「AI SIEM」という言葉は、ベンダーのマーケティング資料、アナリストレポート、セキュリティ製品の調達の場で絶えず登場します。これは厳密に定義されたカテゴリではありません。従来型のSIEMに機械学習、自動化、あるいは生成AIの機能が加えられた、という方向性を示す主張にすぎません。その「強化」が実際に何を意味するのかは、ベンダーや実装によって大きく異なります。
「AI機能を備えたSIEM」と「AIネイティブなセキュリティ運用」の間には大きな隔たりがあります。この2つを混同すると、期待した成果が得られない技術選定につながります。
従来型SIEMにAIはどのように追加されてきたか
確立された多くのSIEMプラットフォームは、アーキテクチャそのものを再設計するのではなく、既存のアーキテクチャへの追加機能としてAIを導入してきました。データ保管のコストとクエリに要する時間コストの両面から、SIEMをコストセンターと見なす組織が増えるなか、多くの既存ベンダーは進化を迫られ、さもなければ置き換えのリスクに直面しています。
最も一般的な追加機能は、UEBA（ユーザー・エンティティ行動分析）による異常検知です。UEBAは機械学習モデルを用いて、ユーザーや資産の通常の行動パターンをベースラインとして確立し、そこからの逸脱を検出します。たとえば、普段と異なる場所からの認証、ユーザーによる異常な量のファイルのダウンロード、サービスアカウントによる通常のパターンから外れたAPI呼び出しなどです。UEBAをプラットフォームに直接統合しているSIEMベンダーもあれば、別製品として提供しているベンダーもあります。
AIはルールのチューニングにも使われています。モデルが過去のアラートデータを分析し、恒常的に誤検知を生んでいるルールを特定して、しきい値や除外条件を提案します。これにより、セキュリティエンジニアリングの時間を消費してきた手作業のチューニング負荷は軽減されますが、ルールベースという検知モデルそのものは変わりません。
より最近では、アナリストがプラットフォーム固有のクエリ構文ではなく自然言語でログデータを検索できるよう、生成AIの機能が追加されています。これにより、そのプラットフォームのクエリ言語に習熟していないアナリストにとって、脅威ハンティングの技術的なハードルが下がります。アラートのスコアリングも一般的な追加機能です。MLモデルが、資産の重要度、ユーザーのリスクスコア、関連する直近のイベントといった文脈情報に基づいてアラートを順位付けし、ルールベースの重大度付けよりも優先度の高い検出結果を目立たせます。
これらの追加機能は、アナリストの実務を確かに改善します。UEBAは既存のルールに合致しない行動ベースの脅威を捉えます。アラートの優先順位付けが改善されれば、確度の低い検出結果に費やす時間は減ります。問題は、これらが何を変えないままにしているかです。
AIで強化されたSIEMが変えないもの
SIEMの基本アーキテクチャは、ログ集約基盤と、その上で動作する検知レイヤーです。このアーキテクチャにAIを加えれば、検知レイヤーとアナリスト向けインターフェースは改善されます。しかし、その土台となるモデル自体は変わりません。
ログ取り込みのコストは依然としてデータ量に比例して増加し、現代のクラウド環境は膨大な量のログデータを生み出します。コストとデータ管理は、SIEMツールを評価するセキュリティチームにとって依然として最大の懸念事項であり、それはAIで強化されたプラットフォームでも変わりません。
調査には依然として相当なアナリストの労力が必要です。AI支援による相関分析はより質の高い検出結果を提示しますが、アナリストは引き続き一件ごとに評価し、追加の文脈情報を集め、判断を下さなければなりません。AIがコアではなくアドオンとして位置づけられたアーキテクチャでは、ワークフローはアナリスト主導のままです。
新規の攻撃手法に対する検知カバレッジのギャップも残ります。UEBAのモデルは過去のパターンで学習されており、それを理解した攻撃者は、行動としては正常に見えながら実際には悪意のある活動を組み立てることができます。ルールベースの相関分析は、これまでに観測されたことのない手法には無力です。MITRE ATT&CKはこうした攻撃手法の進化を継続的に記録しており、クラウド固有の手法はルールベースと行動ベースの双方の検知モデルに課題を突きつけています。
