IoTシステムにおけるサイバー攻撃パターンの関連付け

IoTの普及でネットワークに多くのデバイスが追加されて、システムが複雑になってサイバー攻撃に対して脆弱になってる。これらの攻撃は新たな弱点を突くことができて、重要なサービスが危険にさらされる。サイバーセキュリティについての最新の知識が不足してるから、システムのリスク評価が難しくなってる。これが、より効果的なリスク評価とリスク軽減の技術の必要性を生んでる。

昔は、システムの弱点を見つけるためにルールや基本的なプログラムに頼ってたけど、最近の大型言語モデル（LLM）の進歩で、サイバー脅威についての情報を集める新しい方法ができた。このモデルは、データを分析して要約するのが得意で、従来の方法よりもいい感じ。いろんな攻撃方法や攻撃者が使う技術を整理するのに使える。

私たちのアプローチは、異なる種類のサイバー脅威に関する情報をつなげるための高度なツールを使う。言葉を数値データに変えるモデルを使って、攻撃方法と攻撃者の戦略の関係を作れる。データ取得と文章生成を組み合わせた新しい方法も紹介してて、これが攻撃パターンをつなげる組織的なフレームワークを作るのに役立つ。

この新しい方法を試すために、慎重にラベル付けした小さなデータセットを使う。これでサイバーセキュリティで使われる標準的な方法と比較できるのが目的。最終的には、サイバー脅威についての知識のギャップを埋めるための完全なシステムを開発したい。

#産業制御システムへの影響

IoTの産業制御システム（ICS）への統合は、プロセスを効率的で生産的にして業界の運営を改善した。でも、この接続の増加はサイバー攻撃の扉も開いちゃう。これらの攻撃は、サービスやデータの機密性、完全性、可用性を脅かすことがある。マルウェア、ランサムウェア、サービス妨害攻撃、供給チェーンの侵害など、いろんな形で現れる。どんな攻撃も、重要なインフラに深刻なリスクをもたらす可能性があって、安全や経済、公共の健康に影響する。

攻撃者がどのように脆弱性を突くのかを理解するには、既存の攻撃パターンのカタログを参考にするのがいい。たとえば、Common Attack Pattern Enumeration and Classification（CAPEC）は、様々なサイバー攻撃方法を公開したリストを提供してるし、MITREのATT&CKフレームワークは、実際の事例に基づく敵の行動について貴重なインサイトを与えてくれる。

CAPECとATT&CKの両方は、システムを守ろうとする組織にとって重要なリソースだ。これらは、サイバーセキュリティチームが攻撃者の行動を理解し、リスクに備え、効果的な戦略を立てるのに役立つ。ただ、この2つのリソースをうまくつなげることが課題になってる。企業レベルの脅威にはいくつかのリンクがあるけど、ICSやモバイル脅威の接続は不足してる。

これらの接続を確立するには、二つのシステムの間の有効な関係を確認するために専門知識が必要。また、情報が定期的に更新されるから、手動での接続は非現実的で時間がかかることが多い。

#サイバーセキュリティにおける言語モデルの役割

従来の機械学習技術は、正確な予測をするために構造化された入力を必要とするけど、攻撃方法に関するデータは非構造化のものが多い。ここで、大型言語モデルが役立つ。これらのモデルはテキストを数値データに変換できるから、難しいテキスト情報を数学的ベクトルとして扱える。これらのベクトルがどれだけ似ているのか、違うのかを分析することで、いろんな攻撃パターンの関係性を特定できる。

私たちの研究は、CAPECとATT&CKの間の関係をマッピングするプロセスを改善することに焦点を当ててる。異なるフレームワークを使って、攻撃パターンを正確にリンクする信頼性のある方法を見つけようとしてる。私たちの方法論は、まずどのモデルがサイバー攻撃の知識をリンクするのに最適かを評価し、次にこの二つのシステムのマッピングを作成し確認するという二つの重要なタスクから成る。

