セキュリティメトリックの分類とは？ホストベースとネットワークベースの体系的理解

セキュリティメトリック（セキュリティ指標）は、システムのセキュリティレベルを評価し、セキュリティ目標を実現するために用いられます。セキュリティ分析には多様なメトリックが存在しますが、ネットワーク到達可能性情報に基づいた体系的な分類は、これまで十分に整理されてきませんでした。そこで本稿では、ネットワーク到達可能性情報を基軸とした既存のセキュリティメトリックの体系的な分類を提案します。

大きく分けると、セキュリティメトリックは「ホストベース」と「ネットワークベース」の2種類に分類できます。さらに、ホストベースのメトリックは「確率を用いないもの」と「確率を用いるもの」に、ネットワークベースのメトリックは「パスベース」と「非パスベース」に細分化されます。

セキュリティメトリックの分類

1. ホストベースのセキュリティメトリック

ホストレベルのメトリックは、ネットワーク内の個々のホストのセキュリティレベルを定量化するために使用されます。これらは「確率を用いないもの」と「確率を用いるもの」の2種類に分類できます。この分類が設けられている理由は以下の通りです。

• 攻撃の確率値を導出することが技術的に不可能な場合があるため。
• 確率値の割り当てがなくても実行可能な分析や最適化が存在するため。

確率値を用いないメトリック

確率を伴わないメトリックの代表例としては、攻撃影響度（Attack Impact）、攻撃コスト（Attack Cost）、必須要素測定（Fundamental Essential Measured）、ミニカット分析（Mincut Analysis）、平均侵害時間（MTTC：Mean Time to Compromise）、平均復旧時間（MTTR：Mean Time to Recovery）などが挙げられます。

確率値を用いるメトリック

一方、確率を取り入れたセキュリティメトリックには、確率型セキュリティメトリックや、共通脆弱性評価システム（CVSS：Common Vulnerability Scoring System）メトリックなどがあります。ここで重要なのが「攻撃グラフ（AG：Attack Graph）」です。これは非巡回有向グラフ（DAG）の一種であり、攻撃者が標的となる脆弱性へ到達しうる複数の経路をモデル化したものです。

2. ネットワークベースのセキュリティメトリック

このカテゴリのメトリックは、ネットワークそのものの仕組みを活用して、ネットワーク全体のセキュリティ特性を集約的に評価します。これらは「パスベース」と「非パスベース」の2種類に分類できます。

非パスベースのメトリック

非パスベースのメトリックでは、ネットワーク内の経路構造や属性を直接的には扱わず、ネットワーク構造との関連においてセキュリティを定量化します。代表例として「ネットワーク侵害率（NCP：Network Compromise Percentage）」メトリックがあります。

NCPメトリックは、攻撃者が侵害できるネットワーク資産の割合（パーセンテージ）を示すものであり、その目的はこの割合を最小限に抑えることにあります。また、攻撃者がネットワークへの侵入起点（エントリポイント）として利用できる脆弱性の集合も、この種の評価対象となります。

例えば、あるホスト上で稼働しているWebサービスは、攻撃者が最初に狙う標的になりやすいと言えます。さらに、「最弱敵対者（WA：Weakest Adversary）」メトリックもネットワークの安全性を評価できるネットワークベースの指標です。WAメトリックでは、強力な属性セットに対して脆弱なネットワーク構成よりも、弱い属性セットに対してのみ脆弱なネットワーク構成の方が、より保護されていると定義されます。

パスベースのメトリック

パスベースのメトリックは、ネットワークの到達可能性データ（例：ホスト間の到達可能性、ホストXからホストYまでの最短経路など）を活用し、ネットワーク全体のセキュリティレベルを定量化します。攻撃者が実際にとりうる侵攻経路を考慮できる点が大きな特徴です。