Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring

あなたは、ハイテクな城のセキュリティガードだと想像してください。あなたの仕事は、単に正面玄関を通る人をチェックすることではありません。一度中に入った人々が、家具を並べ替えたり、フレスコ画に上書きしたり、王の寝室に忍び込んだりしないようにしなければなりません。コンピュータの世界では、これをサイバーセキュリティと呼びます。長い間、ガードマンは主に正面玄関（ネットワーク）を監視し、悪党が侵入しようとしていないかを見てきました。しかし、現代のハッカーは巧妙です。彼らは時として、内部に侵入した後、まるで正常で役に立つプログラムであるかのように振る舞いながら、コンピュータの思考や動きを変えようとします。

これらの巧妙な侵入者を捕まえるために、科学者たちは**制御フロー・モニタリング（Control-Flow Monitoring）と呼ばれる手法を用いています。コンピュータのプログラムを、ケーキを焼くためのレシピだと考えてみてください。「制御フロー」とは、手順の順番のことです。「小麦粉を混ぜる、卵を加える、焼く、そしてフロスティングする」といった具合です。もしレシピが突然、「焼く」の直後に「塩を加える」となったり、「混ぜる」というステップを完全に飛ばしたりしたら、何かがおかしいということです。セキュリティシステムは、このレシピを監視して、手順が理にかなっているかどうかを確認します。もし理にかなっていなければ、それはアノマリー（異常）です。しかし、ここが厄介な点です。賢いハッカーはガードマンを欺くことができます。彼らは「塩を加える」というステップを、一見普通の「キッチンを片付ける」という手順の中に隠したり、あるいはガードマンの手元のメモから「塩を加える」という記述を消したりすることができます。これはカモフラージュ（偽装）**と呼ばれます。ガードマンは奇妙な手順を目にしますが、メモが欠落していたり、無害に見えたりするため、「ああ、これはただの変な掃除ルーチンだな」と考えて見逃してしまうのです。

ドイツの研究者たちによって書かれたこの論文は、まさにその問題に取り組んでいます。**「足跡を隠すのが得意なハッカーを、どうやって捕まえるか？」**という問題です。著者たちは、2種類のセキュリティガードを組み合わせるという、巧妙で新しいアプローチを提案しています。一人はコンピュータのソフトウェア内部で働く「ソフトウェア・オブザーバー（ソフトウェア観測者）」であり、もう一人は、それとは別の、破ることのできないハードウェアの箱の中から監視する「ハードウェア・オブザーバー（ハードウェア観測者）」です。彼らは、ソフトウェアのガードマンは騙される可能性がある一方で、ハードウェアのガードマンを欺くことは非常に難しいと主張しています。両方を使うことで、たとえハッカーが動きを偽装しようとしても、彼らを捕まえることができるのです。

二人のガードマンの物語

研究者たちはまず、現在のセキュリティがどのように機能しているかを説明することから始めます。通常、コンピュータにはプログラムが取り得るすべての有効な経路を示すマップがあり、それは**制御フローグラフ（CFG）と呼ばれます。これは、すべての駅と線路を示す地下鉄の路線図のようなものです。もしプログラムがマップに載っていない駅へジャンプしようとした場合、システムはアラームを鳴らします。なぜアラームが鳴ったのかを突き止めるために、セキュリティチームはアタックツリー（攻撃ツリー）**と呼ばれるものを使用します。アタックツリーとは、頂点の枝に起きた悪いこと（例：「王の寝室への侵入」）があり、その下の枝には考えられる理由（例：「ガードマンが居眠りしたのか？」「鍵が開けられたのか？」「泥棒が空から飛んできたのか？」）がぶら下がっている木のようなものです。

しかし、著者が指摘するように、問題はアタックツリーが受け取る情報の質に依存する点にあります。もしハッカーが証拠を隠蔽することに成功した場合、アタックツリーは「ああ、ガードマンが居眠りしただけだ」と結論づけてしまうかもしれません。しかし、真実は「泥棒が空から飛んできた」だったのかもしれません。これがカモフラージュの問題です。ハッカーは、ソフトウェア自身のログやセンサーを操作することで、「空から飛んできた」という物語の断片をレポートから消し去ってしまうのです。

ハードウェアのヒーロー

この問題を解決するために、論文では二層構造のシステムを提案しています。第一層は、コンピュータ内部に存在するソフトウェア・オブザーバーです。これは、廊下に設置された監視カメラのようなものです。性能は良いですが、もしハッカーが廊下に侵入した場合、カメラのレンズを覆ったり、ビデオテープをすり替えたりできてしまいます。

