サイバーセキュリティ業界では、これは一般に「アラート疲労"」として知られています。これは、検知ツールによって生成される大量の異常アラートによる脳の過負荷を指しますが、セキュリティチームが誤検知を追いかけるか、あるいは単に「ノイズ」を無視してしまうことで、 深刻な脅威が見逃されてしまう原因となる可能性があります。
しかし最近、セキュリティの専門家たちは、アラート疲労を和らげる「特効薬」が間もなく登場することを期待しています。 GenAI。 貴重な文脈情報を付加する能力により、不要な情報を排除して最も差し迫った脅威を特定・優先順位付けし、潜在的な対策案を提示することができます。さらに、一部の専門家が予想するように 、技術が進化すれば、それ以上のことが可能になるかもしれません。
451 Researchの情報セキュリティ研究責任者であるスコット・クロフォード氏は、異常の監視（アプリケーションやネットワークなど、システム内で発生する異常や予期せぬ事象を指すサイバーセキュリティ用語）は複雑で、非常に労力を要するものだと説明しています。 アラート発生率が高いのは、現代のシステムの複雑さ、環境に関するすべての関連情報を収集することの難しさ、攻撃の性質、そして異常を適切に検知するために のセキュリティツールを で監視するように調整していることなどが原因です。
セキュリティサービス企業Spotitのオペレーションマネージャー、ウィム・レメス氏は、これまで、異常検知エンジンは、非常に具体的で、ベースラインがしっかりと確立されたデータセットでは良好に機能してきたと説明しています。 レメス氏の見解によれば、有用な異常検知とは、次の2つの具体的な問いに答えを提供するものでなければなりません。すなわち、「その環境において異常とみなされる現象が観測されているか」、そして「その異常は、何に関連している可能性が最も高いか」という問いです。
その2つ目の質問に答えられるかどうかが、従来の範囲が限定された異常検知と、AIを活用した次世代の異常検知との違いを際立たせるものです。
異常検知システムが最初の質問に対する回答しか提供できない場合、それは主に、誤検知率の高い、非常に大まかな検知エンジンとしての役割しか果たせません。 「AIを活用した異常検知が今後も定着していくのであれば、より広範なデータセットを、より高い精度で理解できるよう進化していくべきだと私は考えています」とレメス氏は述べています。
AIを活用した異常検知の未来
異常を検知することは、 マルウェア（ ）や、現在活動中の攻撃者など、何かが正常ではないことを示している可能性があります。
「AIを活用した異常検知が今後も定着していくのであれば、より広範なデータセットを、より高い精度で理解できるよう進化していくべきだと考えています。」Spotitのオペレーションマネージャー、ウィム・レメス氏
従来、侵入検知システムやマルウェア対策ソフトウェアでは、シグネチャを用いて、実行中のマルウェアやエクスプロイトを検知してきました。 時間の経過とともに、 の機械学習（ML） および行動分析機能が追加され、まだ特定されていないアーティファクトを検出できるようになりました。 そして今、GenAIが従来のAI／MLの機能をさらに向上させる可能性が出てきています。 高度なパターン認識能力とデータ生成能力を備えたGenAIは、通常の行動からのわずかな逸脱を特定し、潜在的な攻撃シナリオをシミュレートし、 進化し続ける脅威にリアルタイムで適応できる、ますます精度の高い環境および行動モデルを構築する可能性を秘めています。
[関連記事：AIを活用したサイバーセキュリティの完全ガイド ― メリット、リスク、そして成果]
「今日の議論は、生成AIの活用における画期的な進展によって牽引されています」と、市場調査会社エンタープライズ・ストラテジー・グループの主任サイバーセキュリティアナリスト、デビッド・グルーバー氏は述べています。 「これまで使用されてきた従来のAI機械学習モデルは、不審な行動の潜在的なパターンに相当するシグナルをつなぎ合わせるという点で、非常に優れた成果を上げてきました」とグルーバー氏は述べています。 「生成AIは、機械学習やAIの従来の検知モデルの上に、この新たな層を加える一助となっていますが、 それだけでなく、アナリストが、これまではある程度手作業で行い、自身の知識ベースを活用して行わなければならなかった多くの作業を、 自動化し、相互に関連付けられるよう支援しています」と彼は付け加えます。
しかし、 の脅威検知においては、AIは従来の機械学習の枠を超えています。。
AIが異常検知に推論機能をどのように付加するか
システムが適切に調整されていれば、従来の機械学習はデータパターン内の異常を効果的に検出することができます。 GenAIシステムは、調査結果の文脈に関する「推論」を加え、複雑な変数に基づいて提案を行うことが期待されています。
「[AIは]、アナリストがこれまである程度手作業で行わなければならず、自身の知識ベースを活用して行っていた多くの作業を自動化・関連付けする手助けをしています。」エンタープライズ・ストラテジー・グループの主任サイバーセキュリティアナリスト、デビッド・グルーバー氏
