Cognitive Digital Twin-Driven Explainable AI Framework for Adaptive Detection of Zero-Day Cyber Threats

インターネットの隠れた層では、デジタル防御を構築する者と、それを打ち破ろうとする者の間で絶え間ない闘いが繰り広げられています。数十年にわたり、セキュリティシステムは単純で信頼できる手法に頼ってきました。それは、既知の悪意あるアクターのリストを保持することです。訪問者が到着すると、システムはそのIDをリストと照合します。もし名前が既知の犯罪者と一致すれば、扉はロックされます。このアプローチは、見慣れた脅威に対してはうまく機能しますが、致命的な弱点があります。それは、これまで一度も捕まったことのない見知らぬ人物を認識できないことです。これまでに見たこともない新しい手口を用いるこれらの未知の攻撃者は、「ゼロデイ脅威」として知られています。その手法が完全に新しいものであるため、彼らは古いリストをすり抜けてしまいます。これらを阻止するために、セキュリティの専門家たちは現在、異なる戦略を試みています。単にIDをチェックするのではなく、ネットワークが通常どのように振る舞うかという、生きて呼吸しているようなマップを構築しているのです。彼らはこれを「デジタルツイン」と呼び、システムの仮想的なコピーとして、リアルタイムで「正常」とはどのようなものかを学習させます。何かが変化すると、たとえそれがわずかなものであっても、ツインは即座にその変化に気づきます。

ラミア・アクテル（Lamia Akter）という研究者は、この概念を用いて、それらの目に見えない攻撃者を捕らえるための新しい方法を提案しました。彼女の研究は、この「生きたマップ」であるデジタルツインと、自身の思考を説明できることができる人工知能を組み合わせたものです。かつて、コンピュータプログラムが脅威をフラグ立てした際、それはなぜそうなったのかという理由を語ることなく、単に「はい」か「いいえ」の答えを出すだけであることがよくありました。これにより、人間のセキュリティ専門家は、実際に何が間違っているのかについて推測せざるを得ませんでした。アクテルのフレームワークは、明快さを加えることでこれを変えます。それは単に問題を検知するだけでなく、どの挙動や条件がアラームを引き起こしたのかを正確に指摘します。その目的は、ネットワークの変化に応じて適応し、未知のパターンが被害をもたらす前に察知し、人間のオペレーターに対して、具体的にどこを見るべきかを伝えるシステムを作り出すことです。

この研究は、特定の課題に焦点を当てています。それは、事前の履歴を持たない脅威をどのように検知するかという点です。従来のシステムは、過去に起きたパターンを探すように訓練されているため、ここで苦戦します。アクテルのアプローチは、ネットワークの健康状態に関する継続的で更新された描写を構築します。セキュリティガードが、禁止された顔のリストを暗記するのではなく、代わりに忙しいオフィスのリズムを学習する様子を想像してみてください。そのガードは、通常いつ電気がついていて、いつ人々が入り、部屋が通常どの程度の騒音であるかを知っています。もし誰かが奇妙な時間に現れ、不自然な足取りで動いた場合、そのガードは、たとえその人物を一度も見たことがなくても、即座にその違いに気づきます。この研究において、この「ガード」は「コグニティブ・デジタルツイン（認知デジタルツイン）」です。それはトラフィック、接続パターン、およびシステムの状態を監視することによって、ネットワークに対する理解を常に更新し続けます。それは正常な振る舞いのベースラインを作成し、そのベースラインからのあらゆる逸脱を監視します。

このアイデアをテストするために、研究者は、シミュレーションを行うには危険すぎる実世界の攻撃は使用しませんでした。代わりに、彼女は合成データを使用して制御された環境を作成しました。これは、彼女が、正常な活動と、ゼロデイ攻撃を模倣するように慎重に設計された未知の乱れを含む、実際のシステムのように振る舞う偽のネットワークトラフィックを生成したことを意味します。そして、彼女はこの新しいフレームワークをこのデータに対して実行し、固定されたルールに依存する標準的な機械学習モデルと、歴史的なパターンから学習するディープラーニングモデルの2つの手法と比較しました。新しいフレームワークは架け橋として機能し、生のデータを取得して、現在のコンテキストを理解するためにデジタルツインに投入し、次に人工知能を使用して脅威が存在するかどうかを判断しました。決定的なことに、システムは決定を下した後、どの特徴が疑わしいのかを強調する「説明」を生成しました。

このシミュレーションの結果は、この新しいアプローチが古い手法よりも効果的であることを示唆しています。テストにおいて、提案されたフレームワークは、間違いを少なくしながら脅威をより正確に特定するという、より高いレベルの精度を達成しました。具体的には、他のモデルが低いスコアを示す中で、このフレームワークは適合率（precision）0.94、再現率（recall）0.92に達しました。また、誤検知も少なく、偽陽性率（false positive rate）はわずか0.04であり、無実の活動を脅威としてフラグ立てしてしまう可能性が低いことを意味していました。おそらく最も重要なことは、シミュレートされた攻撃がより巧妙になった場合でも、システムが強力であり続けたことです。挙動の変化がわずかで検知が困難な場合でも、新しいフレームワークは72パーセントの割合でそれらを捉えることができましたが、古い静的なモデルは55パーセントしか捉えることができませんでした。乱れが大きくなるにつれて、新しいシステムの検知率は97パーセントまで上昇し、未知の挙動の幅広い範囲に適応できることを示しました。

この研究の価値は、数字だけでなく、それがプロセスにもたらす明快さにあります。デジタルツインによる動的な視点と、説明可能なAIを組み合わせることで、システムは完全な全体像を提供します。それはセキュリティアナリストに対し、脅威が存在することだけでなく、どの特定の挙動がアラームをトリガーしたのかをも伝えます。これにより、人間はより速く、より情報に基づいた意思決定を行うことができます。しかし、研究は自らの限界についても明確に述べています。知見はすべてシミュレーションと合成データに基づいており、ライブネットワークにおける実世界の攻撃によるものではありません。著者は、結果は有望であるものの、実用的な使用に向けて信頼されるためには、公開データセットや未知の制御された攻撃に対してテストされる必要があると述べています。この研究は、サイバーセキュリティへの強力な新しい方向性、すなわち、静的なリストから、自らの推論を説明できる、生きて理解する防御へと移行する方向性を提示しています。