技術概要：予測 NLP モデルを備えたマイクロサービスベースのエンドポイント監視プラットフォーム

問題定義

現代のデジタル環境において、組織は二重の課題に直面しています。一つは機密データの漏洩リスク、もう一つは職場のコミュニケーションチャネル内での憎悪的または有害な言語の流通です。現在のソリューションは、生産性追跡、データ漏洩防止（DLP）、および憎悪表現検出を個別に対処することが多く、これにより異なるデータソース間のシグナル相関能力が制限され、インシデント対応が遅延します。さらに、リモートワークの台頭と敵対的職場環境（例えば、テスラ訴訟で認められた巨額の損害賠償など）の法的帰結は、セキュリティ、コンプライアンス、従業員の福利を両立させつつ、システムのパフォーマンスを損なうことなく、監視に対する能動的かつ統合的なアプローチを必要としています。

手法

提案されるソリューションは、エンドポイントのテレメトリを収集し、リアルタイムの警報のために予測的自然言語処理（NLP）モデルを適用するように設計された、統合されたマイクロサービスベースのフレームワークです。この手法は、要件駆動型の工学アプローチに従い、要件引き出し、アーキテクチャ設計、実装、評価の 4 つの段階に構造化されています。

アーキテクチャとコンポーネント

本システムは、3 つの主要なレイヤーから構成されるモジュラーアーキテクチャに基づいて構築されています。

1. エンドポイント層（スパイウェアエージェント）: Python ベースの監視エージェントをコンパイルして実行可能ファイル化しました。これはマルチスレッドで動作し、以下のデータを収集します。

   • ネットワークトラフィック: ブロックされたサイトや悪意のあるクエリを特定するためのリアルタイム DNS パケット検査。
   • キー入力: コンテンツ分析のために入力されたテキストをキャプチャするためのキーロギング。
   • プロセス: 管理者が定義したリストに基づいて悪意のあるプロセスをスキャン。
   • ポート: 開いているポートと脆弱なサービスバナーをスキャン。
   • 画面キャプチャ: 証拠文脈のために警報生成時にスクリーンショットを撮影。
   • 意思決定ロジック: 二値インジケーター（ブロックされた DNS、禁止されたキーワード、悪意のあるプロセスなど）から導き出された重み付けリスクスコア（$S(t)$）に基づいて警報がトリガーされます。

2. サービスオーケストレーション層（API ゲートウェイおよびバックエンド）:

   • 中央 API: Spring Boot で構築され、Docker によりコンテナ化され、コンポーネント間のデータフローを管理します。
   • データ管理: 永続的ストレージ（警報、ユーザーデータ、画像）には PostgreSQL を、頻繁なクエリの低遅延キャッシュ（TTL 20 秒）には Redis を使用します。
   • 非同期処理: RabbitMQ がイベントの取り込みとルーティングを処理し、テレメトリの取り込みと警報および分類タスクの処理をデカップリングします。
   • 最適化: システムは遅延初期化を採用し、不要な自動設定を無効化し、非ブロッキング I/O 用の Undertow サーブレットコンテナを利用し、リソースオーバーヘッドを最小化するためにシーケンシャルなデータベースインデックスを実装しています。

3. 予測 NLP パイプライン:

   • データ処理: テキストは正規化（小文字化、クリーニング、ストップワード除去、ステミング/語幹化）を受け、TF-IDF を使用してベクトル化されます。
   • モデル: 各言語（ポルトガル語、スペイン語、英語）に対して、3 つの従来の機械学習モデルが訓練および評価されました。ロジスティック回帰（L1 正則化付き）、サポートベクターマシン（RBF カーネル）、およびラプラス平滑化付きの多項式ナイーブベイズです。
   • フォールバック機構: システムは、主要モデルによってフラグ付けされなかったフレーズに対する二次検証層として GPT-3（text-davinci-003 モデル経由）を統合しています。不一致は将来の再訓練のためにログ記録されます。
   • 分類: パイプラインは入力言語を識別し、対応するモデルを適用し、構造化された JSON 分類を返します。

