Abstractは、エージェント型SIEMに新たなAI SOC機能を追加したと発表しました。調査・ハント・トリアージの各機能は、Abstract独自に学習・チューニングしたモデルと最先端の基盤モデルを組み合わせて動作します。さらに、検知ルールに直接アクションを割り当てられるSOAR対応機能も加わりました。これらの機能は、セキュリティデータをストリーム上で収集・ルーティング・検知する既存のプラットフォームに組み込まれています。
セキュリティチームは、マシンの速度で進行するエージェント型攻撃に直面しています。一方で自社のツール群では、対応処理がパイプラインベンダー、SIEM、SOAR、脅威インテリジェンスフィード、後付けのAIトリアージに分散しています。数十社のAI SOCベンダーが他社のアラートの上で動作するエージェントを販売していますが、結果として契約がもう一つ増えるだけです。
Abstractは、一連のループ全体を単一のプラットフォームで実行します。400以上の連携がリアルタイムで動作するストリーミング検知にデータを供給し、検知はデータが格納される前に行われます。検出結果はエンティティベースのインサイトに統合されます。SIEM自体も同じデータプレーン上で、調査・分類・対応を行うようになりました。
SOCに後付けされたAIの多くは、アラートを確認するたびに、同じアラートをゼロから再エンリッチしています。Abstractのパイプラインは、アラートが発報される前にデータをAI対応にするエンタープライズ・コンテキストレイヤーを構築します。イベントはストリーム上で正規化され、アイデンティティ、脅威インテリジェンス、アセットのコンテキストでエンリッチされます。この正規化によって、AIは必要とするセキュリティのセマンティックレイヤーを得られます。たとえば「src」というフィールドが、データの送信元なのか、接続を開始したホストなのか、別のソースが指す内部ホストなのかを取り違えることはありません。あらゆる調査は、プラットフォームがすでに信頼しているコンテキストから始まります。
エージェント型SIEMは、キュー内のすべてのアラートを処理します。これまでは放置されて期限切れになったり、キューを回すために一括でクローズされたりしていたアラートにも、証拠を添付した調査が行われるようになります。アナリストは生のアラートではなく、調査の結論をレビューします。
AbstractのCEOであるColby DeRodeff（Colby DeRodeff）氏は次のように述べています。「攻撃者はAIを使っており、最初のシグナルから実害が出るまでの猶予は縮まり続けています。お客様の問いはシンプルです。何に対処し、何を止めたのか。その証拠を見られるのか、ということです」
「当社のモデルは、調査をより速く、より正確にするために存在します。SOCに後付けされたAIは、調査時にすべてのアラートをゼロからエンリッチします。当社のモデルは、プラットフォーム内にすでにあるアイデンティティ、脅威インテリジェンス、アセットのコンテキストから出発します。当社のセキュリティ研究者の専門知識はモデルに宿り、そのモデルはプラットフォームに組み込まれ、プラットフォームがキュー内のすべてのアラートを処理します。これこそが、当社が提供するものです」
新機能は、セキュリティ運用のループ全体にわたります。
- 調査とトリアージ：Abstract独自に学習・チューニングしたプロプライエタリモデルと、最先端の基盤モデルを組み合わせて実行します。脅威リサーチチームのASTROがAbstractのモデルを学習させ、実環境で得た知見をプラットフォームのAIに反映します。これにより、チームが現場で追跡している最新の脅威に調査を対応させ続けます。
- リアルタイム分類：Abstractのモデルはトリアージの判断をリアルタイムで返します。ストリームの速度で分析を進め、アクティビティが進行中のうちに対応アクションへつなげます。
- 脅威ハンティング：検知や調査と同じデータプレーン上で実行します。対象は、プラットフォームをすでに流れているアイデンティティ、クラウド、エンドポイント、SaaS、ネットワークの各データです。
- SOAR機能：自動応答をプラットフォームに組み込み、検知が一致した瞬間に、封じ込め、エンリッチメント、通知のアクションを実行します。
- Astroが実行する調査：脅威インテリジェンスの検知、エンドポイントエージェントの分析、内部脅威リスクの分析、フィッシングや不審メールのトリアージ、クラウド攻撃の分析などがあります。
大手医療保険会社のセキュリティ運用ディレクターは、次のように話しています。「当社のアナリストは、日々、正常なものが正常であることを確認する作業に追われていました。今ではAbstractの調査が、証拠を示したうえでキュー全体にこの確認作業を行ってくれます。チームは、人間が対応すべきごく少数の案件に時間を割けるようになりました」
オープンなインターネットで学習した基盤モデルは、幅広い知識を持つ一方で、検証されていない自信も併せ持ちます。これに対しAbstractのモデルは、あらゆる評価をASTROチームが検証した脅威の専門知識に基づかせています。そのため判定は、攻撃が公開記事でどう書かれているかではなく、実際にどう展開するかを反映します。基盤モデルは、対応が必要な案件の高度な推論を担い、証拠の追跡記録はすべて保持されます。
グローバル金融サービス組織のCISOは、こう述べています。「Abstractのエージェント型SIEMにアップグレードしたことで、SOCワークフローの60％以上を自動化できました。レベル1のトリアージは100％自動化しています」
AbstractのチーフレベニューオフィサーであるJon Eller（Jon Eller）氏は、次のように語ります。「SIEM契約の多くは、SOCチームが手を切りたいと思う悪い関係ですが、よく言うように『事情は複雑』です。データは従量課金になり、請求額は増え、マシンが処理できるはずのアラートがアナリストを何時間も待っています」
「Abstractは、パイプライン、検知、データレイク、SIEM、そして今回の調査まで、業務をエンドツーエンドでカバーします。今後の100社のお客様には、乗り換えを簡単にします。現在のSIEMの請求書をお送りください。それを下回る金額をご提示し、3年間価格を固定したうえで、契約前に30日間の本番運用をお試しいただけます」