第二層が、この論文の核心であるハードウェア・オブザーバーです。これは、廊の中にカメラを置くのではなく、城の外側を飛んでいる目に見えないドローンを想像してください。そのドローンは、城の物理的な機構（プロセッサ）には接続されていますが、城のソフトウェアの一部ではありません。たとえハッカーが城の内部システムを乗っ取ったとしても、ドローンが見ているものを変えるために、城の外にあるドローンに容易に手を加えることはできません。

研究者たちは、これがどのように機能するかを示す具体的なシナリオを説明しています。彼らは、産業用ゲートウェイの認証サービス（ログインシステム）を想定しています。

1. 攻撃： ハッカーがログインシステムの脆弱性を見つけます。彼らは、通常の「メンテナンス」リクエストのように見える悪意のあるペイロードを忍び込ませます。これにより、システムを欺いて「多要素認証（M、MFA）」のチェックをスキップさせ、秘密のセッションを作成させます。
2. カモフラージュ： 次に、ハッカーはソフトウェア自身のログを書き換える特殊なトリックを使います。ソフトウェア・オブザーバーは、「メンテナンスを行い、その後リクエストを拒否した。そして……おや、セッションが作成されたようだが、ログが少し乱れている」というレポートを見ます。ソフトウェア・オブザーバーは、「うーん、おそらくロギングシステムにバグがあるのだろう。これは低レベルな問題だ」と考えます。アタックツリーもそれに同意し、これを軽微な設定エラーとして分類します。
3. ハードウェアの真実： その一方で、ハードウェア・オブザーバーはプロセッサの実際の電気信号を監視しています。それは真の経路を見ています。ハッカーが「メンテナンス」ブロックから直接「ハッキング」ブロックへとジャンプし、MFAチェックを完全にスキップし、さらにログを抑制したことを、ハードウェア・オブザーバーは見逃しません。ハードウェア・オブザーバーは、ソフトウェア・オブザーバーが見逃した不正なジャンプを捉えるのです。

診断の変化

研究者たちがハードウェア・オブザーバーのデータを同じアタックツリーに投入すると、診断が劇的に変わります。ツリーはもはや「バグのあるログ」とは見なしません。「不正なジャンプ」「セキュリティチェックの欠如」、そして「ログの改ざん」として認識します。突然、診断は「低深刻度：設定エラー」から「高深刻度：コードインジェクションおよび制御フローの乗っ取り」へと変化します。

この論文は、二つを組み合わせることで、単に多くの攻撃を捕まえるだけでなく、それらをより深く理解できることを示しています。ソフトウェア・ガードマンは「何かがおかしい」と言うかもしれませんが、ハードウェア・ガードマンは「これこそが、その『おかしいこと』の正体であり、危険なものである」と告げるのです。

これが意味すること（および意味しないこと）

著者たちは、これが予備的なアイデアであることを慎重に注記しています。彼らはこのシステムの一部を構築し、シミュレーションでテストしましたが、まだ実世界の製品に完全に統合したわけではありません。彼らは課題があることも認めています。例えば、ハードウェア・モニターは魔法ではありません。トレースバッファがオーバーフロー（ドローンのメモリがいっぱいになる）したり、ハッカーが物理的なハードウェア自体を攻撃したりした場合、システムは依然として失敗する可能性があります。また、ハードウェアデータの読み取りには時間と計算資源を要するため、常にすべてを監視できるわけではありません。

代わりに、論文はスマートな戦略を提案しています。まず、安価にすべてを監視するためにソフトウェア・ガードマンを使用します。もしソフトウェア・ガードマンが何か不審な点を見つけた場合にのみ、より詳細で精密な調査を行うためにハードウェア・ガードマンを「起動」させるのです。こうすることで、スピード（ソフトウェア）と信頼性（ハードウェア）の両方の利点を得ることができます。

結局のところ、この論文はサイバーセキュリティを永遠に解決したと主張しているわけではありません。完璧な盾を約束するものでもありません。しかし、問題に対する非常に有望な新しい考え方を提示しています。**「コンピュータ自身の成績表をそのまま信じるな。独立した目撃者に宿題をチェックさせよ」**ということです。もう一つの独立した「目」を加えることで、私たちはハッカーが衆人環視の中でトリックを隠すのを阻止できるのです。