この取り組みは、サイバーセキュリティの知識のギャップを埋めて、より良いリスク評価と計画のためのしっかりした基盤を提供することを目的としてる。

#既存の方法とその限界

以前、研究者たちは異なるデータベース間でサイバーセキュリティの知識を整合させるプロセスを自動化しようとした。ランダムフォレストやナイーブベイズ分類器のような方法は役立つものの、正確なトレーニングデータが不足しているため限界がある。いくつかの研究者は、リスク評価を自動化するためにオントロジーに基づくアプローチを採用したが、これらは望ましい結果を達成するにはしばしば不十分だった。

私たちの仕事では、高度な言語モデルを使って異なるサイバーセキュリティデータセット間の接続を作成している。私たちの先行研究や他の研究も、BERTやGoogle T5のようなモデルが高い精度でマッピングプロセスを自動化できることを示している。ただ、新しい言語モデルは、特にデータが限られている文脈で、テキスト生成にさらに優れていることに気づいた。

私たちのタスクに最適なアプローチを見つけるために、最先端のモデルを評価し、サイバーセキュリティ知識タスクを完成させる効果を比較した。私たちの方法を通じて、マッピングプロセスをより管理しやすく、正確にすることを目指している。

#マッピングのフレームワークを設定

私たちの研究では、CAPECの攻撃パターンとMITREのATT&CK ICSテクニックを考慮する。私たちの目標は、これら二つのデータセットの間に接続を作る最適な方法を見つけて、同じ攻撃者の行動を正確に反映させることだ。

テキストの説明を数値ベクトルに変換することで、機械学習技術で分析できる。私たちのアプローチでは、可能な接続を特定するために最近傍探索を使用し、マッピングの精度を高めるためにRAGベースのマッピングも行う。

私たちの方法を示すために、CAPECの攻撃パターンとATT&CKの対応するテクニックの例を提供する。明確な関係を作り出して、マッピングアプローチの効果を検証するのが目標。

#正確性と効果の評価

結果を検証するためのラベル付けデータが不足している中で、マッピング方法の成功を正確に測るのが難しいことを認識している。この問題を解決するために、評価のための基準となるラベル付きペアの小さなデータセットを作成する。

私たちは、マッピング精度を分析するためにいくつかの重要な指標を定義する：

• 精度：正しいマッピングの全体に対する比率。
• 再現率：実際の関連インスタンスに対する正しく特定された関連インスタンスの比率。
• 適合率：正しくマッピングされた関連インスタンスに対する取得されたインスタンスの比率。
• Fスコア：適合率と再現率のバランス。

これらの従来の指標に加えて、私たちはシステムに有効なマッピングを持つ攻撃パターンの数を測定するカバレッジ指標も導入する。また、マッピング手法によって間違った接続がどれくらいあるかを示す誤ったマッピング比率（FMR）も定義する。FMRスコアが低いほど、パフォーマンスが良いことを示す。

#調査結果と成果

私たちの調査結果は、RAGベースのマッピングが一般的に最近傍アプローチよりも優れていることを示している。RAG手法は、より高い適合率と再現率を示し、より正確なマッピング予測が得られる。また、より多くの近隣データを使用することでカバレッジが向上する傾向があるが、誤警報も増えることがある。

テストしたモデルの中では、「instructor-large」や「text-embedding-ada-002」のような特定の埋め込みが、マッピング技術の両方で他よりも良い結果を出している。一方で、「E5-large-v2」は常に精度が低い。

#今後の方向性

マッピング手法を検証する上での大きな課題は、包括的なラベル付きデータセットがないことだ。これを解決するためには、CAPECとATT&CKの関係を正確に定義したラベル付きデータセットを作成し維持するためにコミュニティの協力が不可欠だ。

今後の研究では、マッピングアプローチをさらに洗練させ、信頼性と正確性を高めるためにより高度な検証技術や専門家の指導を取り入れていく予定。また、他の知識ソース間のマッピングを予測するために研究を広げ、サイバーリスクのより包括的なビューを提供したいと考えている。

結論として、私たちの研究は、サイバーセキュリティにおける異なる分類法間のマッピング手法の徹底的な評価を提供する。高度な言語モデルを活用することで、データソース間により効果的な接続を作り出し、サイバー脅威の変化する状況において、リスク評価と軽減戦略を改善する道を切り開くことができる。