.jpeg){kind=logo}
「Vectra AI Pro Platform」のご紹介：信頼性の高い攻撃シグナルにより、セキュリティチームはより迅速に対応し、死角を排除し、攻撃経路を遮断します。
あるアナリストが、金曜日の午後4時40分にアラートを受信した。これまで一度もアクセスしたことのないホストから、あるサービスアカウントが認証されたのだ。
30分後、彼女は6つのタブを開いていた。IDプロバイダー。クラウドコンソール。EDR。SIEM。2023年以来誰も更新していない命名規則を記載したWiki。彼女はまだ調査には着手していない。まだ疑問を整理している最中だ。
彼女がそれに返信できる頃には、そのアカウントはすでに2時間稼働している。
これはツールの問題ではありません。彼女には優れたツールが揃っています。しかし、どのツールも、攻撃者が移動したシステム全体にわたって、何が起こったのかを時系列順に示した、信頼できる一貫した説明を彼女に提供してはいないのです。
手作業で組み立てるのは、もともと大変だった。AIの導入で、その作業に割ける時間が大幅に減ってしまった。
AIは、企業と攻撃者の双方を一変させた
今や、私たちの環境は、ログイン手続きを行わないものによって支えられています。AIアシスタント、AIエージェント、非人間的なアイデンティティなどです。これらの自律的なワークフローは、機械並みの速度で、独自のスケジュールに従って、クラウド、SaaS、オンプレミスシステムへの認証を行っています。
攻撃者側も同様の強化を果たした。Claude Mythosは、運用開始からわずか1か月で1万件以上の高リスクおよび重大な脆弱性を発見した。その数週間後、Hugging Faceでのインシデントでは、たった1週末の間にエンドツーエンドのエージェント型攻撃が実行されたことが明らかになった。
ライフサイクルそのものは変わっていません。攻撃者は依然としてアクセス権を取得し、IDを悪用し、横方向への移動を行い、クラウドリソースに到達し、価値のあるものを狙います。変わったのはそのスピードです。攻撃がマシンの速度で展開される中、セキュリティチームには、そのスピードに追随できる継続的な可観測性が必要であり、それによって、行動が展開される様子をリアルタイムで把握し、攻撃者がさらに動き出す前に対処できるようになります。
それが、私たちがVectra AI Proプラットフォームを設計する際に中心に据えた課題です。
SOCの自動化を行う前に、AIが何を読み取っているかを確認してください
今年、あなたが目にするAIセキュリティのデモはどれも、そのエージェントの実力を披露するでしょう。どれほど素早く推論を行うか。どれほど多くの作業を自動化するか。そして、どれだけの時間を節約してくれるか。
「Fewer」では、エージェントが何を読んでいるかがわかります。
そこが、それが機能するかどうかを左右する部分なのです。エージェントの性能は、その背後にあるシグナルや文脈によって決まります。ノイズの多い情報や不完全な情報を自動化しても、ノイズがより速く増えるだけなのです。
Signalは、Vectra AI Proプラットフォームの中核をなすものです。Signalは、ID、デバイス、クラウドワークロード、AIエージェント、ネットワークにわたるアクティビティを継続的に監視し、環境内で実際に何が起きているか、何がリスクとなるかを把握します。
そして、その信号を3つの方法で活用します。
1. 統合型脅威検知・調査機能により、AI並みのスピードで対応
金曜日の午後の調査の話に戻りましょう。
もしアナリストが、まずストーリーを組み立てることから始める必要がなかったとしたらどうでしょうか？
私たちのアプローチは「アイデンティティ」から始まります。同じアクターであっても、関わるシステムごとに異なるオブジェクトとして現れます。ネットワーク上ではIPアドレスやMACアドレスとなり、アイデンティティプロバイダーではユーザープリンシパル名となり、クラウド上ではロールセッションやアクセスキーとなります。
Vectra AI Pro は、まずこれらを単一のエンティティとして統合します。ホスト、アカウント、ネットワーク、ID、クラウドといった情報を統合し、そのアクティビティの背後に実際に誰がいるのかを一元的に把握できるようにします。アトリビューションはランキングよりも優先されます。なぜなら、どの行動が同じアクターに属するかを把握して初めて、順序付けられたリストに意味が生まれるからです。
