AIエージェントでインシデント対応を改善する

セキュリティチームは脅威の発見に長けています。難しいのは、それに素早く対処することです。

セキュリティチームは長年にわたり、脅威検出の専門性を磨いてきました。しかし、組織内に点在する多数のデバイスから何万件ものアラートが押し寄せるため、本物の脅威を見極めて適切に対処することが難しくなっていると、ServiceNowのシニア・テクニカル・プロダクト・マーケティング・マネージャーであるMike Plavin氏は指摘します。

脅威を検出するだけでは不十分です。監査可能な対応記録を残しながら、修復にかかる対応時間を短縮しなければなりません。そこでAIが力を発揮します。

アラート対応時間の短縮

時計の針はアラートが発報した瞬間に動き出しますが、手作業のプロセスでは重大インシデントの優先順位付けも対応も遅れてしまいます。優先順位付けにAIを活用することは、対応にAIを活用することと同じくらい重要です。アラートのトリアージ、コンテキストの収集、チケットのルーティング、関係者への通知、すべての対応の記録といった作業は、アナリストの時間を食いつぶす単なる雑務であるだけではありません。チームが正しいインシデントに注力し、適切な対応を取るためにも欠かせない作業です。さらに厄介なことに、気難しいプレイブックの細部に気を配り続けることでアナリストは燃え尽きやすくなり、本当に専門知識が求められる判断にも悪影響が及びます。

インシデントが危機的事態へと拡大すると、データとチームがサイロ化しているために、遅れが問題をさらに悪化させかねません。検知は一つのスタックに存在し、対応は別のチームが担当し、セキュリティ、IT、リスク管理などのチーム（人事、法務、OT運用部門など）との連携は、画面の切り替えやメールに頼ることになるからです。

手作業による遅延は、脅威を増幅させる要因に

手作業のプロセスが生む遅延は、瞬く間に膨れ上がります。「アラートの発報後に生じる最も重大な遅延は、アラートが真陽性と判断されてから解決に至るまでの空白期間です」とPlavin氏は語ります。

脅威の検出から修復までの間に無駄にした1分1秒が、横展開やデータ流出の範囲を広げ、被害の影響範囲を拡大させかねません。

数多くの修復タスクに対処する手段として登場したのが、SOAR（セキュリティのオーケストレーション、自動化、対応）です。しかし、ルールベースの自動化はAIとは異なります。単純な「if-then」の命令は実行できても、SOARは推論や適応、未知の状況への対処を苦手としています。脅威が定型パターンから外れると、アナリストが介入して次の手を判断し、そのギャップを手作業で埋めなければなりません。

こうした状況は変えられます。そのカギを握るのが、エージェント型インシデント対応（AIR）です。

エージェント型インシデント対応にできること

優先順位付けと修復にかかる時間を短縮するため、エージェント型インシデント対応は、押し寄せる脅威を選別して本物を特定し、リスクのコンテキストを素早く付与します。これにより、アナリストはどれから対処すべきかを把握できます。

AIRのシナリオでは、すべてのアラートがゼロタッチのアラートトリアージ用ワークスペースに送られ、サードパーティ製のAI SOCツールがアナリストの目に触れる前に誤検知を排除します。さらに、真陽性がセキュリティインシデントに格上げされると、AIエージェントがそれらをトリアージします。コンテキストの付与、リスクスコアリング、優先順位付けに加え、プレイブックの手順の実行、対応の記録、チーム横断の対応の調整まで自動で行います。

アーキテクチャにはガードレール、承認ゲート、監査証跡が組み込まれており、AIエージェントが従うべき明確なルールを定めつつ、人間が関与し続ける体制を維持します。重大な結果を招きかねない脅威には、引き続きアナリストが対処します。

AIRは、干し草の山の中から戦略的に脅威をかき分け、アナリストが対応すべきものを優先づけることで、修復を事後対応ではなく先手の対応へと変えます。

コンテキストが修復対応にインテリジェンスをもたらす

より良い成果は、脅威への反応が速いというだけで得られるものではありません。コンテキストを加えることで、修復はより賢いものになります。「コンテキストはビジネス上の重要度を加えるもので、これはサイバーセキュリティで最も重要な要素の一つです」とPlavin氏は言います。「悪いことが起きたというだけでは足りません。誰が、あるいは何が被害を受けたのか、そしてその対象がほかに何へアクセスできるのかが重要なのです」

ITからOT、IoTへと領域が広がり、攻撃対象領域が拡大していることを踏まえると、このアプローチは特に重要です。さらに悪いことに、OT環境は独自の通信プロトコルやリスク許容度、規制要件を持ち、ITとは異なるルールで動いています。

AIRは、ID・権限データ、脅威インテリジェンス、過去のインシデントデータ、CMDB由来のアセットコンテキスト、産業環境向けのOT固有のシグナルから、アセットのコンテキストを付与します。広大なIT・OT環境では、コンテキストを理解することがすべてです。

成功の姿とは

脅威の量が増えるなか、セキュリティアナリストを増員しても根本的な問題は解決しません。修復には手作業の手順が多すぎて、専門知識が無駄になっているからです。AIRを導入したチームは、人員を増やさなくても、大規模な脅威の修復をより効率的かつ巧みにこなせるようになります。その一方で、セキュリティアナリストはより先手を打つ重要なサイバーセキュリティ施策に集中できます。

したがって、エージェント型インシデント対応プログラムの成功は、トリアージと封じ込めにかかる時間の短縮や、アナリストの業務が定型的なオーケストレーション作業から判断へと移行したかどうかで測られます。

AIRの価値

正当と確認された脅威への初期対応の多くは、標準化されたプレイブックに沿って進みます。こうしたタスクを手作業で一つずつ確認していては時間がかかり、対応が遅れます。さらに悪いことに、セキュリティチームにとって最も貴重なリソースの一つであるアナリストの専門知識を浪費してしまいます。AIRを適切に導入すれば、本物の脅威をより迅速に封じ込められ、アナリストの燃え尽きも減り、脅威の検出から修復、クローズに至るまでの包括的な監査証跡も得られます。

エージェント型インシデント対応は、サイバーセキュリティにおける「いいとこ取り」のアプローチです。ワークフローはAIが担い、判断はアナリストが担います。

ServiceNowの エージェント型インシデント対応ソリューションをご覧ください。