セキュリティを支えるテクノロジー　フォーティネットのエキスパートが語る

第10回

AIによる運用自動化は、企業が生き残るための必須条件

属人化、人手不足、アラートだらけ　「FortiSOC」が目指す次世代SOC改革

　大量のアラート、スキルの属人化、人手不足により、企業のセキュリティ運用（SOC）は限界を迎えている。本稿ではフォーティネットジャパンの登坂恒夫氏への取材をもとに、情シスを疲弊させる課題の背景を紐解く。そして、マルチエージェントAIを駆使し、自律的運用を実現するSaaSプラットフォーム「FortiSOC」の真価に迫る。

限界を迎えるセキュリティ運用　アラート地獄と属人化の「負のループ」

　現代のセキュリティ運用において、もっとも深刻な課題となっているのが「運用の複雑化」とそれに伴う「属人化・人手不足」である。

　企業はサイバー攻撃への防御力を高めるために多種多様なベンダーのセキュリティ製品を導入してきたが、ツールの乱立は運用プロセスを複雑にするばかりだ。そのため、現場では特定の製品に詳しい担当者に作業が集中し、組織としての標準化が妨げられている。

　しかし、属人化が進んだ組織において、日々降り注ぐ大量のアラート処理は特定の担当者に重くのしかかる。対応が追いつかずに重要なインシデントが埋もれてしまうリスクが高まるだけでなく、オペレーターの肉体的・精神的な疲労も限界に達してしまう。さらに、日本の企業特有の構造的な問題として、オペレーターのキャリアパスが不透明であることも挙げられる。

「実際の現場で対応している人たちは、ある意味で非常に高度なセキュリティ分析をやっているにも関わらず、企業からは1担当者でしか見られない。いくらスキルを向上しても評価されない。そのギャップが大きくなり、日々の作業に疲弊してくると、辞めていく人も出てくる」（登坂氏）

フォーティネットジャパン Field CISO登坂恒夫氏

　かつて日本でも、自社内にCSIRTやプライベートSOCを立ち上げる気運が高まった時期があった。多くの企業がSIEM（統合ログ管理）製品を導入し、SOCを立ち上げたが、日々のオペレーションを回せる高度な分析人材の育成には困難を極めた。結果、運用ノウハウが外部に流出し、自社にスキルが蓄積されないままアラート対応に追われ続けるという「負のループ」に陥っているのが、現在の情シス部門が直面している偽らざる現実なのである。

なぜ従来のSIEMやSOARでは解決できなかったのか？

　テクノロジーという観点でも、現在のようなAI主導のSOCが登場するまでには、統合型ログ管理システムを中心とした長い試行錯誤の歴史があった。初期のセキュリティ運用は、各セキュリティ機器のログを集めて人間が手動で分析するスタイルであったが、ビッグデータの分析技術の発展により、SIEMを用いた高度な相関分析が可能となった。

　ただ、SIEMはビジネスとしては確立したが、ログベースの分析には決定的な弱点があった。それは「リアルタイム性」の欠如である。膨大なログを収集して分析する手法は、事後の調査にはきわめて有効だが、進行中の攻撃をその場で食い止めることには向いていなかったのだ。

「ログ分析はある意味追っかけです。事後の原因究明とか被害状況の把握で使うのにメリットはあるが、リアルタイムでそれを止められるような仕組みがあるかっていうとそうではない」（登坂氏）

　この課題を解決するために、データレイクをベースにリアルタイムの観測性を提供するEDRが登場し、さらにインシデント対応の自動化を目的としてSOAR（Security Orchestration, Automation and Response）が脚光を浴びるようになった。しかし、SOARの自動対応を行なうためには「プレイブック」と呼ばれる手順書を事前に厳密に定義しておく必要があったからだ。

「SOARはプレイブックがすべて。こういう攻撃があったら対処しましょうっていうルール付けがきちんとできないと自動化が進まない。これって今の生成AIができる前のAIと同じです。ある意味、紙芝居のように決められた台詞がないと進まない時代だった」（登坂氏）

　このように、ルールベースの自動化や過去の柔軟性を欠くAI技術では、複雑化するサイバー攻撃と変化し続けるIT環境に追従することができず、真の運用の自動化には至らなかったのである。

AIが自律的に動く「FortiSOC」がもたらす、次世代のセキュリティ運用

　従来の運用体制や手法が抱えていた限界を打ち破り、次世代のセキュリティ運用を実現するソリューションとしてフォーティネットが提供するのが「FortiSOC」である。FortiSOCは、サードパーティ製品を含めた情報やイベントの統合管理を実現するSIEM、セキュリティオペレーションの自動化を可能にするSOAR、脅威インテリジェンス、振る舞い検知、ITDR（Identity Threat Detection and Response）などが単一のSaaSプラットフォームに統合されている。

複数のサービスをSaaSプラットフォームに統合した「FortiSOC」

　単に複数のツールを寄せ集めた環境では、各製品がそれぞれ独自の基準で脅威レベルを判定するため、オペレーターは何を優先すべきか判断に迷う事態に陥りやすい。その点、FortiSOCでは、プラットフォーム全体で一貫した脅威インテリジェンスが適用されるため、この問題もクリアされる。

「いろんな製品を買収して寄せ集め、統合プラットフォームとして展開する場合、インテリジェンスが統合されていないと、優先度、重要度などのインシデントのレベル感が違ってきます。その点、FortiSOCは、強力なインテリジェンスに基づく一貫した評価基準とAIによる高度な関連付け分析を提供することで、オペレーターの迷いを排除し、迅速かつ的確な対応を可能にします」（登坂氏）

　また、次世代の自律型SOCを構築する上で、提供形態も極めて重要な要素となる。多くの日本企業にとって、複雑化した既存のセキュリティ製品群を自力で統合し、運用体制をゼロから再構築することは現実的ではない。だからこそ、ベンダー側が統合済みのプラットフォームを提供することに大きな意義がある。

「日本の企業さんで言うと、その統合化、ベンダー統合って言った方の製品でも統合化して減らしていくっていう仕組みを自分たちでやるかっていうと、なかなか属人化しててやりづらい。となると、われわれのようなベンダーがそういった統合製品を提供してそれを使ってもらうほうがよい」（登坂氏）

　FortiSOCはクラウドネイティブなSaaSプラットフォームとして展開される。情シス部門にとって、インフラの構築や維持にかかる手間を削減し、導入から本番移行までのリードタイムを大幅に短縮できる。さらに技術的な観点からも、複数のAIエージェントを連携させて動かすマルチエージェントAIのアーキテクチャには、SaaS環境が不可欠である。