Research / Paper Files
Paper Files
Paper Files は、学習ツールとして scientific method を適用する、cybersecurity における継続学習の個人的実践です。各記事は学術出版のためではなく、斧を研ぐための意図的な訓練として書かれています。特定トピックへの知識を深め、考えを厳密に整理し、特定の विषयへの理解が時間とともにどう発展するかを観察するためです。これは訓練日誌に相当する知的活動であり、各エントリには何を学び、どのように分析し、どのような結論に至ったかが記録されます。
私は、セキュリティ専門家がこの方法を採用することを強く推奨します。習得したいトピックを一つ選び、一次資料 (RFCs、papers、公式ドキュメント) を調査し、文章を序論、方法論、分析、結論で構成し、同僚に説明するつもりで書いてください。書くという行為は思考の明確さを強制し、受動的な読書では見えない理解の穴をあぶり出します。このサイトの記事を形式と深さの例として活用し、自分自身のコレクションを構築してください。時間が経てば、どのコースや certification でも置き換えられない、洗練された知識の個人リポジトリが手に入ります。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →189 papers
タイトル: 証拠に基づくAppSec: 脅威モデリングと継続的ハイブリッド分析に基づくアプリケーションセキュリティ・オーケストレーションのための形式的かつスケーラブルなフレームワーク
タイトル: 証拠に基づくAppSec: 脅威モデリングと継続的ハイブリッド分析に基づくアプリケーションセキュリティ・オーケストレーションのための形式的かつスケーラブルなフレームワーク 要旨: アプリケーションセキュリティは、分散アーキテクチャ、マイクロサービス、公開API、複雑なオープンソース依存関係の連鎖への依存が高まっていることにより、現代のサイバーセキュリティの中心的要素となっている。現代システムの攻撃対象領域は、コンポーネント間の相互接続性に比例して増大し、脆弱性を個別に分析する従来のアプローチでは不十分である。現代のDevSecOps環境では、静的解析（SAST）、動的解析（DAST）、およびソフトウェア構成分析（SCA）などのツールが大量のアラートを生成し、その多くは高い偽陽性率と不適切なリスク優先順位付けを特徴とする。本研究では、複数のセキュリティ証拠ソースを脆弱性優先順位付けのための統一的な確率モデルに統合する、EO-AppSec（Evidence-Oriented Application Security）と呼ばれる形式的フレームワークを提案する。我々は、ベイズ推論を、文脈化されたCVSS指標および有向グラフで表現されるコンポーネント依存関係モデリングと組み合わせることで、問題を形式化する。このフレームワークは、SAST、DAST、SCAの結果に加え、運用テレメトリを相関させ、脆弱性の悪用確率を推定し、条件付きリスクスコアを算出する。提案アーキテクチャは、CI/CDパイプラインおよびクラウドネイティブ・インフラストラクチャに統合され、Kubernetes環境やeBPFベースの可観測性プラットフォーム、最新のテレメトリスタックを含む。我々は、47のアプリケーションと約320万行のコードを含む産業環境でシステムを評価し、脆弱性を個別に分析する従来手法と比較した。その結果、脆弱性優先順位付けの精度が有意に向上し（0.89）、偽陽性が42.3%削減され、さらに平均是正時間が14.2日から8.7日に短縮された。あわせて、NIST Secure Software Development FrameworkやDevSecOpsパイプラインにおける現代的なセキュリティ実践を含む、ソフトウェアセキュリティ・ガバナンスおよび現代的セキュリティフレームワークとの統合に関する実務的含意を論じる。また、人工知能コンポーネントや大規模言語モデルを組み込む現代アプリケーションに対する方法論的限界とその含意についても分析する。結果は、証拠に基づくオーケストレーションが、運用ノイズを低減し、産業規模におけるAppSecプログラムの有効性を向上させる実行可能な道筋を提供することを示している。
Read paper →AppSecタイトル: SAST、DAST、SCA および Threat Intelligence の統合に基づく DevSecOps ライフサイクルにおける Application Security の定量的かつ運用的アーキテクチャ
タイトル: SAST、DAST、SCA および Threat Intelligence の統合に基づく DevSecOps ライフサイクルにおける Application Security の定量的かつ運用的アーキテクチャ 要旨: アプリケーション・セキュリティ（Application Security – AppSec）は、現代のデジタル環境におけるリスク管理の中核的要素となっている。マイクロサービス、外部公開 API、コンテナ、および継続的デリバリー・パイプラインに基づくアーキテクチャの採用拡大により、組織の攻撃対象領域は大幅に拡大した。さまざまなセキュリティ分析ツールが広く利用可能である一方、多くの組織はいまだ、実際の悪用リスクに基づいて脆弱性を優先順位付けすることに困難を抱えている。静的解析（SAST）、動的解析（DAST）、およびソフトウェア構成解析（SCA）ツールはしばしば大量の検出結果を生成するが、その多くは運用上の影響が小さい、あるいは誤検知率が高い。本研究は、SAST、DAST、SCA の結果を外部の脅威インテリジェンス源と統合した、リスク指向の AppSec プログラムのための定量的アーキテクチャを提案する。我々は、CVSS スコア、公的な exploit の証拠、アプリケーションの公開状況の文脈、および MITRE ATT&CK フレームワークの技術へのマッピングを組み合わせたリスク関数に基づく形式的な優先順位付けモデルを提示する。提案アーキテクチャは DevSecOps パイプラインに統合され、DefectDojo のような管理プラットフォームを通じて、脆弱性の相関付けと正規化の仕組みを利用する。我々は、Java、Python、Node.js で開発された 42 の実アプリケーション群において、このアプローチを実証的に評価した。その結果、重複する脆弱性の大幅な削減、誤検知率の低下、および平均修復時間（MTTR）の著しい改善が示された。スキャナ間の相関付け後、MTTR は 63% 減少し、検出結果の件数は 44.7% 減少した。さらに、公的 exploit の存在や敵対的活動の観測を含む脅威インテリジェンスの組み込みが、修復の優先順位付けを改善し、実際に悪用可能な脆弱性へとリソースを集中させることを示した。これらの結果は、リスクに基づく AppSec プログラムを DevSecOps ライフサイクルに統合することで、攻撃対象領域の削減とセキュリティチームの運用効率の向上において、測定可能な成果が得られることを示唆している。
Read paper →AppSec形式的脅威モデリング、SAST/DAST/SCA の統合、および DevSecOps 環境におけるランタイム・テレメトリに基づく定量的な Application Security アーキテクチャ
