論文要約：重要インフラにおけるリアルタイムインシデント軽減のためのベイズおよび多目的意思決定支援

1. 問題背景

現代の重要インフラ（Critical Infrastructure, CI）は、相互接続されたサイバーフィジカルシステム（CPS）に依存しており、そのセキュリティインシデントは急速に安全性や運用上の失敗へと発展する可能性があります。既存の意思決定支援アプローチには以下の重大な限界があります。

• 静的な仮定への依存: 現実のインシデント対応では、脅威やシステム状態が動的に変化しますが、既存のモデルはパラメータのリアルタイム更新が困難です。
• 不完全な脆弱性情報: 既知の CVE だけでなく、文書化されていない脆弱性や、異なるスコアリング指標（CVSS, EPSS, KEV など）間の矛盾を扱うための不確実性処理が不足しています。
• 単一目的のリスクモデル: 攻撃の発生確率、影響の重大度、システムの可用性（稼働率）の間のトレードオフを適切に捉えておらず、時間的・リソース的な制約下での最適な対策選定が困難です。

特に、パッチ適用が物理プロセスの停止や性能低下を招く可能性のある CPS 環境では、セキュリティ対策と運用継続性のバランスをリアルタイムで取ることが不可欠です。

2. 提案手法

本論文は、重要インフラのインシデント軽減に向けたリアルタイムかつ適応的な意思決定支援フレームワークを提案します。このフレームワークは、階層的なシステムモデリングとベイズ確率推論を組み合わせ、以下の構成要素で実現されています。

2.1 ベイジアンネットワーク（BN）モデルの構築

• 構造: 攻撃グラフ（BAG）と影響グラフ（BIG）を統合した BN モデルを使用します。ノードには資産、脆弱性、ハザード（危険事象）が含まれ、エッジは因果関係や条件付き依存性を表します。
• 実装: 領域固有言語（DSL）と AutomationML を使用してシステムアーキテクチャと脆弱性メタデータをエンコードし、インシデント発生時の迅速な構造・パラメータ更新を可能にしています。

2.2 確信度較正を伴う露出確率の推定（Exposure Probability Estimation）

不確実性（エピステミック・アンセertainty）を考慮し、複数の脆弱性スコアリング指標を統合します。

• CVE ありの脆弱性: EPSS（Exploit Prediction Scoring System）、LEV（Likely Exploited Vulnerabilities）、KEV（Known Exploited Vulnerabilities）の最大値を採用します。KEV にリストされている場合は確率を 1 とする安全保守的な仮定を適用します。
• CVE なし（独自/未文書化）の脆弱性: CVSS ベースのスコアを代理指標として使用しますが、これには不確実性が伴います。これを補うため、**ベイズ推論による確信度較正（Bayesian Confidence Calibration）**技術を適用し、観測された CVSS スコアを潜在変数（真の露出確率）の分布としてモデル化し、事後分布を計算します。
• 攻撃実行可能性（Attack Feasibility, AF）: システムの防御態勢や攻撃者の能力を反映する修正係数を適用し、現実的な攻撃成功確率を算出します。

2.3 多目的最適化（Multi-Objective Optimisation）

• 目的: 攻撃成功確率の最小化、重大な影響の発生確率の最小化、およびシステム可用性の最大化を同時に達成する**パレート最適（Pareto-optimal）**な対策ポートフォリオを探索します。
• 手法: 対策の適用確率を決定変数として扱い、Optuna ライブラリ等を用いて反復的に最適化を行います。
• リスク調整: 対策適用自体が資産の故障リスクを高める可能性（例：不安定なパッチ）を考慮し、資産の故障確率をリスク調整関数でモデル化します。

2.4 頻度ベースのヒューリスティック分析

• 複数の最適化実行（トライアル）において、どの脆弱性ノードの対策が頻繁に高パフォーマンスなポートフォリオに含まれるかを分析します。
• この「頻度」に基づいて、時間的・リソース的制約下で優先すべき対策を特定し、最終的な意思決定を支援します。

3. 主要な貢献

1. リアルタイム適応型 BN モデリング: オフライン分析ではなく、インシデント発生中に動的に更新可能な BN モデルを DSL で実装し、CPS 特有のメタデータを埋め込んだ。
2. ハイブリッド露出確率推定フレームワーク: 不完全なメタデータ下でもロバストな推奨を可能にする、ベイズ確信度較正技術を統合した露出確率推定手法を開発。
3. 多目的意思決定支援手法: 安全性、セキュリティ、運用レジリエンスのトレードオフを可視化し、頻度ベースのヒューリスティックを用いて実用的な対策ポートフォリオを特定する手法を提案。
4. 実証評価: 3 つの代表的なケーススタディ（ウクライナ送電網攻撃、太陽光 PV インバータ、鉄道 CBTC システム）において、フレームワークの有効性を検証。

4. 結果と知見

3 つのケーススタディを通じて、フレームワークの適応性と実用性が確認されました。

• 太陽光 PV インバータ（架空シナリオ）:
  • 最適化結果から、特定の脆弱性（V1-V4）が攻撃経路の入口として一貫して重要であることが判明。
  • 高影響な対策ポートフォリオはシステム可用性の向上と相関したが、一部の対策は可用性向上に寄与しにくいことが示された。
• ウクライナ送電網（BlackEnergy 攻撃）:
  • 攻撃確率を大幅に低下させるには、複数の脆弱性ノードに対する分散型対策（全体的な対策）が必要であることが示唆された。
  • 個別ノードの露出を減らしても、システム内の構造的な相互依存性により、重大な影響の残存リスクは完全に排除できない場合がある。
• 鉄道 CBTC システム（架空シナリオ）:
  • 攻撃成功確率は比較的低くても、一度突破されればシステム停止（影響確率 1.0）につながる構造であることが判明。
  • 最適化は「攻撃防止」よりも「システム可用性の維持」を優先する傾向を示したが、CVSS ベースと EPSS ベースの事前分布を用いても、対策ポートフォリオの全体像には大きな差は見られなかった。

一般的な知見:

• インシデント対応における「露出」「影響」「可用性」の 3 つの目的の間には、トレードオフが存在する。
• 単一の指標ではなく、複数のスコアリング指標を統合し、頻度分析を行うことで、リソース制約下での優先順位付けが改善される。
• 最適化の安定性を確保するには、十分な数のトライアル（5,000〜10,000 回）が必要であることが確認された。

5. 意義と将来展望

本研究は、重要インフラのセキュリティ運用において、静的なリスク評価から動的でデータ駆動型の意思決定への転換を提案するものです。

• 実用性: 既存の SOC（セキュリティ運用センター）ワークフローに分析バックエンドとして統合可能であり、リアルタイムの脅威インテリジェンスに対応できる。
• レジリエンスの向上: 単なる脆弱性修正ではなく、運用継続性（可用性）を考慮したバランスの取れた対策を提案することで、インフラ全体のレジリエンスを高める。
• オープンソース: モデル、ソースコード、参考データは GitHub で公開されており、再現性とさらなる研究開発を促進する。

将来的には、ヒューリスティックな推奨の信頼性を実証データで検証すること、最適化の収束診断の確立、およびノイズのある OR ゲートなどのアーキテクチャ改善による適応性の向上が期待されます。