なぜ生成AIで100％のアラートを処理しないのか

　Arctic Wolfのレポートには生成AIでアラートの100％を処理していない理由が書かれている。

　理由は2つある。第1の理由は「悪意ある活動のまぎらわしさ」、第2は「最終的な判断と対応において人間の役割が重要」なことだ。

　悪意ある活動の紛らわしさとは何だろうか。本文で紹介したように何の問題もないユーザーの活動が大半を占めており、誤検知を含むアラートの中に攻撃が埋もれてしまうという問題がある。ノイズの中から本質的な脅威を見分ける際には人間の判断が不可欠だ。

　正当な振る舞いにまぎれた攻撃をトリアージするには専門家の知識が必要だというのがArctic Wolfの結論だ。その際はコンテキストが重要になる。高度な検出ロジックと生成AIによる分析をくぐり抜けて濃度が高くなったアラートを専門家がレビューすることが最善の策なのだという。

　レポートでは「DCSync」と「『Active Directory』のセキュリティグループへのユーザー追加」という2つの例を示している。

　DCSyncは「Active Directory」のドメインコントローラー（DC）間でディレクトリデータの整合性を保つ際に使われる操作だ。観測によれば約95％のDCSyncが正当な動作だった。だが、5％は怪しかった。DCSyncを使うとドメインコントローラーに物理的にアクセスしたり、特権的なツールを使ったりすることなく、ドメイン内の全てのユーザーのパスワードハッシュ（Kerberosチケットを生成するための鍵を含む）を遠隔で取得できるからだ。

　Active Directoryのセキュリティグループへのユーザー追加は、観測の結果、大半の環境で不適切な動作だと見なされ、侵害されたアカウントがより高い特権を得ようとしていることを示していた。98％のデータで悪意のある動作だった。このように、良性の行動と悪意のある行動を区別するには、一般的な情報以外に、企業に固有のコンテキストとセキュリティのベストプラクティスに基づいた人間の判断が必要だという。

最終的な判断と対応において人間の役割が重要とは

　生成AIは大量のデータを高速に処理できるが、最終的なインシデント対応の質を決めるのは人間の専門知識だという。

　Arctic Wolfは未知のゼロデイ脆弱（ぜいじゃく）性を通じて、FortiGateのファイアウォールの管理インタフェースに不正にログインする「Console Chaos」を例に挙げた。このような攻撃に遭った場合、アラートを上げるだけでは不十分で、迅速な対応能力を持つSOC（Security Operations Center）が動かなければならない。

　脅威インテリジェンスをカスタマイズする際にも専門家の力が必要だ。自動化されたツールが見逃すようななりすましのIP活動を発見する際に役立つ。

　さらに、脅威を検証した後、現在アクティブになっている脅威を阻止したり、再発を防いだりするために直接的な介入が必要な場合がある。IDを無効化したり、ホストを封じ込めたり、悪意のあるメールを削除したりする際には、（Arctic Wolfの）顧客との協議と事前の承認が必要で、処理自体にも細心の注意が必要だ。

　Alpha AIが自動的にトリアージを処理する割合が10％にとどまっているのは、AIの効率性を活かしつつ、セキュリティ結果に最も大きな影響を与える複雑で微妙な判断を人間の専門家に委ねるArctic Wolfのアプローチに基づいた意図的なものだという。（キーマンズネット編集部）