AI SIEMとAIネイティブなセキュリティ運用の違い
AI SIEMとは、機械学習やAIの機能で強化された従来型のSIEMプラットフォームです。土台となるアーキテクチャ（ログ集約、ルールベースの相関分析、アナリスト中心の調査）はそのまま維持されます。AIは、そのアーキテクチャの内側で行われる作業の質と効率を高めます。
一方、AIネイティブなセキュリティ運用プラットフォームは、AIを後付けの強化レイヤーとしてではなく、主たる動作モデルとして最初から設計されています。検知モデルは「AIが補助するルール」ではなく、行動と文脈のシグナルに対するAIの推論そのものが主たる手段です。調査も「AIが提案する手作業のエンリッチメント」ではなく、AIが文脈を組み立て、複雑な判断についてアナリストが監督する形をとります。
この違いは、アラート件数と調査効率に実際の差として表れます。ExaforceのようなAIネイティブなプラットフォームは、検知モデルがルールの一致ではなく行動の文脈を軸に構築されているため、AIで強化されたSIEMに比べてアラート件数が大幅に少なくなるのが一般的です。調査も、アナリストが文脈を集めるのを待つのではなくAIが関連する文脈を組み立てるため、より迅速に進みます。
AIで強化されたSIEMとAIネイティブなセキュリティ運用は、相互に排他的な選択肢ではなく、統合して運用することも可能です。多くの組織には、短期間では置き換えられないコンプライアンス要件、確立されたSIEM運用プロセス、ログ保持の要件があります。当社の次世代SIEMの解説では、このアーキテクチャの転換が業界全体でどのように進んでいるかを紹介しています。
AI SIEMの主張をどう評価するか
ベンダーが自社プラットフォームをAI SIEMと説明する場合、最も重要な問いは「ワークフローのどの段階にAIが実際に適用されているのか」です。UEBAや行動ベースの異常検知は、AI支援によるアラートのラベル付けとは本質的に異なります。どの機能がAI主導で、どこまでがAI支援にとどまり、どこからがマーケティング上のAIなのかを見極めることが、実際の運用上の効果を左右します。
運用面で最も重要な指標は誤検知率です。誤検知を20％削減するAI SIEMと、誤検知率は変わらないまま検出結果により良いラベルを付けるだけのAI SIEMとでは、運用上の性格がまったく異なります。ベンダーがこの違いを自ら前面に出すことはまれなので、直接問いただす必要があります。
学習データも重要です。限られたデータセットや他業種のデータで学習された行動モデルは、類似環境のセキュリティ運用データで学習されたモデルに比べ、対象となる環境でより多くの誤検知を生む可能性があります。
AI SIEMへのアップグレードで自組織の運用課題が解決するのか、それとも異なるアーキテクチャの方が適しているのかを検討しているセキュリティチームには、SIEM と AI SOC の比較が、この2つのアプローチが実務でどう異なるかを直接比較して示しています。
AI SIEMに何を期待すべきか
AI SIEMは実在するカテゴリであり、ルールベースのSIEMに対する実質的な改善をもたらします。UEBAはルールが見逃す脅威を捉えます。アラートスコアリングの改善はアナリストの負荷を減らします。自然言語によるクエリは調査をより多くの人に開かれたものにします。これらは決して些細な進歩ではありません。
ただし、その限界は構造的なものです。AIが従来型アーキテクチャへの追加である以上、そのアーキテクチャがAIにできることを制約し続けます。ログコスト、調査にかかる手間、新規手法に対する検知のギャップは、いずれも土台となるモデルの性質であって、その上に載るAIレイヤーの問題ではありません。AI SIEMを評価するとは、AIが何を加えるのかと同時に、その下のアーキテクチャが何をそのまま残すのかを理解することなのです。
AIネイティブなアプローチが実際にどう違うのかをご覧になりたい方に向けて、エクサフォースが詳しくご説明します。