Research / Paper Files
Paper Files
Paper Files は、学習ツールとして scientific method を適用する、cybersecurity における継続学習の個人的実践です。各記事は学術出版のためではなく、斧を研ぐための意図的な訓練として書かれています。特定トピックへの知識を深め、考えを厳密に整理し、特定の विषयへの理解が時間とともにどう発展するかを観察するためです。これは訓練日誌に相当する知的活動であり、各エントリには何を学び、どのように分析し、どのような結論に至ったかが記録されます。
私は、セキュリティ専門家がこの方法を採用することを強く推奨します。習得したいトピックを一つ選び、一次資料 (RFCs、papers、公式ドキュメント) を調査し、文章を序論、方法論、分析、結論で構成し、同僚に説明するつもりで書いてください。書くという行為は思考の明確さを強制し、受動的な読書では見えない理解の穴をあぶり出します。このサイトの記事を形式と深さの例として活用し、自分自身のコレクションを構築してください。時間が経てば、どのコースや certification でも置き換えられない、洗練された知識の個人リポジトリが手に入ります。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →189 papers
CriptoResiliente: 大規模分散環境における暗号的障害緩和のための適応型かつ形式検証されたアーキテクチャ
TITLE: CriptoResiliente: 大規模分散環境における暗号的障害緩和のための適応型かつ形式検証されたアーキテクチャ ABSTRACT: 現代の暗号技術は分散システムのセキュリティの基盤を構成し、機密性、完全性、真正性、および否認防止を保証する。AES、RSA、ECDSA、および TLS 1.3 プロトコルのようなプリミティブは古典的計算仮定の下では依然として形式的に安全であるが、経験的には大多数のインシデントが実装、設定、鍵管理、およびシステム統合の不備に起因することが示されている。2025年には、NIST のポスト量子標準への移行、クラウドネイティブアーキテクチャの大規模採用、CNAPP（Cloud-Native Application Protection Platforms）、eBPF によるインストルメンテーション、さらに IA/LLMs ベースのコンポーネントの組み込みにより、攻撃対象領域と運用上の複雑性が大幅に拡大している。本研究では、CriptoResiliente を提案する。これは、大規模分散環境における暗号的障害を緩和するために設計された、インクリメンタルな形式検証を備えた適応型暗号アーキテクチャである。我々は、暗号鍵に対する数学的リスクモデル $R(k,t)$ を導入し、曝露時間、関連する脆弱性、および観測された攻撃強度を組み込むとともに、計算コスト制約下での最適化問題として定式化する。ネットワーク制御およびノードの部分的侵害を伴う敵対者モデルの下で、リスク指向の鍵ローテーションポリシーが平均曝露時間を大幅に削減することを示す。Kubernetes 1.29 上において、ハイブリッド TLS 1.3（X25519 + ML-KEM）、FIPS 140-3 互換 HSM との統合、eBPF および Prometheus によるテレメトリ、ならびに ProVerif による形式検証を備えたプロトタイプを実装した。最大 $10^7$ TLS セッション/日までの実験評価において、平均曝露時間が 73,4% 削減され、オーバーヘッドは 10% 未満であり、統計的有意性（$p < 0{,}01$）が確認された。結論として、暗号アジリティ、リスク指向モニタリング、およびインクリメンタルな形式検証の組み合わせは、2025年におけるレジリエントな暗号セキュリティのための実用的かつスケーラブルなアプローチであり、ポスト量子移行および AI ガバナンスの要件下においても有効である。
Read paper →Cryptoタイトル: CriptoResiliente: 高規模分散環境における暗号失敗の緩和のための適応型かつ形式的に検証されたアーキテクチャ
タイトル: CriptoResiliente: 高規模分散環境における暗号失敗の緩和のための適応型かつ形式的に検証されたアーキテクチャ 要旨: 現代暗号は分散システムのセキュリティの礎であり、機密性、完全性、真正性、否認防止を保証する。AES、RSA、ECDSA、TLS 1.3 プロトコルのような原始技術は、古典的な計算仮定の下では依然として形式的に安全であるものの、実証的経験は、インシデントの大半が実装、設定、鍵管理、システム統合の失敗に起因することを示している。2025年において、NIST のポスト量子標準への移行、クラウドネイティブ・アーキテクチャの大規模な採用、CNAPP（Cloud-Native Application Protection Platforms）、eBPF による計測、ならびに AI/LLM ベースのコンポーネントの組み込みは、攻撃対象領域と運用上の複雑性を大幅に拡大する。本研究では、高規模分散環境における暗号失敗を緩和するよう設計された、増分的な形式検証を備える適応型暗号アーキテクチャ CriptoResiliente を提案する。われわれは、露出時間、関連脆弱性、観測された攻撃強度を組み込んだ暗号鍵のためのリスク数学モデル R(k,t) を導入し、計算コスト制約付きの最適化問題を定式化する。ネットワーク制御およびノードの部分的侵害を伴う敵対者モデルの下で、リスク指向のローテーションポリシーが平均露出時間を大幅に削減することを示す。Kubernetes 1.29 上において、TLS 1.3 ハイブリッド（X25519 + ML-KEM）、FIPS 140-3 互換 HSM との統合、eBPF および Prometheus によるテレメトリ、さらに ProVerif による形式検証を備えたプロトタイプを実装した。1日あたり最大 10^7 の TLS セッションを用いた実験評価では、平均露出時間が 73.4% 減少し、オーバーヘッドは 10% 未満であり、統計的有意性（p < 0.01）を確認した。以上より、暗号アジリティ、リスク指向モニタリング、増分的形式検証の組合せは、2025年におけるレジリエントな暗号セキュリティ、ならびにポスト量子移行要件および AI ガバナンス下でも、有効で拡張可能なアプローチであると結論づける。
