モダンセキュリティオペレーションにAIが必要な理由と、なぜ今なのか︖
Elasticsearch株式会社
叶 彩 | Aya Kano
2024年9⽉10⽇

Who Am I?
● 10年以上システムエンジニアとして組み込みシステムの開発を担当● 5年間セキュリティエンジニアとしてSIEM検知ルールの設計やチューニング、マルウェア解析、デジタルフォレンジックを担当● 3年以上にわたりクラウドソリューションアーキテクトとして主にセキュリティソリューションの技術⽀援を担当

SOCが抱える現在の課題

急速に変化する環境

マルチクラウドやハイブリッド
環境は、監視、管理、対処が困難である

洗練された攻撃者

過負荷のSOCチーム

洗練された敵が増加し、グローバルなサイバー犯罪のエコシステムがその勢⼒を拡⼤している

セキュリティ専⾨家の雇⽤と確保が依然として困難である

⾃動化がよりスマートに

アシスト
インテリジェンス

拡張インテリジェンス

⾃律的インテリジェンス

反復的で標準化された作業の⾃動化

⼈間と機械のコラボレーション

適応型インテリジェンスの⾃⽴した意思決定

明確に定義された
反復可能なタスク

需要と供給と共有

⾃動運転

従来の分析と⾼度な分析
従来の分析⾼度な分析

スコープ

個別領域

複数の領域にまたがる

⽅法

イベントレベルでの条件分析

エンティティレベルでのMLによる⾏動分析

汎⽤性

静的ルールロジックは定期的なメンテナンスが必要

モデルはトレーニングによって⾃動的に適応

既知の脅威の検出

既知の攻撃活動の検出に優れている

リスクを確率的に評価

未知の脅威の検出

未知の脅威に対するルールはない

事前に定義されたルールなしで異常を検出

アラートのノイズ

厳格なルールのためノイズが多い

残存ルールのノイズを低減

データを新たな次元で⾒るエンティティ分析

ホスト
エンド
ポイント

サーバ

ユーザ
クラウド
資産

ユーザー
アカウント

サービス
アカウント

⾼度なエンティティ分析により隠れた脅威を検出● アラートをエンティティ分析で補完することで、未知の脅威を発⾒する● イベントとアラートを分析することで、異常なエンティティの動作を特定する● SIEMの中で最も成熟したMLですぐに価値を得る

Pre-1950
1950s
1960s
1970s
1980s
1990s

習

2000s

⽣成AI

深層学

教師
なし
ML

ルゴ
リズ
ム期”

氷河&LL

M

SVMs&ンにNs

ショRN

バッ
よ る ク プロ
復活 パゲー

Iのジア
ン⼿法

“Aベイ

簡単なア法

的⽅

統計

AIのインフレクションポイント

2023+

LLMと⽣成AIの急激な台頭

⽣成AIが検索に⾰命を起こす
⼈間的で反復的なコンテンツ作成に優れている
⼈間のような会話を作成したり、コンテンツを書いたり、コード例を提供したりするために使⽤される、⼤規模なデータセットの⾃然⾔語処理である。

公開トレーニングデータ、⼀般的なコンテキストによる制限訓練されたデータと同程度の性能と最新性しかない。
特にドメイン特有の質問をされると、幻覚（⾃信ありげに聞こえるが誤った出⼒）を⾒ることがある。

公開データでトレーニング

⽣成AI 単体では、トレーニングに使⽤されたデータと同等の品質しか得られない。⼤規模な基礎モデルは、多くの場合何年も前のものであり、プライベートデータの知識がない⼤規模な公開情報セットに基づいてトレーニングされている。

時代遅れ

LLM の知識はトレーニング データが収集された時点から凍結され、ライブ更新することはできない。トレーニングや微調整には専⾨知識が必要であり、コストがかかる場合がある。

LLMの課題⼤規模⾔語モデルはデータベースではない

トレーニング データを超える質問に直⾯すると、⽣成AI は幻覚を起こし、ユーザーに誤った⾃信に満ちた
幻覚(Hallucinations) 答えを提供し、ユーザーを意図せず 誤解させる。これはミッションクリティカルな環境では受け⼊れられない。

検索拡張⽣成(Retrieval Augmented Generation)
あなたの質問あなたの質問

正しい回答+

コンテキストウィンドウ

サードパーティLLMs

正しい回答
ビジネスデータ

⾃⼰管理型LLMs
⽂書

画像

⾳声

⽣成AIによるSIEMの進化
SIEM 1.0 - 2000s

SIEM 2.0 - 2010s

SIEM 3.0 - 2023+

SIEMの誕⽣検出、分析、オーケストレーション

⽣成AI⾰命● ログの⼀元化● 他者が⾒逃した脅威を発⾒● AI活⽤の組み込みワークフロー● コンプライアンスとIRにフォーカス● MLがルールベースの検出を強化● 関連性と⾃動化にフォーカス● オペレーション機能● 分析主導の調査● アラートではなく、攻撃を優先● セキュリティチーム向けの可視化● UEBAがコアユースケースに追加● スキルギャップの課題への対応● レスポンスと修復ワークフロー

レガシー

現⾏未来

AIを活⽤したセキュリティアナリティクスにより、SecOpsチームはあらゆるデータソースからリアルタイムで検知、調査、対応することができます。

AIを活⽤したセキュリティ分析ビジョン
セキュリティ分析の要点

すべてのワークフローにAIを組み込む

ファーストおよびサードパーティの組織的対応● 回答に関する推奨事項

継続的なリスク認識● AIを活⽤したリスク評価

脅威の相関性の調査

⾼度な脅威検知
オープンスキーマ、全体的な可視性、分散検索可能なデータレーク● AI主導のランブック● AIによる攻撃発⾒● 調査およびトリアージガイド● AIによるルール／クエリ変換● 脅威の説明とナレッジベース● インジェストとパイプラインの推奨事項● AIを活⽤した統合

SIEM

XDR

Search AI Platform

SearchAI/MLRAG

リアルタイムで適切な結果を提供する
セキュリティソリューション
あらゆるデータ
サードパーティとの統合
Network

User

Host
ダッシュボード &レポート

Threatintel

脅威検知

⾼度なエンティティ
分析

⾃動化 & 修復

ML + AI

その他

チケット

SOAR

LLMs

通知

無限のデータ
データの検索、処理、正規化

データ取込

Data lake

コネクター

Cloud

ネイティブ防御

ECSに正規化 / OTelのセマンティック規約

セキュリティーAIアシスタント
WindowsContainers
CloudprovidersmacOS

クロスクラスタ検索

LinuxElasticsearch Relevance Engineと組み合わせた⽣成AIを安全に活⽤し、トリアージ、調査、導⼊などを加速

Servers

その他

GoogleCloud storage

AmazonS3

Microsoft
Azure blob

検索可能スナップショット

LocalNAS参考情報
Elastic Cloud 2週間無料トライアル
https://cloud.elastic.co/registration?elektra=en-cloud-page
Elastic Security導⼊事例
https://www.elastic.co/jp/customers/success-stories?usecase=securityanalytics&industry=All
Elastic ビデオ&ウェビナー
https://www.elastic.co/jp/videos

Thank you!