人員の限られたSOC(セキュリティオペレーションセンター)チームでも、説明可能なAIとエージェンティックAIを活用すれば、アラート疲れを軽減し、アナリストの専門知識をチーム全体に広げ、調査作業を自動化し、セキュリティ運用を改善できます。
eSecurity Planet のコンテンツおよび製品に関する推奨事項は、編集上の独立性を保っています。パートナーへのリンクをクリックいただくことで、当社に収益が発生する場合があります。 詳細はこちら
人員の限られたセキュリティオペレーションセンター(SOC)チームの多くは、すべてのセキュリティアラートを調査するのに十分なアナリストを抱えていません。AIの普及によってこの問題はさらに深刻化しており、ハイブリッド環境や非人間アイデンティティ(NHI)が複雑さに拍車をかけています。セキュリティチームは、どこに注意を払うべきか、何を自動化できるか、限られた専門知識をどこに投じるべきかを判断しながらトリアージを行わなければなりません。
組織の約60%が、現在の脅威に対抗するために必要なスキルが自社チームに不足していると回答しており、27%は人材のスキル格差に直接関連する侵害を実際に経験したと報告しています。この問題への答えは、単に専門家を増員することではありません。多くの組織にとって、それは財政的に現実的でも、運用面で持続可能でもないからです。
より実践的なアプローチは、専門知識がチーム全体に行き渡るようSOCのワークフローを再設計することです。エージェンティックAIは、人員の限られたSOCチームがアナリストの専門知識をチーム全体に広げる助けとなります。反復的な調査作業を減らし、人員を増やすことなくセキュリティ業務の処理能力を高めることができるのです。重要なのは、アナリストが自力でより多くの調査をこなせるよう、必要な文脈と支援を与えることです。
人員の限られたSOCチームへの要点
- 専門知識のギャップを埋める: 組織の60%がセキュリティスキルのギャップを報告する中、文書化されたワークフローとAIによるガイダンスが助けとなる。
- 実際の脅威を優先する: セキュリティチームの73%が誤検知(フォールスポジティブ)を検知面での最大の課題に挙げる中、リスクベースの文脈情報が役立つ。
- 反復作業を自動化する: セキュリティ専門家の88%がAI支援ワークフローによる効率向上を報告しており、エージェンティックAIは処理能力を高められる。
- ベテランの専門知識をチーム全体に広げる: 実践者の63%がバーンアウトを、80%超が業務量の増加を報告する中、ガイド付きプレイブックがボトルネックの軽減につながる。
人員を増やさずにSOCの専門知識ギャップを埋める
同じベテランアナリストがあらゆる調査に駆り出され続ける状況が、スキルギャップの問題をさらに大きくしています。
例えば、クラウドアカウントで不審な活動が検知されたアラートがあったとします。経験豊富なアナリストであれば、どのAWS CloudTrailイベントを確認すべきか、通常のベースラインと比べてどのような認証活動が不審に見えるか、他にどのユーザー・システム・イベントを確認すべきかを心得ています。一方、経験の浅いアナリストは、こうした情報をつなぎ合わせるのに長い時間を要したり、次にどの証拠を確認すべきか分からず単に案件をエスカレーションしてしまったりすることがあります。
文書化された調査ワークフローは、こうしたギャップを埋める助けとなります。すべての調査手順をアナリスト個人の知識に頼るのではなく、不審な認証、権限昇格、エンドポイント侵害、異常なクラウド活動といった一般的なシナリオについて、経験豊富なアナリストがどのように対処しているかをチームとして記録しておくことができます。
AIは関連するテレメトリをまとめ、注視すべき点を提示することで、アナリストの下調べの負担を軽減できます。人員の限られたSOCチームにとって、これは不要なエスカレーションを減らし、経験の浅いアナリストが自力で調査を前進させるために必要な材料をより多く与えることにつながります。
ここでの目標は、経験の浅いアナリストをベテランアナリストのように働かせることや、AIで経験豊富な人材を置き換えることではなく、チームが持つ既存の知識をより多くの調査に適用しやすくすることです。
SOCマネージャーは、次の3つの実践的なステップから始めるとよいでしょう。
- ベテランアナリストの関与を最も頻繁に必要とする調査を特定する。
- 経験豊富なアナリストが何を確認し、何を根拠に判断を下しているかを文書化する。
- そのワークフローを使って経験の浅いアナリストを育成し、今後の調査の指針とする。
まずは、ベテランアナリストの時間を最も消費している調査から着手しましょう。SOCが遭遇しうるあらゆるシナリオを網羅的に文書化しようとするより、ボトルネックを軽減する上で最も大きな効果が見込めるはずです。
調査に取りかかる前に、SOCアナリストへより多くの文脈情報を与える
