💻 computer science

Cyber Dynamics I: Finite Macrostates for Behavioral Anomaly Detection in Network Telemetry

本論文は、スカラー・エントロピー指標を超えて行動的な状態空間遷移をモデル化するための、ネットワーク・テレメトリにおける有限次元マクロステート・フレームワークを提案するものであり、これにより、良性なワークロードのドリフトと敵対的な再編成との識別能を向上させると同時に、より解釈性の高い異常検知を提供する。

原著者： Abdul Rahman, Eranga Bandara, Sachin Shetty

公開日 2026-07-09

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Abdul Rahman, Eranga Bandara, Sachin Shetty

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

あなたは、混雑したオフィスビルの中で泥棒を検知しようとしていると想像してください。

旧来の手法（エントロピーのみ）
長い間、警備員は単純な方法を用いてきました。それは、廊下をどれくらいの人数が動き回っているかを数えるというものです。もし廊下が通常は静かなのに、突然50人が駆け抜けていけば、アラームが鳴ります。あるいは、廊下が通常は混沌としているのに、突然完全に静止した場合も、アラームが鳴ります。

コンピュータネットワークの世界では、これをエントロピーと呼びます。これは「無秩序さ」を測定するものです。データトラフィックが、通常よりも異常に乱れていたり、あるいは異常に整然としていたりする場合、システムは警告を発します。

問題点
この手法はあまりにも単純すぎることが問題です。

例えば、定期的な避難訓練が行われているとします。突然、500人が建物から外へ飛び出してきます。警備員の「無秩序度」メーターは急上昇しますが、それは泥棒ではなく、単なる通常のイベントです。
逆に、非常に静かな泥棒を想像してみてください。彼らは急ぎ足ではなく、ただゆっくりとオフィスからオフィスへと歩き、ファイルを盗んでいきます。「無秩序度」メーターは正常なままです。なぜなら、群衆が激しく動いているわけではないからです。泥棒は「混乱」を引き起こさなかったために、逃げ切れてしまいます。

旧来の手法はノイズ（混沌）を見ていますが、ストーリー（誰が何を、どのように行っているか、そして彼らがどのように繋がっているか）を見逃しています。

新しい手法（サイバー・ダイナミクスとマクロステート）
この論文は、建物の新しい見方を提案しています。単に人数を数える代わりに、セキュリティシステムは**「マクロステート（巨視的状態）」**を作成します。

マクロステートとは、建物の**「雰囲気」や「個性」の「スナップショット」**（例えば60秒間の窓）だと考えてください。このスナップショットは単に人数を数えるだけでなく、以下のような包括的なプロファイルを取得します：

活動量（Activity）: どれくらい物事が起きているか？（建物は満員か、それとも空いているか？）
無秩序度（Disorder）: 動きは混沌としているか、それとも秩序立っているか？（旧来のエントロピーの部分です）。
構造（Structure）: 誰が誰と話しているのか？（全員が全員とチャットしているのか、それとも一人の人物が特定の数人とだけ囁き合っているのか？）
揮発性（Volatility）: 動きはぎこちなく突然なのか、それとも滑らかなのか？
持続性（Persistence）: 同じ人々が同じ経路を何度も歩いているか？
逸脱（Deviation） 「雰囲気」が「通常」とどのように異なるか？

比喩：オーケストラ

旧来の手法は、音量だけを聞いています。オーケストラが大きすぎたり小さすぎたりすると、アラームが鳴ります。
新しい手法は、音楽を聞いています。バイオリンが突然ドラムを叩き始めたり、指揮者が他のバンドメンバーが子守唄を演奏している間にベースセクションに指示を囁いたりしていることに気づきます。たとえ音量（エントロピー）が変わらなくても、音楽の構造が変われば、それは異常となります。その構造の変化こそがアノマリー（異常）なのです。

実務における仕組み
研究者たちは、実際のネットワークデータ（UNSW-NB15やCIC-IDS2017のトラフィックログなど）を用いてテストを行いました。彼らは、この新しい「マクロステート」システムを、従来の「エントロピーのみ」のシステムと比較しました。

結果

優れた検知能力: 新しいシステムは、「静かな泥棒」（混沌としているのではなく、組織的に見える攻撃）を見つけ出し、「避難訓練」（混沌して見える通常の多忙な時間）を無視することにおいて、はるかに優れていました。
「60秒」のスイートスポット: 彼らは、データを60秒間の塊として見るのが最適であることを見出しました。30秒間では不十分であり、5分間では詳細を見るにはぼやけすぎていました。
ノイズではなくストーリーであること: 実験の結果、「無秩序度」のスコアに「構造」（誰が誰と話しているか）と「活動量」（どれほど忙しいか）を加えることで、システムがより賢くなったことが示されました。エントロピーのみの旧来の手法は、画面の明るさだけを見て映画を理解しようとするようなものでしたが、新しい手法はプロット（筋書き）を観ているのです。