Read paper →Crypto分散型重要インフラストラクチャのためのポスト量子完全性証明を備えた適応型暗号アーキテクチャ
TITLE: 分散型重要インフラストラクチャのためのポスト量子完全性証明を備えた適応型暗号アーキテクチャ ABSTRACT: ポスト量子暗号への移行は、特に移行期間中に相互運用性、性能、および形式的なセキュリティ保証を維持する必要性を考慮すると、分散型重要インフラストラクチャのセキュリティに重大な課題をもたらす。本研究では、適応型暗号アーキテクチャとポスト量子完全性証明（ACAPQ）を提案する。これは、古典的プリミティブとポスト量子プリミティブを、継続的な完全性の形式的アテステーション機構と組み合わせたハイブリッドモデルである。機密性は、ECDHE と CRYSTALS-Kyber の堅牢な合成に基づき、ハンドシェイクの完全なトランスクリプトによって認証された HKDF を用いた鍵導出により実現し、ダウングレード攻撃を緩和する。状態の完全性および真正性のために、Merkle 木と CRYSTALS-Dilithium 署名に基づくアテステーションプロトコルを導入し、第二原像耐性および EUF-CMA の下で定量化可能な確率的保証を提供する。脅威モデルは計算パラダイムにおいて定式化され、能動的傍受能力、適応的部分侵害、および BQP クラスによってモデル化される量子計算能力を有する確率的多項式時間 adversary を仮定する。ハイブリッド秘密の統計的独立性の仮定の下で、古典的プリミティブが将来的に破られた場合でも、導出鍵が識別不能性を維持することを示す。Go 1.22 と liboqs を用いてプロトタイプを実装し、Kubernetes 1.29 環境において毎秒 50,000 リクエストの負荷下で性能評価を行った。結果は、従来の TLS 1.3 と比較してレイテンシおよびスループットのオーバーヘッドが 12% 未満でありながら、改ざん検出率が 99% 以上を維持することを示した。さらに、CNAPP、クラウドネイティブ環境、セキュアな可観測性のための eBPF の利用、および 2025 年までの NIST と ENISA の指針に整合した暗号ガバナンスへの含意について議論する。結論として、ACAPQ は分散型重要インフラストラクチャにおけるポスト量子移行のための、形式的に基礎付けられた実運用可能な道筋を提供する。
Read paper →Cryptoタイトル: 分散クリティカル・インフラストラクチャのためのポスト量子整合性証明を備えた適応型暗号アーキテクチャ
タイトル: 分散クリティカル・インフラストラクチャのためのポスト量子整合性証明を備えた適応型暗号アーキテクチャ 要旨: 量子後暗号への移行は、特に移行期間中に相互運用性、性能、および形式的な安全性保証を維持する必要があるという点で、分散クリティカル・インフラストラクチャのセキュリティに重大な課題を課す。本研究では、従来型およびポスト量子のプリミティブと、整合性の継続的な形式的アテステーション機構を組み合わせたハイブリッドモデルである、ポスト量子整合性証明を備えた適応型暗号アーキテクチャ（ACAPQ）を提案する。我々は、ECDHE と CRYSTALS-Kyber の堅牢な合成、および完全なハンドシェイク・トランスクリプトによって認証された HKDF による鍵導出に基づいて機密性を確立し、ダウングレード攻撃を緩和する。状態の整合性および認証のために、Merkle 木と CRYSTALS-Dilithium 署名に基づくアテステーション・プロトコルを導入し、第二原像耐性および EUF-CMA の下で定量化可能な確率的保証を提供する。我々は、受動的・能動的な傍受能力、部分的な適応的侵害、および BQP クラスでモデル化された量子的計算能力を持つ多項式時間確率的敵対者を含む計算量的パラダイムにおいて、脅威モデルを形式化する。ハイブリッド秘密の統計的独立性という仮説の下で、将来的に従来型プリミティブが破られた場合でも、導出鍵は判別不可能性を維持することを示す。Go 1.22 で liboqs を用いてプロトタイプを実装し、Kubernetes 1.29 環境で毎秒 50,000 リクエストの負荷下における性能を評価した。その結果、従来の TLS 1.3 と比較して、レイテンシおよびスループットにおけるオーバーヘッドは 12% 未満であり、改ざん検知率は 99% を超えることが示された。分析では、CNAPP、クラウドネイティブ環境、安全な可観測性のための eBPF の利用、および 2025 年までの NIST と ENISA の指針に整合した暗号ガバナンスへの含意を議論する。以上より、ACAPQ は、分散クリティカル・インフラストラクチャにおけるポスト量子移行に対して、形式的に基礎づけられ、運用上実行可能な道筋を提供すると結論づける。
Read paper →IRタイトル: IR-ADAPT: 分散型企業環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク
タイトル: IR-ADAPT: 分散型企業環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク 要旨: インシデント対応（Incident Response – IR）は、マルチクラウドアーキテクチャ、コンテナ化されたワークロード、SaaS統合、ならびにAI/MLパイプラインによって特徴付けられる分散型企業環境において、情報セキュリティガバナンスの戦略的構成要素となっている。テレメトリ量の指数関数的増大に加え、有効な認証情報、既知の脆弱性、および回避技術を悪用する攻撃者の高度化は、インシデントの優先順位付けと迅速な封じ込めに構造的な課題をもたらしている。本研究では、IR-ADAPTを提案する。これは、IRを部分観測マルコフ決定過程（POMDP）としてモデル化し、不確実性下での定量的最適化を可能にする、形式的・確率的・適応的フレームワークである。我々は、リスクを影響の条件付き期待値として形式化し、妥協確率、正規化影響、および認識論的不確実性を統合する多変量コスト関数を導入する。状態信念に対するベイズ更新を近似的強化学習と組み合わせることで、期待割引コストを最小化する適応的ポリシーが可能になることを示す。Elastic Stack、Apache Kafka、およびSOARプラットフォーム（TheHive/Cortex）を用いてプロトタイプを実装し、EDRテレメトリ、ネットワークログ、クラウドイベントを統合した。3.2百万件の実データおよび合成データのイベント集合上でシステムを評価し、CVSSベースのベースラインおよび静的SIEMルールと比較した。結果は、封じ込めまでの平均時間（MTTC）の統計的に有意な47.3%（±2.1%）の削減、精度の92.4%への向上、ならびに手作業負荷の31.8%削減を示した。さらに、規制対象環境への示唆、CNAPPとの統合、およびOT/ICS文脈における制約について議論する。結論として、確率的逐次形式化は、2025年時点の最先端に至るまで、適応的なインシデント対応オーケストレーションのための測定可能な利得と堅固な理論的基盤を提供する。
