AI SOCプラットフォームの中核概念
- Agentic AI：複数のモデルを横断して推論し、脅威の検知、トリアージ、対応を自律的に実行しながら継続的に改善するよう設計されたAI。
- AI SOC：AIがSOCライフサイクルのあらゆる段階（検知、トリアージ、調査、対応、リスク管理）を支援または自動化する最新のSOCアプローチ。
- Agentic SOC：自律型AIエージェントによって運用されるセキュリティオペレーションセンター。意図を解釈し、コンテキストに基づいて推論し、検知、トリアージ、対応にわたって動的にアクションを実行することで、SOCを事後対応型から適応型かつ自己改善型へと変革します。
- セッション：キーやトークンなど、同じ認可コンテキストを共有する関連イベントを論理的にグループ化したもの。単一のアイデンティティによるアクティビティを表します。
- アイデンティティ：システムまたはログイベント内でアクションを実行する主体。人、サービス、アプリケーションなどが含まれます。
- リソース：アプリケーション、デバイス、ワークロード、リポジトリ、インスタンスなど、システムまたは環境内に存在するあらゆるオブジェクト。
- アカウント：アイデンティティ、リソース、設定が作成・管理されるコンテナ。
- 検知：監視ツールや分析によって生成されるシグナルまたはアラートであり、不審または異常な可能性のあるアクティビティを示します。
- データソース：監視、検知、分析に利用されるログ、テレメトリ、設定データの発生元。
- ワークフロー：アラートや検出事項の分析、トリアージ、対応を行うための構造化された一連の手順。多くの場合、自動化されます。
- プリンシパル：特定の検出事項またはアクションに関連付けられた主要なアイデンティティまたはリソース。
- アクション：アイデンティティまたはリソースによって、あるいはそれらに対して実行される操作またはアクティビティ。
- アクター：環境内でアクションを実行する、または実行を試みる内部または外部のエンティティ。
- 判定結果：トリアージまたは調査によって確定された結果（例：真陽性、偽陽性）。
- 推奨事項：検知結果や設定ミスへの対応または是正のためのガイダンス。
- 分類：優先順位付けや分析のために、検知結果、脅威、またはリソース種別を分類するプロセス。
- 公開アクセス可能：リソースが外部ネットワークから制限なくアクセス可能かどうかを示します。
AIとアナリティクス
- マルチモデルAI：異なる種類のAIモデル（例：セマンティックモデル、ビヘイビアモデル、ノレッジモデル）を組み合わせて活用し、より高度な検知、トリアージ、調査、対応を実現するアプローチ。
- セマンティックモデル：ログ、アラート、テキストを解釈し、その意図や意味を理解するAIモデル。
- ビヘイビアモデル：ユーザー、システム、またはワークロードのアクティビティパターンを分析し、異常を検知するAIモデル。
- ノレッジモデル：履歴データ、フレームワーク、外部インテリジェンスから得られるコンテキストを活用して、検知内容を強化する生成AIモデル。
- リスクルール：設定やログを評価し、設定ミス、リポジトリの不正利用、シークレットの露出など、セキュリティ態勢に起因するリスクを特定するためのルールセット。
アイデンティティの概念
- エンタープライズアイデンティティ：アプリケーションやシステム全体にわたる、1人のユーザーが保有する複数のアカウントを統合して表現したアイデンティティ。調査や分析を簡素化するために使用されます。
- 起点アイデンティティ：アクションがAssumed Roleやプロキシ経由で実行された場合でも、そのアクションを最初に開始した人またはマシンのアイデンティティ。
- 祖先／子孫：ロール引き受け（Role Assumption）や委任の連鎖を表す用語。あるロール（祖先）が別のロール（子孫）を引き受ける関係を示します。
- 認証経路：起点アイデンティティから実際にアクションを実行したアイデンティティに至るまでの、ロール引き受けや委任の連続した経路。
- 人間／マシン：そのアイデンティティが人を表すものか、自動化されたプロセスを表すものかによる分類。