TITLE: 形式的脅威モデリング、SAST/DAST/SCA の統合、および DevSecOps 環境におけるランタイム・テレメトリに基づく定量的な Application Security アーキテクチャ ABSTRACT: Webアプリケーション、API、およびマイクロサービスベースのアーキテクチャへの依存の高まりにより、現代システムの攻撃対象領域は大幅に拡大している。近年のインシデント報告は、インターネットに公開されたアプリケーションの悪用が、依然として最も頻繁な侵入ベクトルの一つであり、ライブラリに存在する既知の脆弱性、入力検証の不備、または不適切な設定をしばしば突いていることを示している。静的解析（SAST）、動的解析（DAST）、ソフトウェア構成分析（SCA）といったアプリケーション・セキュリティ・ツールは DevSecOps パイプラインで広く利用されているものの、これらの機構は通常、断片的に動作し、システムの残留リスクを推定するための定量的な枠組みを欠いている。本研究は、形式的脅威モデリング、多様な分析ソースから得られる結果の集約、および実行時テレメトリの組み込みに基づく統合的な Application Security アーキテクチャを提案する。我々は、脆弱性の優先順位付け問題を、重み付けされた残留リスクの最小化プロセスとして定式化し、各脆弱性を悪用可能性の確率、潜在的影響、および運用コンテキストの指標から評価する。提案アーキテクチャは、静的解析、動的解析、および依存関係解析のツールを、セキュリティ観測機構と統合し、ランタイムにおける行動ベースの検知および継続的なイベント収集を含む。われわれは、このアプローチを、意図的に脆弱なアプリケーションと、コンテナ化されたインフラ上で稼働する実際のマイクロサービスからなる環境で実験的に評価した。結果は、実際に悪用可能な脆弱性を識別する能力が有意に向上したことを示し、単独アプローチと比較して平均 recall が 91.3% に向上し、平均検知時間（MTTD）が 63.4% 短縮された。観測された計算オーバーヘッドは 20% 未満にとどまり、現代の CI/CD パイプラインの運用要件と整合的であった。さらに、コード解析、運用監視、および脅威インテリジェンスの統合の重要性を強調しつつ、企業向け AppSec プログラムへの示唆を議論する。提案アーキテクチャは、形式的モデリングとランタイム・テレメトリの組み合わせが、現代ソフトウェアシステムにおける文脈化された脆弱性優先順位付けと、残留リスクの効果的な低減のための堅牢な基盤を提供することを示している。
Read paper →AppSecタイトル: 形式的脅威モデリング、SAST/DAST/SCAの統合、およびDevSecOps環境におけるランタイム・テレメトリに基づく定量的Application Securityアーキテクチャ
タイトル: 形式的脅威モデリング、SAST/DAST/SCAの統合、およびDevSecOps環境におけるランタイム・テレメトリに基づく定量的Application Securityアーキテクチャ 要旨: Webアプリケーション、API、およびマイクロサービスベースのアーキテクチャへの依存の増大は、現代システムの攻撃対象領域を大幅に拡大させた。近年のインシデント報告は、インターネットに公開されたアプリケーションの悪用が、依然として最も頻繁な侵入ベクトルの一つであることを示しており、その多くはライブラリ内の既知の脆弱性、入力検証の不備、または不適切な設定を悪用している。静的解析（SAST）、動的解析（DAST）、ソフトウェア構成分析（SCA）などのアプリケーションセキュリティツールはDevSecOpsパイプラインで広く利用されているが、これらの機構は通常、断片的に動作し、システムの残留リスクを推定するための定量的枠組みを欠いている。本研究は、形式的な脅威モデリング、複数の分析ソースから得られる結果の集約、および実行時テレメトリの組み込みに基づく統合型Application Securityアーキテクチャを提案する。われわれは、脆弱性の優先順位付け問題を、加重残留リスク最小化プロセスとして定式化し、各脆弱性を悪用可能性、潜在的影響、および運用コンテキストのメトリクスに基づいて評価する。提案アーキテクチャは、静的解析、動的解析、および依存関係分析ツールを、ランタイムでの行動ベース検知や継続的イベント収集を含むセキュリティ可観測性の仕組みと統合する。われわれは、この手法を、意図的に脆弱に作成されたアプリケーションと、コンテナ化インフラ上で稼働する実際のマイクロサービスから構成される環境で実験的に評価した。結果は、実際に悪用可能な脆弱性の特定能力が有意に向上したことを示し、平均recallは91,3%に達し、孤立したアプローチと比較して平均検知時間（MTTD）は63,4%短縮された。観測された計算オーバーヘッドは20%未満にとどまり、現代のCI/CDパイプラインの運用要件と整合的であった。さらに、コード解析、運用監視、脅威インテリジェンスの統合の重要性を強調しつつ、企業向けAppSecプログラムへの示唆について論じる。提案アーキテクチャは、形式的モデリングとランタイム・テレメトリの組み合わせが、文脈化された脆弱性優先順位付けと、現代のソフトウェアシステムにおける残留リスクの効果的な低減のための堅牢な基盤を提供することを示している。
Read paper →AppSecタイトル: フォーマルな脅威モデリング、SAST/DAST/SCAの統合、およびDevSecOps環境における実行時テレメトリに基づくアプリケーションセキュリティのための定量的アーキテクチャ
タイトル: フォーマルな脅威モデリング、SAST/DAST/SCAの統合、およびDevSecOps環境における実行時テレメトリに基づくアプリケーションセキュリティのための定量的アーキテクチャ 要旨: フォーマルな脅威モデリング、SAST/DAST/SCAの統合、およびDevSecOps環境における実行時テレメトリに基づくアプリケーションセキュリティのための定量的アーキテクチャ 要旨: フォーマルな脅威モデリング、SAST/DAST/SCAの統合、およびDevSecOps環境における実行時テレメトリに基づくアプリケーションセキュリティのための定量的アーキテクチャ 要旨: Webアプリケーション、API、およびマイクロサービスベースのアーキテクチャへの依存の高まりは、現代システムの攻撃対象領域を大幅に拡大させている。近年のインシデント報告では、インターネットに公開されたアプリケーションの悪用が、依然として最も頻繁な侵入ベクトルの一つであり、その多くは、ライブラリに存在する既知の脆弱性、入力検証の欠陥、または不適切な設定を利用していることが示されている。静的解析（SAST）、動的解析（DAST）、ソフトウェア構成分析（SCA）などのアプリケーションセキュリティツールは、DevSecOpsパイプラインで広く利用されているものの、これらの機構は通常、断片的に動作し、システムの残留リスクを推定するための定量的枠組みを欠いている。本研究は、フォーマルな脅威モデリング、複数の分析ソースからの結果の集約、ならびにリアルタイム実行テレメトリの組み込みに基づく統合的なApplication Securityアーキテクチャを提案する。我々は、脆弱性優先順位付けの問題を、加重残留リスク最小化プロセスとして定式化し、各脆弱性を、悪用可能性の確率、潜在的影響、運用コンテキストの指標に基づいて評価する。提案アーキテクチャは、静的・動的・依存関係分析ツールを、セキュリティ可観測性のメカニズム、すなわちランタイムでの振る舞い検出および継続的イベント収集と統合する。我々は、意図的に脆弱に構成されたアプリケーションと、コンテナ化されたインフラ上で稼働する実際のマイクロサービスから成る環境において、本手法を実験的に評価した。その結果、実際に悪用可能な脆弱性を識別する能力が有意に向上し、平均recallは91.3%に達し、孤立的な手法と比較してmean time to detect（MTTD）は63.4%削減された。観測された計算オーバーヘッドは20%未満にとどまり、現代的なCI/CDパイプラインの運用要件に適合していた。さらに、コード解析、運用監視、threat intelligenceの統合の重要性を強調しつつ、企業向けAppSecプログラムへの含意についても論じる。提案アーキテクチャは、フォーマルなモデリングとランタイム・テレメトリの組み合わせが、文脈に応じた脆弱性の優先順位付けと、現代のソフトウェアシステムにおける残留リスクの効果的な低減のための堅牢な基盤を提供することを示している。
Read paper →DFIR暗号学的保証と検証可能な妥当性確認を備えた現代インフラストラクチャにおけるデジタル・インシデント対応のための形式的かつ運用的アーキテクチャ