Read paper →IRIR-ADAPT: 分散型エンタープライズ環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク
TITLE: IR-ADAPT: 分散型エンタープライズ環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク ABSTRACT: インシデント対応（Incident Response – IR）は、マルチクラウドアーキテクチャ、コンテナ化ワークロード、SaaS統合、AI/MLパイプラインによって特徴づけられる分散型エンタープライズ環境において、情報セキュリティガバナンスの戦略的要素となっている。テレメトリ量の指数関数的増大に加え、有効な認証情報、既知の脆弱性、回避技術を悪用する高度化した攻撃者の存在は、インシデントの優先順位付けおよび迅速な封じ込めに構造的課題をもたらしている。本研究では、IRを部分観測マルコフ決定過程（POMDP）としてモデル化し、不確実性下での定量的最適化を可能にする、形式的・確率的・適応的フレームワークであるIR-ADAPTを提案する。我々はリスクを影響の条件付き期待値として形式化し、侵害確率、正規化された影響度、および認識的不確実性を統合する多変量コスト関数を導入する。状態信念に対するベイズ更新と近似強化学習を組み合わせることで、期待割引コストを最小化する適応的ポリシーが実現可能であることを示す。Elastic Stack、Apache Kafka、およびSOARプラットフォーム（TheHive/Cortex）を用いてプロトタイプを実装し、EDRテレメトリ、ネットワークログ、クラウドイベントを統合した。実システムおよび合成データからなる320万件のイベント集合を用いて評価し、CVSSベースおよび静的SIEMルールに基づくベースラインと比較した。その結果、平均封じ込め時間（MTTC）が47.3%（±2.1%）統計的に有意に短縮され、精度は92.4%に向上し、手動作業負荷は31.8%削減された。さらに、規制環境への適用、CNAPPとの統合、およびOT/ICSコンテキストにおける制約について考察する。結論として、確率的逐次形式化は、2025年時点の最先端水準におけるインシデント対応の適応的オーケストレーションに対し、測定可能な利得と堅固な理論的基盤を提供することを示す。
Read paper →IRIR-ADAPT：分散型企業環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク
TITLE: IR-ADAPT：分散型企業環境におけるサイバーインシデント対応のオーケストレーションと最適化のための形式的・確率的・適応的フレームワーク ABSTRACT: インシデント対応（Incident Response – IR）は、マルチクラウドアーキテクチャ、コンテナ化されたワークロード、SaaS統合、ならびにAI/MLパイプラインによって特徴付けられる分散型企業環境において、情報セキュリティガバナンスの戦略的構成要素となっている。テレメトリ量の指数関数的増加に加え、有効な認証情報、既知の脆弱性、および回避技術を悪用する高度化した攻撃者の存在は、インシデントの優先順位付けおよび迅速な封じ込めに対して構造的な課題をもたらしている。本研究では、IRを部分観測マルコフ決定過程（Partially Observable Markov Decision Process – POMDP）としてモデル化し、不確実性下での定量的最適化を可能にする形式的・確率的・適応的フレームワークであるIR-ADAPTを提案する。我々はリスクを影響の条件付き期待値として形式化し、侵害確率、正規化された影響度、および認識的不確実性（epistemic uncertainty）を統合する多変量コスト関数を導入する。状態信念に対するベイズ更新を近似強化学習と組み合わせることで、割引期待コストを最小化する適応的ポリシーが可能となることを示す。Elastic Stack、Apache Kafka、およびSOARプラットフォーム（TheHive/Cortex）を用いたプロトタイプを実装し、EDRテレメトリ、ネットワークログ、クラウドイベントを統合した。3.2百万件の実データおよび合成イベントからなるデータセットでシステムを評価し、CVSSに基づくベースラインおよび静的SIEMルールと比較した。結果は、平均封じ込め時間（MTTC）が47.3%（±2.1%）統計的に有意に短縮され、精度が92.4%に向上し、手動作業負荷が31.8%削減されたことを示している。さらに、規制環境における含意、CNAPPとの統合、およびOT/ICSコンテキストにおける制約について議論する。結論として、確率的逐次形式化は、2025年時点の最先端に至るまで、適応的インシデント対応オーケストレーションのための測定可能な利得と堅固な理論的基盤を提供することを示す。
Read paper →IRタイトル: IR-GraphSec: 分散環境における自動化されたIncident Responseオーケストレーションのための、確率的時間グラフとベイズ推論に基づく形式アーキテクチャ
