複合的行動モデルを用いた適応的情報セキュリティ戦略の数理モデル化

なぜより賢いサイバー防御が重要なのか

病院の記録から電力網まで、私たちの生活は常に攻撃にさらされるデジタルシステムに依存しています。犯罪者や国家支援のハッカーはもはや単発で露骨な手口だけを使うわけではなく、防御側の反応に応じて適応する長期的で潜行的な攻撃キャンペーンを織り成します。本論文は、そのネコとネズミのようなやり取りを数学的にモデル化する新しい手法を提示し、防御側が固定ルールや一度きりの機械学習モデルに頼るのではなく、リアルタイムで調整できる道具を提供することを目指します。

今日の守りの限界

既存の多くのセキュリティツールは、過去の攻撃の既知の指紋を探すか、ネットワークトラフィックの単純な統計的異常を検出するものです。他には、脅威を予測するためにゲーム理論や機械学習を用いるものもあります。しかし、これらのアプローチは現実の一面しか捉えていません。攻撃者側または防御者側のどちらかをモデル化することが多く、両者を同時に扱うことは稀であり、行動が時間と共に大きく変化しないと仮定しがちです。本研究で行った2018年から2025年の75本の研究論文を対象とした大規模な文献レビューでは、既存モデルの3分の1未満しか異なる行動パターンを組み合わせようとしておらず、真のリアルタイム適応をサポートするものは約4分の1にとどまりました。言い換えれば、多くのモデルはサイバー対立を静的で一面的に扱っており、実際の侵入が多段階にわたり防御側の動きに応じて変化することを反映していません。

攻撃者と防御者の統一的視点

著者らは、攻撃者と防御者の小さなモデル群を織り込んだ複合的行動モデルを提案します。攻撃者側では、ネットワークのスキャン、侵入、システム間の横移動、隠れた拠点の維持などの段階を表現します。防御者側では、異常検知、ファイアウォールの調整、必要箇所への計算資源のシフトなどの要素を含めます。これらの要素は、システム全体の状態が時間と共にどのように変化するかを、不確実性やランダムな擾乱を含めて記述する数学的方程式で結び付けられます。重要なのは、防御者が事態を完全に把握しているわけではなく、不完全なアラートやログのようなノイズの多い信号しか観測できず、攻撃者が何をしている可能性が高いかを推定してそれに応じて対応しなければならない点です。

数学を動く防御に変える

アイデアを検証するため、著者らは一般的なサイバーセキュリティのデータセット（NSL-KDDとUNSW-NB15）と、現代の侵入者が用いる「キルチェーン」段階に触発された現実的な合成攻撃キャンペーンを用いて詳細なシミュレーション環境を構築しました。攻撃は確率的な事象連鎖として進行し、実ネットワークの混沌とした状況を模すためにランダムなタイミングやセンサのノイズが加えられます。防御側の構成要素は学習ルールやフィードバック制御を用いてしきい値を調整し、防御を再構成し、証拠が届くたびに資源を再配分します。モデルは閉ループとして動作します：攻撃者は防御に応じて戦術を変え、防御は再び適応し……という繰り返しにより、研究者は何千もの時間ステップにわたるシステム全体の挙動を調べることができます。

シミュレーションが示したこと

単純な侵入から、模擬された産業制御システムに対する複雑で緩慢なキャンペーンまで、幅広いシナリオにおいて複合モデルは従来の非適応型防御やいくつかの高度なベンチマークを一貫して上回りました。低ノイズ環境では検出率は90％近くまたはそれ以上を達成し、攻撃者がより巧妙になったり監視データが大きくノイズで汚染された場合でも概ね85％以上を維持しました。静的なベースラインモデルと比べて、より多くの攻撃を検出し、攻撃者行動の変化に対してより速やかに反応し、計算資源をより効果的に用いて誤検知を削減しつつコストの暴走を回避しました。統計検定によりこれらの改善が偶然によるものではないことが確認され、攻撃者と防御者が互いに適応してもシステム内部の動態は暴走せず安定を保ちました。

日常のセキュリティにとっての意味

専門外の読者にとっての主要なメッセージは、サイバー防御は固定された壁というよりも進化する生態系のようにモデル化できるという点です。多様な攻撃者・防御者の行動が時間とともにどのように相互作用するかを数学的に記述し、不確実性や部分的な可視性を組み込むことで、提案された枠組みは攻撃の最中に学習するセキュリティシステムへの道筋を示します。そのような複合的で適応的なモデルは、脅威が展開するにつれてネットワークの防御を静かに再構成する将来のツールの基盤となり、攻撃者がより粘り強く創造的になっても重要なサービスの稼働と信頼性を維持するのに役立つでしょう。

引用: Nuaim, A.A., Nuaim, A.A., Nadeem, M. et al. Mathematical modeling of adaptive information security strategies using composite behavior models. Sci Rep 16, 10755 (2026). https://doi.org/10.1038/s41598-026-45315-5

キーワード: 適応型サイバーセキュリティ, 行動的脅威モデリング, 攻撃と防御の動態, 確率的セキュリティシステム, 侵入検知