「Vectra AIが他社と一線を画すのは、まさに『アイデンティティ』という要素です。ネットワーク上には多くのノイズが存在しますが、Vectra AIはネットワーク上で発生している事象にアイデンティティ情報を紐付けることで、その行動の背後にいる人物を特定し、ノイズを大幅に低減させ、アナリストが真に重要な脅威に集中できるよう支援します。」
ジョシュア・アウ、セキュリティエンジニア、M.Tech
これにより、アナリストは、実際の攻撃の進行状況に基づいて優先順位付けされた、最も重要な事項をまとめた1つのキューから分析を開始できるようになります。無害なアクティビティはすでに解決済みであり、ネットワーク、ID、クラウドにわたる関連する挙動は自動的に関連付けられます。
物語はすでに組み上げられている。
「攻撃の進行度」によるランク付けには、特定の意味があります。Vectra AIは、個々の検知結果を単独で評価するのではなく、エンティティレベルで優先順位を付け、行動の関連性、移動速度、およびそのエンティティの重要度を総合的に考慮します。アナリストは数値の背後にある評価要因を確認できるため、その順位付けの根拠が明確になります。
「Vectra AIはユーザーの環境を学習していますが、人間には機械ほどその環境を把握することはできません。Vectra AIがすべての情報を関連付けてくれると、必要な情報がすべて一箇所にまとまるので、迅速に判断を下すことができます。」
モーガン・ガードナー、セキュリティアナリストII、TTI
そこから、「Agentic Investigation」がワークフローの初期段階を迅速に進めます。脅威の調査を行い、インシデント概要を作成し、次の対応策を提案します。アナリストは、内容を精緻化するために、自然言語で追加の質問を行います。
調査エージェントを利用しているチームでは、調査時間が約5分の1に短縮されています。
より深く調査する必要がある場合、彼女は複雑なクエリの専門知識がなくても、自然言語で検索を行い、隠れた脅威を特定したり、侵害の兆候を確認したり、関連する攻撃者の活動を見つけたりすることができます。
実際には、これは、Scattered Spider のようなグループに関連する侵害の兆候（IoC）を問い合わせたり、特定のデバイスが環境外へ送信したデータ量を把握したり、新たに検出されたドメインを含めたすべてのアクティブなドメインのベースラインを確認したりすることを意味します。
これは、一見した以上に重要なことです。ほとんどのチームからは、「ハンティングを行うための時間やリソース、知識がまったくなかった」という声が寄せられています。そのため、私たちは、各チームが実際に確保できる時間内で実行できる「5分間のハンティング」を公開しているのです。
かつては何度も方向転換を必要としていた調査も、今では事件に対する統一的な理解から始まるようになった。
すべてのアナリストには、AIによる調査パートナーが割り当てられます。AIは分析を加速させます。最終的な判断は依然としてアナリストが行いますが、それは意図的なものです。
すでに独自のエージェント型SOCを構築中ですか？ いいですね。その兆候を捉えてください。
独自のエージェント型SOCを構築している場合、APIを通じて当社の信頼性の高い攻撃シグナルやAIで強化されたメタデータにアクセスでき、自動化システムが検出結果、エンティティ、コンテキストにプログラム経由でアクセスできるようになります。MCP対応の統合機能ではさらに一歩進んで、AIエージェントにVectra AIの信頼性の高いコンテキストを提供し、より高度な推論とエージェント型ワークフローを実現します。
2. AIセキュリティの可観測性を活用して、AI事業全体を把握する
私の環境では何が動作しており、それはどのような動作をしているのでしょうか？
セキュリティチームは、人員、ワークロード、IDに加え、現在ではAIサービス、AIエージェント、そしてそれらがアクセスするデータについても考慮しなければなりません。これは、答えるのが実に難しい問題です。
Vectra AI Proは、AIで強化されたメタデータをAIセキュリティ可観測性へと変換し、現代の企業全体で何が起きているかを明らかにします。これにより、以下のことが把握できるようになります：
- どのAIサービスやAIエージェントが実行中か
- 従業員がどのアプリケーションを使用しているか
