ARCANE: Cross-Campaign Attacker Re-identification via Passive Beacon Telemetry -- A Bayesian Network Framework for Longitudinal Cyber Attribution

以下は、論文「ARCANE: パッシブ・ビーコン・テレメトリによるキャンペーン横断型攻撃者再識別 — 長期的サイバー帰属のためのベイジアンネットワークフレームワーク」の詳細な技術的サマリーです。

1. 問題定義

IP スプーフィングの容易さ、匿名化ツール（TOR、VPN）の使用、高度な脅威アクターによる意図的な「偽旗作戦」のため、サイバー帰属は依然として重要な課題です。現在の帰属手法は通常、1 件ごとの事案に基づいて運用され、各キャンペーンを孤立した事象として扱い、時間経過とともに蓄積された複数のキャンペーンにわたる豊富な証拠を破棄しています。

本論文は、以下の根本的な問いを検証します：複数のキャンペーンにわたる証拠を集約すること（縦断的分析）は、敵対者の識別を有意に改善するか、それとも特徴空間の構造的限界がそれを妨げるか？ 具体的には、著者らは、攻撃者によってトリガーされたペイロードを追跡するパッシブ・ビーコン・テレメトリを用いて、異なる作戦にわたるアクターの再識別を可能にする永続的な「指紋」を構築できるかどうかを探求しています。

2. 手法：ARCANE フレームワーク

著者らは、ストリーミング・テレメトリに基づいて攻撃者の身元に関する信念を逐次更新するように設計された確率的フレームワーク、ARCANE（Cross-campaign Attribution Network による攻撃者再識別）を提案します。

A. 形式的フレームワーク

• ベイジアン推論: 帰属は、逐次確率推論問題としてモデル化されます。システムは、候補となるアクターの集合 $A$ に対する事後確率分布 $P(A=a_i | e)$ を維持し、新しい証拠 $e$（キャンペーンの指紋）が到着するたびにこれを更新します。
• 指紋化: 各キャンペーンは、ビーコンのコールバックから導き出された行動的、インフラ的、時間的特徴を要約する24 次元の特徴ベクトル（$f_k$）に変換されます。
  • 特徴には以下が含まれます: TOR/VPN 使用率、滞在時間、タイムゾーン/ロケール、VM 検知、ツールの整合性、特定の APT ツールクラスター（例：Cobalt Strike、Mimikatz）、およびコールバック時間のエントロピー。
• キャンペーン横断型信頼度（CCC）: 新しいクエリ指紋と既知のアクター指紋の知識ベースとの類似性を集約する指標です。アクターの進化やツールの入れ替えを考慮するため、時間減衰因子（$e^{-\delta \cdot d_k}$）を組み込んでおり、古い証拠の重みが軽くなるように調整されています。
• 分離ギャップ（$\Delta S$）: 同一アクター内の平均類似度（$\bar{S}_w$）と、異なったアクター間の平均類似度（$\bar{S}_c$）との差として定義されます。本論文は、信頼性の高い帰属には、このギャップがトレーニングキャンペーンの数に依存する統計的閾値を超えている必要があると仮定しています。

B. アルゴリズム

ARCANE は、時間的なホールドアウト検証プロトコルを通じて動作します：

1. キャンペーンは時系列順に処理されます。
2. 各キャンペーンについて、システムは（以前のキャンペーンから構築された）アクター知識ベースに対する CCC を計算します。
3. 尤度モデルが CCC を確率更新にマッピングします。
4. 事後分布が正規化され、最も確からしいアクターが選択されます。
5. 現在のキャンペーンは、将来のクエリのために知識ベースに追加されます。

3. 実験設定

• データセット: 公開された縦断的ビーコンデータが不足しているため、著者らは MITRE ATT&CK、Mandiant、Recorded Future のインテリジェンスに基づいた合成ベンチマークを構築しました。
• 範囲: 18 ヶ月（2024 年 1 月〜2025 年 6 月）にわたる 8 つのシミュレートされた国家レベルの脅威アクター（KP、RU、CN、IR）。
• 規模: 96 のキャンペーン、合計 524 のビーコン・コールバック。
• 敵対者モデリング: アクターには異なる洗練レベルが割り当てられ、回避スケジュールが設定されました。これは、TOR 使用、ツールの入れ替え、ロケール・スプーフィングなどの回避能力が、現実世界の適応をシミュレートするために時間とともに線形に増加するものです。
• ベースライン: 静的な移動平均プロファイルを使用した、キャンペーンごとの最近傍ベースライン。

