Mathematical Modelling of Cybersecuritythreat Dynamics Using a Compartmental approach

インターネットを単なるデータの雲としてではなく、何百万ものコンピュータが生活し、対話し、情報を取引している、活気ある目に見えない都市として想像してみてください。人々で溢れる都市と同じように、このデジタル・メトロポリスも病気になることがあります。コンピュータウイルスや悪意のあるソフトウェア（マルウェア）が侵入する方法を見つけると、それはただそこに留まるのではなく、隣人に感染を広げ、彼らを新たな病の運び手に変えてしまいます。これがサイバーセキュリティの世界であり、私たちのデジタル都市を守ることに捧げられた分野です。長年、科学者たちは「コンパートメント・モデル」を用いてこれらのアウトブレイクを予測しようとしてきました。これは基本的には、コンピュータを「健康なもの」「感染しているが隠れているもの」「積極的にウイルスを広げているもの」「治癒した、あるいは破壊されたもの」といった異なるグループに分類する、洗練された地図のようなものです。これらの地図は有用ですが、古いモデルでは、コンピュータが感染しているもののまだ攻撃を開始していない「潜伏（レイテンシー）」フェーズや、組織的な攻撃を開始するために乗っ取られたコンピュータの特定の役割など、最も巧妙な部分を見落としていることがよくありました。

この新しい研究において、パキスタン、ガーナ、アゼルバイジャン、そしてトルコの大学の研究チームは、サイバー攻撃がどのように移動するかを示す、より詳細な「6車線の高速道路マップ」を構築しました。彼らはこのモデルを、Susceptible（感受性）、Exposed（曝露）、Malicious（悪意）、Attacker（攻撃者）、Recovered（回復）、そしてDead（死亡）の頭文字をとって「SEAMRD」と呼んでいます。これは、6つの明確な役割を持つデジタル版の「鬼ごっこ」のようなものです。コンピュータはまず**Susceptible（感受性：健康だが脆弱な状態）**から始まります。タグ付けされると、**Exposed（曝露：感染しているが眠っている状態、スリーパーエージェントのような状態）になります。その後、ウイルスが目覚めてMalicious（悪意：感染しており、ウイルスを広げている状態）**となります。一部のコンピュータは、さらに攻撃的に目覚め、**Attacker（攻撃者：積極的に新たな攻撃を開始している状態）となります。良いニュースは、一部のコンピュータはRecovered（回復：パッチが適用され、安全になった状態）**になることです。そして最悪のシナリオは、**Dead（死亡：永久に壊れ、ネットワークから取り除かれた状態）**になることです。研究者たちは、これらのグループがどのように相互作用するかをシミュレートするために複雑な数学を用い、アウトブレイクがネットワーク全体を支配する可能性を示す「伝播数（$R_0$と呼ばれる）」を算出しました。彼らのシミュレーションは、ウイルスの広がる速度がアウトブレイクの最大の要因であることを示唆していますが、強力な回復システムや「意識（より優れたセキュリティアップデートなど）」が盾として機能し、広がりを遅らせ、エピデミックが定着する前に食い止めることができる可能性があることも示しています。

デジタル都市とその6つのゾーン

この研究者が何を行ったのかを理解するために、彼らのデジタル都市を歩いてみましょう。現実世界では、風邪を引くと、数日間は元気でも、その後、周囲の人に咳き込み始めることがあります。コンピュータの世界では、これを「Exposed（曝露）」フェーズと呼びます。コンピュータはウイルスに襲われましたが、まだはまだ広まってはいません。古いモデルでは、このステップを飛ばしたり、あるいは「病気」のフェーズと一つにまとめたりしていました。しかし、このチームは、サイバーの世界において、「眠っているウイルス」と「活動的なウイルス」の違いは極めて大きいことに気づきました。

彼らはネットワーク内のすべてのコンピュータを、以下の6つのバケツのいずれかに分類しました。

1. Susceptible (S - 感受性): これらは健康なコンピュータであり、感染に対して開かれた状態にあります。これらは「未感染」の集団です。
2. Exposed (E - 曝露): これらのコンピュータはウイルスに襲われましたが、「潜在的」または「休眠」状態にあります。感染していますが、まだ広めてはいません。ウイルスファイルはダウンロードされているものの、まだ実行されていないコンピュータのようなものです。
3. Malicious (M - 悪意): ここでウイルスが目覚めます。これらのコンピュータは感染しており、他のコンピュータにマルウェアを積極的に広めています。
4. Attacker (A - 攻撃者): これが恐ろしい部分です。感染したコンピュータの中には、単にウイルスを広めるだけでなく、組織的で攻撃的な攻撃を他のシステムに対して仕掛けるための「ゾンビ」となるものがあります。研究者たちは、これらを別個の、非常に危険なグループとして扱いました。
5. Recovered (R - 回復): これらはクリーニングされ、パッチが適用され、安全になったコンピュータです。彼らはゲームに戻っており、現在のウイルスに対して安全です。
6. Dead (D - 死亡): 時には、ウイルスがあまりに破壊的で、システムを永久にクラッシュさせてしまうことがあります。これらのコンピュータは「死亡」しており、ネットワークから取り除かれ、感染することも、他を感染させることもできなくなります。

