.jpg)
組織が情報漏洩の危機に瀕しているときは、一歩引いてその意味を冷静に見極め、漏洩を食い止めるための最善の対策を講じましょう。
攻撃者がどのような手段で侵入したかに関わらず、いったん侵入に成功すれば、目的を達成するために時間を要します。具体的には、ランサムウェアの展開、権限の昇格、あるいは機密データにアクセスするための横方向の移動などが挙げられます。しかし、ここに問題があります：
【注意喚起】攻撃者は、以前ほど多くの時間を必要としなくなっています。
今日のAI主導の企業環境において、攻撃は緩やかでも直線的でもありません。攻撃はマシンの速度で進行し、わずか数分でID、クラウド、SaaS、ネットワーク環境を横断します。攻撃者は有効な認証情報を使用し、動作を自動化し、通常の動作に溶け込みます。同時に、環境そのものも変化しています。サービスアカウント、API、ワークロード、AIエージェントといった非人間的なIDは、今や人間ユーザーを上回る数となり、システム全体で継続的に稼働しています。
つまり：
- 監視すべきIDの追加
- さらに調査すべき活動
- 検知から対応までの時間が短縮される
つまり、システムに留まる時間は短縮されているものの、攻撃を調査し阻止するための時間は、それ以上に急速に短くなっているのです。
この変化に対応するため、SOCチームは調査と対応の方法を再考する必要があります。AIがこれら両方のプロセスを加速させる4つの方法をご紹介します。
AIを活用してアラートの精度を高め、誤検知を最小限に抑える
SOCにはノイズを追いかける余裕はない。
しかし、現代の環境では、ノイズが至る所に存在しており、特に人間や非人間的なエンティティ間でのID関連の活動が増加するにつれて、その傾向は顕著になっています。従来のツールは、個別のイベントに基づいてアラートを生成するため、真のリスクを判断するのに十分な文脈情報が得られないことがよくあります。
AIは、複数のID、システム、およびドメインにわたる行動を分析し、通常の活動と攻撃者の行動を区別することで、この状況を変化させます。
攻撃者がますます以下のような行動を取るようになっているため、これは特に重要です：
- 有効な認証情報を使用してください
- 複数の環境で運用する
- 正規のユーザーおよびシステムの動作を模倣する
AIはアラートの精度を高め、誤検知を減らすことで、SOCチームが重要な事象に即座に注力できるようにし、調査時間を短縮して対応を迅速化します。
AIを活用して調査を加速させ、背景情報を補完する
調査の段階で、最も多くの時間が費やされることが多い。
従来、アナリストはログ、ID管理システム、クラウドプラットフォーム、ネットワークテレメトリなど、複数のツールから手作業でデータを収集し、何が起きたのかを推測しなければなりませんでした。このプロセスには数時間、場合によっては数日かかることもあります。しかし、現代の攻撃は待ってはくれません。
AIは、以下の方法でこうした作業の多くを自動化することができます：
- ID、ネットワーク、クラウドにわたるアクティビティの相関分析
- ユーザー、デバイス、および行動に関するコンテキストをイベントに付加する
- 攻撃ライフサイクル全体におけるアクティビティの関連性を明らかにする
これは、あらゆる活動においてアイデンティティが共通の要素となる環境において、特に重要です。アナリストは、個別のアラートを分析するのではなく、攻撃者の行動を包括的に把握することで、より迅速に調査を行い、確信を持って対応することが可能になります。
IDと環境を横断した脅威ハンティングの自動化
脅威ハンティングは不可欠ですが、多くの場合、時間がかかり、規模の拡大が困難です。今日の環境では、攻撃者は、従来の認証パターンに従わない非人間的なIDを含め、侵害されたIDを利用して、すでにネットワーク内部で活動している可能性があります。
AIは、行動を継続的に分析し、以下のような隠れた脅威を早期に発見することで役立ちます：
- 通常とは異なるIDの使用
- システム間の横方向の移動
- 機密データへの不審なアクセスパターン
手動による検知だけに頼るのではなく、AIを活用することで継続的かつ能動的な検知が可能となり、脅威が深刻化する前に発見できるようになります。AIを活用した攻撃が加速する中、これは極めて重要です。攻撃者の動きが速くなるほど、被害が及ぶ前に早期に発見することが重要になってきます。
AIを活用して、高リスクな脅威を検知、評価、優先順位付けする
SOCにおける最大の課題の一つは、どこに注力すべきかを判断することです。複数のツールから数千件ものアラートが発信される中、リスクの低い活動を調査することに時間を費やしてしまい、真の脅威を見逃してしまうことは容易に起こり得ます。
AIは以下の方法でこの問題の解決を支援します：
- 行動とリスクに基づく脅威の評価
- 現在攻撃を受けているIDと資産を優先的に処理する
- 攻撃者の進行を示す活動を強調表示する
アイデンティティの拡散が進むにつれ、この点はさらに重要性を増しています。人間および非人間のアイデンティティがより多く関与する中で、優先順位付けを行うことで、チームは最も重要なエンティティに注力できるようになります。
その結果、意思決定、調査、対応のスピードが向上しました。
結論：迅速な対応は、迅速な理解から始まる
SOCごとに状況は異なりますが、直面する課題は同じです。攻撃者の動きはますます速くなり、環境はより複雑化しています。また、アイデンティティの数も増え続けています。そして、AIはこの両方の動きを加速させているのです。
調査と対応を迅速化するには、単にツールを増やすだけでは不十分です。重要なのは、以下の点です：
- 騒音の低減
- 相関関係の自動化
- アイデンティティやシステムを越えた行動の理解
- 重要なことを優先する
今日の脅威環境において、時間は単に重要というだけではありません。それは、攻撃を阻止できるか、それとも侵害への対応を迫られるかの分かれ目となるのです。
AIがSOCの効率化にどのように役立つかをご覧ください：https://www.vectra.ai/products/platform-demo-videos