タイトル: IR-GraphSec: 分散環境における自動化されたIncident Responseオーケストレーションのための、確率的時間グラフとベイズ推論に基づく形式アーキテクチャ 要旨: ハイブリッドおよびマルチクラウドのデジタル基盤の複雑性が増大するにつれ、Incident Response（IR）の分野には、大規模に分散したイベント間の時間的、意味的、確率的依存関係を捉えられる形式モデルが強く求められている。本研究では、現代の企業環境におけるインシデント対応の優先順位付けと自動オーケストレーションのために、確率的時間グラフとベイズ推論に基づく形式アーキテクチャIR-GraphSecを提案する。我々は、イベントを意味的に拡張された時間タプルとして形式化し、頂点がエンティティを表し、辺が時間経過に伴って因果的に関連する相互作用を表す動的有向グラフを定義する。資産の侵害を二値の確率変数としてモデル化し、観測履歴に条件づけられた事後確率を解釈可能なロジスティック回帰によって推定することで、一次のMarkov random fieldを近似する。予算制約下での封じ込め優先順位付け問題は、0-1ナップサック問題のインスタンスに還元されるためNP困難であり、したがって古典的な近似保証を備えた貪欲ヒューリスティックを提案する。本アーキテクチャは Elastic Stack、Apache Flink、Neo4j、Kubernetes、PyTorch を用いて実装され、3.2億件の実匿名化済み実イベントを用いた実験において毎秒45,000イベントを処理した。静的ルールベース手法および従来の教師ありモデルと比較して、Mean Time to Detect（MTTD）を37.4%、Mean Time to Respond（MTTR）を42.1%削減し、偽陽性率を22.3%低減した。さらに、理論的含意、実証的限界、ならびに因果構造モデル、オンライン学習、クラウドネイティブ環境における現代的セキュリティ技術との統合を含む拡張について論じる。我々の結果は、確率的な時間的関係モデリングが、企業規模における適応的IRオーケストレーションの堅固な基盤を形成することを示している。
Read paper →IRIR-GraphSec: 分散環境におけるインシデントレスポンスの自動オーケストレーションのための、確率的時間グラフとベイズ推論に基づく形式アーキテクチャ
TITLE: IR-GraphSec: 分散環境におけるインシデントレスポンスの自動オーケストレーションのための、確率的時間グラフとベイズ推論に基づく形式アーキテクチャ ABSTRACT: ハイブリッドおよびマルチクラウドのデジタルインフラストラクチャの複雑性の増大は、Incident Response（IR）の分野に重大な課題をもたらしており、大規模に分散したイベント間の時間的・意味的・確率的依存関係を捉えることができる形式モデルを必要としている。本研究では、現代の企業環境におけるインシデント対応の優先順位付けおよび自動オーケストレーションのために、確率的時間グラフとベイズ推論に基づく形式アーキテクチャである IR-GraphSec を提案する。イベントを意味的に拡張された時間タプルとして形式化し、頂点がエンティティを、辺が時間経過に沿った因果的に関連する相互作用を表す動的有向グラフを定義する。資産の侵害を二値確率変数としてモデル化し、一次マルコフ確率場を近似する解釈可能なロジスティック回帰により、観測履歴に条件付けられた事後確率を推定する。さらに、予算制約下における封じ込めの優先順位付け問題が 0-1ナップサック問題の一種に帰着することを示し、したがって NP困難であることを示すとともに、古典的な近似保証を持つ貪欲ヒューリスティックを提案する。本アーキテクチャは Elastic Stack、Apache Flink、Neo4j、Kubernetes、および PyTorch を用いて実装され、匿名化された実世界の 32億件のイベントを用いた実験において毎秒 45,000 イベントを処理した。静的ルールベースの手法および従来の教師ありモデルと比較して、Mean Time to Detect（MTTD）は 37.4%、Mean Time to Respond（MTTR）は 42.1% 減少し、偽陽性率は 22.3% 低減した。さらに、理論的含意、実証的制約、および構造的因果モデル、オンライン学習、ならびにクラウドネイティブ環境における最新のセキュリティ技術との統合を含む拡張について議論する。本研究の結果は、確率的時間関係モデリングがエンタープライズ規模における適応的 IR オーケストレーションのための堅牢な基盤を構成することを示している。
Read paper →IRIR-GraphSec：攻撃グラフと多目的最適化に基づくインシデントレスポンス自動オーケストレーションのための形式的かつスケーラブルなフレームワーク
TITLE: IR-GraphSec：攻撃グラフと多目的最適化に基づくインシデントレスポンス自動オーケストレーションのための形式的かつスケーラブルなフレームワーク ABSTRACT: 多段階型サイバー攻撃キャンペーンの高度化に加え、ハイブリッド環境、クラウドネイティブ環境、ならびに人工知能指向環境の拡大は、インシデントレスポンス（Incident Response – IR）のオーケストレーションに重大な課題をもたらしている。NIST SP 800-61 Rev. 2 や NIST Cybersecurity Framework などの規範的フレームワークは確立された指針を提供しているものの、封じ込めの効率的な運用は、複雑なトポロジー依存関係、可用性制約、ならびに相互に競合する複数の目的によって依然として制限されている。本研究では、インシデント対応オーケストレーション問題を、MITRE ATT&CK への自動マッピングと、CNAPP、EDR、eBPF 環境からの準リアルタイム・テレメトリによって拡張された動的攻撃グラフ上の多目的最適化問題として形式化する。残存リスク、運用コスト、およびサービス停止による影響を統合した目的関数を定義し、これに予算制約および事業継続制約を課す。さらに、関連する意思決定問題が追加制約付き最小カット問題の変種への多項式時間帰着によって NP 困難であることを示す。Neo4j、Apache Kafka、および OR-Tools を用いて実装された IR-GraphSec フレームワークを提案し、大規模イベントストリームを処理しつつ、混合整数計画法および branch-and-bound ヒューリスティクスにより最適化された封じ込め計画を生成可能であることを示す。分散クラスタ上で、MITRE Caldera によるシミュレーションを含む 480 万件の実データおよび合成イベントを用いて実証評価を行った。結果として、Mean Time to Containment（MTTC）は平均 63.4% 短縮され、残存リスクは 38.9% 低減し、SOAR の静的プレイブックと比較して推定財務影響は 41.9% 低減した。統計解析により $p < 0{,}01$ の有意性が確認された。最後に、テレメトリ品質に関連する制約を議論し、ロバスト強化学習、AI システムセキュリティ、ならびにポスト量子暗号との統合に関する拡張可能性を検討する。結論として、グラフ指向の形式的モデリングは、2025 年における適応的かつスケーラブルな IR オーケストレーションのための有望なアプローチであることを示す。