アラートの深刻度だけでは、そのイベントがどれほどのリスクをはらんでいるかは分かりません。テストシステムでの高深刻度アラートよりも、本番システムにアクセスする特権アカウントに関連する複数の低深刻度シグナルの方が、緊急性が高い場合もあります。
問題は、アナリストがこうした文脈情報を自力でつなぎ合わせなければならないケースが多く、時間がかかる上に、実際の脅威とノイズを見分けにくくなってしまうことです。セキュリティチームの73%が誤検知とアラートノイズを検知面での最大の課題に挙げていることを考えれば、この点は重要です。検知数を増やすだけでは、アナリストが選別すべきアラートノイズが増えるだけで、セキュリティの向上にはつながりません。
優先順位付けでは、関与するユーザーやエンティティ、影響を受ける資産の重要度、過去の挙動、関連する活動など、アラートを取り巻く文脈情報を考慮すべきです。
筆者が医療機関のインシデントレスポンスに携わっていた際、電子カルテ(EHR)への数回のログイン失敗は、当初は低リスクの事象に見えました。しかし、そのアカウントが異常な件数の患者記録にアクセスしていることに気づきました。アクセスを遮断して調査したところ、その看護師が休暇中に、権限のない何者かがアカウントを侵害していたことが確認されました。
とはいえ、アナリストがリスクを理解するためにこうしたシグナルを手作業でつなぎ合わせる必要はないはずです。説明可能なAIは関連する活動を相関付け、その調査がなぜ優先されるべきかを示す証拠を浮かび上がらせる助けとなります。
リスクスコアが高くても、それが何に基づいて算出されたのかをアナリストが確認できなければ意味がありません。推奨事項を検証し、次に何をすべきか判断するには、十分な証拠が必要です。人員の限られたSOCチームにとって、こうした文脈情報を早い段階で提示することは、誤検知の追跡に費やす時間を減らし、経験の浅いアナリストが即座にエスカレーションせずに案件を前進させる助けとなります。
アナリストは案件を開いた際、次の3つの問いに素早く答えられるべきです。
- 何が起きたのか?
- なぜそれが重要なのか?
- その結論を裏付ける証拠は何か?
エージェンティックAIで自動化すべきは調査作業であり、アナリストの判断ではない
自動化はアナリストから反復的な作業を取り除くべきものであり、意思決定からアナリストを排除するものであってはなりません。SOCチームが調査にエージェンティックAIを使い始めるほど、人間がループ内にとどまることの重要性はむしろ増していきます。サイバーセキュリティ専門家の約88%が、AI支援のセキュリティワークフローによって測定可能な効率向上を報告しており、これは人員の限られたチームがアナリストを増やすことなく調査対応力を高める助けとなります。
着手すべきは、反復的で監査しやすい作業からです。AIエージェントは、関連イベントを抽出し、ユーザーと資産を相関付け、過去の挙動と照合し、環境内の他の場所で類似の活動がないか確認し、その結果を要約できます。これにより、アナリストはより良い出発点を得られます。調査の序盤を複数のソースから証拠を集めることに費やす代わりに、その時間を、活動が悪意あるものかどうか、そしてどう対処すべきかの判断に充てられるのです。
AIエージェントには依然として明確なガードレールが必要です。証拠収集、エンリッチメント、相関分析、要約といった作業は、自動化を進める良い候補です。一方、アカウントの無効化、エンドポイントの隔離、クラウド設定の変更など、本番環境に支障をきたしかねない措置については、自動対応に関する明確な手順を組織が確立していない限り、一般的にはアナリストの承認を必要とすべきです。
チームはまた、AIが何を行ったかの記録も必要とします。AIがどの証拠を確認し、どのように結論に至り、どのような措置を推奨または実行したかを、アナリストが把握できるようにすべきです。AIがどのインシデントを優先的に調査するか、あるいはSOCがどう対応するかに影響を与えるようになるにつれ、こうした可視性はますます重要になります。
目指すべきは、SOCを完全に自律運用させることではなく、調査の下調べを自動化することで、アナリストが証拠を評価し、人間の判断を要する意思決定を下すための時間を増やすことです。
ベテランSOCの専門知識を再現可能な調査ワークフローに落とし込む
多くのSOCでは、一握りの経験豊富なアナリストの中に知識が偏在しています。彼らは、どのアラートが通常無害か、どの活動の組み合わせが精査に値するか、いつエスカレーションが必要かを心得ています。
これは、他の全員が調査を前進させるためにその同じアナリストに頼らざるを得ない状況になると問題になります。調査は遅くなり、判断にばらつきが生じ、ベテラン人材が本来その経験を必要とする業務から引き離されてしまいます。こうした依存状態は、経験豊富なアナリストを日常的なエスカレーション対応に繰り返し駆り出すことで、サイバーセキュリティのバーンアウトを助長する可能性もあります。
