Forensic-Oriented Intrusion Detection Using Synthetic Network Traffic Data and Explainable Artificial Intelligence

技術要約：合成ネットワークトラフィックデータと説明可能な人工知能を用いた、フォレンジック指向の侵入検知

問題提起
ネットワーク侵入のデジタルフォレンジック調査は、機械学習（ML）パイプラインの広範な採用を妨げる2つの構造的な障壁に直面している。それは「データの可用性」と「透明性」である。第一に、実際のネットワークキャプチャには、データ保護規制（GDPRなど）や原本の証拠処理を禁止する証拠保全（chain-of-custody）の要件により、使用できない機密情報やユーザー識別情報が含まれている。第二に、高性能なMLモデル（ディープラーニングやアンサンブル学習など）は、しばしば「ブラックボックス」として機能し、法廷提出用の報告に求められるインスタンスレベルの正当な根拠を欠いている。既存の研究はこれらの問題に個別にアプローチしているが、合成データの生成、侵入検知、および説明可能性を、確立されたフォレンジック標準（ISO/IEC 27037, 27041, 27042, および NIST SP 800-86）に準拠した単一のパイプライン内で統合したフレームワークはこれまで存在しない。

手法
著者らは、元のデジタル証拠と派生した分析アーティファクトとの厳格な分離を運用化する、フォレンジック指向のフレームワークを提案している。本手法は以下の6つのステップに従う。

1. 証拠の取り扱い： 元のデータセット（CICIDS2017, UNSW-NB15, Kitsune）は、SHA-256による完全性ハッシュを持つ、不変かつ読み取り専用のアーティファクトとして扱う。すべての処理は「クリーンコピー」または合成派生物に対して行われる。
2. 合成データの生成： SDV（Synthetic Data Vault）フレームワークを用いたCTGAN（Conditional Generative Adversarial Networks）によるパラメータ化されたパイプラインを用いて、合成ネットワークトラフィックを生成する。このアプローチは、事後的なオーバーサンプリングによるアーティファクトを発生させることなくクラス不均衡に対処し、原本の証拠をさらすことなく再現可能な実験を可能にする。
3. 分類： 侵入検知にはXGBoostバイナリ分類器を採用する。XGBoostは、表形式データに対する高い性能と、近似値ではなく正確なインスタンスレベルの特徴量寄与度を提供するSHAP（SHapley Additive exPlanations）TreeExplainerとの互換性を備えていることから選択された。
4. 説明可能性： 本フレームワークは、グローバルな要約（特徴量の重要度ランキング）とローカルなウォーターフォール図（個々の予測の分解）の両方を生成するためにSHAPを統合している。これにより、統計的な予測を、フォレンジック報告に適した観察可能なネットワーク挙動（フローの持続時間、パケットレートなど）へとマッピングする。
5. 評価プロトコル： 本研究では、元の証拠を使用できない法的制約のあるシナリオをシミュレートするために、TSTR（Train-on-Synthetic, Test-on-Real）プロトコルを利用する。3つのシナリオ（R→R、S→R、M→R）を比較検討する。
6. 検証： 統計的な忠実度は、プライバシー保護（元のデータとの識別可能性）を確保しつつ、運用の有用性を維持していることを確認するために、コルモゴロフ–スミルノフ（KS）検定を用いて評価される。

主な貢献

• フォレンジック証拠・アーティファクト分離パイプライン： 合成データ、MLベースの検知、および説明可能性を、ISO/IEC 27037, 27041, 27042, および NIST SP 800-86に明示的に準拠したワークフロー内で統合した初の事例である。これは、元の証拠を未改変のまま保持しつつ、合成データまたは制御されたコピーから分析アーティファクトを派生させるという要件を運用化するものである。
• 経験的なTSTR検証： 合成データのみで訓練されたモデルが、実際のトラフィックに対して高い検知性能を達成できることを実証した。CICIDS2017において、S→Rシナリオは0.96のF1-macroを達成し、これはR→Rのベースライン（0.97）の交差検証の分散範囲内である。
• フォレンジック解釈レイヤー： 本研究は、SHAPによる寄与度を、ブルートフォース、ポートスキャン、およびDoS攻撃の特定のフォレンジック指標にマッピングしている。これにより、合成データによる訓練が、専門家証人の証言に必要な「攻撃の指紋（attack fingerprints）」を保持していることを確認した。
• データ混合に関する方法論的洞察： クラス分布を厳密に制御せずに実データと合成データを混合（M→R）すると、クラスバイアスにより性能低下（F1-macro 0.87）を招くことを特定し、データ拡張におけるパラメータ化された制御の必要性を強調した。
• 運用の境界条件： クロスデータセット検証により、合成データのみによる訓練の有効性は、特徴空間の次元数に強く依存することが明らかになった。このアプローチは高次元データ（例：78個の特徴量を持つCICIDS2017）では効果的であるが、低次元のデータセット（例：7個の特徴量を持つKitsune）では著しく低下する。これにより、合成データのみによる訓練の現実的な境界はおよそ30個の数値フローレベルの特徴量であるということが確立された。

結果

• 性能： CICIDS2017において、S→Rモデルは0.96のF1-macroを達成した（R→Rは0.97、M→Rは0.87）。R→Rシナリオでは、XGBoostはRandom Forest（0.95）およびSVM（0.92）を上回った。
• 統計的忠実度： KS検定により、合成データは元のデータから統計的に識別可能であること（CICIDS2017において平均 |KS| = 0.38）が確認された。これは、バイナリ分類に必要な分布特性を維持しつつ、プライバシー保護の要件を満たしていることを示している。
• 説明可能性の一貫性： ブルートフォース、ポートスキャン、およびDoS攻撃に対するSHAPの寄与度は、実データと合成データのインスタンス間で一貫しており、合成データがフォレンジック分析に必要な行動パターンを保持していることが検証された。
• 次元数の影響： UNSW-NB15（45特徴量）では、S→Rの性能はF1-macro 0.52まで低下した。Kitsune（7特徴量）では0.24まで低下した。しかし、これらの低次元ケースにおいては、M→Rシナリオによって性能がベースラインに近いレベル（それぞれ0.98および0elle 0.96）まで回復した。

意義
本論文の主要な意義は、単なる検知精度にあるのではなく、防御可能で、再現可能であり、かつ監査可能な、AI支援型デジタルフォレンジックのためのワークフローを構築した点にある。元の証拠と分析アーティファクトを厳格に分離し、説明可能なモデルを利用することで、本フレームワークは、MLの法的許容性を歴史的に阻んできた「透明性の障壁」に対処している。本研究は、プライバシーや証拠保全の制約により原本の使用が禁止されている場面において、合成データが訓練のための機能的な代替物となり得ることを示している。ただし、これは特徴空間が十分に豊かであり、かつ生成プロセスが厳密にパラメータ化されている場合に限られる。著者らは、本フレームワークが、MLの出力を独立した悪意の証拠としてではなく、専門家の判断を支援するための「分析的指標」として位置づけるものであり、これは統計的属性の認識論的限界に沿ったものであると強調している。