソリューションのような個別の検出アプローチは、世に出てきている。
Read paper →Researchエンタープライズ環境における高度な脅威の緩和のための、多層相関および統計学習に基づくハイブリッド検知・対応アーキテクチャ
TITLE: エンタープライズ環境における高度な脅威の緩和のための、多層相関および統計学習に基づくハイブリッド検知・対応アーキテクチャ ABSTRACT: 標的型侵入キャンペーンの高度化、特に人間が操るランサムウェア攻撃、ゼロデイ脆弱性の悪用、そしてステルス性の高いラテラルムーブメントは、シグネチャや静的ルールのみに依存する従来型の検知アーキテクチャに対して重大な課題を突きつけている。最近のインシデントでは、CVE-2021-44228（Log4Shell）、CVE-2023-34362（MOVEit Transfer）といった脆弱性の悪用や、MITRE ATT&CK の T1059（Command and Scripting Interpreter）および T1021（Remote Services）といった技術が示すように、適応的かつ多層的な機構の必要性が明らかになっている。本研究では、ルールベースの決定論的相関（Sigma、Suricata、YARA）、統計的行動分析、ならびに攻撃チェーンの形式的モデリングを統合し、企業SOCにおける運用を主眼としたハイブリッド・アーキテクチャを提案する。我々の方法論は、セキュリティイベントを表現するための重み付き有向グラフの数学モデルと、侵害の事後確率 P(C|E_{1..n}) を推定する増分ベイズスコアリング機構を組み合わせる。Elastic Stack、Suricata、Wazuh、Volatility、およびPythonで実装したカスタムモジュールを用いてプロトタイプを構築し、12 TBの実運用ログと公開データセット（CIC-IDS2017、UNSW-NB15）を用いた制御環境で評価を行った。その結果、従来のルールベースSIEMと比較して偽陽性率が38.7%減少し、ラテラルムーブメントの検知率が24.3%向上し、平均検知時間（MTTD）が47分から18分へ短縮された。さらに、Cobalt Strike と Mimikatz を用いたランサムウェア攻撃シミュレーションを含むケーススタディにより、多層相関が暗号化前のパターンを平均11分前に特定できることを示した。貢献は以下の通りである：(i) 適応的相関の数学的形式化、(ii) 複雑性解析を伴うアラート優先度付けの増分アルゴリズム、(iii) 運用メトリクスによる実証的検証。本研究は、Blue Team および次世代SOCアーキテクチャ設計に対して直接的な実務的含意を提供する。
Read paper →Researchハイブリッド企業環境におけるLiving-off-the-Land型脅威の検出および適応的緩和のための形式的に検証可能なアーキテクチャ
TITLE: ハイブリッド企業環境におけるLiving-off-the-Land型脅威の検出および適応的緩和のための形式的に検証可能なアーキテクチャ ABSTRACT: ハイブリッドおよびマルチクラウドアーキテクチャの採用拡大、Zero Trustモデルの定着、さらに従来型ワークロードと人工知能ベースのシステムの統合により、2025年までに組織の攻撃面は大幅に拡大した。この文脈において、Living-off-the-Land（LotL）技術は支配的となり、正規のバイナリおよびネイティブ管理インターフェースを悪用することで従来の検出メカニズムを回避する。本研究では、LotL脅威の検出および適応的緩和のための形式的基盤を持つアーキテクチャを提案する。このアーキテクチャは、時間的プロベナンスグラフ、適応的しきい値を伴うKullback–Leiblerダイバージェンス、ならびに多項式時間に制限された攻撃者と検出器の間の確率的ゲームモデリングを組み合わせるものである。我々はこの問題を実験 $\mathsf{LotL\text{-}Evasion}(n)$ として形式化し、測定可能な最小統計偏差の下での回避確率が無視可能であることを安全性の定義とする。さらに、HoeffdingおよびPinskerの不等式を用いて、回避確率に対する指数的上界を、全変動距離と観測ウィンドウサイズの関数として導出する。提案アーキテクチャは、eBPF、ETW、auditdを介したテレメトリ収集、Apache Flinkによるストリーム処理、Elastic Common Schemaに基づく正規化、およびCNAPPおよびSOARプラットフォームとの統合を含み、NIST SP 800-207および現代的なAIガバナンス実践との整合性を維持する。bootstrapおよびWilcoxon検定を用いた実験評価により、相対的偽陽性の統計的に有意な削減と、多段階シナリオにおける平均検出時間の改善が示された。さらに、concept drift、テレメトリ完全性、言語モデル支援型攻撃に関連する含意について議論し、隠れマルコフ連鎖、差分プライバシーを伴う連合学習、PRISMによる確率的検証を含む拡張可能性を検討する。以上より、因果モデリングと情報理論の統合は、現代の企業環境におけるLotL脅威の適応的緩和に対して、形式的保証と強固な実証的証拠の双方を確立できることを示す。