- AIがアクセスするデータとは
- そのデータがどこへ移動するか
- 環境全体における無許可のAI利用
同じメタデータでも、まったく異なる疑問に答えることができます。
ポスト量子時代に向けて近代化が必要となる暗号技術は、現在どのシステムでまだ使用されているのでしょうか？
ネットワーク全体で、トラフィックは実際にどのように流れているのでしょうか？通信パターンはどこで変化したのでしょうか？
質問を継続的な可視化へとつなげる
8月にSOCが必要とする可視性は、3月に必要とされていたものとは異なります。規制が施行される。買収が完了する。新しいエージェントプラットフォームが全社に展開される。
これにより、アナリストは自然言語を用いて、現時点で重要な脅威、リスク、資産、およびコンプライアンス上の優先事項を中心に、自社が実際に必要とするセキュリティダッシュボードを構築することができます。アナリストは質問から始め、その検索結果をカスタマイズされたビューに変換し、それを永続化させることができます。
オブザーバビリティは、固定されたダッシュボードのセットではなく、環境や優先順位、脅威の変化に応じてチームが適応し続けられるものとなります。
また、これは、金曜日に起きた出来事が実際に提起した疑問に対して、当社のアナリストがどのように答えているかを示すものでもあります。単にこのサービスアカウントが何をしたかだけでなく、その環境内で他にどのようなものが同様のアクセス権限を持っているのか、という点についてもです。
3. 攻撃者が到達する前に攻撃経路を遮断する
クロード・ミトスに関する研究から、もうひとつ取り上げておく価値のある点があります。
AIは攻撃を加速させるだけではありません。脆弱性の発見も加速させます。定期的な評価は、より緩やかなペースを前提に設計されています。そのペースに追いつくためには、攻撃者が最も悪用しやすいセキュリティ上の脆弱性を継続的に把握しておく必要があります。
Vectra AI Pro は、継続的に監視されているセキュリティおよびコンプライアンス上の課題を特定し、最も重要なリスクを優先順位付けし、まず何を修正すべきかを推奨し、時間の経過とともに是正措置の有効性を検証します。
実際には、これらの調査結果は具体的なものです。具体的には、外部からアクセス可能なRDPサーバー、脆弱なTLS暗号スイート、平文で保存されたパスワード、SMBv1のような非推奨のプロトコル、および外部からアクセス可能なMCPサーバーなどが挙げられます。
そうすることで、重要な2つの問い――「どの脆弱性が攻撃者にとって真の機会を生み出すのか」、そして「何を最優先で修正すべきか」――に答えられるようになります。これこそが、インシデントが発生する前に攻撃者の機会を減らす方法です。
そこで、金曜日の話に戻ります。そのサービスアカウントが、これまで一度もアクセスしたことのないホストに対して認証できたのは、本来必要のない常時アクセス権限を持っていたためです。アラートに対応することでインシデントは解決されます。アクセス権限を削除することで、その経路は遮断されます。
防御担当者に必要なもの：信頼でき、かつ迅速な回答
特に以下の4つの質問：
私の環境全体で、誰が、何が稼働しているのでしょうか？
どこで感染リスクにさらされているのでしょうか？
私は攻撃を受けているのでしょうか？
次に何をすればいいですか？
Vectra AI Proは、まさにその課題を解決するために開発されました。信頼できるシグナルを1つ捉え、それに基づいて迅速に行動に移すこと。
「Vectra AIは、相互に関連するネットワーク、ID、クラウドのシグナルをコンテキストと結びつけることで、攻撃の前後で何が起きたのか、そして攻撃の全容を把握します。これにより、調査と対応の時間を短縮し、より確信を持って行動し、攻撃者の一歩先を行くことができるようになります。」
AJ・ウィガン、ガンマ社 セキュリティ運用マネージャー
今この瞬間、どこかでアナリストが6つ目のブラウザタブを開いている。彼女は、AI並みのスピードで回答を読むべきなのに。
実際にどう見えるか、見てみませんか？
Vectra AIプラットフォームが、行動分析を信頼性の高い攻撃シグナルへと変換し、セキュリティチームがより多くの情報を把握し、リスクを低減し、攻撃をより迅速に阻止できるよう支援する仕組みをご覧ください。
Vectra AI Proプラットフォームの実演をご覧ください→