Read paper →IRIR-GraphSec: 攻撃グラフと多目的最適化に基づく自動インシデント対応オーケストレーションのための形式的かつスケーラブルなフレームワーク
TITLE: IR-GraphSec: 攻撃グラフと多目的最適化に基づく自動インシデント対応オーケストレーションのための形式的かつスケーラブルなフレームワーク ABSTRACT: 多段階サイバーキャンペーンの高度化に加え、ハイブリッド、クラウドネイティブ、人工知能主導の環境の拡大は、インシデント対応（Incident Response – IR）のオーケストレーションに重大な課題をもたらしている。NIST SP 800-61 Rev. 2 や NIST Cybersecurity Framework のような規範的フレームワークは確立された指針を提示しているものの、封じ込めの効率的な運用は、複雑なトポロジー依存関係、可用性制約、および相互に競合する複数の目的によって制限されている。本研究では、IR オーケストレーション問題を、MITRE ATT&CK への自動マッピングと、CNAPP、EDR、および eBPF 環境からのほぼリアルタイムのテレメトリで拡張された動的攻撃グラフ上の多目的最適化として形式化する。残留リスク、運用コスト、および停止影響を統合し、予算制約と業務継続要件に拘束される目的関数を定義する。追加制約付き最小カット問題の変種への多項式還元により、対応する決定問題が NP 困難であることを示す。Neo4j、Apache Kafka、OR-Tools を用いて実装した IR-GraphSec フレームワークを提案し、大規模なイベントストリームを処理し、混合整数計画法および branch-and-bound ヒューリスティクスを通じて最適化された封じ込め計画を生成できることを示す。MITRE Caldera を用いたシミュレーションを含む 480 万件の実世界および合成イベントを備えた分散クラスタ上でシステムを実証的に評価した。結果は、SOAR の静的プレイブックと比較して、Mean Time to Containment（MTTC）の平均 63.4% 削減、残留リスクの 38.9% 低減、ならびに推定金銭的影響の 41.9% 低減を示した。統計分析により p < 0{,}01 で有意性が確認された。さらに、テレメトリ品質に関連する制約を論じ、ロバスト強化学習、AI システムのセキュリティ、および耐量子暗号との統合を含む拡張を検討する。結論として、グラフ指向の形式的モデリングは、2025 年における IR の適応的かつスケーラブルなオーケストレーションに対する有望なアプローチである。
Read paper →IRIR-GraphShield: 攻撃グラフと時系列証拠に基づくインテリジェントなインシデント対応オーケストレーションのための形式的かつスケーラブルな枠組み
TITLE: IR-GraphShield: 攻撃グラフと時系列証拠に基づくインテリジェントなインシデント対応オーケストレーションのための形式的かつスケーラブルな枠組み ABSTRACT: 2025年におけるデジタル環境の複雑性の増大は、マルチクラウド・アーキテクチャ、マイクロサービス、エフェメラルなワークロード、ならびに人工知能モデルの集中的な統合によって特徴づけられ、セキュリティインシデント対応のオーケストレーションに重大な課題をもたらしている。本研究では、時系列証拠と確率的推論機構によって強化された攻撃グラフに基づく、インテリジェントなインシデント対応オーケストレーションのための形式的かつスケーラブルな枠組みであるIR-GraphShieldを提案する。応答プロセスを、状態がシステムの可観測な構成を表し、イベントがフォレンジック証拠に対応し、アクションが自動化された緩和戦略である有向ラベル付き遷移系 $ \mathcal{S} = (Q, \Sigma, \delta, q_0) $ として形式的にモデル化する。時間的および確率的な重み付けを備えた動的攻撃グラフ $ G_t = (V_t, E_t) $ を組み込み、新たな侵害指標に対して継続的なベイズ更新を可能にする。形式的検証、確率的推論、説明可能な機械学習の技術を、現代のSOARおよびCNAPPプラットフォームに加え、eBPFベースのセンサーおよびランタイム・テレメトリと統合できることを示す。本枠組みは、LLMに関連する新興脅威、モデルのサプライチェーン攻撃、耐量子暗号、ならびにAIガバナンスを包含する。線形時相論理（LTL）およびシンボリック・モデル検査を用いて、応答ポリシーの正しさ、完全性、ならびに安全性の性質を評価する。概念実証実験と比較分析により、純粋にヒューリスティックなアプローチと比較して、平均封じ込め時間の短縮と誤検知に対する高い堅牢性が示される。IR-GraphShieldは、自動化された応答、数学的形式化、そして証拠駆動型の適応的セキュリティの収斂に寄与し、2025年までの現行技術環境において堅固な理論的基盤と実用的適用性を提供する。
Read paper →ContainersContainerShield++: Linuxベースのコンテナ環境における脅威検知と緩和のための形式的フレームワークおよびスケーラブルシステム
TITLE: ContainerShield++: Linuxベースのコンテナ環境における脅威検知と緩和のための形式的フレームワークおよびスケーラブルシステム ABSTRACT: コンテナベースの軽量仮想化は、特にKubernetesによってオーケストレーションされる環境において、クラウドネイティブアプリケーションの主要なインフラストラクチャとして確立されている。しかし、複数のワークロード間でオペレーティングシステムカーネルを共有することは攻撃対象領域を拡大させるため、厳格な分離機構、整合性検証、および振る舞いベースの検知が必要となる。本研究では、Linuxコンテナ環境における脅威の検知および緩和のための形式的フレームワークかつスケーラブルなシステムであるContainerShield++を提案する。本システムは、コンテインメント特性の数学的モデリング、イメージの静的検証、admission controllersによる宣言的エンフォースメント、そしてeBPFによる動的監視を統合する。