デジタル世界において、セキュリティはしばしば単純な考え方に依存しています。それは、ネットワークの内側に強固な壁を築き、怪しいものを一切通さないという考え方です。ファイアウォールや侵入検知システムはこのように機能します。これらは境界線に立ち、外部から侵入しようとする攻撃者を監視しています。しかし、この戦略には盲点があります。一度攻撃者が外側の壁を騙して突破し、内部のコンピュータを一つでも掌握してしまうと、彼らは最終的な標的に到達するために再び壁を壊す必要はありません。その代わりに、最初に乗っ取ったコンピュータを「踏み台（ステップ・ストーン）」、あるいは「ピボット（軸）」として利用し、ネットワークの奥深くにある、より保護された他のコンピュータへと飛び移ることができるのです。なぜなら、これらの内部コンピュータ間で移動するトラフィックは、見た目上は完全に正常で信頼できるものに見えるため、境界線のガードをすり抜けてしまうからです。この手法は「ピボット（pivoting）」として知られており、攻撃者がネットワーク内を静かに移動し、本来の目的を阻止するためのアラームを一度も鳴らすことなく、データを盗んだりマルウェアを拡散したりすることを可能にします。

問題は、この動きを検知することが極めて困難であることです。内部のコンピュータ間を流れるデータは、それを使用している人々の正当な業務と見分けがつかないことがよくあります。攻撃者を捕まえようとする既存の解決策は、難しいトレードオフに苦慮してきました。それらは、実用的なリアルタイム性を求めるならば役に立たないほど遅すぎるか、あるいは、ネットワーク内のすべてのコンピュータが協力することを要求する（これは現代の柔軟な環境ではしばしば不可能です）か、もしくは、あまりにも多くの誤検知（フォールスアラーム）を発生させるため、セキュリティチームが処理しきれず、真の脅威を見逃してしまうかのいずれかでした。この問題を解決するために、ダルハウジー大学とバージニア大学の研究者たちは、「Stitch」と呼ばれる新しいシステムを開発しました。ネットワーク全体を中央の地点から監視しようとするのではなく、Stitchは個々のコンピュータの中に直接存在します。それは、コンピュータの内部プロセスがネットワークトラフィックをどのように扱うかを観察する「ローカルの観測者」として機能し、あるコンピュータを使って別のコンピュータと通信しようとする攻撃者の特有のシグネチャを探し出します。

Stitchの核心となる洞察は、ピボットを捉えるためには、コンピュータに入ってくるものと出ていくものの間の「点」を結びつけなければならず、かつ、どのソフトウェアプログラムがその動きに責任を持っているのかを知らなければならない、という点にあります。従来のメソッドは、データのパケットのタイミングとサイズのみを見て、もし二つのデータストリームが似たようなタイミングとサイズで到着し、かつ出ていったのであれば、それらは関連しているはずだと推測していました。このアプローチには欠陥があります。なぜなら、無害で日常的なトラフィックを攻撃と誤認することが頻繁にあり、その結果、誤検知の洪水を引き起こすからです。Stitchは、Linuxオペレーティングシステムに組み込まれた「eBPF」という特別な技術を使用することで、この推測を回避します。この技術により、コンピュータの動作を遅らせたり、ネットワーク上の他のすべてのデバイスからの許可を必要としたりすることなく、OSの中核であるカーネルに、安全に小さなカスタムプログラムを挿入することが可能になります。

Stitchは、データを受け取った瞬間から、新しいデータを送信する瞬間まで、プロセスの「一生（ライフサイクル）」を追跡することで機能します。プロセスとは、単に実行されているプログラムのことです。データパケットがコンピュータに到着すると、Stitchはそれにラベルを貼り、それが特定のプログラムに渡される過程を追跡します。もしそのプログラムが、データをどこか別の場所に送るために新しい接続を開いた場合、Stitchはその新しい送信中の接続が、元の受信した接続と結びついているかどうかを確認します。これは、システムコール（プログラムがオペレーティングシステムに対して行うリクエスト）を監視することで、データを受け取ったのと同じプロセスが、新しいデータを送信しているのかどうかを確認することによって行われます。もしシステムが、あるプロセスが一方から他方へトラフィックを中継していることを検知した場合、次にそのトラフィックの特性を調べます。具体的には、流入したデータと流出したデータの間の経過時間と、それらのサイズの類似性を分析します。

「オオカミ少年」にならないよう、Stitchはコンピュータが通常どこにデータを送信しているかという記録も保持しています。例えば、データベースの確認やユーザーアカウントの管理など、正当な理由でコンピュータが特定のサーバーと頻繁に通信している場合、Stitchはそれを通常の挙動として認識し、無視するように学習します。Stitchがアラームを鳴らすのは、トラフィックのパターンがピボットのように見え、かつ、めったに訪問しない宛先に向かっている場合に限られます。この、ソフトウェアプロセスの追跡、データフローの分析、そしてコンピュータの通常の習慣の学習という組み合わせにより、Stitchは高い精度を実現しています。シミュレーションを用いた攻撃テストにおいて、Stitchは、トラフィックのタイミングとサイズのみに依存する最高水準の既存手法と比較して、検出精度を約31パーセント向上させました。さらに重要なことに、誤検知の発生率を5分の1パーセント未満に抑えました。これは、無害なトラフィックを危険なものとしてフラグ立てしてしまうことが多かった従来のシステムと比較して、劇的な改善です。