TITLE: 暗号学的保証と検証可能な妥当性確認を備えた現代インフラストラクチャにおけるデジタル・インシデント対応のための形式的かつ運用的アーキテクチャ ABSTRACT: 現代のデジタル・エコシステムの複雑性は、クラウド・コンピューティング、マイクロサービス・アーキテクチャ、人工知能、分散インフラストラクチャの大規模な採用によってさらに増大しており、Digital Forensics and Incident Response (DFIR) に対してより厳格なアプローチを必要としている。従来のインシデント対応フレームワークは、主として運用手順と組織ガバナンスに焦点を当てており、証拠の完全性の数学的形式化および証拠保全連鎖の検証可能性に関する重要な空白を残している。本研究では、応用暗号の基礎、形式的検証手法、ならびに企業環境、重要インフラ、クラウド・プラットフォームにおけるインシデント対応のためのテレメトリ収集および相関付けの運用メカニズムを組み合わせた統合アーキテクチャを提案する。我々は、敵対者の能力クラスに基づく DFIR 固有の脅威モデルを形式化し、証拠チェーンの完全性、真正性、改ざん不能性を捉えるセキュリティ・ゲームを定義する。さらに、衝突耐性ハッシュ関数と Merkle tree に基づく暗号学的連鎖機構を導入し、これを現代的なデジタル署名および改ざん不能ストレージと組み合わせる。加えて、証明可能な正当性特性と計算量解析を備えた、方向性非巡回グラフとしてモデル化されたフォレンジック相関アルゴリズムを提示する。本アーキテクチャは、YARA、Sigma、Suricata、SIEM/SOAR におけるテレメトリ・パイプライン、ならびに Linux 環境における eBPF ベースの可観測性メカニズムを含む、現代のセキュリティ運用で広く用いられているツール群との統合を目的として設計されている。さらに、提案手法を従来のインシデント対応ワークフローと比較する質的実験評価を実施し、取り込み遅延、計算オーバーヘッド、敵対的改変に対する耐性を検討した。デジタル化された病院環境における一例と、産業用 ICS/SCADA ネットワークにおける一例という2つのケーススタディは、強い規制上・運用上の制約を持つ領域における本モデルの適用可能性を示している。我々は、DFIR 実務に暗号学的保証と形式仕様を体系的に組み込むことにより、証拠上の信頼性および調査の監査可能性が大幅に向上し、その代償として中程度の計算オーバーヘッドと運用複雑性の増大を伴うと結論づける。本研究は、応用暗号、形式的検証、および運用セキュリティ工学の収束に寄与し、2024年の現代サイバーセキュリティの要求に整合している。
Read paper →DFIRタイトル: 暗号学的保証と検証可能な妥当性確認を備えた、現代インフラにおけるデジタルインシデント対応のための形式的・運用的アーキテクチャ
タイトル: 暗号学的保証と検証可能な妥当性確認を備えた、現代インフラにおけるデジタルインシデント対応のための形式的・運用的アーキテクチャ 要旨: 現代のデジタルエコシステムは、クラウドコンピューティング、マイクロサービスアーキテクチャ、人工知能、および分散インフラストラクチャの大規模な採用によって複雑性が増しており、Digital Forensics and Incident Response (DFIR) に対してより厳格なアプローチを必要としている。従来のインシデント対応フレームワークは、主として運用手順と組織ガバナンスに重点を置いており、証拠の整合性の数学的形式化および保全連鎖（chain of custody）の検証可能性において重要な欠落を残している。本研究では、応用暗号学の基礎、形式的検証手法、およびテレメトリの収集・相関のための運用メカニズムを組み合わせ、企業環境、重要インフラ、クラウドプラットフォームにおけるインシデント対応を実現する統合アーキテクチャを提案する。DFIR に特化した脅威モデルを敵対者能力クラスに基づいて形式化し、証拠連鎖の整合性、真正性、不変性を捉える安全性ゲームを定義する。さらに、衝突耐性ハッシュ関数と Merkle 木に基づく暗号的連鎖機構を導入し、現代的なデジタル署名および不変ストレージと組み合わせる。加えて、計算量解析と証明可能な正当性を備えた有向非巡回グラフとしてモデル化されたフォレンジック相関アルゴリズムを提示する。本アーキテクチャは、YARA、Sigma、Suricata、SIEM/SOAR におけるテレメトリパイプライン、ならびに Linux 環境における eBPF ベースのオブザーバビリティ機構を含む、現代のセキュリティ運用で広く用いられるツール群との統合を目的として設計されている。提案手法を従来のインシデント対応フローと比較する質的実験評価を実施し、取り込み遅延、計算オーバーヘッド、および敵対的改ざんに対する耐性を検討した。医療デジタル化環境における1件の事例研究と、産業用 ICS/SCADA ネットワークにおける1件の事例研究は、厳しい規制上および運用上の制約を持つ分野における本モデルの適用可能性を示している。暗号学的保証と形式仕様を DFIR の実務に体系的に組み込むことで、証拠としての信頼性と調査の監査可能性が大幅に向上し、その代償として中程度の計算オーバーヘッドとより高い運用複雑性が生じることを結論づける。本研究は、応用暗号学、形式検証、運用セキュリティ工学の収束に寄与し、2024年における現代サイバーセキュリティの要求に整合している。
Read paper →DFIR高忠実度DFIRのための証拠駆動アーキテクチャ：多層相関、数学的形式化、および企業環境における実証評価
TITLE: 高忠実度DFIRのための証拠駆動アーキテクチャ：多層相関、数学的形式化、および企業環境における実証評価 ABSTRACT: 企業向けサイバー攻撃の高度化に伴い、複数の異種証拠ソースから複雑な攻撃連鎖を再構成できるDigital Forensics and Incident Response (DFIR) の方法論が求められている。現代の企業環境では、エンドポイント、ネットワーク、クラウドサービス、ならびにEDR、SIEM、観測可能性プラットフォームを含むセキュリティツール群から、大量のテレメトリが生成される。しかし、これらの証拠を運用上統合し、厳密な時系列相関を行うことは依然として大きな課題である。本研究は、検証可能な時系列グラフによる形式モデリングに基づく、高忠実度デジタルフォレンジック調査のための証拠駆動アーキテクチャを提案する。このモデルは、デジタルアーティファクト、因果関係、およびMITRE ATT&CKフレームワークに従う敵対的技術のラベルを表現する数学的構造を導入し、同時に暗号学的完全性と時間的一貫性の性質を保持する。運用アーキテクチャは、Sysmon、Suricata、Auditd、Elastic Stack、Volatility 3、YARAを含む、産業界で広く採用されているツール群に加え、インシデント対応のオーケストレーション機構を統合する。さらに、正規化されたイベントからフォレンジックグラフを構築するEviGraph-Builderと、多段階攻撃連鎖を確率的に再構成するCausalPath-Reconstructという2つの主要アルゴリズムを提案する。実験評価は、実際のインシデントおよびAtomic Red Teamに基づく制御環境を含む49シナリオで実施された。その結果、従来の手作業プロセスと比較して、調査時間が平均で50%以上短縮され、敵対的技術の正しい相関付け率が大幅に向上することが示された。さらに、セキュリティ・オペレーション・センター（SOC）における運用上の含意、時刻同期要件、チェーン・オブ・カストディの保持、および現代のクラウドセキュリティ・プラットフォームやハイブリッド環境との統合について論じる。これらの結果は、数学的形式化と証拠相関の自動化を組み合わせることが、企業DFIRにおける重要な進歩であり、より迅速で再現可能かつ検証可能な調査に寄与することを示している。
Read paper →DFIRタイトル: 高忠実度DFIRのためのエビデンス指向アーキテクチャ：多層相関、数学的形式化、および企業環境における実証評価
タイトル: 高忠実度DFIRのためのエビデンス指向アーキテクチャ：多層相関、数学的形式化、および企業環境における実証評価 要旨: 企業向けサイバー攻撃の高度化に伴い、複数の異種証拠 स्रोतから複雑な攻撃チェーンを再構成できるDigital Forensics and Incident Response (DFIR) 手法が求められている。現代の企業環境では、エンドポイント、ネットワーク、クラウドサービス、および EDR、SIEM、可観測性ツールを含むセキュリティプラットフォームから大量のテレメトリが生成される。しかし、これらの証拠を運用上統合し、厳密に時系列相関させることは依然として大きな課題である。本研究は、検証可能な時相グラフによる形式モデル化に基づく、高忠実度デジタルフォレンジック調査のためのエビデンス指向アーキテクチャを提案する。本モデルは、デジタルアーティファクト、因果関係、および MITRE ATT&CK フレームワークに従う敵対的技術のラベルを表現する数学的構造を導入し、同時に暗号学的完全性と時系列的一貫性の特性を保持する。運用アーキテクチャは、Sysmon、Suricata、Auditd、Elastic Stack、Volatility 3、YARA を含む業界で広く採用されているツール群に加え、インシデント対応のオーケストレーション機構を統合する。われわれは2つの主要アルゴリズムを提案する。EviGraph-Builder は正規化されたイベントからフォレンジックグラフを構築し、CausalPath-Reconstruct は多段階攻撃チェーンの確率的再構成を担う。実験評価は、実際のインシデントおよび Atomic Red Team に基づく制御環境を含む49のシナリオで実施した。その結果、従来の手作業プロセスと比較して、調査時間が平均50%以上短縮され、敵対的技術の正しい相関率が有意に向上することが示された。さらに、SOC（Security Operations Center）に対する運用上の含意、時刻同期要件、チェーン・オブ・カストディの保全、および現代的なクラウドセキュリティプラットフォームやハイブリッド環境との統合について論じる。これらの結果は、数学的形式化と証拠相関の自動化の組み合わせが企業DFIRにおける重要な前進を構成し、より迅速で再現可能かつ検証可能な調査に寄与することを示している。
