AI×人間で実現する「先制防御」
超高速攻撃に対応したAI SOC最前線

　サイバーセキュリティーを取り巻く環境が、かつてないほどの激しい変化に直面している。その要因となっているのが、AIを悪用した攻撃の「工業化」と「超高速化」である。

　「攻撃者はAIを搭載した自動化システムによって、『サイバー攻撃の工場』を稼働させています」と話すのは、ラピッドセブン・ジャパンの古川 勝也氏だ。脅威は、これまでの手作業や断片的な攻撃とは次元の違うスピードと規模でターゲットに襲いかかってくる。また、AIは高度なスキルを持たない攻撃者にも容易に攻撃を仕掛けられる手段を提供している。誰もが使えて、疲れを知らないAIによる「数」と「速度」の暴力。それが、現代のサイバー攻撃の実態といえるだろう。

　これに対応するためには、守る側もAIを最大限に活用する必要がある。サイバーセキュリティーは、AI対AIの時代へと突入しているのだ。しかし、守る側はある構造的な問題に直面する。それは、対応の意思決定にはどうしても人間の判断が必要になるということだ。

　「AI対AIの時代でも、すべてをAIによる自動化に委ねればよいというわけではありません。万一、AIがビジネスの根幹に関わるシステムやネットワークを自動的に停止してしまった場合、その理由を説明できないからです。説明責任を果たせない対策手法が、ビジネス現場で許容されることはないでしょう」（古川氏）

　重要なのは、人間をどこまで介在させるかの境界線を明確にすることだ。ただ、人間による判断が入ると、どうしてもタイムラグが生じる。アラートを確認して上司に報告し、承認を待つといった従来型のSOCオペレーションでは、致命的なボトルネックが生まれてしまうのである。

　「加えて、現在はあらゆる企業でセキュリティー人材が不足しています。高度なセキュリティー分析を行い、その結果を経営リスクと結び付けて解釈できるスキルを持った人材は、決して多くはありません」と古川氏は続ける。

　量とスピードで迫るAI攻撃に対し、人の意思決定によるボトルネックをどう解消して立ち向かうか――。これが現代のセキュリティー運用の焦点となっている。

　そこでラピッドセブンが推奨しているのが、「先制的セキュリティ（Preemptieve Security）」というアプローチだ（図1）。攻撃の兆候を待って受動的（Reactive）に動くのではなく、攻撃が成立するための前提条件を先回りして検知し、あらかじめ排除する。 　「先制防御は、あらゆる攻撃を予期して未然に防ぐ予防的防御（Proactive Security）とも少し異なります。精度の高い分析によって攻撃ルートを先んじて理解し、事前にふさぐアプローチであり、サッカーに例えるなら前線から守備を行う『ハイプレス』に近いかもしれません」と古川氏は説明する。

　この先制防御を実現するためには3つの要素が必要になる。1つ目は「脅威・脆弱性インテリジェンス」。これを用いて、攻撃者が利用する戦術や手法、背景にある意図を把握する。2つ目は「環境情報の把握（CAASMやEASMなど）」。自組織の外部公開資産や内部資産、デジタル資産全体を網羅的に把握する上で必要だ。そして3つ目が「エージェンティックAI」。これにより、脅威インテリジェンスや把握した資産情報をマシンスピードで処理し、日々の運用業務にAI技術を統合・自動化するのである。

　ラピッドセブンは、これらの要素を兼ね備えたプラットフォームとソリューションを提供している。それが、統合型セキュリティー運用基盤「Rapid7 Command Platform」と、「先制的MDR」である。

　ポイントは平時と有事に求められる機能を網羅的に提供している点だ。一般的には、平時の運用で求められるエクスポージャー管理（事前予防やハイジーン）と、有事の運用である検知・対応（事中・事後対策やレジリエンス）は別々のツールで提供されるため、運用がサイロ化しがちになる。「これに対してRapid7 Command Platformで、両方の情報をカバーできるためITアセット全体を包括的に可視化できます。何か起きた際に迅速・確実に解決することが可能です」と古川氏は話す（図2）。

　このようなプラットフォーム／ソリューションを実現できるのは、ラピッドセブンが過去25年以上にわたってサイバーセキュリティーの知見・ノウハウを獲得してきたからだ。ペネトレーションテストツール「Metasploit」や、オープンソースのフォレンジックツール「Velociraptor」などを通じて、独自かつ強力なインテリジェンスを蓄積してきた。

　AIについては2001年から活用に着手。そこで重視しているのが「説明可能性」だ。TRiSM（信頼性、リスク、セキュリティー管理）と呼ばれるフレームワークを採用し、AIがなぜ特定の結論に至ったのかを明確に説明できる、厳格で透明性の高い仕組みを構築しているという。

　「AIが行った調査・分析の結果をお客様に丸投げするだけでは意味がありません。当社のAI SOCは、AIの分析結果を基に専任のカスタマーアドバイザーがお客様とディスカッションを行い、初期対応から封じ込めまでを一貫してサポートします。もちろん、今後のAIの進化により変化する可能性はありますが、人とAIのベスト・オブ・ブリードが現状の最適解だと私たちは考えています」と古川氏は強調する。

　ラピッドセブンの先制的MDRの効果は数字にも表れている^※。例えば、アラートをトリアージする際の判定精度は99.93％、SOCの月間対応工数は200時間以上も削減できる。セキュリティーソリューションへの投資額は55％削減しつつ、重大なセキュリティー事故による事業継続リスクを54％減らせるという。導入による投資対効果（ROI）は422％に達し、わずか5カ月での投資回収が可能だ。

　AI攻撃が激化する中、完璧な防御はもはや実現不可能になっている。人の介在がもたらすボトルネックとリスクを正しく理解した上で、説明責任を果たせるAIと専門家を組み合わせることが肝心だ。先制防御のアプローチを自社のセキュリティー運用に取り入れる。それこそが、これからの企業がサイバーレジリエンスを確立する方法といえるだろう。

※

いずれも「IDCによるレポート-The Business Value of Rapid7 Managed Detection and Response」より