まだできていないこと（現時点での限界）
この論文は、その限界についても正直に述べています。

これはネットワークトラフィック（建物の廊下）に焦点を当てており、コンピュータ内部で何が起きているか（オフィスの中）や、誰が鍵を持っているか（アイデンティティ）に焦点を当てたものではありません。
次のステップを予測する技術を完全には習得していません。このシステムは現在の「雰囲気」を記述することには優れていますが、次の瞬間に「雰囲気」がどのように変化するかを正確に予測することは、まだ進行中の課題です。

結論
この論文はこう言っています。「単に混沌を数えるのをやめなさい。ストーリーを理解し始めなさい。」生（ロー）のネットワークデータを、システムの豊かで多次元的な「個性プロファイル」へと変えることで、大きな音を立てずとも、人目に紛れて行動する悪意ある主体を特定できるのです。

技術要約：サイバー・ダイナミクス I：ネットワーク・テレメトリにおける行動異常検知のための有限マクロ状態

1. 問題提起

現代のサイバー防御は、動的かつヘテロジニアス（異種混在型）な環境下で行われており、そこでは「良性な運用の変動（例：スケジュールされたバックアップ、クラウドのオートスケーリング）」と「敵対的な再編成（例：APTによるラテラルムーブメント、協調的なステージング）」を区別することが中心的な課題となっている。既存の異常検知手法、特にエントロピーに基づく手法は、ネットワーク・テレメトリを孤立したイベント、あるいは狭い特徴ベクトルとして扱う傾向がある。これらのアプローチは通常、周辺分布（例：ソースIP、ポート）に対してスカラー統計量としてエントロピーを計算する。

本論文は、この「スカラー・エントロピー」アプローチには以下の2つの決定的な限界があると論じている：

表現の狭さ： これらはシステム挙動を無秩序度の指標へと還元してしまい、構造的な組織化、持続性、または協調パターンを捉えることに失敗している。
静的な視点： これらは異常を単一時点における特異な分布として扱っており、洗練された攻撃を特徴づけることが多い時間的軌跡やレジーム遷移を無視している。

その結果、良性なワークロードのドリフトが攻撃による不安定性と酷似する場合があり、また、組織的な攻撃が周辺分布を維持したままシステムの構造を根本的に変容させてしまう場合があり、偽陽性や検知漏れを引き起こす可能性がある。

2. 手法：有限マクロ状態フレームワーク

本論文は、標準セキュリティ・テレメトリ基盤（CSTS）上にインスタンス化された有限次元マクロ状態フレームワークを提案している。このアプローチは、分析の対象を孤立したイベント記録から、粗粒化された行動状態へと転換させるものである。

A. 形式的構成
フレームワークは以下の3つのレベルで動作する：

マイクロ状態（Microstates）： 原子単位は、型付けされたネットワークイベント $e = (\tau, src, dst, svc, proto, dir, attrs)$ であり、これは永続的なエンティティ間の時間的に局所化された相互作用を表す。
ウィンドウ化されたマイクロ・アンサンブル（Windowed Micro-Ensembles）： イベントは時間窓 $W_t$ に集約され、イベントのマルチセット $E_t$ を形成する。これにより、孤立した点ではなく、局所的な行動コンテキストを捉える。
マクロ状態写像 ( $\Phi$ )： 粗粒化関数が各アンサンブル $E_t$ $E_{t}$ を、有限次元ベクトル $X_t \in \mathbb{R}^d$ $X_{t} \in R^{d}$ へと写像する。このベクトルは、7つの解釈可能な観測可能ファミリーで構成される：
- 活動量 ( $A_t$ ): 負荷と占有率（例：フロー数、ユニークなエンティティ数）。
- 無秩序度 ( $H_t$ ): 分布の分散（役割、サービス、プロトコルに関するシャノン、レニー、またはツァリス・エントロピー）。
- 構造的秩序 ( $S_t$ ): 相互作用トポロジー（グラフ密度、次数集中、モチーフ数）。
- 時間的揮発性 ( $V_t$ ): 短期的な不安定性とバースト性。
- 持続性 ( $P_t$ ): ウィンドウ間におけるエッジ、パス、またはモチーフの再帰性。
- 結合 ( $C_t$ ): 行動コンポーネント間の依存関係（簡略化のため、最初の経験的パスでは省略）。
- 偏差 ( $D_t$ ): 良性ベースラインからの距離（例：イェンセン・シャノン・ダイバージェンス）。

B. 動的分析
フレームワークは、サイバー挙動をマクロ状態空間における軌跡 $\{X_t\}$ として扱う。異常検知は以下の2つのメカニズムを通じて定義される：

状態異常（State Anomaly）： 現在のマクロ状態 $X_t$ が良性レジーム集合 $\mathcal{B}$ の外側に位置する場合。
遷移異常（Transition Anomaly）： $X_t$ から $X_{t+1}$ へのステップが、期待される良性の進化をモデル化する公称遷移演算子 $T$ から逸脱する場合。これにより、個々の状態が良性に見える場合でも、異常な動きを検知することが可能となる。