Read paper →DFIR時間的グラフを用いたDFIRのための形式的に基礎づけられたアーキテクチャ：暗号学的整合性保証と攻撃チェーンの確率的再構成
TITLE: 時間的グラフを用いたDFIRのための形式的に基礎づけられたアーキテクチャ：暗号学的整合性保証と攻撃チェーンの確率的再構成 ABSTRACT: 現代のサイバー攻撃キャンペーンの高度化は、Digital Forensics and Incident Response (DFIR) の実務に重大な課題を突きつけている。現代の企業環境では、エンドポイント、ネットワーク、アプリケーション、クラウドインフラストラクチャなど複数の層に由来する膨大な量のテレメトリが生成されるため、インシデントの手作業による再構成は事実上不可能である。監視システムやSIEMプラットフォームはイベント相関のための機構を提供するものの、この種のアプローチはしばしば、デジタル証拠間の因果関係および時間的一貫性を保持するための形式的基礎を欠いている。本研究では、確率的推論と証拠の整合性を保証する暗号学的機構を備えた時間的グラフに基づくDFIRのための形式アーキテクチャを提示する。我々は、フォレンジックイベントを時間的に整合した有向グラフ上の型付き頂点として表現する数学モデルを提案し、プロセス、ファイル、ネットワーク接続、ID間の因果依存関係を捉えられるようにする。このグラフ上において、MITRE ATT&CKフレームワークで記述される戦術的・技術的パターンに条件づけられたベイズ推論を利用して、攻撃者の最も起こり得る一連の行動を推定する攻撃確率再構成アルゴリズム（RPA: Reconstrução Probabilística de Ataque）を導入する。さらに、調査パイプライン全体を通じて証拠の整合性と検証可能性を保証する、ハッシュの暗号学的連鎖機構を実装した。提案アーキテクチャは、DARPA Transparent Computingデータセット、大規模な実環境の企業ログ、およびLog4Shell脆弱性の悪用を想定した合成シナリオという3つの代表的データセットを用いて実験的に評価した。その結果、純粋にヒューリスティックな相関付けや孤立した統計的検知のみに基づく手法と比較して、精度、再現率、攻撃チェーン再構成時間の各指標において大幅な改善が示された。平均して37.4%の調査再構成時間の短縮と、攻撃チェーン推論の精度における有意な向上を確認した。さらに、現代のSIEMプラットフォームとの統合に関する実務上の含意、ならびにログ品質とストレージコストに関連する制約についても論じる。結論として、時間的グラフに基づく形式モデリング、確率的推論、暗号学的保証の組み合わせは、現代の企業環境におけるスケーラブルかつ検証可能なDFIRシステムに向けた有望な基盤を構成するといえる。
Read paper →DFIR現代DFIRのための証拠指向アーキテクチャ：多層相関、タイムラインの数学的形式化、ならびにハイブリッド環境における自動オーケストレーション
TITLE: 現代DFIRのための証拠指向アーキテクチャ：多層相関、タイムラインの数学的形式化、ならびにハイブリッド環境における自動オーケストレーション ABSTRACT: 現代の計算環境の複雑性の増大—ハイブリッド・インフラストラクチャ、クラウド・ワークロード、コンテナ、分散システムによって特徴づけられる—は、Digital Forensics and Incident Response (DFIR) 分野に新たな課題を突きつけている。従来の調査手法は、主としてアーティファクトの手動収集およびログのアドホックな相関に依存しており、現代システムが生成するデータの規模、可変性、および異質性の前では限界を示している。さらに、Advanced Persistent Threats (APTs)、ransomware-as-a-service (RaaS) 攻撃、ならびに重要な脆弱性に対する自動化された悪用キャンペーンは、初期侵害からラテラルムーブメントまでの時間間隔を劇的に短縮している。この文脈において、多様なテレメトリソースを統合し、攻撃連鎖を時間的に正確に再構築できる、形式化され拡張可能なアプローチの開発が不可欠となる。本研究では、以下の3つの主要な柱に基づく現代DFIRのための証拠指向アーキテクチャを提案する。(i) 有向非巡回グラフを用いたフォレンジック・タイムライン再構築の数学的形式化、(ii) ネットワーク、エンドポイント、アイデンティティ、クラウドの各層から得られるイベントの自動的な取り込み、正規化、相関のためのパイプライン、(iii) インシデント対応のためのオーケストレーションおよび自動化プラットフォームとの運用統合である。提案モデルは、セキュリティイベントを構造化されたエンティティとして表現し、相関されたイベント間に確率的な因果関係を設定する。実験実装では、Elastic Stack、Suricata、Zeek、Sysmon、Volatility 3、および TheHive と Cortex に基づく SOAR プラットフォームから構成される技術スタックを用いる。MITRE ATT&CK フレームワークに整合した37のシナリオを用いてアーキテクチャを評価し、合計1.2 TBのデータと約8600万件のイベントを対象とした。その結果、従来のSIEMのみに基づく手法と比較して、平均調査時間 (MTTI) の大幅な短縮、誤検知の低減、ならびに攻撃連鎖再構築の精度向上が示された。加えて、セキュリティオペレーションセンター (SOC) への実務的示唆、モデルの限界、および動的グラフに基づく分析や、調査優先順位付けのための機械学習技術との統合を含む将来的拡張について議論する。
Read paper →DFIRタイトル: ハイブリッド環境における現代DFIRのための証拠駆動型アーキテクチャ: 多層相関、タイムラインの数学的形式化、および自動化オーケストレーション
タイトル: ハイブリッド環境における現代DFIRのための証拠駆動型アーキテクチャ: 多層相関、タイムラインの数学的形式化、および自動化オーケストレーション 要旨: 現代の計算環境の複雑性の増大—ハイブリッドインフラストラクチャ、クラウドワークロード、コンテナ、分散システムによって特徴づけられる—は、Digital Forensics and Incident Response (DFIR) 分野に新たな課題を突きつけている。主として手動によるアーティファクト収集とログのアドホックな相関に基づく従来の調査手法は、現代システムによって生成されるデータの規模、可変性、異種性に直面すると限界を示す。さらに、Advanced Persistent Threats (APTs) キャンペーン、ransomware-as-a-service (RaaS) 攻撃、重要脆弱性の自動化された悪用は、初期侵害から横展開までの時間間隔を劇的に短縮している。この文脈において、複数のテレメトリソースを統合し、攻撃チェーンを時間的精度をもって再構築できる、形式化されスケーラブルなアプローチを開発することが不可欠である。本研究では、現代DFIRのための証拠駆動型アーキテクチャを、(i) 有向非巡回グラフを用いたフォレンジックタイムライン再構築の数学的形式化、(ii) ネットワーク、エンドポイント、アイデンティティ、クラウドの各層から得られるイベントの自動取り込み、正規化、および相関を行うパイプライン、(iii) インシデント対応のためのオーケストレーションおよび自動化プラットフォームとの運用統合、という三つの主要な柱に基づいて提案する。提案モデルはセキュリティイベントを構造化されたエンティティとして表現し、相関されたイベント間に確率的な因果関係を確立する。実験実装では、Elastic Stack、Suricata、Zeek、Sysmon、Volatility 3、および TheHive と Cortex を基盤とする SOAR プラットフォームから構成される技術スタックを使用した。我々は、MITRE ATT&CK フレームワークに整合した37のシナリオからなるデータセットを用いて本アーキテクチャを評価し、総計1.2 TBのデータと約8,600万イベントを扱った。結果は、従来のSIEMのみに基づく手法と比較して、平均調査時間（MTTI）の有意な短縮、誤検知の減少、および攻撃チェーン再構築の精度向上を示した。さらに、セキュリティオペレーションセンター（SOC）への実務的含意、モデルの制限、ならびに動的グラフに基づく分析および調査優先度付けのための機械学習技術との統合を含む拡張可能性について論じる。