フロントエンドとガバナンス

レスポンシブな Web アプリケーションにより、管理者はブラックリストを管理し、警報を表示し、ポリシーを構成できます。これにはロールベースのアクセス制御、安全なセッション管理、および監査可能性とデータ完全性を確保するために、ユーザーが警報の暗号化署名付き（SHA-256）JSON ログを生成する機能が含まれています。

主要な貢献

本論文は、3 つの主要な貢献を提示します。

1. 統合アーキテクチャ: エンドポイント監視（キーロギング、ネットワークスニッフィング、プロセス監査）と予測 NLP を単一パイプラインに統合するモジュラーマイクロサービスフレームワークであり、断片化されたソリューションのギャップに対処します。
2. リアルタイム警報オーケストレーション: RabbitMQ と Redis を活用して大量のデータ取り込みを処理し、低遅延の警報を提供するスケーラブルなシステム。データ持ち出しの指標とポリシー違反を同時に検出できます。
3. 多言語憎悪表現検出: ポルトガル語、スペイン語、英語における憎悪表現のリスク指標を検出するために、トランスフォーマーベースおよび従来の ML モデルを適用し、リアルタイムの企業環境に適した計算効率を維持しながら高い精度を達成しました。

実験結果

本システムは、Docker コンテナを使用して制御された環境（Intel i5-3470、8GB RAM、Kali Linux）で評価されました。

• パフォーマンスとスケーラビリティ:

  • スパイウェアエージェント: 持続的な監視中に CPU およびメモリ使用率が常に 1% 未満であり、無視できるほどのフットプリントを示しました。
  • 遅延: 検出サイクル全体（ローカルキャプチャから API 分類まで）の平均は約 700 ミリ秒でした。スパイウェア API ゲートウェイの平均推論応答時間は 500 ミリ秒でした。
  • スケーラビリティ: 負荷テスト（最大 10,000 並列リクエスト）の線形回帰分析により、リクエスト量とリソース使用量（CPU、メモリ、応答時間）の間に強い線形相関が示されました。システムは 10,000 リクエスト時でも 1 秒未満の応答時間を維持し、メモリヒープ使用量は 39% まで上昇しました。
  • セキュリティ: 初期の脆弱性パッチ適用後、API ゲートウェイは SQL インジェクション、コマンドインジェクション、XSS 攻撃を正常に軽減しました。

• 予測モデルの精度:

  • モデルはすべての言語およびフォールドで平均 87% の精度を達成しました。
  • 多項式ナイーブベイズは、ロジスティック回帰および SVM よりもわずかな性能上の優位性を示しました。
  • 多角形面積指標（PAM）: 精度、再現率、F1 スコア、特異度、および AUC-ROC のバランスを評価するために使用されました。多項式ナイーブベイズは最大の多角形面積を生み出し、指標の優れたバランスを示しましたが、ロジスティック回帰は軸全体で最も均一な性能を示しました。
  • 誤差分析: 約 13% の誤差率が観察され、主に強調のための大文字化による偽陽性と、不明瞭な差別的用語による偽陰性が原因でした。

意義と主張

著者らは、この研究がデータ漏洩防止と職場コンプライアンスを同時に解決する科学的に根拠のあるアプローチを提供すると主張しています。この研究の意義は、リアルタイムの企業監視において、リソース集約的なトランスフォーマーベースのアーキテクチャ（BERT など）と比較して、従来の機械学習モデル（ロジスティック回帰、SVM、ナイーブベイズ）が予測力とハードウェア要件の間のより持続可能なトレードオフを提供し得ることを示している点にあります。

本論文は、提案されたフレームワークが単なる懲罰的なツールではなく、より安全で包括的な職場を促進するメカニズムであると強調しています。監視と予測機能を一元化することで、システムは組織がデータ持ち出しの指標やポリシー違反を迅速に検出することを可能にします。著者らは、透明性と従業員の同意に関する倫理的考慮事項が厳格に遵守される限り、このソリューションはレガシーワークステーションから現代のエンタープライズシステムまで、多様なハードウェア環境での展開が可能であると結論付けています。今後の研究は、大規模な生産検証、ネイティブイメージ（GraalVM など）を使用したランタイム最適化、および差分プライバシー技術の統合に焦点を当てるべきであると提案されています。