C. 理論的正当性
本論文は、以下の事項を示す形式的な命題を提供している：

マクロ状態写像は、適切に定義されており、置換不変である。
エントロピーのみのマクロ状態は構造的に不完全である。すなわち、異なるマイクロ・アンサンブルが同一のエントロピーを持ちながら、異なる構造的組織性を持ち得ること。
マルチスケール分析は必要不可欠である。なぜなら、異常の可視性は時間解像度（ウィンドウサイズ）に依存するためである。

3. 実験設計

本フレームワークは、ベンチマーク・ネットワーク・テレメトリ・データセットである UNSW-NB15 および CIC-IDS2017 を用いて評価された。

前処理： イベントは統一されたスキーマに正規化され、役割（Role）がマッピングされ、時間的構造を保持するためにデータが時系列順に並べ替えられた。
ウィンドウ化： 実験では、重なりを持つストライドを用いて、複数のスケール ( $\Delta \in \{30s, 60s, 300s, 900s\}$ ) を利用した。
ベースライン： 以下との比較を行った：
- エントロピーのみの検知器（エントロピー・ベクトルに対する閾値判定、ロジスティック回帰）。
- 標準的な異常検知器（集計された特徴量に対する Isolation Forest、One-Class SVM、Autoencoder）。
アブレーション研究： 各マクロ変数ファミリー（活動量、無秩序度、構造、揮発性、持続性、偏差）の寄与を体系的にテストした。

4. 主な結果

A. エントロピーのみの手法に対する優位性
両方のデータセットにおいて、完全なマクロ状態表現は、エントロピーのみのベースラインを一貫して上回った。

UNSW-NB15: 60秒スケールにおいて、完全なマクロ状態は 0.9730 のAUPRCを達成し、最良のエントロピーのみのベースライン（One-Class SVMの0.9631）を大幅に上回った。
CIC-IDS2017: 完全なマクロ状態（AUPRC ~0.7917）は、60秒において最良のエントロピー・ベクトル・ベースライン（AUPRC ~0.7672）を上回った。

B. 構造および時間的変数の価値
アブレーション研究により、利得が単に次元数の増加によるものではなく、特定の行動コンポーネントによるものであることが明らかになった：

無秩序度に活動量を加えることで、エントロピーに文脈が付与され、明確な利得が得られた。
構造的秩序を加えることが最も顕著な改善をもたらした。これは、攻撃が単なるランダム性の増加ではなく、組織的な再編成として現れることが多いという事実を裏付けている。
持続性および偏差は、最終的な、より小さながらも正の向上をもたらした。

C. スケール感受性
「最適な」マクロ状態の構成は、時間スケールによって変化した。例えば、CIC-IDS2017においては、中間的な $A+H+V$ （活動量、無秩序度、揮発性）の構成が30秒で最強であり、完全なマクロ状態が最適となったのは60秒であった。これは、異常の可視性はスケール依存的であるという理論的主張を支持している。

D. 遷移スコアリングの限界
理論的な期待とは異なり、遷移を考慮したスコアリング（状態＋遷移の融合）は、初期の実験において状態のみのスコアリングを上回らなかった。著者らは、使用された公称遷移演算子（例：単純な持続性、線形回帰）の単純さに原因があると考えており、完全な動的利点を得るには、より高度な軌跡モデリングが必要であることを示唆している。

5. 意義と主張

本論文は、より広範な「サイバー・ダイナミクス」プログラムにおける最初の経験的なステップとして位置づけられている。その主な貢献と主張は以下の通りである：

スカラーから状態へ： サイバー異常検知は、スカラー的な不規則性の検知ではなく、行動状態空間の構築の問題としてフレーム化するのがより適切であることを示した。
解決策ではなく座標としてのエントロピー： エントロピーは有用なコンポーネントではあるが、構造的な再編成を伴う複雑なサイバー挙動のスタンドアロンの記述子としては不十分であることを証明した。
解釈可能性： マクロ状態フレームワークは、コンパクトで解釈可能な表現（活動量、構造、揮発性など）を提供し、分析者が単に「異常である」だけでなく、「なぜ異常なのか」を推論することを可能にする。
基礎となる基盤： CSTS上にフレームワークを実装することで、本論文は、ネットワーク、エンドポイント、およびヘテロジニアスなテレメトリにわたって移植可能な標準的な基礎を確立し、安定性、回復、およびクロスモーダル分析に関する将来の研究への道を開いた。

著者らは、限界についても明記している。遷移スコアリングの結果は予備的なものであり、マルチスケール融合はまだ単一スケールの最良モデルを凌駕しておらず、現在の評価はネットワーク中心であること。これらは失敗としてではなく、「論文 I」の定義された境界、および「サイバー・ダイナミクス II および III」へのロードマップとして提示されている。