トランスフォーマー駆動の特徴学習と合成データ生成によるAPT検出の前進

なぜ隠れたサイバー攻撃が重要なのか

現代の組織は、ウェブ閲覧から重要な政府サービスまで、絶え間ない活動で稼働するコンピュータネットワークに依存しています。しかしこのデジタルノイズの中に潜むのが、最も危険なサイバー脅威の一つ、すなわち高度持続的脅威（APT）です。これらは長期にわたって潜伏・巧妙に活動し、しばしば高度な技能を持つ集団によって支援され、数か月にわたり静かにシステムに浸透します。本稿が紹介するET‑SDGという新しい手法は、人工知能の最新技術を用いて膨大なネットワークトラフィックをふるいにかけ、真に疑わしい振る舞いを学習し、従来のツールよりも稀で深刻なAPT活動をより確実に検出することを目指します。

デジタル干し草の山から針を探すという課題

APTキャンペーンは、速度が遅く適応的で標的を絞る点で日常的なマルウェアと異なります。未知のソフトウェアの欠陥を突いたり、通信を一見通常のトラフィックに紛れ込ませたりする技巧を用います。従来の侵入検知システムは固定ルールや既知のシグネチャに依存しているため、新しいあるいは変形した攻撃は見逃されがちです。近年の研究では、ネットワーク“フロー”――誰が誰とどれだけ話し、どれくらいのデータをやり取りしたかの要約――の中の微妙なパターンを機械学習で探る試みが進められています。しかし二つの問題が残ります：フロー内のパターンは複雑であること、そして実データは大きく不均衡で、正常トラフィックが圧倒的に多く、確認済みのAPTは非常に少ないことです。この不均衡により、AIシステムは正常挙動の認識に優れる一方で、最も重要な稀な事象を静かに見落としてしまうことがあります。

ネットワークフローをより賢く読み解く方法

ET‑SDGフレームワークは、まず複雑なトラフィックを理解するという第一の課題に対処するために処理を段階化します。各ネットワークフローに対して数十の数値的記述子から始めます。ExtraTreesとして知られる手法は、高速で粗いレビュアーのように振る舞い、多数の決定木を比較して攻撃トラフィックと正常トラフィックを区別するのに有用な特徴を見極め、不要な特徴を捨てます。絞り込まれたデータはトランスフォーマーに渡されます。トランスフォーマーは現代の言語ツールを支えるモデル群として知られますが、ここでは文中の単語ではなくトラフィック特徴を“読む”役割を果たします。アテンション機構を用いて接続の異なる属性が互いにどのように影響し合うかを学習し、結果として通信する機器対ごとに、マルチステップのAPTキャンペーンの挙動を捉えうる、文脈に応じたコンパクトなフィンガープリントを生成します。

稀な攻撃の現実的な例を作る

第二の大きな障壁は、膨大な良性トラフィックに対して確認済みのAPT例がごく少ないことです。単純なオーバーサンプリングのように稀な攻撃記録をただ複製すると、モデルに暗記させてしまい汎化力を損なうリスクがあります。ET‑SDGはこれに対して、条件付き生成モデルによる合成（CGMS）を採用します。これは条件付き敵対的生成ネットワークというタイプのニューラルネットワークに基づいており、生成器は既知のAPT挙動に統計的に似た新たな合成データ点を作成することを学び、別のネットワークはそれが本物か偽物かを見分けようとします。両者を同時に訓練することで、訓練データの範囲内で多様な攻撃トラフィックの追加例を生み出しますが、評価データを汚染しないよう注意が払われます。さらにアテンションベースの層が、これら拡張された表現の中で最も情報量の多い部分に焦点を当て、最後の分類器がIPペアが良性か攻撃下にあるかを判定します。

実データと難しいデータセットでの検証

この設計が有効かどうかを検証するため、著者らは実際のAPTマルウェアの捕捉データと政府ネットワークトラフィックを組み合わせたデータセット、および深刻なクラス不均衡で知られる大規模な公開侵入検知ベンチマークでET‑SDGを評価しました。比較対象には、フローを時系列のように処理するより単純な深層学習モデルから、機器間の関係を重視するグラフベースのアプローチまで幅広く含まれます。精度、適合率、再現率、F1スコアなど複数の指標において、ET‑SDGは一貫して多くの競合手法に匹敵するか上回り、しばしば1〜4ポイントの改善を示しました。重要なのは、見逃しと誤検知の双方を低く保ちながら結果を出しており、データを何度もシャッフルして行う交差検証でも性能が安定していた点です。

日常的なセキュリティにとっての意味

専門家でない読者への要点は、ET‑SDGがネットワークトラフィックを監視するより微妙な手法を提供するということです。まず重要な特徴を学習し、それらを文脈の中で解釈し、稀な攻撃の現実的な追加例を生成することで、日常のデジタルノイズから隠れたAPT挙動をより正確に見つけ出せるようになります。手法は従来より計算負荷が高く、これまで主にオフライン実験で検証されているものの、高度なパターン認識と慎重な合成データ生成を組み合わせることで早期警戒システムを大幅に強化し得ることを示しています。実務的には、これによりセキュリティチームが重大な侵害をより早く検知し、より質の高いアラートに注力し、重要なサービスを長期的な侵害からより良く保護できる可能性があります。

引用: Danh, L.T.K., Xuan, C.D. & Van, N.N. Advancing APT detection through transformer-driven feature learning and synthetic data generation. Sci Rep 16, 11772 (2026). https://doi.org/10.1038/s41598-026-41317-5

キーワード: 高度持続的脅威, ネットワーク侵入検知, トランスフォーマーモデル, 合成データ生成, サイバーセキュリティAI