研究者たちはシミュレーションに留まりませんでした。彼らは、数千人の学生、教職員、スタッフが利用する大規模な大学ネットワーク内の実際のサーバーにStitchをインストールしました。彼らは、共有の学部用サーバーと公開ウェブサーバー上で、80日以上にわたってシステムを稼働させました。この期間中、システムはサーバーの速度を低下させたり、ネットワークの既存のセキュリティ設定を変更したりすることなく、数百万件のネットワークイベントを監視しました。学部用サーバーにおいて、システムは、データの移動にセキュアシェル（SSH）トンネルを使用した研究者によるテスト攻撃をすべて特定することに成功しました。発生した誤検知はごくわずかであり、そのほとんどはデータベースアクセスのためのポートフォワーディングのような、正当な管理業務によるものでした。公開ウェブサーバーでは、システムは32日間、アラートを一度も生成することなく稼働し続け、通常のウェブトラフィックと潜在的なピボットの試みを区別できることを証明しました。

これらの結果は、Stitchがネットワークのインフラ全体を刷新することなく、これらの隠密な攻撃に対抗するための実用的な方法を提供することを示しています。Stitchは各コンピュータ上で独立して動作するため、ネットワーク内の他のデバイスが異なるソフトウェアを実行しているか、あるいはネットワークのトポロジーが頻繁に変更されるかは問題になりません。また、軽量であり、使用するメモリは350メガバイト未満で、コンピュータのプロセッサへの負荷もほとんど追加しません。激しいトラフィック負荷の下でも、攻撃を特定する能力を維持しました。研究者たちは、システムが毎秒数千件の新しいネットワーク接続を処理しながら、依然として正確にデータの経路を追跡できることを発見しました。この効率性は非常に重要です。なぜなら、現代のネットワークは動的で多忙であり、重すぎたり遅すぎたりするセキュリティツールは、実用的なものにはなり得ないからです。

ソフトウェアプロセスとネットワークトラフィックの関係性に焦点を当てることで、Stitchは、正当なユーザーが業務を行っているのか、それとも攻撃者がそのユーザーのコンピュータを「架け橋」として利用しているのかを区別するという問題を解決します。これは、ネットワーク内の全デバイスの協力を必要とするわけでも、パターンの発見のために膨大な量の履歴データを蓄積する必要があるわけでもありません。代わりに、トラフィックが発生している瞬間の即時的なコンテキストを観察するのです。研究者たちは、SSH、Nmap、Chiselといった、攻撃者がピボットのトンネルを作成するために頻繁に使用する一般的なツールに対して、このアプローチが有効であることを実証しました。システムは、これらの攻撃が通常のネットワーク活動の中に紛れ込んでいる場合でも、それらを特定することに成功しました。

この研究は、ネットワークを保護する際には、全体像を見ることがいかに重要であるかも浮き彫りにしています。境界線だけに頼ることはもはや十分ではなく、トラフィック統計だけに頼ることもエラーが起こりやすすぎます。システムプロセスの観察とネットワークフロー分析を組み合わせることで、Stitchはコンピュータ内で起きていることのより完全な視界を提供します。研究者たちは、システムのソースコードを公開する予定であり、これにより他の人々が彼らの成果をテストし、発展させていけるようにしています。この透明性は、組織化されたグループによって仕掛けられることが多い、高度な持続的脅威（APT）に対する防御を強化し、より広いセキュリティコミュニティに貢献することを目的としています。Stitchの成功は、トラフィックのコンテキストを理解するホストベースのリアルタイム検知へとシフトすることが、ネットワークセキュリティにおける実現可能かつ必要な道であることを示唆しています。

結局のところ、この論文は、正確かつ効率的なシステムを提示しています。それは、現在のセキュリティツールの隙間を埋めるものです。Stitchは、誤検知の洪水を生むことも、ネットワーク全体の挙動を変えることを要求することもなく、リアルタイムでピボット攻撃を検知できることを証明しました。個々のホスト上で独立して動作する能力により、小規模なオフィスネットワークから大規模で複雑な大学のインフラに至るまで、様々な環境に適応可能です。この知見は、システムレベルの追跡とネットワーク分析を統合することで、セキュリティチームがネットワーク内に潜む脅威をより明確に把握し、重大な被害が出る前に対応できることを示唆しています。この研究は、効果的なセキュリティには、必ずしもより複雑で高価なハードウェアが必要なのではなく、そこにあるデータをよりスマートに捉える方法が必要であることを示すデモンストレーションとなっています。