その圧力はすでに表面化しています。セキュリティ実践者の少なくとも63%が何らかのバーンアウトを報告し、80%超が業務量の増加を訴えており、人員の限られたチームにとってSOCの成熟度ギャップへの対処はますます難しくなっています。
この依存状態を軽減する一つの方法は、経験豊富なアナリストが実際に一般的なインシデントをどう調査しているかを記録することです。何が深掘り調査の引き金となるのか、どの証拠を確認するのか、無害な活動を除外する根拠は何か、いつエスカレーションするのかを文書化しましょう。有用なプレイブックとは、単にどのツールを開くべきかを指示するものではなく、アナリストが調査の道筋を自ら考えられるよう導くものであるべきです。
これは大規模な文書化プロジェクトにする必要はありません。まずは繰り返しベテランアナリストの手に渡ってしまう調査から着手し、彼らがどう対処しているかを記録します。そのうえで、今後の調査やインシデントから得られる知見をもとにプレイブックを更新していきましょう。
エージェンティックAIは、実際の調査の場面でこうしたプレイブックの有用性をさらに高められます。エージェントは事前に定義された手順に従い、プレイブックが求める証拠を収集できます。説明可能な出力により、アナリストは何が確認され、なぜフラグが立てられたのかの記録を得られます。
人員の限られたチームにとって、そのメリットは明快です。ベテランアナリストは、毎回同じ調査を一から誰かに教える代わりに、自らの手法を一度共有すればよくなります。これにより、経験の浅いアナリストにはより多くの自律性が、ベテランアナリストには専門知識を要する案件に充てる時間がそれぞれ生まれます。
SOCの自動化が実際にアナリストの時間を節約しているかを測定する
タスクを多く自動化したからといって、必ずしもSOCの効率が上がるわけではありません。重要なのは、調査の質を犠牲にすることなく、自動化がアナリストに時間を取り戻させているかどうかです。SOCのリーダーは、証拠取得までの時間、誤検知率、検知カバレッジ、エスカレーションの正確性、トリアージとより付加価値の高いセキュリティ業務それぞれにアナリストの時間がどれだけ振り分けられているか、といった指標に注目すべきです。
証拠取得までの時間は、情報の収集と相関分析が調査の大部分を占めることが多いため、有用な指標です。1シフトの間に20件から30件のイベントを手作業で相関分析すると、アナリストの作業時間として5時間から10時間を要することもあります。その半分でも短縮できれば、3人体制のチームで年間およそ900アナリスト時間を取り戻せる計算になります。これは、チームがより有効に活用できる時間です。
自動化を導入する前にベースラインを設定し、その後の変化を測定しましょう。調査が速くなること自体は良い兆候ですが、誤ったエスカレーションが増えたり、アナリストが依然として分断されたシステムから証拠をかき集めるのに何時間も費やしていたりするなら、話は別です。
取り戻した時間がどこに使われているかにも注目しましょう。アナリストがその時間を脅威ハンティング、検知精度の改善、クラウド設定のレビュー、ノイズの多いルールのチューニング、あるいはインシデントレスポンス計画のテストに充てられるのであれば、トリアージで数分節約すること自体にも大きな意味が生まれます。
SOCの自動化は、反復的な調査作業を減らし、アナリストが人間の判断と経験を要するセキュリティ業務に充てられる時間を増やすものであるべきです。
今あるチームで、より強固なSOCを築く
ほとんどのセキュリティチームは、望むだけの人員、専門知識、ツールをすべて手にすることはできません。重視すべきは、すでにある資源からより多くを引き出すことです。アナリストが判断を下すために必要な文脈情報を与え、調査の反復作業を自動化し、ベテランアナリストの知識を記録してチーム全体で活用できるようにしましょう。そのうえで、こうした取り組みが実際に誤検知を減らし、調査を迅速化し、アナリストの時間を取り戻せているかを測定してください。
説明可能なAIとエージェンティックAIは、特に人員の限られたチームにとって助けとなります。しかし、アナリストはそれでも、その技術が何を行っているかを理解し、重要な意思決定の主導権を握り続ける必要があります。AIは経験豊富なアナリストの効果をさらに高め、経験の浅いアナリストがより自律的に働けるようにするためのものであるべきで、SOCが盲目的に信頼せざるを得ないもう一つのシステムになってはなりません。
SOCが効果的に機能するために、完璧なチームは必要ありません。すでに持っている人材、知識、時間をより有効に活用することこそが求められているのです。
再現可能なワークフロー、より充実した文脈情報、そして慎重に適用されたAIの適切な組み合わせがあれば、アナリストは調査の下調べに費やす時間を減らし、真に注意を向けるべき脅威により多くの時間を割けるようになるでしょう。
翻訳元: https://www.esecurityplanet.com/security/the-imperfect-soc/
