インターネットを、あらゆるデバイスが自分の道を見つけるために絶えず叫び声を上げている、巨大で賑やかな都市だと想像してみてください。何十年もの間、これらの叫び声は隣人同士でやり取りされる公開の手紙のようなものでした。通りかかる人なら誰でもその中身を読み、秘密を盗み、あるいは偽の手紙を作って人々を間違った場所へ誘導することさえできました。これを解決するために、エンジニアたちは「DNS over HTTPS (DoH)」と呼ばれる「安全なトンネル」を構築しました。これは、それらの公開の手紙を、鍵のかかった壊れない鋼鉄の箱に入れ、他の何百万もの正当なトラックと全く同じ見た目をした特別な配送トラックで送るようなものです。中身を覗き見ることができないためプライバシーには非常に優れていますが、セキュリティガード（警備員）にとっては新たな問題を生み出します。もし犯罪者が都市から盗まれたデータを運び出したいと考えた場合、それらの鍵のかかった箱の中にデータを隠してしまうことができるからです。ガードたちは箱の中身を見ることができず、その箱は普通の配送物と全く同じに見えるため、悪党を見つけ出すことが非常に困難になります。

これは、研究者のエナス・セレム（Enas Selem）とラニア・サラマ（Rania Salama）による新しい研究が取り組んでいる課題です。彼らは極めて重要な問いを投げかけています。「鍵のかかった箱の中に隠れている犯罪者を、鍵を壊したり街の速度を落としたりすることなく、どうやって捕まえるのか？」という問いです。この論文は、巧妙な「ハイブリッド」な探偵システムを提案しています。単一の方法で犯罪者を見つけようとするのではなく、鋭い目を持つ監督者（XGBoostと呼ばれる機械学習モデル）と、2つの「異常検知器」（Isolation ForestとLocal Outlier Factor）を組み合わせるのです。監督者を、過去の事例に基づいて典型的な犯罪者の姿を知っているベテラン刑事だと想像してください。異常検知器は、たとえその特定の犯罪者を以前に見たことがなくても、人の行動が普通の誠実な市民のパターンに合わない場合に「何かがおかしい！」と叫ぶセンサーのペアのようなものです。研究者たちは、このチームを、未知のツールを使用した犯罪者が含まれる膨大なインターネットトラフィックのデータセットに対してテストしました。その結果、簡単な状況ではハイブリッドチームがベテラン刑事（XGBoost）に必ずしも勝てないものの、ベテラン刑事が逃してしまうような巧妙で未知の犯罪者を捕まえることには非常に効果的であり、最も困難なテストにおいて見逃された攻撃の数を約70%から74%削減できることが分かりました。

ハイブリッド探偵の物語

研究者たちは、インターネットトラフィックのセキュリティチェックポイントとして機能するシステムを構築しましたが、そこにはひねりがあります。彼らは、鍵のかかった鋼鉄の箱の中身を読もうとする（暗号化されているため不可能です）のではなく、箱がどのように動くかを観察します。彼らは、配送のタイミング、パッケージのサイズ、そしてどれくらいの頻度で到着するかを注視します。

彼らの発明の核心は「ハイブリッド」なチームです。メインキャラクターは、強力な機械学習モデルであるXGBoostで、熟練の探偵のように振る舞います。彼は何千もの過去の事例を研究しており、既知の悪党の特定の「署名（シグネチャ）」を知っています。しかし、研究者たちは、もし犯罪者が服装を変えたり新しいトリックを使ったりすれば、探偵が混乱する可能性があることを知っていました。そこで、彼らは2人のサイドキック（相棒）を追加しました。それがIsolation ForestとLocal Outlier Factorです。

これらのサイドキックを「違和感検知器」と考えてください。彼らは特定の犯罪の署名には関心がありません。代わりに、彼らは「普通の」市民がどのような姿をしているかだけを学習しています。もしある人物が、例えば歩くペースが速すぎたり、他の全員と比較して荷物の重さが違ったりするなど、奇妙な動きをしてステーションに入ってきた場合、これらの検知器はレッドフラグを立てます。彼らはその人物が「誰」であるかを知る必要はありません。ただ、その人物が群衆の中に馴染んでいないということを知っているのです。

研究者たちは、探偵の知識と違和感検知器のアラートを一つの「スーパー特徴量」リストへと組み合わせました。そして、このリストを再び探偵に送り、最終的な判断を下させました。彼らは、より複雑なディープラーニングの「脳」（オートエンコーダーのようなもの）をあえて使用しないことを選択しました。なぜなら、テストの結果、それはシステムをより遅く、より複雑にするだけで、実際にはより多くの犯罪者を捕まえることには繋がらなかったからです。彼らは、探偵と2つの違和感検知器という、よりシンプルで軽量なチームが完璧なバランスであることを発見しました。

