確かに、ここ2年間、サイバー犯罪者たちはAI競争において一歩先を行くように見え、大規模言語モデルやチャットボットを活用して、 といったフィッシング攻撃や などのサイバー攻撃を次々と仕掛けてきました。しかし、専門家によると、そうしたグループは、 のようなAIを活用したサイバーセキュリティツール にますます直面しており、こうした脅威を検知し、阻止できるようになっているため、その優位性は揺らぎつつある可能性があります。
AIは、膨大なデータの中からパターンを素早く見抜く能力を備えているため、不正検知やシステムの脆弱性調査において特に優れた能力を発揮します。 これは、AIを活用したサイバー犯罪グループの活動に注目してきた方々にとっては、一安心できることでしょう。
詐欺師によるAIの最近の活用例としては、次のようなものがあります：
- つい先週、ミュンヘン・サイバーセキュリティ・カンファレンスにおいて、ウクライナの当局者は、 に対し、ロシアのハッカーが 機械学習モデル を利用して、侵入したメールボックスから盗み出した大量のコンテンツを精査し、AIを用いてより信憑性が高く、個別に仕組まれたフィッシング攻撃を仕掛けていると警告しました。
- 先月、Googleは、自社のチャットボット「Gemini」（ ）を利用して、ロシア、中国、イラン、北朝鮮と関係のある57 の脅威グループを特定したと発表しました。これらのグループは、防衛分野の専門家に対する偵察活動やコードのトラブルシューティングを行い、による検知回避 や によるデータ流出 といった手法を用いて、標的となったネットワークに深く潜入する新たな方法を模索していました。
- サイバー犯罪グループは、WormGPT、FraudGPT、GhostGPTといった独自の大型言語モデル（ ）も開発し、新たなマルウェアやフィッシング詐欺を次々と生み出しています。
一部の組織がどのように対抗しているかをご紹介します：
- Mastercard used AI to scan payment data for nine partner banks to save over $35 billion in fraudulent payments across three years.
- Amazon, which sees up to 750 million cyberattacks every day, collates all of the data on those incidents in a database. その後、機械学習を用いて、それらのインシデントに関連するすべてのデータを精査し、最も注意を払うべきものを特定します。 さらに、このデータに対してAIを活用した の予測分析 を実行し、将来どの脅威がより重要になるかを予測しています。
- サイバーセキュリティ・インフラセキュリティ庁（CISA） は、AIを活用して、米国政府のネットワークに対する潜在的な脅威を自動的に検知・分析し、異常な活動を特定し、膨大なデータの中からパターンを抽出しています。
- ユーロポール（） も、反復的な業務にAIを活用しており、これにより人間の分析官は他の業務に充てる時間を増やせるほか、「凄惨な」映像への過度な曝露を防ぐことができます。
生成AIの技術が加わるにつれてこの分野は進化を遂げていますが、その知見を分かりやすい結果として表現することにも大きな可能性を秘めています。 つまり、目まぐるしいほど多くの指標を、多忙なセキュリティアナリストにとってより理解しやすい、簡潔な文章による要約にまとめることを意味するかもしれません。 また、そのアナリストたちと対話を行い、調査結果に関する自然言語の質問に、スムーズかつ直感的な方法で答えることも可能です。
ISACA新興トレンド作業部会のメンバーであり、ISACAバンクーバー支部の会長を務めるメアリー・カーマイケル氏は、これらの新機能により、あらゆる種類の組織がデジタル侵入者との戦いにおいてパフォーマンスの向上を図ることができると述べています。 「従来の機械学習［AIの一種］は、サイバーセキュリティのいくつかの分野で大きな成果を上げており、従来のルールベースのシステムに比べて性能が向上しています。」
以下では、AIや機械学習が最も有望視されている主な活用事例について概説します。
検出――なぜニューラルネットワークはこれを得意とするのか
カーマイケル氏は、検出は機械学習が優れた成果を上げている分野であると指摘しています。 データ内のパターンを分析してマルウェアを特定するモデルもあれば、通常のアクティビティの基準値と比較してネットワークの挙動を監視することに重点を置いているモデルもあります。 行動が基準から十分に逸脱した場合、警告が発せられます。