Read paper →Detectionエンドポイント、ネットワーク、およびメモリ・テレメトリに基づくMITRE ATT&CK指向の確率的時間相関を用いたマルチレイヤー検知ハイブリッドアーキテクチャ
TITLE: エンドポイント、ネットワーク、およびメモリ・テレメトリに基づくMITRE ATT&CK指向の確率的時間相関を用いたマルチレイヤー検知ハイブリッドアーキテクチャ ABSTRACT: 現代の企業環境で観測される侵入キャンペーンの複雑化は、孤立したセンサーに基づく従来の検知アーキテクチャに課題を突きつけている。今日の攻撃は、living-off-the-land（LOLBins）技術、広く利用可能なポストエクスプロイト用フレームワーク、ならびに難読化されたコマンド＆コントロール・チャネルをしばしば悪用し、その結果、ネットワーク、エンドポイント、揮発性メモリに分散したイベント連鎖を生じさせる。IDS/IPS、EDR、SIEMプラットフォームといったツールは広く採用されているものの、その分析統合は主として統語的な相関モデルに制約されており、多様なイベント間に存在する時間的・意味的依存関係を捉えることができない。MITRE ATT&CKフレームワークは、Tactics, Techniques and Procedures（TTPs）の記述のための運用オントロジーとして確立されているが、検知システムにおける利用はしばしば静的マッピングや記述的可視化に限定されている。本研究では、ネットワーク、エンドポイント、およびメモリのテレメトリを統合し、ATT&CKモデルと意味論的に整合した形式的な確率的時間相関メカニズムを備える、マルチレイヤー検知ハイブリッドアーキテクチャを提案する。このアーキテクチャは、Suricata、Sysmon、Volatility 3、およびSigma/YARAルールを含む広く利用されているセンサー群と、Kafkaに基づく取り込み層およびElastic Common Schemaに従って構造化されたインデクシングを組み合わせる。私たちは検知プロセスを不確実性下の推論問題として定式化し、重み付けされた時間グラフとしてモデル化する。ここでイベントはATT&CK技術で注釈付けされた頂点を表し、辺は定義された時間窓内で意味論的に互換な遷移を表す。さらに、個々の技術の文脈確率とTTP間の遷移重みを統合する条件付きリスク関数を導入し、攻撃連鎖全体の尤度を推定可能にした。時間インデックス付き構造を用いることで、これらのグラフの増分構築が時間窓あたりO(n log n)の計算量で実行可能であることを解析的に示す。実験評価は、文献で広く参照されているデータセット（CIC-IDS2017およびUNSW-NB15）と、隔離された実験室環境におけるマルウェア実行の制御シナリオを用いて行った。その結果、孤立したセンサーと比較して、F1-scoreの相対的改善と運用ノイズの質的削減において一貫した向上が示された。さらに、模擬的な企業環境および医療インフラにおける追加のケーススタディでは、credential dumpingおよびlateral movementを伴う攻撃連鎖の検知時間の短縮が示された。本研究は、ATT&CK指向の時間相関に関する数学的定式化、広く採用されているツールに基づく再現可能なアーキテクチャ、および攻撃の発生頻度が低い環境における侵入検知に伴う統計的限界の批判的分析を提供する。
Read paper →Detectionテレメトリ多層化と意味的相関に基づくハイブリッドアーキテクチャによる企業環境における高度脅威検知
TITLE: テレメトリ多層化と意味的相関に基づくハイブリッドアーキテクチャによる企業環境における高度脅威検知 ABSTRACT: サイバー攻撃の高度化が進み、さらにハイブリッドおよびマルチクラウド・インフラストラクチャの拡大が相まって、現代のセキュリティ運用（Security Operations Centers – SOCs）には重大な課題が課されている。今日の攻撃手法は、zero-day 脆弱性、正規IDの悪用、living-off-the-land binaries（LOLBins）、および複雑なラテラルムーブメントの連鎖を活用し、それらはしばしばエンドポイント、企業ネットワーク、クラウドサービスにまたがって分散している。この文脈において、シグネチャのみに基づく、あるいは個別の異常検知に依存する従来の機構は、特に運用スケーラビリティと誤検知削減の観点で顕著な限界を示す。本論文では、MITRE ATT&CKフレームワークから導出されたTactics, Techniques, and Procedures（TTPs）のグラフに基づくイベントの意味的相関を指向した、マルチレイヤ・テレメトリに基づくハイブリッド検知アーキテクチャを提示する。本提案は、ネットワークセンサー、エンドポイント・テレメトリ、アイデンティティ関連イベント、およびクラウドネイティブ環境由来のログを統合し、eBPF に基づく計装や CNAPP（Cloud-Native Application Protection Platform）との連携といった現代的なコンポーネントを組み込む。われわれは検知プロセスを動的イベントグラフ上の推論問題として定式化し、観測可能な活動の系列を ATT&CK 技術にマッピングし、意味的に相関させることで攻撃チェーンを識別する。本モデルは、シグネチャベース検知（YARA および Suricata）、構造化された行動ルール（Sigma）、および行動パターンの統計解析という3つの相補的パラダイムを統合する。実験評価には、広く用いられている学術ベンチマーク（UNSW-NB15 および CIC-IDS2017）と、シミュレートされた企業環境で実施した制御下の red teaming キャンペーンから成るデータセットを用いた。結果は、性能指標における有意な改善を示しており、precision 0.89、recall 0.83、F1-score 0.86 を達成し、個別アプローチと比較して false positive rate を 38.2% 削減した。また、mean time to detect（MTTD）は 6.1 分から 4.2 分へ短縮された。これらの結果は、TTP グラフに基づく意味的相関とマルチレイヤ・テレメトリを組み合わせることで、複雑な企業シナリオにおける現代的 SOC の運用効果を高める有望なアプローチであることを示している。
Read paper →Detectionテレメトリと攻撃時系列グラフのベイズ融合に基づく多段階適応型サイバー脅威検知
