A Hybrid Framework For Crypto-Ransomware Detection In Enterprise Shared Storage

技術要約：エンタープライズ共有ストレージにおけるクリプト・ランサムウェア検出のためのハイブリッドフレームワーク

問題提起
企業環境では、機密データの保存をクライアントエンドポイントからネットワークドライブやSMB（Server Message Block）プロトコルを介した共有リソースへと移行させる動きが強まっています。このアーキテクチャの変化により、ランサムウェアの攻撃対象領域はローカルシステムからリモートファイルサーバーへと拡大しました。従来のエンドポイント検出メカニズムは、ローカルシステムの挙動に依存しているため、このような文脈では機能しないことが多くあります。つまり、侵害されたクライアントがリモートサーバー上の共有データを暗号化しても、サーバー自体では行動アラームが作動しない可能性があるのです。さらに、既存の検出手法には、データセットのバイアス、プライバシー制約による再現性の欠如、あるいは悪意のあるペイロードを断片化したりゼロデイ脆弱性を利用したりする回避型バリアントの検出能力の限界といった課題があります。

手法
著者らは、ファイルサーバーとクライアントが統合された環境向けに設計された、ハイブリッド検出フレームワークを提案しています。これは主にSMBネットワークトラフィック（具体的にはSMBv2コードを分析し、SMBv3についても同様の対応が可能）に基づいて動作します。本フレームワークは、以下の3つの連続するモジュールで構成されています。

1. パケット単位のIoC検出（Per Packet IoC Detection）: この初期フェーズでは、個々のネットワークパケットをスキャンして既知の侵害指標（IoC）を探索します。具体的には、既知のランサムウェアファミリーのシグネチャとパケット長を照合することで、恐喝メッセージ（被害者のフォルダ内に未暗号化ファイルとしてドロップされることが多い）の存在を確認します。一致が見つかった場合、即時の修復措置がトリガーされます。
2. 関心領域（RoI）単位のIoC検出（Per Region of Interest (RoI) IoC Detection）: 恐喝メッセージを複数のパケットに断片化させて回避するバリアントに対抗するため、このモジュールはパケットを「関心領域（RoI）」へと集約します。RoIは、2つの連続する特定の制御パケット（ディレクトリ列挙に使用される260バイトのパケット $p_{260}$ として特定）間のネットワーク活動のシーケンスとして定義されます。RoI内では、ファイル作成（$r_{p410}$）、読み取り（$r_{q171}$）、書き込み（$r_{p138}$）といった特定の「関心のあるコマンド（$CoI$）」の集約されたパターンをチェックします。これらの集約されたパケットの比率が既知のIoCパターンと一致する場合、アラームが発せられます。
3. 機械学習（ML）ベースの検出: パケットまたはRoIが既知のシグネチャに一致しない場合、未知のランサムウェアバリアントを検出するために設計されたMLモジュールに渡されます。
   • 特徴量エンジニアリング: 本フレームワークは、RoIに基づく新しい特徴量抽出技術を導入しています。基本特徴量（読み取り、書き込み、オープン、クローズ操作のカウント）と、拡張特徴量（読み取りまたは作成によってトリガーされた書き込みデータの合計、平均、標準偏差、および最頻値）を算出します。環境の中立性を確保するため、これらの特徴量は共有ドライブ内の総ファイル数に基づいて標準化されます。
   • モデル訓練: システムは**ランダム・コミッティ（Random Committee）**機械学習モデルを利用しています。訓練データセットは、22種類のランサムウェアファミリーと15種類の良性アプリケーションから構築されました。良性サンプルは、偽陽性を減らすために、高リスクなユーザー行動（例：大量のデータインポート、Hicryptなどのツールによる暗号化、7-Zipによる圧縮）を模倣するように慎重に選択されました。データセットはバランスが取られており、10分割交差検証を用いて処理されました。

主な貢献

• 関心領域（RoI）テクニック: 特定のSMB制御コード（$p_{260}$）に基づいてネットワークパケットを集約し、コンテキスト豊かなデータサンプルを定義する新しい特徴量エンジニアリング手法であり、固定されたタイムウィンドウやフローベースのアプローチに固有のバイアスを軽減します。
• ハイブリッド検出アーキテクチャ: 既知の脅威のためのシグネチャベースのIoC検出と、未知または回避型の脅威のためのMLベースの異常検出を組み合わせ、早期介入を可能にするワークフローに統合したフレームワークです。
• 新しいデータセット: 著者らは2つの新しいデータセットを提示しています。
  1. 22種類のランサムウェアファミリーと、バイアスを最小限に抑えるためにランサムウェアに類似した挙動を持つ15種類の良性アプリケーションを含む、ラベル付きデータセット。
  2. これらのファミリーから派生したネットワークベースの侵害指標（IoC）のリポジトリ。

結果
フレームワークの実験的評価により、以下の性能指標が得られました。

• 検出精度: ランダム・コミッティモデルは、**99.64%**の検出精度（Precision）を達成しました。
• エラー率: システムは**0%の偽陰性率（FNR）を示し、ランサムウェアの侵入を見逃さないことを保証すると同時に、極めて低い0.004%の偽陽性率（FPR）**を実現しました。
• 早期検出: 本フレームワークは、重大な被害が発生する前にランサムウェアの侵入を特定することに成功しました。48個のRoIを用いたスライディングウィンドウを使用することで、**99.44%**の早期検出精度を達成しました。
• ファミリー別の性能: 単一のファミリー（例：LockBit2.0）に対して訓練されたモデルは100%の精度を達成しましたが、著者らはそのような限定的なモデルは堅牢性に欠けると指摘しています。本ハイブリッドフレームワークの強みは、多様な22種類のファミリーにわたって汎用化できる能力にあります。

意義と主張
本論文は、このハイブリッドアプローチが、単なるローカルエンドポイントではなく共有ストレージを標的とするランサムウェアの検出における決定的なギャップを埋めるものであると主張しています。ホストシステムのステートへの依存を超え、新しいRoIテクニックを用いたネットワークトラフィック分析を取り入れることで、本フレームワークは既知および回避型バリアントの両方に対する堅牢な防御を提供します。著者らは、一般的なユーザー操作（大量の暗号化や圧縮など）と誤認されないよう、ランサムウェアの動作に酷似した良性の挙動を含めることで、検出モデルの信頼性を高めていることを強調しています。新しいネットワークベースのIoCの発見と、再現可能なデータセットの提供は、学術研究および産業界のサイバーセキュリティ防御の両方に重要な貢献として位置付けられています。本研究は、提示されたIoCは未暗号化のトラフィックに対応しているものの、その手法は、対応するコード調整を行うことで暗号化環境（SMBv3）にも適用可能であり、エンタープライズ共有ストレージセキュリティのためのスケーラブルなソリューションを提供すると結論付けています。