Read paper →ResearchARCUS: 分散環境における脅威の適応的検知と封じ込めのためのレジリエントかつコンテキスト統合型アーキテクチャ
本稿では、分散ネットワーク環境における脅威の適応的検知と封じ込めを目的として、ARCUS というレジリエントかつコンテキスト統合型アーキテクチャを提案する。2007 年時点の技術的背景に整合させるため、対象環境は主として企業内ネットワーク、DMZ、複数セグメント、外部公開サービス、ならびに仮想化基盤を含む分散システムとして定式化する。提案手法は、IDS/IPS、SIEM、認証基盤、PKI、ログ監査、ホスト監視を横断的に統合し、イベントを確率的時間グラフとして表現することで、シグネチャ検知と異常検知の双方を補完的に用いる。これにより、ワーム感染、バッファオーバーフロー、SQL インジェクション、認証情報漏えい、横展開といった 2007 年以前に現実的であった脅威に対し、文脈依存の相関分析を通じてより高い検知精度を実現する。さらに、封じ込めを最適化問題として定式化し、可用性制約と職務分離制約を保ちながら自動応答の安全性を確保する。評価では、既存のシグネチャベース IDS と単純な相関ルールに対し、AUC-ROC、F1-score、偽陽性率の各指標で改善が確認され、特に運用上重要な誤検知の抑制と初動対応の迅速化において有効性が示された。以上より、ARCUS は、当時の組織が直面していた境界防御の限界を補い、分散環境における検知・判断・封じ込めを一体化する実践的枠組みとして位置付けられる。
Read paper →Researchハイブリッド企業環境における動的グラフに基づく横方向移動の確率的検出と時間相関
TITLE: ハイブリッド企業環境における動的グラフに基づく横方向移動の確率的検出と時間相関 ABSTRACT: Active Directory オンプレミス、Microsoft Entra ID、複数のパブリッククラウド、コンテナ化されたワークロード、および SaaS アプリケーションを統合するハイブリッド企業環境の統合は、攻撃対象領域とアイデンティティおよびネットワーク依存関係の構造的複雑性を大幅に拡大させた。この文脈において、横方向移動は現代の攻撃チェーンにおける重要な段階であり続けており、特にランサムウェア、スパイ活動、ならびに正規アカウントの侵害のシナリオで顕著である。本研究では、異種テレメトリフローにおけるマルチホップの認証およびリモートアクセスのパターンを捉えることを目的として設計された、インクリメンタルなベイズ推論を備えた動的時間グラフに基づく確率的検出の形式モデルを提案する。時間グラフを添字付き族 $\{G_t\}_{t \in T}$ として形式化し、経路の正当性確率を、適応的指数更新によりパラメータ化された条件付き確率の積としてモデル化する。閾値 $\tau$ を用いた単調枝刈りの下での完全性特性を示し、深さ制限付き列挙アルゴリズムの漸近計算量を解析し、さらに偽陽性のキャリブレーションにおけるベースレート問題の影響を検討する。本モデルを、現代的なストリーム処理アーキテクチャ（Kafka および Flink）およびグラフ指向の永続化機構と統合し、Sigma を介した相互運用性と MITRE ATT&CK へのマッピングを実現する。厳密な時間的検証を用いた実験評価により、本手法を静的ルールおよび Isolation Forest などの非教師あり手法と比較し、現実的な運用制約下で一貫した偽陽性削減を観測した。さらに、条件付き独立性仮定、テレメトリ完全性、敵対的適応性に関連する制限事項を議論するとともに、CNAPP、eBPF、およびフェデレーション・アイデンティティ悪用検出を含む環境におけるセキュリティへの含意について考察する。結論として、構造的確率モデリングは、解釈可能性、形式的厳密性、および運用上の実行可能性の間で有利なトレードオフを提供し、時間的 Graph Neural Networks や形式的敵対的評価を含む将来の拡張に向けた堅固な基盤を構成することを示す。
Read paper →ResearchARCUS：2007年時点のハイブリッド環境における高度脅威の適応的検出のための統合相関と意味解析を備えたレジリエントアーキテクチャ