TITLE: テレメトリと攻撃時系列グラフのベイズ融合に基づく多段階適応型サイバー脅威検知 ABSTRACT: 現代のデジタル基盤は、ハイブリッド・クラウド環境、分散アーキテクチャ、および大量の運用テレメトリ・フローによって特徴づけられ、その複雑性の増大は、サイバー脅威の早期検知に対して大きな課題を課している。決定論的ルールに基づく従来のセキュリティ情報イベント管理（SIEM）システムは、多段階キャンペーンの識別において構造的な限界を示し、とりわけ攻撃者が正規の認証情報、低可視なラテラルムーブメント、および回避技術を利用する場合に顕著である。同時に、純粋に機械学習に基づくアプローチは、分布変化下で性能劣化を起こしやすく、運用上の解釈可能性を欠くことが多い。本研究では、証拠の増分的ベイズ融合と、攻撃時系列グラフに基づく構造モデリングを統合した、多段階の適応型検知アーキテクチャを提案する。本提案は、エンドポイント、ネットワーク、アイデンティティ、およびクラウド環境から得られる異種テレメトリを相関付けるとともに、イベント間の明示的な時間依存性と MITRE ATT&CK タクソノミーとの意味的整合性を維持する。問題は、動的グラフ $G_t=(V_t,E_t,w_t)$ 上の攻撃連鎖に対する確率的推論として定式化され、ここで重みは悪意ある挙動の条件付き確率を表す。さらに、毎分 $10^6$ 件を超えるイベントストリームを処理しつつ、確率的収束と低い運用レイテンシを維持可能な増分ベイズ更新機構を開発した。実装は Apache Kafka と Apache Flink に基づくストリーム処理アーキテクチャ上で行い、グラフの永続化には Neo4j、状態管理には RocksDB を用いた。実験評価は、UNSW-NB15、CIC-IDS2017、および約4億イベントを含む匿名化された企業コーパスを用いて実施した。ルールベース手法、Random Forest、LSTM ネットワークと比較して、提案手法は平均精度 0.91、再現率 0.88、F1-score 0.89 を達成し、従来の SIEM システムに対して偽陽性率を 42% 削減した。これらの結果は、テレメトリの確率的融合と攻撃連鎖の構造表現を組み合わせることで、ロバスト性、解釈可能性、およびスケーラビリティにおいて大きな向上が得られることを示している。さらに、クラウド向けの最新セキュリティアーキテクチャ、CNAPP プラットフォームとの統合、および adversarial な仮説の事前モデリングに関連する限界についても論じる。
Read paper →Detectionタイトル: セマンティック相関、マルチソース・テレメトリ、および適応統計モデルに基づく高度な脅威のプロアクティブ検出のためのマルチレイヤー・ハイブリッドアーキテクチャ
タイトル: セマンティック相関、マルチソース・テレメトリ、および適応統計モデルに基づく高度な脅威のプロアクティブ検出のためのマルチレイヤー・ハイブリッドアーキテクチャ 要旨: 高度な脅威を効率的に検知することは、現代のサイバーセキュリティにおける主要な運用上の課題の一つであり続けている。現代の企業環境は、オンプレミス資源、パブリッククラウド、およびコンテナ化されたワークロードを組み合わせたハイブリッドインフラストラクチャによって特徴付けられ、エンドポイント、ネットワーク、アイデンティティプラットフォームから発生する異種のテレメトリが大量に生成される。この文脈において、シグネチャのみに基づく従来の検知メカニズムは、マルチステージ攻撃、ファイルレスマルウェア、living-off-the-land 技術に対して重大な限界を示す。本研究は、MITRE ATT&CK オントロジーに基づくセマンティック相関、イベントの時間的分析、および異常行動を識別するための適応統計モデルを統合した、高度な脅威をプロアクティブに検知するためのマルチレイヤー・ハイブリッドアーキテクチャを提案する。われわれは、検知問題を、遅延に関する運用上の制約と許容可能な偽陽性率を考慮しつつ、異種イベントストリームにおける攻撃チェーンの確率的推論として定式化する。提案アーキテクチャは、検知プロセスを三つの主要層に編成する: (i) ネットワークセンサー、エンドポイントエージェント、アイデンティティログから得られるマルチソース・テレメトリの収集と正規化; (ii) ATT&CK 技術グラフに基づくセマンティック相関により、敵対的活動の妥当な系列を識別すること; そして (iii) Isolation Forest などの異常検知アルゴリズムを用いた適応統計モデリングにより、これまで観測されていない行動的逸脱を識別すること。われわれは、MISP 経由の脅威インテリジェンスソースと統合された Elastic Stack、Suricata、Sysmon、および Wazuh を用いて、運用可能なプロトタイプを実装した。実験評価は、複数の Windows および Linux 仮想マシンを含む制御環境で実施され、攻撃セキュリティの文献で広く文書化されたツール、すなわち Metasploit、Cobalt Strike、Mimikatz を用いた現実的な攻撃シナリオを実行した。結果は、ネットワーク IDS のみに基づくアプローチと比較して、平均検知時間 (MTTD) の大幅な改善と、ATT&CK 技術のカバレッジ向上を示した。われわれは、MTTD の約 37% の削減と、検知された技術カバレッジの 21% の増加を観測した。これらの結果は、セマンティック相関、統計分析、および分散テレメトリを組み合わせたハイブリッドアーキテクチャが、特にハイブリッドおよび cloud-native 環境における現代の Security Operations Center (SOC) 運用に対して有望なアプローチであることを示している。
Read paper →Secretsクラウドネイティブ環境におけるシークレット漏えいの管理と検知のための形式的・運用的アーキテクチャ: テレメトリ、静的解析、および Threat Hunting に基づく統合アプローチ
TITLE: クラウドネイティブ環境におけるシークレット漏えいの管理と検知のための形式的・運用的アーキテクチャ: テレメトリ、静的解析、および Threat Hunting に基づく統合アプローチ ABSTRACT: APIキー、認証情報、OAuthトークン、秘密証明書、暗号学的シークレットを含むシークレットの不正な露出は、クラウドネイティブおよび DevSecOps 環境における主要な侵害原因の一つである。AWSキー、GitHubトークン、ハードコードされた認証情報の漏えいに関する近年のインシデントは、シークレット管理の不備に起因する攻撃対象領域が、マイクロサービス、CI/CD、Infrastructure as Code の採用と比例して拡大していることを示している。本研究は、静的コード解析、ランタイム監視、トラフィック検査、MITRE ATT&CK との相関付け、およびエントロピーと時間的露出に基づく形式的リスクモデルを組み合わせた、シークレット漏えいの予防、検知、対応のための統合アーキテクチャを提案する。我々の方法論には、(i) 露出したシークレットのリスクを定量化するための数学モデル、(ii) ヒューリスティックと軽量な教師あり学習に基づく検知アルゴリズム、(iii) GitLeaks、TruffleHog、HashiCorp Vault、Suricata、Sigma、SIEM といったツールとの運用統合が含まれる。われわれは、漏えい履歴が既知の12のオープンソースリポジトリと、48のマイクロサービスを備えた Kubernetes 環境で検証済みの機能プロトタイプを実装した。結果は、平均検知時間（MTTD）の87%削減、認証情報の平均時間的露出の72%低減、ならびに4.8%未満の偽陽性率を示した。さらに、シークレット漏えいと MITRE ATT&CK の T1552（Unsecured Credentials）および T1078（Valid Accounts）技術との直接的な相関を実証した。本研究は、運用手順、客観的指標、および体系的なリスク軽減のための技術的提言を含む、攻撃的・防御的セキュリティチームに対する実践的な貢献を提供する。本研究は、技術的および運用的観点から Secret Management プログラムを成熟させたい組織のための再現可能なフレームワークを確立する。
Read paper →SecretsマルチクラウドおよびDevSecOps環境におけるシークレット漏えいの管理、検知、対応のための形式的・運用的アーキテクチャ
TITLE: マルチクラウドおよびDevSecOps環境におけるシークレット漏えいの管理、検知、対応のための形式的・運用的アーキテクチャ ABSTRACT: “シークレット” — 暗号鍵、APIトークン、認証情報、証明書、Kubernetesのsecret、およびコード内に埋め込まれた機微な情報 — の不適切な露出は、現在、セキュリティインシデントにおける初期侵害の主要因の一つである。最近の報告によれば、侵害の80%以上が認証情報の不正使用を伴っており（VERIZON, 2023）、一方で実証研究は、Gitリポジトリ上で公開された数百万件のシークレットを示している（MELARA et al., 2019）。本研究では、マルチクラウド環境およびDevSecOpsパイプラインにおけるシークレット漏えいの管理、検知、対応のための形式的・運用的アーキテクチャを提案する。我々のアプローチは、機微な資産の露出を伴う動的システムとしての問題の形式モデリング、ハイブリッド検知アルゴリズム（構造的正規表現、エントロピー分析、教師あり機械学習、文脈的ヒューリスティクス）、GitGuardian、TruffleHog、Gitleaks、HashiCorp Vault、AWS Secrets Manager、Suricata、Sigmaといったツールとの統合、さらに自動化されたローテーションおよび失効メカニズムを組み合わせる。私たちは、このソリューションを公開および非公開の120万件のコミット、87,341件の वास्तविकシークレット、120,000件の合成サンプルからなるデータセットで実験的に評価し、精度97.3%、再現率（recall）94.8%、手動プロセスと比較して平均封じ込め時間（MTTC）63%削減を達成した。さらに、OPAベースのポリシーおよびJust-in-Time制御との統合により、T1552（Unsecured Credentials）およびT1078（Valid Accounts）などのMITRE ATT&CKのTTPに関連する攻撃面が縮小されることを示す。本研究には、AWS IAMキーの外部流出を伴うインシデント対応の実例も含まれ、攻撃連鎖、フォレンジック指標、ならびに根絶プロセスを詳述する。結論として、効果的なシークレット管理には、数学的形式化、安全なエンジニアリング、継続的監視、対応の自動化を統合した体系的アプローチが必要であり、防御的・攻撃的セキュリティチームの双方に実践的指針を提供する。
