あらゆるセキュリティオペレーションセンター（SOC）が正しく行うべきことは2つある。環境全体で何が起きているかを可視化することと、その可視化を実現した後にアナリストが下す判断の質だ。脅威インテリジェンスは、この2つをつなぐ。
優れたインテリジェンスは、チームに何を探すべきかを伝えることで可視性を高める。そこには、その環境で重要となる挙動、指標、パターンなどが含まれ、脅威を検知可能にする。また、何かが無害なのか、エスカレーションに値するのかを迅速かつ確信を持って判断するために必要なコンテキストをアナリストに与え、意思決定の精度も高める。
問題は、ほとんどの組織が、インテリジェンスが届く速度と量に応じて、それを運用に落とし込めないことだ。
そうなると、双方のメリットが同時に損なわれる。正規化、コンテキスト付与、組織の環境へのマッピングが行われていないフィードは、アナリストが行動に移せる情報をほとんど与えないため、可視性は実際に使える状態にされたインテリジェンスの範囲に狭まる。その結果、調査に関する判断もコンテキストではなく勘に頼って下されるようになる。
多くの組織では、インテリジェンスを収集することではなく、運用に落とし込むことが、プログラムが最も行き詰まりやすい部分だ。
ほとんどのインテリジェンスは、新たな検知をトリガーするためのものではない
あるセキュリティオペレーションセンター（SOC）のチームに、脅威インテリジェンスの何パーセントが実際の行動につながっているかを尋ねても、「行動につながる」の意味次第で答えは変わる。
脅威インテリジェンスの大半は、必ずしもまったく新しい検知をトリガーするためではなく、意思決定に役立てるために存在する。ある指標がアラートを発し、アナリストが周辺のインテリジェンスを使ってその活動が無害だと判断したなら、そのインテリジェンスは役割を果たしたことになる。誤検知を迅速かつ正確にクローズすることも、1つの行動だ。
残りのインテリジェンスは単に捨てられるわけではない。検知、エンリッチメント、ウォッチリストの一部となり、トラフィックやアーティファクトが最終的に一致したときにコンテキストを提供できる状態で待機する。中には一度も関連性を持たないまま、時間の経過とともに古くなって廃止されるインテリジェンスもある。脅威インテリジェンスには有効期間があるため、これは想定内のことだ。
インテリジェンスの一部は直接的な行動を促す一方、はるかに大きな部分は、より迅速で確信度の高い意思決定に役立つ。残りは関連性を持つか、有効期限が切れるまで待機する。これらはいずれも、プログラムがインテリジェンスを活用できていないことを示すものではない。機能しているインテリジェンスプログラムとは、まさにこのようなものだ。
カバレッジのギャップがアナリストより上の誰かに届くことはめったにない
SOCアナリストは、量を処理しきれないため、ルールを無効化したり、フィードの優先度を下げたりすることが日常的にある。キューを処理可能な状態に保つため、ノイズの多いルールはミュートされる。さらに多くの場合、ベンダーやコミュニティのルールセットには、チームに実施する時間のないチューニングや検証を必要とする検知が含まれているため、そもそもルールが有効化されない。
アナリストが使える時間には限りがあり、大量のアラートをさばくことが、キューを管理可能な状態に保つ唯一の方法である場合も多い。
しかし本当のリスクは、単にアラートが生成されていることではない。カバレッジに関する判断がアナリストのレベルで行われ、経営陣が、何を、なぜ抑制したのか、その結果どのような可視性が失われたのかを知る機会を持てない可能性があることだ。これは危険な断絶を生む。組織は広範な検知カバレッジを確保していると考えていても、実際には把握も定量化も見直しもできないギャップを抱えたまま運用しているかもしれない。
関連性のあるインテリジェンスは、別の角度からこのギャップを埋めるのに役立つ。トリアージに供給されるインテリジェンスが組織の実際の環境と結び付いていれば、アナリストは広範な抑制に頼るのではなく、より確信を持ってノイズを切り離せる。そのコンテキストなしにノイズの多いルールをミュートすると、そのルールが生成していたはずの検知まで組織が失う可能性がある。