- 管理者：リソースまたはシステムに対して、広範な管理権限または特権アクセスを持つアイデンティティ。
- サードパーティ：組織外からシステム環境にアクセスまたは連携する外部のアイデンティティやエンティティ。
- 高特権アイデンティティ：管理者権限への昇格や広範なシステム制御が可能なアイデンティティ。
- 過剰権限：本来の用途に必要な範囲を超える権限が付与されているアイデンティティ。通常、長期間（例：90日間）使用されていない権限を保有している場合に該当します。
セキュリティと検出事項
- 脅威検出事項：悪意のあるアクティビティや有害なアクティビティが発生した、または現在進行中であることを示す検出事項。
- リスク検出事項：設定ミスや、侵害の可能性を高める状態を示す検出事項。
- 影響範囲：脅威や脆弱性が悪用された場合に発生し得る被害の範囲。
- 修復：脅威またはリスク検出事項を軽減または解消するために実施される対応。手動または自動で実行できます。
セキュリティ運用の概念
- SOC（Security Operations Center）：サイバー脅威の監視と防御を担う人材、プロセス、およびテクノロジーの総体。
- SIEM（Security Information and Event Management）：サーバー、ネットワーク機器、アプリケーション、エンドポイントなど、組織全体のインフラストラクチャからログやイベントを収集、正規化、相関分析する集中管理型プラットフォーム。不審な挙動の検知、調査の支援、アラートの生成を行います。
- SOAR（Security Orchestration, Automation, and Response）：セキュリティツールのオーケストレーション、調査および対応ワークフローの自動化、プレイブックに基づくアクションの実行を可能にするソリューション。
- MDR（Managed Detection & Response）：継続的な検知、調査、対応を提供するアウトソース型のSOCサービス。
- SOCaaS（SOC as a Service）：組織が物理的なインフラストラクチャや専任の運用体制を保有・管理することなく、Security Operations Centerの機能（監視、検知、分析）を利用できるクラウドネイティブまたはサブスクリプション型のサービスモデル。
- ITDR（Identity Threat Detection and Response）：アイデンティティ、認証情報、認証システムを標的とする脅威の検知と対応に特化したセキュリティ分野。ビヘイビア分析、脅威インテリジェンス、自動対応を組み合わせることで、認証情報の窃取、権限昇格、ラテラルムーブメントなどの攻撃を侵害に至る前に特定します。
- MTTD（Mean Time to Detect）：脅威を検知するまでに要する平均時間。各脅威が実際に発生した時刻から最初に検知された時刻までの時間差の合計を、脅威の総数で割って算出します。
- MTTI（Mean Time to Investigate）：脅威の検知後に分析と確認を完了するまでに要する平均時間。各脅威が検知された時刻から調査が完了した時刻までの時間差の合計を、調査対象となった脅威の総数で割って算出します。
- MTTR（Mean Time to Respond/Recover）：脅威の封じ込め、修復、復旧に要する平均時間。各脅威が確認された時刻から対応または復旧が完了した時刻までの時間差の合計を、脅威の総数で割って算出します。
- 滞留時間（Dwell Time）：攻撃者が環境への侵入後、検知および排除されるまで環境内に留まる期間（「侵害検知ギャップ」とも呼ばれます）。滞留時間を短縮することで、攻撃者によるラテラルムーブメント、権限昇格、目的達成の機会を制限できます。
- 偽陽性率：脅威として誤って判定されたアラートの割合。分析対象となった全アラートに対する偽陽性アラートの割合を示します。この値を低減することで、アナリストは重要な対応により集中できるようになります。
- アラート疲れ：大量のアラートやノイズ（偽陽性など）によって引き起こされるアナリストの疲弊。
- SecOps自動化：アラートの重複排除、フィッシングのトリアージ、不審なログインの調査、クラウド設定ミスの分析などのセキュリティ運用ワークフローを効率化・強化するために自動化を活用すること。