「従来の機械学習は、サイバーセキュリティのいくつかの分野で大きな成果を上げており、従来のルールベースのシステムに比べて改善をもたらしています。」ISACA新興トレンド作業部会のメンバー、メアリー・カーマイケル氏
その挙動は、不審な時間帯に、不明なIPアドレスから大量のファイルをダウンロードしているコンピュータによるものかもしれません。 もう一つの引き金として考えられるのは、社内の財務アカウントへのアクセス権を持つ人物宛てにメールが届くケースですが、そのメールには、不自然な表現や送信元が不明といった、人間の管理者では見落としがちな不審な特徴が含まれている場合があります。
そのようなモニタリングや統計分析を行うには、さまざまな情報源からの膨大なデータを、多くの場合リアルタイムで精査する必要があります。 これは人間でもできることではありますが、ITインフラストラクチャ内の複数の関連事象を、休むことなく監視し続けるためには、何千人もの人間が必要になるでしょう。 それは現実的ではありません。
カーマイケル氏は、機械学習の基盤となるニューラルネットワークは、その分野において特に優れていると説明しています。
従来のソフトウェアは個々のステップを順番に処理するのに対し、ニューラルネットワークは複雑なデータ全体を、複数のニューロン層の間で受け渡します。 まず、通信事業者が「正当」や「悪意のあるもの」などとしてラベル付けした既存のデータを活用し始めます。 ネットワークは、このラベル付きデータを学習することで、何が正当で何がそうでないかという全体像を把握します。
[関連記事：AIを活用したサイバーセキュリティの完全ガイド ― メリット、リスク、そして成果]
その後、学習済みのニューラルネットワークはこの知識を用いて新しいデータを評価しますが、このプロセスは「推論」と呼ばれます。 これは、コンピュータビジョンによるマッチングから、ネットワーク上の悪意のある活動の検出、スパムメールと正当なメールの選別、あるいは不正な金融取引の認識に至るまで、さまざまな機械学習タスクの基盤となっています。
脅威モデリング ― 機械学習が業界特化型となる仕組み
CompTIAのチーフ・テクノロジー・エバンジェリストであるジェームズ・スタンガー氏は、機械学習は脅威の検知に役立つだけでなく、組織が直面している具体的な脅威を理解するのにも役立つと説明しています。 たとえば、多くの管理システムを運用している銀行は、その業界を標的とする特定のグループからの、特有の攻撃に直面することになります。 これらのグループは、銀行のインフラの脆弱性を悪用するために特化した手法を用いますが、それは、例えば他のグループが石油・ガス会社に対して仕掛けるような攻撃とは異なるものです。
「[AIを活用した] ログの収集と分析により、対応時間が短縮されます。」カーティス・W・デュークス氏、インターネットセキュリティセンター（Center for Internet Security）執行副社長兼セキュリティ・ベストプラクティス部門ゼネラルマネージャー
の従業員向けセキュリティ研修が、業界や企業ごとに特化した内容であるべきであるのと同様に（）、脅威モデリングも同様に、業界や企業ごとに特化した内容であるべきです。 ここでは、画一的な対応は通用しません。
脅威モデリングとは、組織に対する脅威の枠組みを構築するプロセスであり、これを利用してリスクを分析し、サイバーセキュリティへの投資の優先順位を決定することができます。 このプロセスは、 の脅威ハンティング や、さまざまな情報源からのその他のデータを大量に分析することを含んでおり、あらゆるサイバーセキュリティプログラムにとって不可欠なものです。 また、時間がかかり、費用もかかります。
[こちらもぜひお聴きください：マイクロソフトのシェロッド・デグリッポ氏が当ポッドキャストにゲスト出演し、脅威インテリジェンスチームのリーダーシップについて語ります]
「ここ20年ほどの間、私たちは関連性が高く正確な脅威および攻撃モデルを構築してきましたが、そうしたモデルを構築するプロセスは、その大部分が手作業によるものでした」とスタンガー氏は述べています。 AIには、大量のデータを処理してパターンを特定する能力があるため、この分野において貴重な資産となっています。 「正しく行われれば、これは非常に喜ばしい進展となるでしょう」と彼は付け加えます。
自動化――それは単なるスピード以上のものです
新たな安全保障上の課題に対処するため、技術と政策を融合させることを目的としたシンクタンクである「安全保障・技術研究所（IST）」は、昨年10月に発表した『 』レポート『 』において、サイバーセキュリティ運用を強化するAIの可能性を明らかにしました。 同報告書によると、ネットワークトラフィックの分析やファイルの分類といった単純な作業を自動化することで、セキュリティ管理者の時間を節約できるとのことです。