大きなテスト：未知なるものを捕らえろ

この論文の真の魔法は、システムが機能することだけでなく、未知の事態にいかにうまく対処できるかという点にあります。研究者たちは、システムに「Leave-One-Attack-Out（一つを除いて訓練する）」と呼ばれる一連の過酷なテストを行いました。これは、探偵が「バールを使う泥棒」「ロックピックを使う泥匠」「プラスチック製のバールを使う泥棒」の3種類の泥棒について訓練されているゲームを想像してください。しかし、テストでは、探偵が一度も見たことがない道具である「ドライバー」を使う泥棒を投入します。

これらのテストにおいて、研究者たちは「DoHフラグ」（これが鍵のかかった箱であることを示す単純な手がかり）も削除し、仕事をより困難にしました。彼らは、盗賊の行動がいかに「奇妙」であるかを見るだけで、システムがドライバーを使う泥棒を依然として捕まえられるかどうかを確認したかったのです。

結果は目覚ましいものでした。15種類の異なるテスト構成（公平性を確保するために異なるランダムシードを使用）のすべてにおいて、ハイブリッドチームは、単独で働く探偵よりも有意に多くの犯罪者を捕らえました。

• 「null」型の未知の攻撃に対して、ハイブリッドチームが見逃した犯罪者は平均でわずか52.2人でしたが、単独の探偵は見逃したのが178.6人でした。これは、見逃された攻撃の**70.8%**の削減にあたります。
• 「srv」型については、探偵が127.6人見逃したのに対し、彼らは39.4人しか見逃しませんでした（**69.1%**の削減）。
• 「txt」型については、探偵が101.2人見逃したのに対し、彼らは26.2人しか見逃しませんでした（**74.1%**の削減）。

統計テストにより、これが単なる運ではなく、差が現実的で有意なものであることが確認されました。ハイブリッドシステムはセーフティネットとして機能し、探偵がまだ記憶していない「少し違和感のある」行動をとっていたために、探偵の手をすり抜けてしまう犯罪者を捕らえたのです。

得意分野と不得意分野

この論文は、このシステムがどこで最もよく機能し、どこで躓くのかについても非常に正直に述べています。

• スイートスポット（得意分野）： システムが未経験の新しいタイプの攻撃に直面したとき、「違和感検知器」はヒーローとなります。彼らはトラフィックフローの中の異常を察知し、探偵が正しい判断を下せるよう支援します。
• ニュートラルゾーン（中立地帯）： システムが学習した内容と全く同じもの（「Standard」や「Full Data」のシナリオなど）に対してテストされた場合、ハイブリッドチームは単独の探偵よりわずかに優れた結果を示すか、あるいは同等の結果となります。「Cross-Scenario」と呼ばれる特定のシナリオでは、訓練時とテスト時で通常のトラフィック自体がわずかに変化していたため、両方のシステムは実質的に互角でした。実際、違和感検知器はここで誤報を出し、少し異なるだけの通常のトラフィックを不審なものとしてフラグを立てることがありました。
• スピード制限： 研究者たちは、システムの実行速度もチェックしました。彼らは、ハイブリッドチームが単独の探偵よりも、パッケージを一つずつチェックする場合（ストリーミング）に約16倍遅くなることを発見しました。しかし、パッケージをまとめて（トラック一杯分を一度に処理するように）チェックした場合、減速はわずか約2.3倍でした。これは、このシステムが短時間のバースト（バッチ処理）での分析には適しているものの、パケットが到着した瞬間に一つずつチェックするには、少し遅すぎる可能性があることを意味します。

「特徴量のギャップ」問題

システムが苦戦したトリッキーなケースが一つありました。それはdns2tcpというツールです。ハイブリッドチームを用いても、システムはdns2tcp攻撃の約**35%**しか捕らえられませんでした。研究者たちは深く掘り下げ、そこに「特徴量ドメインのギャップ」があることを突き止めました。結局のところ、このデータセットにおけるdns2tcpのトラフィックは、他のツールとは根本的に異なっているのです。それはより短く、より速く、より少ないデータしか移動しません。それは、まるで別の惑星で走っている泥棒を見つけようとしているようなものです。「違和感検知器」は、その行動が犯罪によるものなのか、それとも単に別の世界からのものなのかを判別できませんでした。システムは、ルールを追加するだけではこの問題を解決できなかったのです。データ自体が、システムが訓練されたものとはあまりにも異なっていました。

まとめ

この論文は、暗号化されたトンネルの中に隠れているデジタル犯罪者を捕まえるためには、指紋を照合するのではなく「違和感」を探す「第二の目」を持つことが、ゲームチェンジャーになることを示しています。ハイブリッドフレームワークは、専門の探偵に取って代わるものではなく、未知のものに対するセーフティネットを与えるものです。それはすべての問題を即座に解決する魔法の杖ではありませんが（計算能力を多少消費します）、異なる種類のインテリジェンス（既知の脅威のための教師あり学習と、奇妙で未知なもののための教師なし学習）を組み合わせることが、より堅牢な防御を生み出すことを証明しています。研究者たちは、このアプローチと、その厳格なテスト手法が、次世代の巧妙な攻撃に対処できるセキュリティシステムを構築するための新しい標準となるべきだと示唆しています。