解像度の高い洞察とスピードを両立
次世代SOCを支えるElastic Security

　なぜ今、SOC運用の根本的な見直しが求められているのか。それはサイバー攻撃の増加やセキュリティーツールの多様化によって、確認すべきアラートが急増しているからだ。緊急のものとそうでないものが混在する状況では、対応するべき事象を素早く見つけ出すことは難しい。事象間の相関分析も困難になるため、真のリスクへの対応が遅れてしまう。このような悪循環が発生している。

　「システムの侵害をすべて未然に防ぐことは困難です。防御だけに注目するのではなく、いかに早く脅威を検知して被害を封じ込めるかが、現在の企業に問われています」と話すのは、Elasticsearchのドゥンビア シアカ氏だ。脅威への対応の遅れはビジネスコストに直結する。実際、検知から業務正常化までの時間の長期化が、大規模なビジネスインパクトにつながるケースが国内外で多発しているという。

　また、大量のアラートと同等かそれ以上に深刻なのが、サイバー攻撃自体の圧倒的な高速化である。攻撃者がシステムに侵入してからほかのシステムへと被害を広げる（ラテラルムーブメント）に至るまでの平均時間は、今や30分程度まで短縮されている。中には数十秒程度で実行したケースも確認されているといい、これを人手で防ぐのは容易ではないだろう。「従来型のSOC運用では、このような新しい状況に対応することは不可能だといえます」とシアカ氏は述べる。

　そこでElasticsearchが提案しているのが「モダンSOCアーキテクチャー」へ移行することだ（図1）。 　サイバーセキュリティーの運用プロセスを「検知・対応」「自動化」「拡張」という3つの要素で捉え直し、それらをシームレスに連携させる。従来は人間が複数のコンソールを扱いながら手動で行っていたログ収集、アラートの関連性の把握、脅威コンテキストの調査といった作業を、AIエージェントが自律的に実行・支援する。これにより、以前は70分程度かかっていた調査・対応時間を、わずか2分未満にまで劇的に短縮できるという。

　「高まる攻撃速度とのギャップを埋めるためには、AIを駆使するしかありません。初期のトリアージや分析をAIが支援することで、アナリストはノイズに悩まされることなく、より重要で高度な判断に集中できるようになります。手動中心の運用から自律型の運用へとシフトすることが、次世代のセキュリティー運用の最重要ポイントといえます」とシアカ氏は強調する。

　このモダンSOCアーキテクチャーの考え方を具現化したものが、統合型SOC運用プラットフォーム「Elastic Security」だ（図2）。 　Elastic Securityは大きく3つのレイヤーで構成されている。左側がインプット層で、400種類以上に上るデータソースを単一の場所に統合し、複数のシグナルを横断的に関連付ける。

　中央は、あらゆるデータを統合しインテリジェンスを生み出す中枢機能「SOCブレイン」だ。AI／機械学習を活用した独自の機能群によって、リスクの検知・分析やスコアリングを行うとともに、AIアシスタントとの密な連携に基づくSOC業務を実現する。

　そして右側が実際の保護・対応を行うレイヤーである。SIEMによってシステム全体の脅威を可視化し、EDR／XDRを用いてエンドポイントやクラウドを保護。さらにUEBAによって内部不正などの異常な振る舞いを検知し、クラウドセキュリティー機能でリスクを継続的に評価する。最終的には、統合レスポンス機能によって、調査から脅威の封じ込めまでを自動化することが可能だ。

　「例えば、ユーザーが普段と異なる時間帯にログインし、悪意のあるファイルをダウンロードしたとします。このとき、各ツールが発報したアラートに対して、プラットフォーム上の『Attack Discovery』機能が関連する攻撃活動を整理します。さらにAIエージェントが調査を支援し、脅威インテリジェンスを参照しながらホスト隔離や関係者への通知といった対応まで、自動的につなげることができるのです」とシアカ氏は説明する。

　ここからはElastic Securityの特長や各機能の優位性について、もう少し詳しく見ていこう。

　まず注目したいのが先述したAttack Discoveryだ。膨大なアラートから誤検知や重要度の低いノイズを排除し、重要な脅威だけを浮かび上がらせる。また、MITRE ATT&CKフレームワークへのマッピングに基づき、複数の関連アラートを1つのケースにまとめて担当者をアサインすることも可能だ。

　もう1つは「Agent Builder」。これは独自の役割を持たせたAIエージェントを作成できる機能である。例えば「ランサムウェアアナリスト」というカスタムエージェントを作成すれば、自然言語で指示するだけで、スレットハンティングのレポート作成などを自律的に実行してくれるという。

　運用改善を後押しする「Value Report」機能も備えている。Elastic Securityを活用することで削減された運用コスト、時間を定量的に可視化し、前月比較などのレポートとして出力する。セキュリティー投資の費用対効果を経営層へ明確に示すことができるだろう。

　加えて、高度なシステムでありながら導入が手軽である点も特徴だ。幅広いデプロイオプションの1つに「クラウド上でサーバーレスプロジェクトを作成」が用意されている。これならクラウドプロバイダーとリージョンを選択するだけで、わずか5分未満で設定を完了できるという。「導入後はAI SOCエンジンのダッシュボードでデータの取り込み状況を視覚的に確認できます。独自のナレッジベースの追加も簡単に行えます」とシアカ氏は付け加える。

　既に多くの企業がElastic SecurityによるSOCの高度化を実現している。そこでは、リスクのトリアージ時間を73％短縮、インシデント解決率を80％向上、分析業務の対応時間を99％削減といった大きな成果が得られているという。

　次世代のSOC運用において重要なのは、解像度の高い洞察、そしてAIを活用した攻撃に対処できるスピードだ。これを両立するのがElastic Securityといえるだろう。