「AI技術の最近の飛躍的な進歩により、ホームアドバンテージを活用することで、攻守のバランスを劇的に変える可能性が生まれています。」サイバーセキュリティにおける人工知能の意義：攻防の均衡の変化、セキュリティ・テクノロジー研究所（10月 2024日）
「[AIを活用した] ログの収集と分析により、対応時間が短縮されます」と、センター・フォー・インターネット・セキュリティ（Center for Internet Security）の執行副社長兼セキュリティ・ベストプラクティス部門ゼネラルマネージャーであるカーティス・W・デュークス氏も同意見です。 国家安全保障局（NSA）の情報保証担当ディレクターとして、彼は長年にわたり機密性の高いシステムの運用に携わってきたため、システムのテレメトリデータから迅速に洞察を得る重要性を深く理解しています。
時間の節約に加え、AIツールを活用することで、ネットワーク環境に対するより正確な理解を深めることができます。 「AI技術の最近の飛躍的な進歩により、ホームアドバンテージを活用することで、攻守のバランスを劇的に変える可能性が生まれています」と、ISTの報告書は述べています。
[関連記事：大規模でも簡単に作成できるオーケストレーションと自動化]
ネットワークのインベントリや監査、および のパッチ管理 やのシャドーITの排除といったその他の重要なタスクを自動化することで、防御担当者は、攻撃者が外部から把握できる範囲をはるかに超える、ネットワーク の内部 に関する理解を深めることができるでしょう。 脅威や脅威対策技術が進化していく中で、そうした知識や理解は、今後の意思決定をより良いものにするでしょう。
脆弱性管理――生成AIが業界の常識を一変させる数ある方法の一つに過ぎません
GenAIの台頭により、さらなる機能向上が期待されています。 のChatGPT やClaudeといったチャットボットを支える基盤モデルに代表されるこの技術は、大規模言語モデル（LLM）に依存しています。 これらはニューラルネットワークを基盤としていますが、大量のテキストを処理するために設計された新しいアルゴリズムを採用しています。 テキストはもちろん、音声や動画、さらにはプログラムのソースコードに至るまで、クリエイティブなコンテンツをより的確に分析することができます。 そうすることで、この情報をもとに新しいコンテンツを作成することができます。
LLMはサイバーセキュリティに多大な影響を及ぼしており、特に の脆弱性管理においてその影響は顕著です。 ISTの報告書は、サイバー犯罪者が悪用するバグの一部を、コンピュータプログラムの中から発見できる可能性を指摘しています。 ラスベガスで開催された 2024年8月 のDEFCONサイバーセキュリティカンファレンスにおいて、DARPAの「AIサイバーチャレンジ」の準決勝進出者たちは、その可能性を実証しました。彼らはLLMを活用してソースコード内の22 件の脆弱性を発見し、そのうち15 件を自動的に修正しました。 また、Googleのセキュリティチーム「Project Zero」は、AIを活用して「ファジング」の精度を高めました。ファジングとは、対象システムに大量の入力を送り込み、システムを侵害する入力を特定する手法です。 は、 において、 のゼロデイ脆弱性 を、この手法を用いて発見したと発表しており、これは世界初であると主張しています。
SOCの成果――AIアシスタントは時間を節約し、不要な情報を排除し、率直に情報を伝えてくれます
トロントを拠点とするサイバーセキュリティコンサルティング会社「Mand Consulting」のプリンシパル・セキュリティ・エンジニア、ドミニク・ペナー氏によると、これらのシステムは、より洗練されたワークフローを構築することで、 のセキュリティオペレーションセンター（SOC） におけるティア1スタッフの負担軽減にも役立つとのことです。
「SOC内でAIの導入を検討している組織の多くは、トリアージにAIを活用するでしょう。」ISTのサイバーセキュリティおよび新興技術担当アソシエイト、ジェニファー・タン氏
「ログの記録や監視自体はそれほど大変ではありませんが、それを攻撃と結びつけて分析する必要が出てくると、もう少し詳細な分析が必要になります」と彼は述べています。 「すごくうるさいですね。 「その中から、実際に活用できる情報や洞察を絞り出すことが、結局のところ最も難しい部分となります。」