4. 主要な結果

評価により、直感に反するが重要な知見が得られました：

A. 分離の天井

• 高い類似性: 特徴空間は極めて高密度です。同一アクター内の平均類似度（$\bar{S}_w$）は0.848、異なったアクター間の類似度（$\bar{S}_c$）は0.802でした。
• 不十分なギャップ: 分離ギャップ（$\Delta S = 0.046$）は統計的に有意でしたが、8 つのアクターに対する高信頼度の再識別を支えるには小さすぎました。
• 性能: ARCANE の全体の精度は30.7%であり、キャンペーンごとのベースライン（43.2%）よりも実際には低く（統計的に有意な差はありませんでしたが）、ベイジアン集積は新しい証拠が既存のノイズと十分に区別されなかったため、事後確率を集中させることに失敗しました。

B. 回避不変性

• 驚くべき発見: アクターの回避レベルに関わらず、ARCANE の精度は安定していました（20.6%〜25.2%）。
• 示唆: 帰属に対する主な障壁は、敵対的な回避（TOR の使用やツールの変更など）ではありません。むしろ、制限要因は特徴の区別不可能性です。高度なアクターは自然と、高度なセキュリティプラクティス（高頻度の TOR 使用、頻繁なツールローテーション）に収束するため、現在の特色空間では互いに同一に見えてしまいます。

C. 学習曲線

トレーニングキャンペーンの数を増やしても、精度の単調な改善にはつながりませんでした。これは、ボトルネックがデータ量の不足ではなく、特徴空間の構造的限界であることを確認するものです。

5. 主要な貢献

1. 最初の形式的縦断フレームワーク: ARCANE は、パッシブ・ビーコン・テレメトリを用いたキャンペーン横断型攻撃者再識別のための、最初の形式的なベイジアンフレームワークです。
2. 「分離の天井」の特定: 本論文は、高度な APT グループが行動特徴空間の高密度な領域に収束し、標準的な TTP ベースおよびビーコンベースの指紋が曖昧さの解消に不十分であることを示す実証的証拠を提供します。
3. 回避不変性の洞察: 回避が帰属精度を低下させない（問題が隠蔽ではなく、区別不可能性であるため）という発見は、防衛者にとって新たな戦略的視点を提供します。
4. 定量的ギャップ分析: 著者らは、信頼性の高い帰属に必要な正確なギャップ（$\Delta S$）を定量化し、現在の 24 次元特徴が特定のマージンで不足していることを示しました。

6. 意義と今後の方向性

• 戦略的転換: 結果は、防衛者がビーコンデータの量を増やすことだけに依存したり、攻撃者がミスを犯すことを期待したりすべきではないことを示唆しています。代わりに、焦点は信号クラスの強化に移る必要があります。
• 提案される解決策: 分離の天井を打破するために、著者らは以下の統合を提案します：
  1. 被害者セクターのターゲティング: APT グループは、運用ツールとは独立して、特定の業界（例：金融対エネルギー）を標的にすることが多いです。
  2. より豊かな時間的パターン: 単なる時刻のエントロピーを超えて、曜日パターンや国の祝日との整合性を含めること。
  3. インフラ再利用グラフ: TOR ネットワーク内であっても、特定の ASN 範囲や出口ノードの共起性を分析すること。
• 防衛戦略: 回避が帰属を損なわないため、防衛者は攻撃者に警告することでシステムが無効になることを恐れることなく、パッシブな帰属インフラ（ハニートークンなど）を積極的に展開できます。

結論として、ARCANE は縦断的帰属の問題を形式的に定式化することに成功しましたが、その実証結果は「建設的な否定的結果」として機能し、現在の行動指紋は構造的に不十分であることを示し、高度なアクターを区別するためのマルチモーダル信号統合の緊急の必要性を浮き彫りにしています。