分離を、能力（capabilities）およびnamespaceのグラフ上の非干渉性（non-interference）特性として形式化し、攻撃者が侵害されたコンテナ内部で任意コードを実行できる脅威モデルの下で、強いコンテインメントの検証可能な基準を定義する。さらに、静的リスク評価のためのアルゴリズムと、システムコール分布の乖離に基づく動的検知手法を提案し、振る舞い逸脱の指標として $D_{KL}$ を用いる。本システムをCRIO-Oを用いたKubernetes v1.29クラスター上に実装し、OPA/Gatekeeperポリシーおよびカーネル検証器によって検証されたeBPFプロファイルを統合した。120ノードおよび3,600コンテナの環境において実験評価を実施し、MITRE ATT&CK for Containersの手法およびCVE-2019-5736やCVE-2022-0492を含む現実的な攻撃シナリオを考慮した。その結果、平均検知率98.7%を達成し、CPUオーバーヘッドは4%未満、システムコールあたりの平均追加レイテンシは4.3 μsであった。また、Falcoのようなシグネチャベースのアプローチと比較して優位性を示し、サプライチェーンセキュリティ、Sigstore署名、アーティファクト保護のためのポスト量子暗号、ならびにCNAPPプラットフォームとの統合への拡張について議論する。本研究は、形式的基盤、大規模な実証的検証、および2025年時点の最先端におけるコンテナセキュリティのための実践的指針を提供する。
Read paper →Containers行動モデリングと実行時整合性検証に基づくコンテナ監視およびハードニングのための形式的基盤アーキテクチャ
TITLE: 行動モデリングと実行時整合性検証に基づくコンテナ監視およびハードニングのための形式的基盤アーキテクチャ ABSTRACT: cloud-native 環境においてコンテナがパッケージ化および実行の主要単位として大規模に採用されたことにより、現代の分散システムの攻撃対象領域は大きく変化した。2025年時点では、Kubernetes ベースのインフラストラクチャ、CNAPP（Cloud-Native Application Protection Platforms）、eBPF、およびデジタル署名されたサプライチェーンが実運用における事実上の標準となっている。しかしながら、産業界の多くのアプローチは依然として、イメージの静的検証とルールベースのリアクティブ監視との間で断片化しており、統一された形式的基盤を欠いている。本研究では、(i) Merkle 木および安全なサプライチェーンに適合する署名を用いた構造的整合性の暗号学的検証と、(ii) eBPF を通じて収集されたシステムイベント列に対する離散マルコフ連鎖に基づく実行時行動の確率的モデリングを統合する、形式的に仕様化されたアーキテクチャを提案する。コンテナを namespaces および cgroups によって制約されたプロセスとして形式化し、グローバル状態を動的システム $S(t)$ としてモデル化するとともに、整合性、隔離（confinement）、および非干渉性の特性を定義する。異常検知は、観測された軌跡の対数尤度に対する仮説検定として定式化され、閾値 $\theta$ は統計的に較正される。暗号学的不変条件と確率的特性との直交的合成により、MITRE ATT&CK for Containers に記載された手法に対する回避を低減し、堅牢性が向上することを示す。Kubernetes 1.29 上にノードごとのエージェントを備えたプロトタイプを実装し、AI コンポーネントを含むワークロードを含め、120 の異種ワークロードを実行する 40 ノードのクラスタで評価を行った。結果として、平均検出率 96.7%（95%信頼区間）、偽陽性率 2.3%、CPU オーバーヘッド 5% 未満を達成し、スケーラビリティを維持することが示された。さらに、計算量の形式的解析、オンライン学習の収束性に関する議論、および TPM 2.0 に基づくリモートアテステーションとの統合についても提示する。提案アーキテクチャは、現代の cloud-native 環境におけるコンテナハードニングのための理論的に堅固で運用上実行可能な基盤を確立する。
Read paper →Containers攻撃面の合成的モデリングに基づくコンテナ環境における攻撃検知および封じ込めのための形式的アーキテクチャ
TITLE: 攻撃面の合成的モデリングに基づくコンテナ環境における攻撃検知および封じ込めのための形式的アーキテクチャ ABSTRACT: コンテナおよびKubernetesのようなオーケストレータの大規模な採用により、2025年までにクラウドネイティブ・パラダイムは企業環境における主要なインフラストラクチャとして確立された。軽量仮想化モデルは運用効率と弾力性を提供する一方で、カーネルの共有およびクラスターの動的な性質により、攻撃面は大幅に拡大する。コンテナエスケープ、Linuxカーネルの脆弱性の悪用、クラスター内部でのラテラルムーブメントに関する最近のインシデントは、形式的基盤と明示的な保証を備えた検知および封じ込めメカニズムの必要性を示している。本研究では、攻撃面の合成的モデリングに基づくコンテナ環境向けの攻撃検知および封じ込めのための形式的アーキテクチャを提案する。環境を、コンテナ、インフラストラクチャノード、および相互作用チャネルを統合した注釈付き有向グラフとして形式化し、攻撃面を頂点および辺に対する合成演算子として定義する。さらに、システムコールグラフの構造的逸脱に基づく検知手法を導入し、観測された隣接行列とベースライン段階で学習された参照モデルとの間のスペクトル発散を利用する。明示的な仮定の下での形式的性質を示し、条件付き完全性定理を含む。Kubernetes 1.29と統合されたプロトタイプを実装し、eBPF/libbpfによる監視を用いて、64ノードで1,200コンテナを実行するクラスター上でシステムを評価した。結果は、MITRE ATT&CK for Containersに整合するシナリオにおいて平均95%以上の検知率、3%未満の偽陽性率、平均CPUオーバーヘッド3.8%を示した。さらに、CNAPPプラットフォームおよびセキュリティガバナンス機構との統合への示唆、ならびに制限事項と回避ベクトルについて議論する。結論として、効率的なカーネルレベル監視と組み合わせた形式的な合成モデリングは、大規模なコンテナ化環境を保護するための厳密かつスケーラブルな基盤を提供する。
Read paper →Containers確率的行動プロファイルとカーネルポリシー検証に基づくコンテナエスケープ検出および緩和のための形式的アーキテクチャ
