急速に変化するセキュリティの現場。攻撃者がAIを活用する今、防御側もAIを使いこなさなければ生き残れない。しかし、セキュリティ運用のAI化をどこまで進められるかは、企業によって大きな差が生まれている。その差は、AIの導入そのものではなく、それまでの運用プロセスの質にある。
セキュリティ運用のAI化、歴史と現状
セキュリティにおけるAI活用の歴史は長い。1980年代後半から機械学習による侵入検知や異常検知が研究され、2000年代以降は製品にも積極的に組み込まれた。2010年代以降は深層学習なども広く使われ、現在ではセキュリティ製品にAIは当たり前に使われている。しかし、運用全体を自動化できる製品はまだない。運用を自動化するには、自社で汎用的なAIモデルを導入して学習させる必要があるが、それはAIを導入すれば簡単に実現できるという話ではなく、これまでどのような運用を行ってきたかが極めて大きく影響する。
二極化する企業：AI化成功の鍵はプロセス
運用のAI化に成功した企業は、AIを使って攻撃者の量とスピードに対処できる。一方、AI化できなかった企業は悲惨だ。常にインシデントが絶えず、セキュリティの現場は疲弊し、本業のビジネスに大きな影響を及ぼす。その差を生むのは、そもそもしっかりとしたセキュリティオペレーションが確立できているかどうかだ。具体的には、以下のような状態の差である。
A: 人手による運用が厳密に定義され、データドリブンな運用ができている企業。そのデータをAIに学習させることで、AIによる自動的な処理能力を得られる。また、過去実績と照らし合わせたチューニングも可能。
B: セキュリティ製品をただ導入しているだけで十分に使いこなせていない、あるいは複数の製品や判断を組み合わせた複合的な運用ができていない企業。AIが学習するための元データがない。結果として単体の製品でできる以上のことを実現できない。
アイロン・マスク氏が語るように、人がAIのブートローダーであるなら、AIを起動させるために人が下地を作る必要がある。AIで何かを効率化・自動化させるにも、対象となるプロセスのプロトタイプすら無いと、学習元データもないし、AIが導く結果が正しいかどうかも比較判断が難しい。そのような状況では、いつまでも運用のAI化を進めることができない。
今こそプロセス構築に投資を
だから、多くの企業が直面しているこの分岐点でAI化に乗り遅れたくないなら、多少逆説的になるが、今こそ大量の人手を投入してでも、セキュリティ運用のプロセスをしっかりと作り込むことをお勧めする。そうすることでAI化を促進し、結果的に人手を減らすことができる。そして既存の運用がデータドリブンで厳密であればあるほど、AIへの移行とチューニングも容易になる。
さらにいうと、今この分岐点で経営的な判断を誤ると、恐らく後から挽回しようとしても、はい上がれなくなる。自社のペースで進めようとしても攻撃者は待ってくれないからだ。攻撃側の進化に先に現場が疲弊してしまい、プロセスを確立させたくても余力がなくなる。
また、日本の労働力不足、特にセキュリティ人材は深刻に枯渇し、将来は獲得がますます難しくなる。それが目に見えているのだから、今のうちに人的リソースをしっかり投入してプロセスの整備を真剣に進めた方がよい。なお、セキュリティは言語が重要な分野ではないので、運用プロセスを作る目的であれば、オフショアリソースの積極的な活用なども良い選択肢だ。
リアルタイム処理が当たり前に
いずれセキュリティ運用の幅広いエリアを総合的にカバーする製品が現れ、AIによる運用もコモディティ化してくるだろう。しかしまだまだ時間がかかりそうだ。その間も攻撃者側が進化している以上、ただリスクを受容し続ける訳にもいかない。
さて、上記の流れの中で、AI化にいけない企業も続出するだろう。しかし、そんなことはお構いなしに今後攻撃の量は指数関数的に増えていく。その一方で、防御の技術的な仕組みにおいても大きな変化が見え始めている。
現状の企業における検知や施策の仕組み、特にDetection Engineering（検知エンジニアリング）の観点において簡潔にまとめるなら、まず上記で言ったネットワークの「要所要所」に例えばWebやメールゲートウェイ、EDR、DLPなどの各種センサーとなる製品が配置されている。そこで悪意のあるプログラムやその挙動、通常とは異なる疑わしいシステム上の挙動、許可されていないアクセス先やアクセス元などが検知され、その対応としてブロックや隔離、アラートなどが実行、記録される。製品はそれ単体として判断できる範囲で処理を実行し、その結果をユーザーが確認できるようログとして出力する。そして、企業ではそれらセンサー製品の出力データ（テレメトリ）をSIEMが核となるセキュリティオペレーションセンター（SOC）に集約する。そこで複数のテレメトリ間の相関分析やクロスデータに対する統計分析・頻度分析などが総合的に実施され、最終的に人手でアラート処理やインシデントのハンドリングなどを行っていくのが一般的だ。
その流れの中で脅威インテリジェンスが利用されることもある。最近ではアラートの処理やインシデントレスポンスの自動化なども進んでおり、より高度なことに取り組んでいる企業では脅威ハンティングなども積極的に採用している。
一方、依然として各センサーの成果への依存とSIEMを中心とした分析というアプローチはこの10年以上変わっていなかった。しかし、最近の攻撃側の量の増加は右肩上がりだ。「一旦SIEMにクロスしてから分析する」というこれまでのアプローチでは、どうしても量に圧倒されてしまい、分析が後手に回ってしまう。人手やSIEMのストレージをどん なに増やしても、このままではいつか確実にオペレーションが破綻する。徐々にその事実に気付き始めた人々が出てきた。そして今、グローバル大手企業を皮切りにセキュリティの現場では、アプローチの抜本的な刷新が急速に進みつつある。
新しいアーキテクチャ：ストリームデータとAI
この量問題を乗り越えるために防御側にとって必要な事は、より「リアルタイムに」「大量のデータを」さばく能力だ。もちろんそれは人手ではなくAIの活用を前提としたアーキテクチャを備えることといえる。すなわち、SIEMによる「データの蓄積→分析→対応」を前提とした検知ではなく、大規模なストリームデータをAIでリアルタイムに処理し対応を完結することを前提としたアプローチだ。これまでのレガシーなSIEMは設計思想からしてこのような目的や前提で作られてきた製品ではない。
次世代のSOCアーキテクチャにおいては、大規模のストリームデータを処理できる「Kafka」のような製品でテレメトリを受け取り、そこで一時的なデータの加工や取捨選択をした上で、AIに渡すアプローチが主流になってくる。また、AIで処理するなら、データを蓄積する場所はSIEMである必要もなく、もっと汎用的なデータレイクの方がコストや使い勝手の面でも有利だ。
もちろんこれまでセキュリティの観点で長年知見を蓄積してきたSIEMや周辺のSOARなどの仕組みがすぐにその利用価値を失うわけではない。必要に応じて後から人手で詳細を確認するためのツールとしては、引き続き有効だ。それにデータの保管は防御以外にもコンプライアンス的な観点などでも考えなければならない。したがって、とりあえずSIEMに溜め込む、のではなく、ストリームデータを目的に応じて加工した上でAIやデータレイク、SIEMなどに受け渡すための技術的アーキテクチャが求められている。
セキュリティ感度の高い企業ではこのような観点で急速にSOCプラットフォームの刷新が進んでいるが、貴社での検討は進んでいるだろうか。次世代アーキテクチャへの移行は、相応に深く総合的な知見が必要となる。自社内の検討に加え、最先端のビジョンを持ち合わせたシステムインテグレーターの知見を取り入れながら進めることが望まれる。
