「動いて、直して、次に生かす」
AIと人の経験で進化する次世代SOC

　金曜の夜22時。中小企業で一人情シスを務める担当者のもとにセキュリティーアラートが1件入る。その日は何十件もアラートが来ていて、そのほとんどが誤検知。「いつものアラートだろう」と判断し、詳しく調べることもなく週末が過ぎる。

　月曜の朝、出社した担当者は茫然自失となる。全社のファイルが暗号化されているからだ。会社は業務停止を余儀なくされ、取引先の信用も失墜する――。

　このような事態が現実に起こっている。大量の誤検知に埋もれ、たった1つの「真の脅威」に気付けなかったことが命取りになるのだ。現在のビジネス環境では、大手から中堅・中小、零細企業まで、あらゆる企業がこのリスクにさらされている。

　「AIを用いた攻撃の登場によって、リスクはますます高まっています」と話すのはサービス&セキュリティ（以下、SSK）の山下 和也氏だ。ランサムウエアはAIを悪用した巧妙なフィッシングで入り口を突破してくる。サプライチェーン攻撃はAIによる偵察で委託先の脆弱性を自動で発見する。ビジネスで利用するAIそのものが、新たな攻撃の標的になることもある。AIによって巧妙化・高速化・大規模化する攻撃に対し、人手で対応することはもはや限界になっているといえるだろう。

　この変化に対応するためには、SOCとCSIRTをアップデートすることが不可欠だ。

　例えばSOCは、「AI活用型」に移行することで活動の迅速化を図る。関連会社や委託先など、対策が手薄な経路までを監視対象に含め、不審な挙動を早期に検知する。前例のない攻撃（ゼロデイ攻撃）も、挙動時点でAIが検知できるようにする。

　CSIRTについても同様だ。AIを駆使して、異常があった場合は被疑端末や通信を即時に遮断。関連会社や委託先にも速やかに確認を要請する。前例のない挙動も迅速に分析して、初動の判断を行えるようにするのである。

　「気付くだけでも、動くだけでも不十分です。その両輪が回って初めて、これからの時代のセキュリティーリスクに対応することができるのです」と山下氏は続ける。

　この実現を支援するソリューションとして、SSKが提供しているのが「SSK-SOC」だ。AI活用型の次世代SOCとCSIRT対応支援サービスを組み合わせることで、AIの脅威に対応。検知から対応までをトータルに支援するという（図1）。 　SSK-SOCの中核を担うのが「AI分析システム」である。最大の強みは、過去のナレッジとAIを掛け合わせた「成長し続ける監視体制」を実現できることだ。「日々の対応をその場限りにせず、常にAIへフィードバックします。これにより、明日の脅威に対して、迅速かつ正確に対処できるようにします。これを仕組み化して提供・運用しているのです」と山下氏は説明する。

　ベースとなるAIエンジンが、大量に発生するアラートを高速に分析し、本当に対応すべき脅威を迅速に見極める。ただし、AIモデルに分析を丸投げしているわけではなく、SSKが培った対応ノウハウと連携していることがポイントだ。

　「SOCの対応ノウハウをAIに活用させるほか、最終的には専門家が判断を行うことで、精度とスピードを両立しています。SSK-SOCが蓄積してきた過去のアラートや対応の経験をAIが正しく理解し、活用できるように、対応ナレッジのベクトル化などの検索・参照の仕組みを独自に設計することで最適化しています」（山下氏）

　さらに、顧客ごとのルールや環境情報も組み合わせる。同じアラートでも、業務環境やシステム構成によって重要度や対応方針は変わるからだ。環境ごとに最適化した対応を実現できる点もSSK-SOCの大きな強みといえるだろう。

　「これにより、真の脅威を効率的に見つけ出して対処できるほか、人に依存しない判断品質の平準化を図ることが可能になります。ノウハウを資産化し、分析精度や対応スピードを高度化していくこともできるでしょう」と山下氏は強調する。

　またSSKでは、実際のインシデント対応を担うCSIRTの活動も支援している。そもそもAI時代の対応のボトルネックは、SOCが検知した後のCSIRT対応にあることが多いという。守るべき範囲が広がり、判断すべき内容が急速に増えているからだ。

　この課題の解決を支援するのがCSIRT対応支援サービスである。優先度判定などの「初動判断支援」、相関分析や影響範囲の把握などの「調査・分析支援」、端末隔離、通信遮断などを行う「封じ込め・復旧支援」から検知ルール改善、プレイブック整備などの「運用改善支援」まで、幅広い支援を提供する。

　「SSK-SOCとCSIRT対応支援サービスによって、『動いて、直して、次に生かす』ところまでを支援します」と山下氏。そのほか脆弱性診断、ペネトレーションテスト、フォレンジックサービスなども提供。サイバーセキュリティーの全フェーズにわたって、経験豊富なセキュリティー人材が伴走型でサポートするという。

　SSK-SOCの価値をより高めるソリューションも用意している。それが統合セキュリティーアプライアンス「SecureSoft Sniper ONE」（以下、Sniper ONE）だ。

　様々な脅威に対応する検知エンジンで、通常の防御機能だけではなく、DDoS攻撃対策やレピュテーション情報ベースの防御機能など多彩な機能も有している。

　専用機並みの精度で脅威を検知し、不正通信のログを生成。これをSSK-SOCに提供することで、活動を支援することが可能だ。「SOCでAIを活用する場合も、AIに学習させる不正通信データの精度が低ければ効果はそれなりになってしまいます。Sniper ONEの高精度なログが、SOCの分析精度向上、迅速かつ効果的な対応の土台になるのです」とSSKの植松 俊介氏は紹介する。

　また、SOCの分析結果はSniper ONEにフィードバックされて、その後の脅威検知に役立てられる。これにより、対応スピードとログ生成精度が継続的に高まっていく格好だ。「Sniper ONEを中核にSSK-SOCと連携することで、検知から対応までを1つの輪として回すことができます。これがAI時代に必要な対応スキームだと当社は考えています」と植松氏は語る（図2）。 　AIを用いた攻撃者は、従来と比べものにならないスピードと規模で攻めてくる。大切なことは、より早く、正確に脅威を検知して、迅速・的確に対処し、そのナレッジやノウハウを基に対策の継続的なレベルアップを図っていくことだ。これを実現する上で、SSKの提案は大いに参考になるものといえる。