Read paper →Secretsタイトル: クラウドネイティブ・エコシステムにおけるシークレットの管理、検出、および自動ローテーションのための形式的かつスケーラブルなアーキテクチャ
タイトル: クラウドネイティブ・エコシステムにおけるシークレットの管理、検出、および自動ローテーションのための形式的かつスケーラブルなアーキテクチャ 要旨: デジタルシークレット—暗号鍵、APIトークン、サービス認証情報、証明書を含む—は、現代の分散システムにおける信頼の基盤を成す。シークレットの漏えいは、重大なセキュリティインシデントの主要因として一貫して挙げられており、財務的および運用上、甚大な影響を及ぼす。本論文では、静的解析、行動監視、ならびに導出および分離のための暗号学的メカニズムを統合した、クラウドネイティブ環境におけるシークレットの管理、検出、および自動ローテーションのための形式的かつスケーラブルなアーキテクチャを提案する。我々の方法論は、(i) 時間オートマトンに基づくシークレットのライフサイクルの形式モデル、(ii) 適応的エントロピーと教師あり学習を統合したハイブリッドな露出検出アルゴリズム、(iii) 可用性および原子性の保証と整合するローテーションプロトコル、の3要素から構成される。実装として、HashiCorp Vault、SPIFFE/SPIRE、および GitHub Advanced Security と連携する Kubernetes 上の実行可能なプロトタイプを構築した。12.4百万件のコードアーティファクトと31億件の監査イベントからなるデータセット上で本ソリューションを評価し、商用ツール（TruffleHog、GitLeaks、AWS Secrets Manager）と比較した。その結果、平均復旧時間（MTTR-S）の47.3%短縮、認証情報の残留露出の62.8%減少、ならびに3.9%の偽陽性率を示し、正規表現のみに基づく手法（12.7%）を下回った。運用オーバーヘッドは、プロダクション負荷においてCPU 4.6%未満に維持された。我々の知見は、シークレットのライフサイクルの形式化と、そのローテーションの暗号学的に基盤づけられた自動化が、重要インフラのレジリエンス向上に対する重要な進歩であることを示している。中心的貢献は、形式モデル、システム工学、ならびに大規模実証評価を統合し、分散環境におけるシークレットに関連する体系的リスクを軽減するための厳密な枠組みを提供する点にある。
Read paper →Secretsタイトル: クラウドネイティブ環境におけるシークレット管理の運用工学: 形式モデリング、自動検出、および侵害対応
タイトル: クラウドネイティブ環境におけるシークレット管理の運用工学: 形式モデリング、自動検出、および侵害対応 要旨: シークレットの露出 — 暗号鍵、APIトークン、サービス認証情報、証明書、アプリケーションのシークレット — は、現代の企業環境、特に cloud-native および DevSecOps アーキテクチャにおいて、最も一般的な侵害ベクトルの一つとなっている。近年のインシデントは、シークレット漏えいが、横展開、データ流出、ランサムウェアを含む完全な侵入チェーンの原因となることを示している。本研究は、運用的観点からシークレットの管理、検出、漏えい対応の問題を検討し、機微資産の形式モデリング、CI/CD パイプラインにおける自動スキャン、ランタイムでの行動検知、および自動暗号ローテーションを組み合わせた統合アーキテクチャを提案する。 本手法は、三つの柱に基づく。(i) シークレットのライフサイクルを動的システム S = (K, U, P, T) として形式モデリングし、K はシークレット集合、U は許可されたユーザ/プロセス、P はポリシー、T は状態遷移を表す。(ii) 静的ルール（regex、シャノンエントロピー）と教師ありモデルを組み合わせ、アーティファクト分類を行うハイブリッド検出機構。(iii) HashiCorp Vault、Kubernetes、Suricata、Sigma を統合し、失効と継続的監視を実現する自動応答フレームワーク。1,200 の Git リポジトリと 3.8 TB の運用ログを備えた制御環境でソリューションを評価し、TruffleHog、GitLeaks、detect-secrets などのツールと比較した。 結果は、手動ベースラインと比較して平均検出時間（MTTD）を 82%、平均復旧時間（MTTR）を 67% 削減したことを示した。提案したハイブリッドモデルにより、偽陽性率は 14.2% から 4.8% に低減された。さらに、自動ローテーションにより、平均露出期間は 19.4 日から 3.1 時間へと短縮された。以上より、統合され形式化されたアプローチは、シークレット管理の運用成熟度を大幅に高め、攻撃的および防御的セキュリティチームに対して測定可能な लाभを提供することが示された。
Read paper →Phishingフォーマルな脅威モデリングとマルチレイヤ相関に基づくハイブリッド型フィッシング検知・対応アーキテクチャ
TITLE: フォーマルな脅威モデリングとマルチレイヤ相関に基づくハイブリッド型フィッシング検知・対応アーキテクチャ ABSTRACT: フィッシングは、企業侵害キャンペーンにおける最も一般的な初期侵入ベクトルであり、近年のインシデント対応レポートによれば、初期アクセスを伴うインシデントの70%以上を占めている。レピュテーションベースのフィルタ、DMARC、およびヒューリスティック検知が進展しているにもかかわらず、現代の攻撃は domain shadowing、adversarial machine learning、正規だが侵害されたインフラの利用、ポリモーフィックなフィッシングキットといった手法を用いて、従来の防御を回避する。本研究では、フォーマルな脅威モデリング、マルチレイヤ相関（メール、DNS、HTTP、エンドポイント）、および文脈化された行動分析に基づくハイブリッド型のフィッシング検知・対応アーキテクチャを提案する。我々はこの問題を、敵対的な不確実性の下での教師あり分類タスクとして定式化し、MITRE ATT&CK の T1566（Phishing）および T1204（User Execution）に整合した適応的能力を持つ攻撃者モデルを構築した。本手法は、URLの静的解析、TF-IDFベクトルおよび埋め込み表現を用いたHTMLコンテンツ分類、インフラストラクチャ特徴量の抽出（WHOIS、ASN、ドメイン年齢）、TLS検査、さらに Sysmon と EDR によるエンドポイントテレメトリを統合する。システムは Postfix、OpenDMARC、Suricata、Zeek、Elastic Stack、YARA、Sigma を用いて実装し、Python のパイプラインと Kafka を介した統合を行った。評価は、1.2百万件のメール（Enron コーパス + PhishTank フィード + Spamhaus DBL）および85千件の悪性URLサンプルからなるデータセット上で実施し、SPF/DKIM/DMARC のみに基づくベースラインおよびベイズ型フィルタと比較した。その結果、検知率97.8%、偽陽性率0.9%を達成し、平均再現率においてベースラインを18.4%上回った。エンドツーエンドの平均検知時間はメッセージあたり420 msであり、一般的な商用インフラにおいて12千通/分のスループットを維持した。現実的なケーススタディを通じて、マルチレイヤ相関が BEC（Business Email Compromise）シナリオにおいて dwell time を48時間から3時間未満へ短縮することを示した。以上より、フォーマルモデリング、文脈的テレメトリ、および自動応答の組み合わせが、適応性の高い現代的フィッシングに対処するために不可欠であると結論づける。