つまり、セキュリティ担当者にとって、AIはまず脅威を特定し、次にその特定の脅威が環境にどのような影響を及ぼす可能性があるかを評価し、その後、考えられるさまざまな緩和策を提示するということです。
グルーバー氏は、こうしたGenAIアプリケーションが、セキュリティ運用業務の文脈におけるAIの活用について、セキュリティ担当者の考え方を変えつつあると説明しています。 重要なのは、単に異常を検知するだけでなく、それが発生した環境の文脈を十分に理解することです。 「インフラストラクチャ、設定されたリスクプロファイル、組織がこれまでに経験した脅威の履歴、あるいは現在のビジネス環境という文脈において、何か不審な点を検知しているのでしょうか？」 グルーバー氏は尋ねます。 GenAIは、アナリストに正しい方向性を示すことができます。
マルチエージェント型ジェネレーティブAIシステムには将来性が期待されています
マルチエージェントシステム（単一の集中型エンティティではなく、複数のコンポーネントを用いて環境を監視するシステム）は、サイバーセキュリティの分野では決して新しい概念ではありませんが、GenAIは、それぞれ異なるタスクを担当するセキュリティエージェントが連携する方法を革新するものと期待されています。 のように、協調して機能する多数の自律型エージェントは、組織を取り巻く環境の全体像、検知された脅威、そして最適な対応策を評価することができるようになります。
あるエージェントがネットワークトラフィックを監視し、別のエージェントがシステムログやユーザーの行動、システムの設定ミス、脆弱性を監視し、さらに別のエージェントがアクティブな脅威を監視することで、GenAIシステムは潜在的なリスクのある状況について、きめ細かな理解を深めることができるでしょう。 また、現在、あらゆるランダムな脅威を評価し、対応するというプレッシャーに押しつぶされそうになっている脅威インテリジェンスチームにとっても、大きな安堵となるでしょう。
[こちらもぜひお聴きください：マイクロソフトのシェロッド・デグリッポ氏が、コンテキストによって脅威インテリジェンスが単なる「面白い話」から、現実的で実用的なものへと変わる仕組みについて解説しています]
これにより、状況のより詳細な把握が可能となり、早急な対応が必要なアラートの優先順位付けに役立つことを願っております。
GenAIのより広範な文脈理解
GenAIシステムは、内部の技術環境の文脈だけでなく、 のような地政学的状況、、 のような企業固有の脅威、、および 特定の業界 を標的とする脅威アクターの性質といった、より広範な事象も理解できると期待されています。
「GenAIは、画面上により多くの文脈情報を表示するために、多くの下準備作業を行うことができます。」グルーバー
パターン内で脅威が特定された際に単にアラートを発信するだけでなく、外部および内部の状況間の関係を表現できるため、脅威に対するより高度な分析が可能となります。
「GenAIは、アナリストに代わってこの文脈を把握するための多くの下準備を行うことができます。これにより、アナリストの目の前の画面に、より多くの文脈情報が表示され、それらを関連付けることで、何が起きているのか、そしてそれがもたらす潜在的な影響について、アナリストが『なるほど！』と気づく瞬間をより容易に得られるようになります」とグルーバー氏は述べています。
人間とAIの協働――そして注意すべき点
専門家によると、将来的には、 のGenAIシステムが、個々のチームメンバーの強みや傾向に応じた形で、人間のアナリストと連携するようになる可能性があります。 例えば、アナリストからのフィードバック、スキル評価、業務パターンの分析などを通じて、AIは特定のチームメンバーの長所、短所、 潜在的なバイアスを把握し、 それぞれのスキルレベルや認識度に合わせて、彼らと協働していきます。 脅威に関しては、システムがその能力に基づいて、特定のアナリスト同士のペアリングを提案する場合があります。
[関連記事：CISOの成功事例 ― サイバー犯罪と戦うAIの分野で活躍する、現実世界のマーベル・スーパーヒーロー]
この技術の可能性には大きな期待が寄せられていますが、その発展はまだ初期段階にあり、実際に成果を上げられるかどうかについては、誰もが納得しているわけではありません。 「残念ながら、GenAIを活用した環境情報［異常］検知システムについては、大きな成果を上げていません。」 「これらは単一ベンダー環境でのみうまく機能します」とレメス氏は述べています。 さらに同氏は、モノリシックなセキュリティ戦略を採用することを選択した組織はごくわずかであり、そのほとんどがかなり大規模な組織であると付け加えています。 「私も、それはあまり良い戦略だとは思わないので、その一歩を踏み出す人はあまりいないだろうと思います」とレメス氏は述べています。
こうした慎重さにも一理ありますが、この技術には紛れもなく将来性があり、今後さらに進化していくことでしょう。 一般的なセキュリティアナリストが誤検知の追跡に費やす時間を考えれば、その作業負荷を劇的に軽減すると約束する将来のシステムは、間違いなく多くの人が歓迎するものでしょう。