TITLE: 確率的行動プロファイルとカーネルポリシー検証に基づくコンテナエスケープ検出および緩和のための形式的アーキテクチャ ABSTRACT: コンテナベースの仮想化はクラウドネイティブインフラストラクチャの基盤として確立されているが、共有カーネルへの依存は構造的なセキュリティ課題をもたらす。コンテナエスケープは依然として重大な侵害ベクトルであり、特に大規模なKubernetes環境においては、runtime、cgroupsサブシステム、あるいはカーネル自体の脆弱性が分離の破壊を引き起こす可能性がある。本研究では、システムコール列の確率的モデリングとカーネルレベルでのセキュリティポリシー自動合成に基づく、コンテナエスケープの検出および緩和のための形式的アーキテクチャを提案する。アプリケーションの正当な振る舞いを、syscallのアルファベット上の確率言語としてモデル化し、ベイズ平滑化を伴う可変次数マルコフ連鎖によって具体化する。$(\epsilon, \delta)$ パラメータの下での正確性および完全性の形式的境界を導出し、累積対数尤度に基づく意思決定基準を導入する。観測された経験的サポートに基づき、最小限のseccompプロファイルおよび現代的なLSM（AppArmorまたはSELinux）と互換性のあるポリシーを自動的に合成し、攻撃面を定量的に削減する。Linux 6.xカーネルのtracepointに接続されたeBPFを用いて本アーキテクチャを実装し、Kubernetes 1.28クラスタとcontainerd 1.7に統合した。120ノードおよび1,800コンテナを含む実験評価において、許可されるsyscall集合の平均72.4%削減、検出率96.1%、平均CPUオーバーヘッド3.7%を達成した。さらに、本手法はヒューリスティックなルールのみに基づくメカニズムを上回りつつ、スケーラビリティと低レイテンシを維持することを示す。以上より、形式的確率モデリング、カーネル内での効率的な検証、およびポリシー自動合成の組み合わせは、2025年におけるコンテナ化環境の動的ハードニングのための堅牢な戦略を構成することを結論づける。
Read paper →Containersタイトル: 確率的行動プロファイルとカーネルにおけるポリシー検証に基づくコンテナ脱出の検出および緩和のための形式的アーキテクチャ
タイトル: 確率的行動プロファイルとカーネルにおけるポリシー検証に基づくコンテナ脱出の検出および緩和のための形式的アーキテクチャ 要旨: コンテナベースの仮想化はクラウドネイティブ・インフラの基盤として定着したが、共有カーネルへの依存は構造的なセキュリティ課題をもたらす。コンテナ脱出は依然として重大な侵害ベクトルであり、特に大規模な Kubernetes 環境では、runtime、cgroups サブシステム、あるいはカーネル自体における脆弱性が分離の破綻を招く可能性がある。本研究では、システムコール列の確率的モデリングとカーネルレベルでのセキュリティポリシーの自動合成に基づく、コンテナ脱出の検出および緩和のための形式的アーキテクチャを提案する。合法的なアプリケーション挙動を syscall のアルファベット上の確率言語としてモデル化し、ベイズ平滑化を用いた可変次数マルコフ連鎖として実装する。パラメータ $(\epsilon, \delta)$ の下での正当性および完全性に関する形式的境界を導出し、累積対数尤度に基づく判定基準を導入する。経験的に観測されたサポートから、seccomp の最小プロファイルおよび現代的な LSM（AppArmor または SELinux）と整合するポリシーを自動合成し、攻撃面を定量的に削減する。Linux 6.x カーネルの tracepoints に連携した eBPF を用いて本アーキテクチャを実装し、containerd 1.7 を備えた Kubernetes 1.28 クラスタに統合した。120ノードおよび1,800コンテナを対象とした実験評価では、許可される syscall 集合を平均72.4%削減し、検出率96.1%、CPU平均オーバーヘッド3.7%を達成した。さらに、本手法がヒューリスティック規則のみに基づく機構を上回り、スケーラビリティと低遅延を維持することを示した。以上より、確率的形式モデリング、効率的なカーネル内検証、ならびにポリシーの自動合成の組み合わせは、2025年におけるコンテナ化環境の動的な強化に対する堅牢な戦略であると結論づける。
Read paper →Cloudマルチクラウド環境における運用的脅威モデリングとテレメトリベース検知：IaaS、PaaS、およびKubernetesインフラストラクチャにおける実践的防御戦略（2025）
TITLE: マルチクラウド環境における運用的脅威モデリングとテレメトリベース検知：IaaS、PaaS、およびKubernetesインフラストラクチャにおける実践的防御戦略（2025） ABSTRACT: クラウドコンピューティングは、企業インフラストラクチャ、デジタルサービス、および人工知能プラットフォームの主要な運用基盤となっている。2025年時点では、AWS、Microsoft Azure、Google Cloud Platform（GCP）を組み合わせたマルチクラウドおよびハイブリッド環境が一般的であり、コンテナ、Kubernetes、サーバーレス関数に基づくクラウドネイティブアーキテクチャは攻撃対象領域を大幅に拡大させている。本論文は、脅威モデリング、リスクの形式化、およびテレメトリに基づく検知・対応メカニズムの実践的実装に焦点を当てたクラウドセキュリティの運用分析を提示する。本研究では、2021年から2025年にかけてのレッドチーミングおよびインシデントレスポンス運用で観測された反復的な攻撃ベクトルを分析する。これには、IAMアイデンティティの悪用、クラウドAPIを介したデータ流出、Kubernetesにおけるワークロード侵害、ならびにストレージおよび仮想ネットワークにおける設定ミスの悪用が含まれる。我々は、露出度（exposure）、特権（privilege）、および可観測性（observability）のメトリクスを組み合わせた、クラウド環境向けに適応された形式的リスク評価モデルを提案する。このモデルは、緩和策の自動的な優先順位付けを可能にするため数学的に表現されている。本手法には、ネイティブテレメトリ（CloudTrail、Azure Activity Logs、GCP Audit Logs）の収集、eBPFによるランタイム計測、およびMITRE ATT&CK for Cloudフレームワークに整合したルールベースの行動検知が含まれる。