[論文レビュー] Semi-Automated Threat Modeling of Cloud-Based Systems Through Extracting Software Architecture from Configuration and Network Flow

Nicholas Pecka, Lotfi ben Othmane+2 more|arXiv (Cornell University)|Mar 23, 2026

Information and Cyber Security被引用数 0

ひとこと要約

この論文は、ランタイム観察駆動の手法を用いてアーキテクチャを推定し、クラウドベースのシステムのランタイム対応かつプラットフォームに依存しない脅威モデリングを継続的に行う。ML脅威を含む。Bare metal、Kubernetes、AWS における注入脅威をすべて検出して静的スキャナーを上回る。

ABSTRACT

Traditional threat modeling occurs during design, but cloud deployments introduce unanticipated threats, especially multi-stage attacks chaining vulnerabilities across trust boundaries. Existing security tools analyze components in isolation, cannot detect architectural threats from system composition, and cannot validate runtime behavior against configured policies. This gap leaves organizations vulnerable to attacks exploiting architectural weaknesses. This paper addresses this gap through a key innovation: automatically inferring system architecture from runtime observations to enable continuous threat modeling. Our methodology combines static configuration analysis with observed network flows to construct architecture graphs reflecting actual operational behavior, then applies systematic threat detection using platform-agnostic abstractions (components, domains, interfaces, access policies, flows). This enables consistent threat identification across bare metal, Kubernetes, and cloud infrastructure without manual diagram maintenance. We validate the methodology using a supply-chain system with ML components deployed on all three platforms, injecting 17 infrastructure and ML threats. Results show detection of all 17 threat types across all platforms, while existing security tools detected only 6-47% with zero ML threat coverage, confirming the necessity of runtime aware, architecture-level threat analysis.

研究の動機と目的

• ランタイム挙動とアーキテクチャ的脅威を考慮した継続的脅威モデリングの必要性を喚起する。
• 静的設定とランタイムネットワークフローを統合してシステムアーキテクチャをプラットフォームに依らず推定する手法を提案する。
• 推定アーキテクチャを確立済みの脅威モデリング概念にマッピングし、アーキテクチャ的脅威を特定する。
• 自動化された、プラットフォーム固有の緩和計画および修正 artefacts を可能にする。
• Bare metal、Kubernetes、AWS 上のサプライチェーン/ML対応CI/CDシステムを用いて、クロスプラットフォーム一般化を評価する。

提案手法

• 静的設定データと観測されたネットワークフローを組み合わせてアーキテクチャグラフを構築し、ランタイム観察からアーキテクチャを推定する。
• プラットフォームに依存しない構成要素でシステムを表現する：ドメイン、コンポーネント、インターフェース、ポリシー、フロー、信頼境界。
• アーキテクチャグラフを脅威モデリング構成にマッピングし、脅威識別のために STRIDE、MITRE ATT&CK、OWASP ML/LLM Top 10 などの脅威フレームワークを適用する。
• アーキテクチャ的脅威を既知の脆弱性および脅威情報源と関連付け、所見を充実させる。
• リスクスコア、組織方針、脅威緩和ナレッジベースを用いて脅威を優先付けし、自動化された緩和構成を生み出す。
• 構成とランタイム挙動の変化を反映するようパイプラインを継続的に運用する。

実験結果

リサーチクエスチョン

• RQ1 異なるデプロイメントプラットフォーム間で、ランタイム観察と静的設定からアーキテクチャを信頼性高く推定できるか。
• RQ2 プラットフォーム依存性の低い抽象が Bare metal、Kubernetes、クラウド環境で一様な脅威検出を可能にするか。
• RQ3 ML/AI特有の脅威は、多様なインフラストラクチャを横断するプラットフォーム非依存の脅威検出パターンで検出可能か。
• RQ4 ランタイム認識型脅威モデリングは、静的 IaC/CSPM ツールと比較してアーキテクチャ的脅威のカバレッジにどのような差があるか。
• RQ5 各プラットフォームで実行可能な自動化された緩和策をどのように生成できるか。

主な発見

• この方法論は、Bare metal、Kubernetes、AWS の3プラットフォームすべてで、導入された17種類の脅威を検出した。
• 既存のIaCスキャナやCSPMツールは、脅威の検出が6-47%にとどまり、ML脅威のカバレージはゼロだった。
• ML特有の脅威（T11-T17）は、プラットフォームに依存しない検出パターンを用いて3プラットフォーム全体で検出された。
• プラットフォームを跨いで、Bare metalで49件、Kubernetesで47件、AWSで全17脅威タイプが検出され、クロスプラットフォーム一般化を示した。
• このアプローチは、可能な限り自動化された修正構成を含む実行可能な緩和計画を生み出す。