- TDIR（Threat Detection, Investigation, and Response）：脅威の検知、影響範囲や影響度の調査、連携された対応アクションの実行を一体化したセキュリティ運用ライフサイクル。これら3つのフェーズを継続的なワークフローとして統合することで、リスクを低減し、対応時間の短縮を実現します。
- 脅威ハンティング：予防的な防御策や既存の検知ロジックを回避した攻撃者の活動を能動的に探索するプロセス。ハンターは侵害、不正利用、情報露出の兆候となる挙動、関連性、異常を調査し、その結果を検知ルール、対応プレイブック、データ品質の改善へと反映します。
データと可視性
- ログ取り込み：監視および分析のために、システム、アプリケーション、ネットワークからデータを収集すること。
- 検知範囲：脅威、環境、攻撃手法に対して、どの程度の監視・検知が行われているかを示す範囲。
- データエンリッチメント：迅速な意思決定を支援するために、生のアラートにコンテキスト（例：ユーザーアイデンティティ、資産の重要度、脅威インテリジェンス）を付加すること。
- ノイズ削減：関連性の低いデータや重複データを除外し、重要なシグナルに集中できるようにすること。
顧客にもたらされる成果
- 生産性向上：自動化とAIによる支援によって、アナリスト1人あたり、または一定時間あたりに完了できるセキュリティ調査の件数がどの程度増加したかを示す指標です。ログレビュー、データエンリッチメント、トリアージといった作業における手作業の負担軽減を反映し、アナリストがより価値の高い意思決定に集中できるようになります。生産性向上は通常、「アナリスト1人あたりの対応インシデント数が2倍になる」といった倍率や、自動化を導入していない状態を基準とした増加率（％）で表されます。
- コスト効率：インフラストラクチャ、ツール、人員への支出を抑えながら、同等またはそれ以上のセキュリティ成果を実現する能力です。不要なログ保存や処理の削減、偽陽性の除外、自動化による調査および対応の迅速化によって達成されます。コスト効率は通常、運用コストの削減率（％）や、従来型SOCと比較して回避できたコストとして測定されます。
- 拡張性：アラート量、対象環境、運用の複雑さが増加しても、人員数やコストを比例して増やすことなく対応できるセキュリティチームの能力です。自動化とAIによる支援により、小規模または中規模のチームでも、大規模な従来型SOCを構築することなく、24時間365日の監視や対応を含むエンタープライズレベルの運用を実現できます。拡張性は通常、アナリストの稼働時間やチーム規模に対して、対応したインシデント数や達成したカバレッジを比較することで評価されます。
- 運用レジリエンス：大量のアラート、人員不足、リソース制約などの負荷がかかる状況下でも、セキュリティプログラムが効果的な運用を維持できる能力です。障害や混乱が発生した場合でも、SOCが脅威の検知、調査、対応を継続できる度合いを示します。主要な指標には、MTTDおよびMTTRの安定した実績、監視の継続性、需要がピークに達した期間において適切に封じ込められたインシデントの割合などがあります。
業界とエコシステム
- MITRE ATT&CK：攻撃者の戦術および技術を体系化したナレッジベースで、検知カバレッジのマッピングによく利用されます。
- 脅威インテリジェンス：攻撃者のインフラストラクチャ、ツール、キャンペーンに関するデータやコンテキスト情報であり、検知や調査の強化に活用されます。
- AI脅威インテリジェンス：AIシステムが攻撃者に関するデータを機械速度で自律的に収集、相関分析、優先順位付けするアプローチです。従来の手動によるCTIライフサイクルを、SOCの検知および対応に直接連携した継続的かつ自己更新型のループへと置き換えます。
- 自動化プレイブック：調査または対応のために事前定義された自動アクションの実行手順（例：ホストの隔離、ユーザーアカウントの無効化）。
- SOC指標とKPI：MTTD、MTTR、偽陽性率、アナリストの業務負荷など、SOCのパフォーマンスを評価するために使用される定量的な指標。
