Operationalizing Cyber Threat Intelligence with GraphRAG
本論文は、標準的なベクトルベースのRAGではなく、Microsoft GraphRAGを用いたナレッジグラフによる検索を活用することで、より耐久性の高い高レベルなインジケーターに依拠したサイバー脅威検知プランの自動生成が可能となり、結果として攻撃者の回避技術に対して著しく高い検知持続性を実現できることを実証するものである。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
=== 要約 ===
インターネットを、悪党が建物に忍び込もうと絶えず試みている、巨大で賑やかな街だと想像してみてください。セキュリティ研究者がこれらの泥棒を捕まえたとき、彼らは手がかりのリストを報告書として書き残します。泥棒の靴のサイズ、逃走車両のナンバープレート、そして使用した特定のブランドのロックピックなどです。昔のセキュリティチームは、ただこれらの手がかりを「禁止リスト」にコピーして、事態が好転することを祈るだけでした。しかし、ここに問題があります。悪党は素早いです。ナンバープレートを禁止すれば、彼らは1時間で新しい車をレンタルできます。靴のサイズを禁止すれば、彼らは別の靴を買うだけです。これは、川に石を一つ投げ入れて流れを止めようとするようなものです。水はその石を避けて流れていくだけです。
これを解決するために、セキュリティの専門家は「ピラミッド・オブ・ペイン（苦痛のピラミッド）」という概念を使用します。ピラミッドを想像してください。下の層は、変更しやすい手がかり（ナンバープレートなど）であり、上の層は、泥棒の実際の習慣や計画（どのように鍵を開けるか、あるいはなぜその建物を選んだのか、など）です。習慣を変えることは難しく、数ヶ月かかりますが、ナンバープレートを変えるのは数分です。目標は、ピラミッドの頂点を標的にした防御を構築することです。一方で、「GraphRAG」と呼ばれる新しいタイプのAIツールが登場しました。標準的なAIを、本を読んで質問に似ている文章をハイライトする学生だと考えてください。GraphRAGは、まず本の中の登場人物、場所、出来事を結びつける「地図」を描き、その地図を使って答えを見つけ出す学生のようなものです。この論文は、単純な問いを投げかけます。「もし『ハイライトされた文章』ではなく『地図』を使えば、私たちのセキュリティ計画はより長く持続するだろうか？」
探偵のジレンマ：地図 vs ハイライター
セキュリティ企業がサイバー攻撃に関する報告書を公開するとき、それは探偵に手がかりが詰まった厚い小説を手渡すようなものです。探偵の仕事は、その小説を警察部隊（セキュリティチーム）への指示書へと変えることです。通常、これは遅い手作業のプロセスです。人間が全体を読み、有用な部分を拾い出し、セキュリティソフトウェア用の具体的なルールを書かなければなりません。これには数日かかり、ルールが準備できた頃には、悪党はすでに戦術を変えてしまっていることがよくあります。
一部のチームは、AIを使用してこのプロセスを高速化しようとしました。彼らはAIに報告書を与え、ルールを書かせました。そのAIは「標準的なRAG（Standard RAG）」と呼ばれる一般的な手法を使用しました。これは、教科書の中の質問と一致する正確な言葉だけを探してテストを受ける学生のようなものです。もし質問が「赤い車」についてであれば、その学生は「赤い車」に言及している段落を見つけ出し、それをコピーします。問題は、このアプローチが文字通りすぎる点です。これは変更しやすい手がかり（「赤い車」）に焦点を当てすぎてしまい、深い物語（例えば、泥棒は火曜日のみに赤い車を運転するという事実）を見落としてしまいます。悪党はすぐに「赤い車」を「青いバン」に変えられるため、AIが作ったルールはすぐに機能しなくなります。
GraphRAGの実験
IITボンベイの研究者たちは、よりスマートなAIアプローチがこの問題を解決できるかどうかを検証したいと考えました。彼らは、同じセキュリティ報告書を処理する2つの方法を比較しました。
- 標準的なRAG: 単に類似したテキストの塊を見つける、標準的な「ハイライター」方式。
- GraphRAG: 最初に「知識グラフ」を構築する手法。報告書を取り込み、「このハッカー」が「このマルウェア」を使用して「このサーバー」を攻撃した、というように、点と点を結びつけるプロセスを想像してください。答えを探す前に、点と点を結びつけます。
彼らは両方の手法に同じ報告書を入力し、全く同じ種類の脅威ハンティング計画を作成させました。そして、特別な「判定用AI」を使用して、それらの計画を採点しました。採点は単にAIがどれだけのルールを書いたかではなく、それらのルールが「ピラミッド・オブ・ペイン」のどこに位置するかについてでした。計画は、変更しやすい手がかり（ピラミッドの底）に依存しているのか、それとも変更が困難な行動（ピラミッドの頂点）に焦点を当てているのかを評価しました。
結果：地図の勝利
結果は明確でしたが、重要な区別がありました。有名なハッカーグループ（APT28）に関する特定の報告書を用いたディープダイブにおいて、研究者たちはその計画がどの程度持続するかをテストしました。彼らは、悪党が報告書内のあらゆる簡単な手がかり（IPアドレス、ファイル名、ドメイン）を変更したシナリオをシミュレートしました。
- 標準的なRAGの計画（ハイライター）は、検知のわずか 29% の間しか機能しませんでした。これは、特定の変更しやすい手がかりに依存しすぎていたためです。
- GraphRAGの計画（地図）は、この特定のケーススタディにおいて 100% の検知に対して機能し続けました。関係性と行動（ピラミッドの頂点）に焦点を当てていたため、悪党が「赤い車」を「青いバン」に交換したとしても、計画には影響しませんでした。
研究者が4つの異なるセキュリティベンダーからの9つの異なる報告書を用いてこのテストを繰り返したところ、このパターンは維持されました。GraphRAGによる計画は、一貫してより高いレベルのピラミッドに到達し、攻撃者が回避することをより困難にしました。100%の生存率は単一のAPT28ケーススタディにおける際立った結果ではありましたが、広範な実験によって、GraphRAGの計画は、全体的な品質スコアが同等であったとしても、一貫して標準的なRAGよりも耐久性が高く、回避されにくい手がかりを標的にできることが確認されました。
これが意味すること
この論文は、セキュリティチームが報告書を機能する防御策へと自動的に変換するためには、単にテキストを「読む」のではなく、接続関係を「マッピング」する必要があると示唆しています。研究は、AIが情報をどのように検索するか（地図かハイライターか）が、AI自体と同じくらい重要であることを明らかにしました。「ハイライター」方式は単純な質問には適していますが、「地図」方式は、悪党が靴を変えた瞬間に期限切れになるようなハンティング計画を作るための、アーキテクチャとして正しい方法です。
しかし、著者らはいくつかの問題点についても指摘しています。報告書が非常に短い場合、「地図」方式は混乱し、良い計画を構築するための十分な接続性を見つけられないことがありました。また、AI判定器が長い計画を採点する際に数学的なエラーを起こすことがあり、研究者はそれを修正するために追加のコードを使用する必要がありました。しかし全体として、知識グラフを構築することが、AIが生成するセキュリティルールを、実際に定着させるための鍵であることを示唆しています。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。