論文「An End-to-End Framework for Functionality-Embedded Provenance Graph Construction and Threat Interpretation」の技術的サマリー

本論文は、システムログからプロベナンスグラフ（因果関係グラフ）を自動的に構築し、機能文脈を埋め込むことで、異常検知と攻撃解釈を支援するエンドツーエンドのフレームワーク**「Auto-Prov」**を提案するものです。大規模言語モデル（LLM）を活用し、人手によるルール作成の依存を排除し、進化していくシステム環境における脅威検知の実用性を向上させることを目的としています。

以下に、問題定義、手法、主要な貢献、実験結果、および意義について詳細をまとめます。

---

1. 背景と課題 (Problem)

プロベナンスグラフは、プロセス、ファイル、ネットワーク接続などのシステムエンティティ間の因果関係をモデル化し、異常検知器が正常な動作を学習して攻撃を検出するための基盤となります。しかし、既存のアプローチには以下の 3 つの重大な課題があります。

1. 構築の非スケーラビリティと人手依存:
   • 既存のグラフ構築は、ログ形式ごとの手動作成された正規表現ルールに依存しています。
   • システムやログ形式が変化・進化するとルールが無効化され、常に人手による再エンジニアリングが必要となり、多様な環境や大規模なログストリームへの適用が困難です。
2. エンティティの機能文脈の欠如:
   • 既存の検知器は、エンティティ名や粗粒度なタイプ（例：「プロセス」）のみを特徴量として使用しています。
   • これでは「なぜその動作が行われたか（機能）」が理解できず、正常な動作と悪意のある動作の区別が困難になります（例：文書エディタがコマンドラインを呼び出すのは異常だが、サービスホストでは正常など）。
3. 分析者への解釈支援の不足:
   • 検知されたアラートは複雑で巨大な攻撃グラフとして提示され、分析者が直感的に理解したり、攻撃の意図（APT 戦術）を特定したりすることが困難です。

2. 提案手法：Auto-Prov (Methodology)

Auto-Prov は、ゼロショット設定で LLM を活用し、以下の 5 つのコンポーネントで構成されるエンドツーエンドのフレームワークです。

① ログタイプの自動発見 (Automatic Discovery)

• 課題: 多様で進化し続けるログ形式を事前に把握できない。
• 手法: 流入するログストリームを短時間ウィンドウでサンプリングし、構造的な類似性に基づいてクラスタリング（DBStream アルゴリズム + RoBERTa 埋め込み）を行います。
• 効果: 未知のログ形式を自動的に検知・分類し、各タイプを代表する少量のサンプルを選出します。

② 候補プロベナンス抽出器 (Candidate Provenance Extractor: CPE)

• 役割: 代表サンプルから高品質なプロベナンス情報（エンティティ、相互作用、方向、タイムスタンプ）を抽出する。
• 手法: 強力な商用 LLM（GPT-4o）を使用。ログを要約し、エンティティと相互作用を推論するタスクを分解して実行します。
• 特徴: 構造化されていない低レベルのログから、LLM の推論能力を用いて因果関係を抽出します。

③ ルール生成器 (Rule Generator)

• 役割: CPE の抽出結果を大規模なログストリームに適用可能な軽量ルールに変換する。
• 手法: オープンソースの小型 LLM（LLaMA-3）を用いて、CPE の抽出パターンを正規表現（Regex）ルールに変換（蒸留）します。
• 効果: 高コストな LLM 呼び出しを避けつつ、自動生成されたルールでスケーラブルにグラフを構築します。

④ 機能ノード特徴量の埋め込み (Node Enricher)

• 課題: エンティティの「機能（例：ブラウザ、ドライバ）」をグラフに反映させる。
• 手法:
  • 既知のエンティティ: LLM に基づき、名前やパスから機能ラベルを推論。
  • 未知のエンティティ: 機能ラベルが得られない場合、1 ホップ先の相互作用パターン（行動プロファイル）に基づき、既知のエンティティとの類似性から機能ラベルを推定（行動分類器）。
• 効果: 検知器が「何をしているか」だけでなく「何のためにしているか」を学習できるようになります。

⑤ グラフアシスタント (Graph Assistant)

• 役割: 検知された攻撃グラフを分析者が理解しやすい自然言語の要約に変換し、APT 戦術（MITRE ATT&CK）へマッピングする。
• 手法: 攻撃グラフのエッジを時系列でナラティブ化し、LLM に要約と戦術の推論を指示します。未知のエンティティについては、前述の行動分類器で推定した機能ラベルを文脈として注入します。

3. 主要な貢献 (Key Contributions)

1. 適応的なエンドツーエンドフレームワーク: 生ログからプロベナンスグラフを自動構築し、機能文脈を埋め込み、攻撃要約を生成する統合システム。
2. スケーラブルなログ処理: ログストリームのクラスタリングと LLM によるルール生成により、未知のログ形式や高ボリュームなデータに対応可能。
3. 機能文脈表現の提案: 既知のエンティティには LLM 推論を、未知のエンティティには行動ベースの推定を組み合わせたハイブリッドな機能ラベリング手法。
4. 攻撃要約と戦術マッピング: 検知結果を自然言語で要約し、MITRE ATT&CK 戦術と関連付けることで、分析者の調査を支援する手法。

4. 実験結果 (Results)

DARPA E3 (THEIA) および ATLAS データセット（Windows, Linux, DNS, ブラウザログなど多様な形式）を用いて、4 つの最先端検知器（Flash, MAGIC, OCR-APT, Kairos）で評価を行いました。

• 検知性能の向上:
  • Auto-Prov を使用したグラフは、手動ルールベースのグラフと比較して、すべての検知器で AUC-ROC を大幅に向上させました（THEIA で平均 +0.23、ATLAS で +0.15）。
  • ADP (Attack Detection Precision): 攻撃レベルでの検出精度が向上し、隠密性の高い攻撃（ノード数が少ないもの）も確実に検出できるようになりました。
• 機能特徴量の重要性:
  • 機能ラベルを埋め込むことで、正常と異常の分離が明確になり、特に OCR-APT などの検知器で性能が飛躍的に向上しました。
  • 既存のグラフに機能ラベルを付与するだけでは性能が低下するケースもあり、Auto-Prov による「高忠実度なグラフ構造＋機能文脈」の組み合わせが重要であることが示されました。
• LLM の役割:
  • 候補抽出器には GPT-4o が、ルール生成や機能推論には LLaMA-3 が最も効果的でした。
  • 行動分類器は、LLM が知らないエンティティに対しても機能ラベルを推定し、検知性能の低下を防ぐことに成功しました。
• 要約の堅牢性:
  • 攻撃グラフの要約と戦術マッピングは、エンティティ名を人工的に改変（ポイズニング）しても、高い正確性と一貫性を維持しました。

5. 意義と結論 (Significance)

Auto-Prov は、プロベナンスグラフに基づく異常検知の実用化における最大の障壁である「手動ルールの維持コスト」と「文脈の欠如」を解決しました。

• 進化への耐性: システムやログ形式が変化しても、自動的な学習とルール生成により適応可能です。
• 分析者の負担軽減: 複雑なグラフを自然言語の要約と戦術の文脈に変換することで、分析者の調査時間を短縮し、誤検知の解釈を容易にします。
• 実世界への適用: 多様なプラットフォームとログ形式を横断して動作し、実際のセキュリティ運用（SOC）での導入可能性を大きく高めました。

本フレームワークは、LLM を単なる「検知器」としてではなく、「構造化と解釈の支援者」として活用する新たなパラダイムを示しており、次世代の脅威検知システムの基盤となる可能性があります。