A Two-Population Delayed Evolutionary Game with Bayesian Learning for Cyber Defense

サイバーセキュリティという極めて緊張感の高い世界において、時間は最も価値のある通貨であるが、同時に最も捉えがたいものでもある。防御側は、被害が出る前に侵入を検知し、対応しなければならないという絶え間ない圧力の下で活動しているが、現代のサイバー攻撃の実態は、苛立たしいほどのタイムラグによって定義されている。攻撃者は、しばしば洗練された持続的なグループとして活動しており、ネットワーク内に数ヶ月間潜伏し、ゆっくりと静かに動きを進めることができる。一方、防御側のシステム自体も、誤報に埋め尽くされ、精査しなければならない膨大なデータの量に圧倒されていることが多い。これにより、攻撃が発生してから、防御側がようやく事態を把握し、それを阻止するために行動できるまでの間に、危険な空白が生じる。数十年にわたり、コンピュータ科学者たちは数学を用いてこのいたちごっこのモデル化を試みてきたが、その多くは、両者が即座に反応できる、あたかも時間が存在しないかのようなモデルを前提としていた。この仮定は、情報が実際にセキュリティチーム内をどのように移動するかという、泥臭く遅い現実や、攻撃者が数日あるいは数週間にわたって戦術を適応させていく様子を無視していたのである。

シナ・ケイハニアンによる新しい研究は、より現実的なサイバー紛争のモデルを構築することで、この簡略化された見解に異議を唱えている。即座の反応を想定する代わりに、この研究では、脅威を積極的に狩るべきか、あるいはシステムを受動的に監視すべきかを決定しなければならない「防御側」と、攻撃的な高速移動戦術か、あるいは隠密な低速進行戦術のいずれかを選択する「攻撃側」という、二つの集団間の緩やかな進化的な闘争としてこの戦いを扱っている。モデルの核心は、情報の遅延に焦点を当てている。防御側は攻撃者を直接見ることはできず、遅れて届き、かつノイズの多いアラートの流れしか目にすることができない。これを理解するために、防御側は数学的なフィルター、つまり一種のスマートな平均化プロセスを用いて、攻撃者が何をしているのかを推測する。この研究では、システムに二つの特定の種類の遅延を導入している。それは、侵入を検知するのにかかる時間と、一度発見された問題を修正するのにかかる時間である。これらのラグを考慮した複雑なシミュレーションを実行することで、研究者たちは、システムが以前考えられていたものとは全く異なる挙動を示すことを発見した。

最も重要な発見は、防御側が対応を行う前に待ちすぎてもよい時間の、正確な「転換点（ティッピング・ポイント）」が存在することである。もし攻撃の検知遅延が一定の限界を下回っていれば、防御側と攻撃側は予測可能な均衡状態に落ち着く。しかし、遅延がその閾値を超えると、システムは単に少し悪化するだけでなく、激しく振動し始める。古い情報に基づいて反応する防御側は、積極的なハンティングに過剰にコミットしてしまい、それが自らのシステムを誤報と疲弊で塞いでしまう。これにより、彼らは身を引き戻さざるを得なくなり、その隙を見て、攻撃側が新たな攻撃の波を仕掛ける。このサイクルが繰り返され、解決することのない、侵害と慌てた対応の循環パターンを生み出すのである。研究は、この不安定性がランダムな不具合ではなく、遅延が防御側の学習速度に対して長すぎる場合に発生する、数学的な必然性であることを証明している。

決定的なことに、本研究は、単に攻撃の検知を速めるだけでは必ずしも事態を救うことにはならないことを示している。研究者たちは、攻撃者が高度に適応力を持っており、防御側がデータから学ぶのが遅い場合、検知のスピードをどれほど上げても、システムが混乱に陥るのを防ぐことはできないことを突き止めた。防御側が、敵に関する自身の信念を更新できる最小限の速度が存在する。もし彼らがこの速度を下回れば、最初の侵害をどれほど素早く察知できたとしても、防御は失敗する運命にある。これは、より優れたセンサーやより高速なアラートシステムへの投資は、戦いの半分に過ぎず、迅速に学び、適応する能力も同様に重要であることを示唆している。また、このモデルは、二つのタイプの遅延間の驚くべき相互作用をも明らかにしている。一つの遅延（検知の遅れ）と別の遅延（問題解決の遅れ）があれば、単にそれらが合わさって状況を悪化させると想定されがちだが、本研究では、問題解決における適度な遅延が、実はシステムを安定させるのに役立ち、検知の遅延が長くなっても崩壊を起こさないようにできることを示している。

これらの発見が単なる理論上のものに留まらないことを確認するため、研究者たちは自らのモデルを実世界のデータに対してテストした。彼らは、マイクロソフトから提供された大規模なデータセットを分析し、30万件以上のセキュリティインシデントを調査した。これには、アナリストがアラートをどのようにトリアージし、格付けしたかの記録が含まれている。また、ITサービスデスクのログを調査し、問題の解決に実際にどの程度の時間を要するかを調べた。データは、単一の組織が攻撃者の行動について学ぶ速度が、1日あたり約0.07回であることを裏付けており、これは戦略を完全に調整するのに約2週間かかることを意味している。しかし、複数の組織がデータを共有すると、この学習速度は1日あたり約3回へと跳ね上がり、防御側が不安定になる前に許容できる時間を大幅に延長させる。この改善にもかかわらず、本研究は、典型的な攻撃者のネットワーク内での滞留期間（しばしば約14日間）は、依然としてシステムが安全に扱える範囲よりも長いことを示した。

研究ではさらに、問題解決（レメディエーション）に要する時間についても調査した。インシデント解決の実際のログを分析した結果、多くの問題は迅速に解決されるものの、少数の複雑な問題には数週間、あるいは数ヶ月を要することが分かった。この、解決が遅い「ロングテール」こそが、防御の安定性を真に脅かすものである。システムが最も脆弱になるのは、平均的な修正に時間がかかる時ではなく、これら稀で困難なケースが積み重なり、バックログが発生した時である。本研究は、セキュリティチームが自らのパフォーマンスを、「平均対応時間」のような単一の目標として捉えるのではなく、学習速度、検知速度、そして修復速度という、相互に関連する三つの要素の「共同予算」として捉えるべきであると結論づけている。もしどれか一つのラグが他の要素から大きく遅れれば、防御メカニズム全体が失敗のサイクルに陥るリスクがある。この研究は、現代のサイバーランドスケープにおいて、学習の速度は反応の速度と同じくらい不可欠であり、バランスの取れたアプローチがなければ、自然なシステムの遅延が最終的に、回避不能で繰り返される侵害へとつながるという、明確な数学的警告を発している。