多様化するAI技術の利用先

　昨今では、従来のシグネチャベースのマルウェア対策製品では検知が難しい、未知の脅威を端末側で特定しようとするセキュリティ製品が登場し始めた。その代表格が、サイバー攻撃の検知や対処を担う「EDR」（Endpoint Detection and Response）製品だ。EDR製品は、エンドユーザーがダウンロードしたファイルを瞬時にコード分析し、不正なコードの配列やその断片といったマルウェアとしての特徴（製品によっては「DNA」と表現することがある）を捉え、マルウェアを検知する。

　インターネットから端末側にリスクがあるファイルをダウンロードさせないためのプロキシサーバ製品も登場してきている。正規のクラウドサービスにホストされたマルウェア配信サーバ、1時間単位でIPアドレスを変えるC＆Cサーバなど、リスクがあるWebサイトを特定する。WebサイトのURLやドメイン、IPアドレスといったさまざまな情報を利用し、AI技術を駆使してリアルタイムにリスクを評価する。

　前者のアプローチは端末側、後者のアプローチはネットワーク側と端末側の境界線にAI技術を適用することで、リスクを特定・排除する仕組みを提供する。

　大量のセキュリティログやアクセスログを分析する「セキュリティ情報イベント管理」（SIEM）やSOCが収集した情報を用いたAI技術の使い方も登場してきている。相関分析と機械学習によって、時系列のログやエンドユーザーの振る舞いなどを基に、実際に過去に発生したリスクを評価／分離。その結果を基に、今まさにリスクとなり得るアラートを抽出する。

　セキュリティ人材不足に悩まされる今日の企業において、リスクマネジメントプロセスに沿った厳密なリスク対処ができるCSIRT／SOCを構築するためには、「良質」なセキュリティインテリジェンスとAI技術が必要不可欠だ。ここでいう「良質」とは、検知漏れや過検知（正常な通信やファイルを脅威だと判断すること）を引き起こさない、精度の高さを指す。

　企業のリスク影響範囲（一般的には機密情報の取り扱いが発生する範囲）に対してセキュリティインテリジェンスやAI技術を適用し、未知の脅威を的確・迅速かつ自動的に排除する。これにより、限られた人員で効果的にインシデントレスポンスを遂行可能な体制が構築できる。

セキュリティインテリジェンスやAI技術の活用ポイントは

　今後は深層学習（ディープラーニング）をはじめとするAI技術の革新により、どのセキュリティベンダーも間違いなく、新たなセキュリティインテリジェンスの活用方法の開発と、自社のセキュリティ製品への実装を活発化させていくと考えられる。こうした中、企業が必要なセキュリティ製品を選定する際に注意すべきこととは何か。

　重要なのは攻撃の始点、つまり攻撃者が攻撃を仕掛ける経路の入口を予測したり、捉えたりできるセキュリティ製品を選ぶことだ。攻撃の始点が特定できれば、多層防御網でスキャンする対象が減り、必然的にCSIRT／SOCが対処すべきアラートも減る。SOCや投資の絶対数が多い端末側に、過剰なセキュリティ製品を投入する必要がなくなる。

　標的型攻撃の攻撃経路の大半はWebとメールが占める。この2つ経路の入口となるセキュリティ層、すなわちプロキシサーバやメールサーバにAI技術を搭載したセキュリティ製品を導入すれば、リスクあるWebサイトへのアクセスやコンテンツのダウンロードを防ぎ、マルウェアなどの脅威がエンドユーザーに届く前に確実に除去できる。そうした意味でも、前述のようにリアルタイムかつ正確に脅威を検知できることが、CSIRT／SOC側での無用なアラートの精査作業を軽減するために重要だ。

　セキュリティリスクとCSIRT／SOCの運用負荷を減らし、安定したビジネスの推進を可能にするために、本連載の内容を参考にしていただければ幸いだ。

執筆者紹介

高岡隆佳（たかおか・たかよし）　ブルーコートシステムズ

セキュリティ業界での約15年の経験を生かし、標的型攻撃・内部不正対策製品を包括的に担当。データセキュリティスペシャリストとして企業のセキュリティリスク、対策、課題に精通しており、情報漏えい対策関連などの啓発活動に力を入れている。またデータベース・セキュリティ・コンソーシアム（DBSC）の運営委員として、データベースセキュリティの技術向上と、その普及を推進し、現在「DB内部不正対策WG」と「DB暗号化WG」のリーダーを務める。