急速に変化するセキュリティの現場 AI化に乗り遅れるな：AIがもたらすセキュリティのパラダイムシフト

攻撃者がAIを駆使する今、防御側もAIを使いこなさなければ生き残れない。運用のAI化に成功する企業とできない企業の差は広がりつつある。両者を分けるものは何か。

[三好一久，日本タタ・コンサルタンシー・サービシズ]

この連載について

フロンティアAIの台頭がもたらす危機の真因は、脆弱性そのものではなく、それを容認してきたIT運用の仕組みや責任体制の未成熟さにある。本連載は、流行のキーワードに踊らされない冷静な視点から、「他産業に学ぶ制度設計」「ITとセキュリティの運用統合」「防御のAI化への分岐点」「ゼロデイを想定したレジリエンス」など、激変期を生き抜くためのアプローチを提示する。

　AIによるパラダイムシフト、そして私たちの周辺で急速に進むランドスケープの変化。攻撃者側がAIを駆使してくるのであれば、当然防御側もAIを使いこなしていきたい。いや、使いこなさなければ生き残れない。

　しかし、セキュリティ運用のAI化をどこまでできるかについては、実は奥が深く、今多くの企業が重大な分岐点に直面していると私はみている。それは、どんなものだろうか。ランドスケープの変化という点において、前回3つのポイントを解説したが、今回は防御側のAIの活用の面から引き続き解説していきたい。

　実はセキュリティにおけるAIの活用というのは他の分野に比べても歴史が長い。1980年代後半辺りから機械学習による侵入検知や異常検知が研究され、2000年ぐらいからは製品にも積極的に組み込まれてきた。2010年代以降になると深層学習などにも広く使われるようになり、今やセキュリティ製品でAIは当たり前に使われている。企業におけるセキュリティインフラを見ると、要所要所ではAIの適用はかなり進んでいる。

　しかし、それでもなおセキュリティ運用の全体を自動化できる製品はまだない。運用を自動化しようとすると、自社で汎用（はんよう）的なAIモデルを導入して学習させなければならない。だがそれは、AIを導入すれば簡単に実現できるという話ではなく、これまでどのような運用をしてきたかが極めて大きく影響する。

※変化1〜3は「たった1件の不備でマイナス1万点　AIの物量攻撃に耐える“基礎の強度”」に掲載

変化4：防御のAI化ができる企業と、そうでない企業の二極化が進む

　運用のAI化に成功できた企業は、AIを駆使して攻撃側の物量とスピードに対処できる。一方で、AI化できなかった企業は悲惨だ。常にインシデントが絶えず、セキュリティの現場は疲弊して、本業のビジネスに大きく影を落としていくと予想される。何がその差を生むのか。それは、そもそも現在しっかりとしたセキュリティオペレーションが確立できているか？　という点に尽きる。具体的には、下記Aのような状態だ。

A：

人手による運用が厳密に定義され、データドリブンな運用ができている企業。そこで得られたデータをAIに学習させることで、AI化による圧倒的な処理能力を得ることができる。また、過去実績と照らし合わせたチューニングができる。

　しかし、残念ながら現状これが実現できている国内企業は非常に少ない。いまだに多くの企業がBのような状況にある。

B：

セキュリティ製品をただ導入しているだけで十分に使いこなせていない、あるいは複数の製品や判断を組み合わせた複合的な運用ができていない企業。AIが学習するための元データがない。結果として単体の製品でできる以上のことを実現することができない。

　イーロン・マスク氏が語るように、人がAIのブートローダーなのだとしたら、AIを起動させるためには人が下地を作る必要があるのだ。AIで何かを効率化・自動化させようにも、対象となるプロセスのプロトタイプすら無いと、学習元データもないし、AIが導く結果が正しいのかどうかも比較判断が難しい。そのような状況では、いつまでたっても運用のAI化を進めることができない。

　だから、多くの企業が直面しているこの分岐点でAI化に乗り遅れたくなければ、多少逆説的になるが、今こそ大量の人手を投入してでも、セキュリティ運用のプロセスをしっかりと作りこむことをお勧めする。そうすることでAI化を促進し、結果的に人手を減らすことができる。そして既存の運用がデータドリブンで厳密であればあるほど、AIへの移行とチューニングも容易になる。

　さらにいうと、今この分岐点で経営的な判断を間違うと、恐らく後から挽回しようとしても、はい上がれなくなる。自社のペースで進めようにも攻撃者は待ってくれないからだ。攻撃側の進化を前に現場が疲弊してしまい、プロセスを確立させたくても余力がなくなる。

　また、日本の労働力不足、特にセキュリティ人材は深刻に枯渇し、将来は獲得がますます難しくなる。それが目に見えているのだから、今のうちに人的リソースをしっかり投入してプロセスの整備を真剣に進めた方がよい。なお、セキュリティは言語が重要な分野ではないのだから、運用プロセスを作る目的であれば、オフショアリソースの積極的な活用なども良い選択肢だ。

　いずれはセキュリティ運用の幅広いエリアを総合的にカバーする製品が現れ、AIによる運用もコモディティ化してくるだろう。しかしまだまだ時間がかかりそうだ。その間も攻撃者側が進化していく以上、ただリスクを受容し続ける訳にもいかない。