狂気の背後にある数学

研究者たちは、これらのグループがどのように相互作用するかを単に推測したのではなく、コンピュータの流転を記述する一連の方程式（非線形微分方程式の系）を書き上げました。水が別のタンクへと流れていく水槽システムを想像してください。「Susceptible（感受性）」のタンクは、ウイルスが襲撃すると「Exposed（曝露）」のタンクへと水が流れ出します。「Exposed」のタンクは、ウイルスが目覚めると「Malicious（悪意）」のタンクへと流れ出します。「Malicious」のタンクは、「Attacker（攻撃者）」、「Recovered（回復）」、あるいは「Dead（死亡）」のタンクへと流れ出すことができます。

彼らが計算した最も重要なことの一つは、$R_0$（基本伝播数）と呼ばれるものです。簡単に言えば、$R_0$は次のようなスコアです。「もし1台の感染したコンピュータが健康なコンピュータのネットワークに入り込んだ場合、平均して何台の『新しい』コンピュータに感染するか？」

• $R_0$が1未満であれば、ウイルスは最終的に死滅します。それは、燃え続けるための燃料が足りない火のようなものです。
• $R_0$が1を上回れば、ウイルスは指数関数的に広がり、エピデミックを引き起こします。

チームは、彼ら独自のSEAMRDモデルにおけるこのスコアを算出するために、「次世代行列法」と呼ばれる手法を用いました。その結果、伝播率（ウイルスがいかに容易にコンピュータからコンピュータへと飛び移るか）が最も支配的な要因であることを突き止めました。もしウイルスが容易に広がるなら、$R_0$は急上昇します。しかし、彼らはまた、「回復率（いかに速くコンピュータを修理し、修正するか）」や「意識率（いかに速く攻撃を検知し、阻止するか）」を高めることで、$R_0$を押し下げることができることも発見しました。

システムの安定性

研究者たちは次に、極めて重要な問いを投げかけました。「このシステムは安定しているか？」数学的な意味において、彼らは、ネットワークが自然に健康な状態に戻るのか、それとも絶え間ない感染状態に陥ってしまうのかを知りたかったのです。

彼らは主に2つのことを証明しました。

1. 「ウイルスが存在しない」状態は安定している（$R_0 < 1$ の場合）: もし伝播率が十分に低ければ（つまり、ウイルスがあまりに伝染性が高くないか、あるいは私たちが非常に優れた修復能力を持っている場合）、ネットワークは自然に、感染したコンピュータが存在しない状態へと落ち着きます。彼らは「リアプノフ関数」と呼ばれる数学的ツールを用いて、たとえウイルスがどのように始まったとしても、$R_0$が1を下回っていれば、最終的には死滅することを証明しました。
2. 「感染している」状態は安定している（$R_0 > 1$ の場合）: もしウイルスが強すぎ、 $R_0$ が1を上回る場合、ネットワークはウイルスが常に存在する状態へと落ち着きます。ネットワークは、常に一定数の感染、攻撃、および死亡したコンピュータが存在するという「悪意のある平衡状態」に達します。

ウイルスが勝つか負けるかの鍵

どのレバーを操作すれば攻撃を阻止できるかを判断するために、チームは「感度分析」を行いました。これは、機械のつまみが出力にどれほど大きな影響を与えるかをテストすることに似ています。彼らは、各パラメータを微調整し、それが $R_0$ スコアをどれほど変化させるかを確認しました。

結果は明白でした。

• 伝播率 ($\beta$): これが「ボス」です。ウイルスがより速く広がるなら、感染は爆発します。このパラメータは $R_0$ に対して最も強い正の影響を与えます。
• 回復率 ($\gamma$) と除去率 ($\delta$): これらは「ヒーロー」です。私たちがより速くコンピュータを修理（回復）したり、壊れたものをネットワークから取り除いたり（除去）することができれば、$R_0$ スコアは大幅に低下します。
• 「攻撃者」への遷移率 ($\pi_A$): 「悪意のある」コンピュータが「攻撃者」へと変わる速度も重要です。感染したコンピュータがより攻撃的になればなるほど、拡散を止めることは困難になります。

まとめ

この研究の結論は、あらゆるサイバー攻撃を止めることはできないものの、その広がりをコントロールすることはできる、ということです。シミュレーションは、もし私たちが精力的な回復システム（コンピュータを迅速に修理すること）と適切な制御メカニメント（ウイルスが広がるのを未然に防ぐこと）に焦点を当てれば、感染数を減らすことができることを示唆しています。

研究者たちは単に「それは良いアイデアだ」と言ったのではありません。彼らは厳密な数学を用いて、伝播率を低く保ち、回復率を高く保つことができれば、ネットワークは安全でウイルスフリーの状態に戻れることを証明しました。しかし、もしウイルスが強すぎる（$R_0 > 1$）場合、ネットワークは絶え間ない戦いの状態に留まり続けます。鍵となるのは、すべての感染したコンピュータが同じではないという理解です。あるものは単に眠っており、あるものは広めており、あるものは積極的に攻撃しています。これらを防御戦略において区別して扱うことで、より弾力性のあるデジタル都市を築くことができるのです。

結局のところ、この論文はよりスマートな防御のための設計図です。それは、サイバー攻撃の異なる段階を認識し、適切なスピードで反応することで、潜在的なデジタル・アポカリプス（終末）を、管理可能で封じ込め可能な事象へと変えることができると教えてくれています。数学はこう言っています。迅速にパッチを当て、意識を広めれば、ウイルスは敗北するのだと。