本研究では、2025年時点で広く採用されているFalco、ScoutSuite、kube‑benchなどのツールおよびSIEMにおける分析パイプラインを用いた実践的実装について記述する。さらに、Kubernetesワークロードおよびサーバーレスサービスを含むシミュレートされたマルチクラウド環境において本アプローチを実験的に評価し、平均検知時間（MTTD）の有意な短縮とリスク優先順位付けの改善を示す。また、公開インシデントで観測された露出した認証情報およびクラウドAPIの悪用パターンに基づく現実的なケーススタディも提示する。結果は、形式的リスクモデリングと粒度の高いテレメトリおよびZero Trustコントロールの組み合わせが、クラウド環境の運用レジリエンスにおいて大きな向上をもたらすことを示している。本研究は、複雑なクラウドインフラストラクチャを運用する攻撃側および防御側のセキュリティチームのための実践的フレームワークを提供し、2025年までのセキュリティエコシステムの最先端と整合している。
Read paper →Cloudタイトル: マルチクラウド環境のための脅威の運用モデリングとテレメトリベース検知：IaaS、PaaS、Kubernetesインフラにおける実践的防御戦略（2025）
タイトル: マルチクラウド環境のための脅威の運用モデリングとテレメトリベース検知：IaaS、PaaS、Kubernetesインフラにおける実践的防御戦略（2025） 要旨: クラウドコンピューティングは、企業インフラ、デジタルサービス、および人工知能プラットフォームにとって支配的な運用基盤となった。2025年には、AWS、Microsoft Azure、Google Cloud Platform（GCP）を組み合わせたマルチクラウドおよびハイブリッド環境が一般的であり、コンテナ、Kubernetes、サーバーレス関数に基づくクラウドネイティブアーキテクチャは攻撃対象領域を大幅に拡大している。本稿では、脅威モデリング、リスクの形式化、およびテレメトリに基づく検知・対応メカニズムの実践的実装に焦点を当てた、クラウドにおける運用セキュリティ分析を提示する。本研究は、2021年から2025年にかけてのレッドチーミングおよびインシデントレスポンス運用で観測された反復的な攻撃ベクトルを検討し、IAMアイデンティティの悪用、クラウドAPI経由の情報流出、Kubernetesワークロードの侵害、ストレージおよび仮想ネットワークの誤設定の悪用を含む。さらに、露出度、特権、可観測性の指標を組み合わせた、クラウド環境向けに適応したリスク評価の形式モデルを提案し、数学的に表現することで、緩和策の自動優先付けを可能にする。本手法には、ネイティブテレメトリ（CloudTrail、Azure Activity Logs、GCP Audit Logs）の収集、eBPFによるランタイム計測、MITRE ATT&CK for Cloudフレームワークに整合したルールベースの行動検知が含まれる。本研究では、Falco、ScoutSuite、kube-bench、SIEMにおける分析パイプラインなど、2025年時点までに広く採用されているツールを用いた実践的実装を記述する。Kubernetesワークロードとサーバーレスサービスを含むシミュレートされたマルチクラウド環境において本アプローチを実験的に評価し、平均検知時間（MTTD）の大幅な短縮とリスク優先順位付けの改善を示した。また、公開インシデントにおいて観測された、露出した認証情報およびクラウドAPIの悪用に関するパターンに基づく現実的なケーススタディも提示する。結果は、形式的なリスクモデリングときめ細かなテレメトリおよびZero Trust制御の組み合わせが、クラウド環境の運用レジリエンスに大きな向上をもたらすことを示している。本研究は、2025年時点のセキュリティエコシステムの最先端に整合した、複雑なクラウドインフラで運用する攻撃的・防御的セキュリティチーム向けの実践的フレームワークを提供する。
Read paper →Cloud時間グラフと検証可能なポリシーに基づく分散境界環境における脅威検出と適応的封じ込めのための形式的アーキテクチャ
本研究では、複数の管理ドメインが相互接続された分散境界環境において、脅威検出と適応的封じ込めを同時に実現するための形式的アーキテクチャを提案する。とりわけ、アイデンティティ、権限、依存関係、通信経路を時間付き有向グラフとして統一的に表現し、時間減衰を伴う累積リスクに基づいて侵害経路を評価する枠組みを定式化する。既存の攻撃グラフ研究は、主として静的なトポロジーを対象としており、ログやポリシー変更が継続的に発生する実運用環境における時系列的変化を十分に扱ってこなかった。これに対し、本研究は、局所更新に基づくインクリメンタル検出、ならびに機能的不変条件を保持する封じ込め機構を組み合わせることで、検出性能と運用安全性の両立を目指す。提案手法では、ログ収集、正規化、グラフ更新、重み付き探索、SMT によるポリシー検証、ならびに自動的な権限制御反映を段階的に統合する。さらに、最小カット問題への還元により、重要資産への到達経路を遮断しつつ、業務継続性に必要な権限を保持する条件を与える。実験的評価では、従来型の相関型監視およびルールベース分析と比較して、提案手法がより短い検出時間と、機能的不変条件の破壊を伴わない封じ込めを達成することを示す。以上より、本研究は、境界防御を基礎とする2006年時点の実務環境に適合しながら、形式的検証と運用自動化を接続する実践的枠組みを提供する。
Read paper →Cloud依存グラフと確率的推論に基づくマルチクラウド環境における設定逸脱および攻撃チェーンの形式的検証可能な検出
1. 序論
Read paper →Cloud分散テレメトリ、時間的検証および合成的解析に基づくマルチクラウド環境におけるラテラルムーブメント検知・緩和のための形式的に検証可能なアーキテクチャ
1. 序論
Read paper →IAMグラフに基づく継続的リスク評価と形式的ポリシーを用いたマルチクラウド環境向け適応型Identity and Access Managementアーキテクチャ
1. 序論
Read paper →IAM定量的セキュリティ保証を備えたマルチクラウド環境向け適応型Identity and Access Managementの形式的検証可能アーキテクチャ
1. 序論
Read paper →