変化5：リアルタイム処理が当たり前になってくる

　さて、上記の流れの中で、AI化についていけない企業も続出するだろう。しかし、そんなことはお構いなしに今後攻撃の量は指数関数的に増えていく。その一方で、防御の技術的な仕組みにおいても大きな変化が見え始めている。

　現状の企業における検知や遮断の仕組み、特にDetection Engineering（検知エンジニアリング）の観点において簡潔にまとめるなら、まず上記で語ったネットワークの「要所要所」に例えばWebやメールゲートウェイ、EDR（Endpoint Detection and Response）、DLP（Data Loss Prevention）などの各種センサーとなる製品が配置されている。

　そこで悪意のあるプログラムやその痕跡、通常とは異なる疑わしいシステム上の挙動、許可されていないアクセス先やアクセス元などが検知され、その対応としてブロックや隔離、アラートなどが実行、記録される（なお、それぞれの製品の中にも通常複数の検知レイヤーのスタックがあり、AIなども含めた複合的なDetection Engineering《検知エンジニアリング》がある）。

　製品はそれ単体として判断できる範囲で処理を実行し、その結果をユーザーが確認できるようログとして出力する。そして、企業ではそれらセンサー製品の出力データ（テレメトリ）をSIEMが核となるセキュリティオペレーションセンター（SOC）に集約する。そこで複数のテレメトリ間の相関分析や蓄積データに対する統計的分析・逸脱度分析などが総合的に実施され、最終的に人手でアラート処理やインシデントのハンドリングなどを実行していくのが一般的だ。

　その流れの途中で脅威インテリジェンスが利用されることもある。最近ではアラートの処理やインシデントレスポンスの自動化なども進んでおり、より高度なことに取り組んでいる企業では脅威ハンティングなども積極的に採用している。

　一方で、依然として各センサーの成熟への依存とSIEMを中心とした分析というアプローチはこの10年以上変わっていなかった。しかし、最近の攻撃側の物量の増加は右肩上がりだ。「一旦SIEMに蓄積してから分析する」というこれまでのアプローチでは、どうやっても物量に圧倒されてしまい、分析が後手に回ってしまう。人手やSIEMのストレージをどんなに増やしても、このままではいつか確実にオペレーションが破綻する。徐々にその事実に気付き始めた人々が出てきた。そして今、グローバル大手企業を皮切りにセキュリティの現場では、アプローチの抜本的な刷新が急速に進みつつある。

　この物量問題を乗り越えるために防御側にとって必要な事は、より「リアルタイムに」「大量のデータを」さばく能力だ。もちろんそれは人手ではなくAIの活用を前提としたアーキテクチャを備えることといえる。すなわち、SIEMによる「データの蓄積→分析→対応」を前提とした検知ではなく、大規模なストリームデータをAIでリアルタイムに処理し対応を完結することを前提としたアプローチだ。これまでのレガシーなSIEMは設計思想からしてこのような目的や前提で作られてきた製品ではない。

　次世代のSOCアーキテクチャにおいては、大規模のストリームデータを処理できる「Kafka」のような製品でテレメトリを受け取り、そこで一時的なデータの加工や取捨選択をした上で、AIに渡すアプローチが主流になってくる。また、AIで処理するならば、データを蓄積する場所はSIEMである必要もなく、もっと汎用的なデータレイクの方がコストや使い勝手の面でも有利だ。

　もちろんこれまでセキュリティの観点で長年知見を蓄積してきたSIEMや周辺のSOARなどの仕組みがすぐにその利用価値を失うわけではない。必要に応じて後から人手で詳細を確認するためのツールとしては、引き続き有効だ。それにデータの保管は防御以外にもコンプライアンス的な観点などでも考えなければならない。したがって、とりあえずSIEMに溜める、のではなく、ストリームデータを目的に応じて加工した上でAIやデータレイク、SIEMなどに受け渡すための技術的アーキテクチャが求められている。

　セキュリティ感度の高い企業ではこのような観点で急速にSOCプラットフォームの刷新が進んでいるが、貴社での検討は進んでいるだろうか。次世代アーキテクチャへの移行は、相応に深く総合的な知見が必要となる。自社内の検討に加え、最先端のビジョンを持ち合わせたシステムインテグレーターの知見を取り入れながら進めることが望まれる。

筆者紹介：三好一久（日本タタ・コンサルタンシー・サービシズ株式会社　最高情報セキュリティ責任者《CISO》兼 サイバーセキュリティ統括本部長）

イリノイ大学アーバナシャンペーン校卒業後、サーバー、ネットワーク、データベースと幅広い領域でエンジニアとしてのキャリアを積む。大手コンサルティングファームにて上流コンサルティングを経験。その後、大手セキュリティ関連企業にてコンサルティング部隊を立ち上げ、CISOを務めたのち、欧米企業2社においてカントリーマネージャーおよびAPAC統括を歴任。2023年、日本TCSに入社。現在はCISOを務めながら、サイバーセキュリティ部門を率いている。