より優れたインテリジェンスは、ノイズと意味のあるカバレッジを区別するためのコンテキストをアナリストに与える。それにより、不要なアラートを減らし、重要な検知を維持し、現実に起きている可能性の高い脅威に時間を集中できる。結果として、無差別な抑制が減り、環境で実際に重要なものに基づく、より的を絞ったチューニングが可能になる。
AIを追加する前に、プロセスと自動化を整える
AIを追加する前に、ほとんどのSOCチームが整えるべき基本は2つある。プロセスと自動化だ。
- 関連性の高いインテリジェンスを優先する。ツールがインテリジェンスに対して処理を行う前に、実際の資産、ユーザー、攻撃対象領域に照らしてフィルタリングすれば、分析を始める前にノイズの多くを排除できる。
- 再現可能なプロセスを確立する。これは、関連性のあるインテリジェンスを検知、ハンティング、調査へと変換し、それを実行するために必要な時間を確保するためのものだ。
- 反復的なタスクを自動化する。エンリッチメント、照会、相関分析には自動化を使い、人間の判断を必要とする意思決定にアナリストが集中できるようにする。
- インテリジェンスを既存のワークフローに統合する。アナリストが確認する時間を取れない可能性のある別個のレポートに残すのではなく、アラートや調査の中に関連するコンテキストを直接組み込む。
しかし課題は、こうした実践を導入することだけではない。それらを日々のSOC運用に一貫して組み込み続けることにある。
ここで多くのチームがつまずく。インテリジェンスを収集して読んではいるものの、その作業がその週に発生した緊急案件に押し出され続けるため、一貫して運用に落とし込むことができない。再現可能なプロセスがなければ、質の高いインテリジェンスでさえ、運用能力になることなく単なる情報にとどまる。
配置も重要だ。インテリジェンスは、インシデント対応中に誰も開く時間のないレポートに置くのではなく、意思決定が行われるアラートや調査のワークフロー内でアナリストに届く必要がある。
プロセスと自動化を正しく整えれば、SOCは大量のデータに溺れるのではなく、量に合わせて拡張できる。その基盤によって、AIの価値も高まる。
エージェント型の機能は、現在も多くの人手を必要とする、曖昧で大量のシグナルを処理することで、その拡張性をさらに高められる。ただし、プロセスが弱く、ノイズが過剰で、自動化に一貫性のないSOCにエージェントを追加しても、根本的な問題は解決しない点に注意が必要だ。それどころか、問題を加速させる可能性がある。
より良いアプローチは、最初からエージェント型に対応できるSOCを構築することだ。まず関連性のあるインテリジェンス、再現可能なプロセス、効果的な自動化を確立する。そのうえでAIを使えば、壊れたシステムの修復を求めるのではなく、機能しているシステムをより高速で、拡張性が高く、能力の高いものにできる。
すでに手元にあるものから始める
SOCにAIを導入しようと急ぐあまり、組織がすでに手の届くところに持つインテリジェンス、プロセス、自動化から目をそらしてはならない。AIは、セキュリティチームが把握できる範囲と対応速度を大幅に拡張できるが、その価値は下支えする基盤にかかっている。
エージェント型セキュリティの恩恵を受けるには、組織はまず、既存のインテリジェンスを実行可能にし、プロセスを再現可能にし、自動化を効果的なものにしなければならない。SOCの未来はAI主導になるかもしれないが、そこへ至る道は、すでに手元にあるものをより有効に活用することから始まる。
関連記事：AIエージェントにおける間接的なプロンプトインジェクションに関する14モデルの研究では、AIエージェントが信頼できないコンテンツを処理する方法によって攻撃の成功率が変わり得ることを明らかにし、導入前に厳格なセキュリティテストを行う必要性を浮き彫りにしている。