機械学習は、データを精査し、分類し、異常を特定することに優れています。 「LLMは、SOCアナリストがそのデータを検索するための、より洗練された手段を提供します」と、ISTのサイバーセキュリティおよび新興技術担当アソシエイトであり、同報告書の共著者であるジェニファー・タン氏は述べています。」「SOC内でAIの導入を検討している組織の多くは、トリアージにAIを活用するだろうと思います」と彼女は述べています。 「[LLMは]、自然言語を用いて、アラートの意味や対応策について、組織に評価結果を提供することができます。」
サイバー攻撃のような時間との戦いが求められる状況では、こうした率直な話し方が特に重要となります。こうした状況では、コミュニケーションが鍵となり、IT部門からソーシャルメディア部門に至るまで、セキュリティに関する専門知識のレベルも様々である複数の部署の従業員による対応を、迅速に調整しなければならないからです。
こうした機能により、サイバーセキュリティ運用に特化したAIアシスタントが開発されつつあります。 カーマイケル氏は、SOC運用担当者に対し、トリアージにとどまらず、是正措置を提案できる同社の能力を強調しています。
現実を見据えて――なぜ人間をプロセスに巻き込み続けることが依然として重要なのか
この道筋における次の論理的なステップは、ISTがその報告書で強調していた点、すなわち、サイバーインシデントに対する是正措置を推奨するだけでなく、それを自動的に実行する自律型エージェントです。
「AIは、経験の浅いアナリストに対してガイダンスや推奨事項を提供することでサポートし、これにより従業員のスキルアップやチーム全体のパフォーマンス向上に寄与します。」ISACAのメアリー・カーマイケル氏
助手席に座っているナビゲーターが身を乗り出してハンドルを握る様子を想像してみてください。ただし、次の左折をする代わりに、ネットワーク上の特定のセグメントを隔離したり、社内ディレクトリにおける従業員のアクセス権限を格下げしたり、特定のIPアドレス群をブロックするようにファイアウォールのルールを更新したりするかもしれません。
AIの導入をまだ慎重に検討している組織にとっては、それは一歩踏み込みすぎかもしれません。 「これまで私たちを阻んできたのは、組織が未知のものに対して抱く恐れです」とデュークス氏は述べています。 「彼らは特定のプロセスを自動化したがらないのです。」
それでも構いません。 自動化のあり方は、企業ごとに異なります（そして、そうあるべきです）。 広く懸念されているにもかかわらず、業界の観測筋は、セキュリティ運用において、人間が引き続き中心的な役割を果たし続ける重要な分野が少なくとも5つあると考えています。 。
企業が自律型AIエージェントにより多くの制御権を委ねることを検討する中、タン氏はいくつかのガバナンス上の課題を想定しています。 「説明可能性や、 への準拠、そして説明責任の所在について、問題が生じるのではないかと考えています」と彼女は述べています。 何らかの行動をとる自動化システムは、その判断の根拠を説明すべきですが、AIシステムは、どのようにしてその決定に至ったかを説明するのが極めて苦手であることで知られています。
[関連記事：GenAIの導入競争？ セキュリティは、適切なガバナンスから始まります]
ほとんどの組織は、AIにサイバーセキュリティ対策をすべて自動化させるのではなく、ある程度の人的な監督を望むでしょう。 ガートナーは、 がAIを導入することを推奨しています。これにより、あらゆる組織が自社のリスク許容度に応じて自動化のレベルを調整できるようになります。
タン氏によると、一部の企業の取締役会では、エンドツーエンドの検知および自動化機能を活用した「SOC in a box」の導入を求める声が上がっているものの、業界としてはまだその段階には至っていないと彼女は考えています。 彼女が話を聞いた多くの組織は、常に人間が関与し続けることを約束しており、AIの分析結果を絶えず検証するためのフィードバック体制を義務付けてさえいます。 その結果、彼女は、少なくとも当面の間は、AIが主導するサイバーセキュリティというよりは、AIが支援するサイバーセキュリティに焦点が当てられると見ています。
実行するのではなく、単に提案を行うだけのAIアシスタントであっても、依然として投資対効果が見込めます。 「AIは、経験の浅いアナリストに対して指針や提言を提供することで支援し、それによって従業員のスキル向上やチーム全体のパフォーマンス向上に寄与しています」と、ISACAのカーマイケル氏は述べています。 AIのように急速に進化し、業界に大きな変革をもたらす技術においては、企業は一気に突き進む前に、ゆっくりと慎重な一歩を踏み出すことが望ましいでしょう。