本稿では、2007年時点の企業ネットワーク環境を前提として、複数ドメインに分散したセキュリティイベントを統合的に解釈し、高度持続的脅威および多段階攻撃の早期検出を実現するレジリエントアーキテクチャ ARCUS を提案する。2007年の運用現場では、境界防御、IDS/IPS、SIEM、認証基盤、PKI、脆弱性管理、フォレンジックが依然として中心的役割を担っていたが、既存の相関機構は、ログの構文的一致に依存し、主体・対象・時系列・文脈の関係を十分に保持できないという制約を抱えていた。本研究は、この制約を克服するために、イベントを形式的タプルとして定義し、通信・認証・ホスト・アプリケーション由来の事象を有向時間グラフとして表現する。さらに、ルールベース相関、増分統計検知、グラフ近傍集約を組み合わせたハイブリッド推論により、異常シーケンスと攻撃連鎖の双方を捉える枠組みを構築する。 ARCUS の設計原則は、(i) 低遅延なイベント取り込み、(ii) 意味正規化、(iii) 時間依存関係の保持、(iv) 増分更新、(v) インシデント対応手順との整合、の5点である。理論的には、イベント $e=(s,a,o,t,\lambda)$ と動的グラフ $G_t=(V_t,E_t,\phi)$ に基づいてモデル化を定式化し、スライディングウィンドウ内での相関計算と逐次的な異常スコア更新を可能にする。実験では、匿名化した運用ログ、DARPA-2000 系の評価データ、ならびに制御された模擬攻撃シナリオを用い、従来型 SIEM ベースラインと比較した。その結果、ARCUS は偽陽性率の低減、平均検知時間の短縮、ならびに多段階攻撃の連鎖可視化において優位性を示した。これらの結果は、2007年当時の実務要件に適合した形で、意味的相関と時間的相関を統合することの有効性を示している。
Read paper →Research多層時間相関とロバスト統計的推論に基づく高度持続的脅威のプロアクティブ検出のための適応型アーキテクチャ
本研究では、企業ネットワークにおける高度持続的脅威（APT）の早期検出を目的として、複数層のイベントを時間的に相関付ける適応型アーキテクチャを提案する。2007年時点における実運用上の制約、すなわちシグネチャベースIDSの限界、ログの不完全性、ラテラルムーブメントの隠蔽性、および偽陽性の多発という課題を前提に、われわれはネットワーク、ホスト、認証、アプリケーションの各イベントを統合し、動的グラフとして表現する枠組みを構成した。各エッジ重みはHuber型のロバストM推定により推定され、外れ値や部分的なログ改ざんに対して安定な相関推定を可能にする。さらに、時間依存の潜在侵害状態をベイズ的に更新し、観測系列が既知の侵入段階に整合する確率を逐次推定することで、単純な閾値判定では捉えにくい多段階攻撃を検出する。理論的には、$\epsilon$-汚染モデルの下でのロバスト性と、スライディングウィンドウに基づく計算量の上界を示す。実験では、公開データセットと企業環境由来の大規模イベント集合を用い、Random Forest、LSTM、Isolation Forest と比較した。その結果、提案手法は偽陽性率を低減し、平均検知時間を短縮しつつ、敵対的ノイズ下でも性能劣化を抑制した。本稿は、2007年当時に実装可能な技術要素のみに基づき、境界防御、IDS/IPS、SIEM、PKI、暗号基礎、ならびにデジタル・フォレンジクスとの接続可能性を明確化した統合的アーキテクチャを提示する。
Read paper →Research大規模分散環境におけるゼロトラスト適応型アクセス制御のための因果推論統合異常検知フレームワークの設計と実証的評価
企業ネットワークの構造を根本的に変化させた。従来の境界中心型防御（perimeter-based defense）は、内部ネットワークを信頼し外部を不信とする二分法的前提に立脚していた。しかし、SaaSの利用拡大、BYOD、サプライチェーン連携、リモートワークの常態化により、内部と外部の境界は事実上消失している。 NIST SP 800-207（ROSE et al., 2020）は、ゼロトラスト・アーキテクチャ（ZTA）を「すべてのアクセス要求を明示的に検証する原則」に基づくアーキテクチャとして定義した。この枠組みでは、ユーザ、デバイス、ワークロード、ネットワーク位置に関わらず、各アクセス要求ごとに動的なリスク評価が求められる。しかし実務上は、静的なロールベースアクセス制御（RBAC）や、属性ベースアクセス制御（ABAC）に簡易なスコアリングを加えた実装が主流であり、攻撃者が正規資格情報を悪用するシナリオに対して十分な識別力を持たない。 Verizon Data Breach Investigations Report 2023（VERIZON, 2023）は、多数の侵害事案において資格情報の悪用が重要な要素となっていることを報告している。ただし、特定の割合を固定値として一般化することは、年度や母集団により変動するため慎重であるべきである。我々は、資格情報悪用が依然と
Read paper →