Read paper →Phishingタイトル: 多層相関、脅威インテリジェンス、形式統計モデルに基づくフィッシング検知・緩和のためのハイブリッドアーキテクチャ
タイトル: 多層相関、脅威インテリジェンス、形式統計モデルに基づくフィッシング検知・緩和のためのハイブリッドアーキテクチャ 要旨: フィッシングは依然としてサイバーセキュリティインシデントにおける最も一般的な初期侵入ベクトルであり、企業侵害、認証情報の窃取、ならびにその後のランサムウェア展開の重大な割合を占めている。近年の業界報告によれば、確認済み侵害の36%以上がソーシャルエンジニアリングおよび標的型フィッシングの手法を伴い、しばしば MITRE ATT&CK の T1566（Phishing）および T1204（User Execution）に関連付けられている。本論文では、メール、ドメイン、ネットワークインフラストラクチャ、およびユーザ行動の指標間の多層相関に基づく、フィッシング検知・緩和のためのハイブリッドアーキテクチャを提示し、形式統計モデルと脅威インテリジェンスに基づくルールを組み合わせる。 我々は問題を二値分類関数 f: X → {0,1} として形式的にモデル化し、ここで X は構文的、意味的、時間的、評判的属性から構成される特徴ベクトルを表す。さらに、(i) 適応的正規化を備えた特徴抽出機構と、(ii) Random Forest と YARA および Sigma ルールを組み合わせて文脈的強化を行うハイブリッド分類器、という2つの中核アルゴリズムを開発した。本ソリューションは、Postfix、Suricata、MISP、Elastic Stack、および Scikit-learn を用いて Python で学習されたモデルを含む、実運用のツールを利用して実装した。 実験評価は、実際の企業環境で6か月間に収集した120万件のメールを用いて実施され、その中には48,372件の確認済みフィッシングサンプルが含まれていた。我々のモデルは、検知率97.83%、偽陽性率1.94%、AUC 0.992を達成した。評判ベースおよび SPF/DKIM/DMARC のみに基づくフィルタと比較して、Account Takeover インシデントを42%削減したことを観測した。 これらの結果は、多層相関に脅威インテリジェンスおよび統計的形式化を組み合わせることで、spear phishing や新規登録ドメインを用いた攻撃を含む現代的なフィッシングキャンペーンに対する組織のレジリエンスが大幅に向上することを示している。本研究は、再現可能な方法論、堅牢な定量評価、および SOC と red team 向けの運用上の推奨事項を提供する。
Read paper →Phishingタイトル: フィッシングキャンペーンにおける形式モデリング、マルチレイヤ検出およびインシデント対応：統合的な暗号フォレンジック・アプローチ
タイトル: フィッシングキャンペーンにおける形式モデリング、マルチレイヤ検出およびインシデント対応：統合的な暗号フォレンジック・アプローチ 要旨: フィッシングは、現代のデジタル・エコシステムにおいて、依然として最も広範かつ経済的影響の大きい攻撃ベクトルの一つである。電子メールのフィルタリング、ドメイン認証（SPF、DKIM、DMARC）、およびユーザートレーニングにおける実質的な進展にもかかわらず、近年のキャンペーンは、高度に個別化されたソーシャルエンジニアリング手法、クラウドベースの一時的インフラ、正規サービスの悪用、ならびにエンドツーエンド暗号化チャネルの悪用を取り込むよう進化してきた。本研究では、脅威の形式モデリング、暗号学的な認証・検証技術、マルチレイヤの行動分析、ならびに構造化されたインシデント対応手順を組み合わせた統合的アプローチを提案する。検出と対応を分離して扱う既存研究とは異なり、本稿では、安全ゲームおよび還元論法を含む理論的基盤と、YARA、Sigma、Suricataシグネチャといった具体的な運用実践を接続する統一的な枠組みを提示する。 本研究の貢献は以下の通りである。(i) ソーシャルエンジニアリングのオラクルと認証済みチャネルを含む確率的な敵対的ゲームとしてのフィッシングの形式化、(ii) 敵対者能力を4つの段階的レベルに分類するモデル、(iii) 計算量解析を伴うマルチレイヤ相関アルゴリズム、(iv) 金融セクターおよび医療セクターに関する2つのケーススタディ分析と詳細な運用手順、(v) ドメイン認証ポリシーの形式的検証のための指針、である。また、DMARCのようなメカニズムが持つ構造的限界と、TLSの広範な利用が防御側の検査に及ぼす影響について議論する。 質的な実験評価では、シグネチャベース、教師あり学習ベース、行動検知ベースのアプローチを比較し、homoglyph attacks、新規登録ドメインの悪用、ならびに正規サービス（例えばクラウドストレージ・プラットフォーム）の利用といった回避手法に対する感度を論じる。なお、架空の指標は提示せず、査読付き文献および認知された技術報告に基づいて分析を行う。 フィッシングの効果的な緩和には、応用暗号学、認証ポリシーの形式的検証、脅威インテリジェンス、ならびにインシデント対応工学の統合が必要であると主張する。結論として、FIDO2に基づく強固な認証、TLA+のようなツールを用いたDMARCポリシーの形式的検証、ならびに連携キャンペーンのモデリングのためのグラフベース検出の統合を含む研究課題を提示する。
Read paper →Phishingタイトル: 多層相関、教師あり学習、およびエンドポイント・テレメトリに基づくフィッシング検知・対応のハイブリッドアーキテクチャ
タイトル: 多層相関、教師あり学習、およびエンドポイント・テレメトリに基づくフィッシング検知・対応のハイブリッドアーキテクチャ 要旨: フィッシングは依然としてサイバーセキュリティ事案における最も一般的な初期侵入ベクトルであり、データ侵害、認証情報の侵害、ランサムウェア展開の大きな割合を占めている。近年の業界レポートでは、分析対象となったインシデントの35%以上が MITRE ATT&CK フレームワークの T1566（Phishing）に関連する技術を含み、しばしば T1059（Command and Scripting Interpreter）および T1078（Valid Accounts）と組み合わされていることが示されている。本研究では、メール、DNS、HTTP、エンドポイントの多層相関、教師あり機械学習モデル、ならびに脅威インテリジェンスによるエンリッチメントを統合した、フィッシングに対するハイブリッドな検知・対応アーキテクチャを提案する。手法は、アーティファクト（URL、添付ファイル、SMTPヘッダー）の静的・動的解析、語彙的および行動的特徴量の抽出、ならびにイベントグラフに基づく時間相関を組み合わせる。 我々は、Postfix、Suricata、Zeek、Elastic Stack、MISP、YARA、および Sysmon ベースのエンドポイントエージェントを用いて、運用可能なプロトタイプを実装した。1,200万件のメールを含む制御環境でシステムを評価し、その中にはフィッシングとしてラベル付けされた86,000件のサンプル（PhishTank のデータおよび匿名化された内部コーパスに基づく）が含まれる。Random Forest モデルは、97.3%の精度、96.1%の適合率、94.8%の再現率を達成し、検知率においてレピュテーションのみに基づく手法を18.4%上回った。多層相関により、メール単独の検査と比較して誤検知を32%削減した。 Microsoft 365 の認証情報を悪用した実際のスピアフィッシングキャンペーンを対象とするケーススタディにより、提案手法が平均検知時間（MTTD）を4時間12分から11分へ短縮することを実証した。これらの結果は、特に一時的なインフラや HTTPS および新規登録ドメインに基づく回避技術を用いる現代的なフィッシングキャンペーンを緩和するうえで、エンドポイント・テレメトリ、行動分析、コンテキスト情報に基づく脅威インテリジェンスの統合が不可欠であることを示している。
Read paper →