人材不足、属人化、新技術対応の遅れといった「SOC運用の三重苦」が深刻化している。そのような中、セキュアヴェイルグループのLogStareは、監視基盤に生成AIを連携した「LogStare AI-SIEM」を展開。25年培ったSOCの知見とAIの処理能力を組み合わせ、アラート調査の自律化を実現している。同社の堀野友之CTOに話を聞いた。

広がる監視対象、SOC運用の「三重苦」

　かつてSOC（セキュリティオペレーションセンター）は、官公庁や大手通信キャリアなど、大規模で重要なシステムを持つ組織だけが自社で運用していた。しかし今日はクラウドストレージやSaaSの普及、テレワークの浸透によるデータのサーバールーム外への分散、監視すべきログの増加などにより、あらゆる組織の業務遂行にサイバーセキュリティおよびSOCが必要になっている。
 
　そのような状況下で現場が直面しているのが、人材不足、運用の属人化、新技術対応の遅れという「SOC運用の三重苦」だ。24時間365日の監視を自社で維持する場合、人的コストに加え交代勤務などの労務負担も重い。通知が多すぎて確認が追いつかず見逃しも起きるうえ、コストにも歯止めがかからない。山積するこうした課題に対しては、外部SOCの活用が有効である。

　この領域で確かな実績を有するのがセキュアヴェイルだ。四半世紀もの間、ネットワーク機器の運用・監視を顧客企業の情報システム部門に代わって担うSOCサービスを提供してきた。そして、同社のグループ企業であるLogStareは、SOCの現場で使うネットワーク監視・ログ管理・AI予測を一本化した「マネージド・セキュリティ・プラットフォーム」を開発する。

検知から調査までAIが自走する「SOC Agent」

　LogStareが今年6月より新たに提供を開始した「LogStare AI-SIEM」（以下、AI-SIEM）は、セキュリティ製品やクラウドのログを収集・解析するオンプレミス型プラットフォーム「LogStare Quint」（以下、Quint）に生成AI基盤を連携し、ログ分析支援や自律エージェントによるアラート調査を可能にしたソリューションだ。連携可能なAIもChatGPT、Claude、Geminiなど幅広い。「ログの機微情報も含むため、AIの頭脳部分は顧客が契約しているサービスを使用可能な設計にした」と堀野CTOは説明する。
 
　AI-SIEMが実装した五つのAI機能のうち最も反響が大きいのが、アラートを自動トリアージする「SOC Agent」だ。複数のログを横断調査し、影響や重要度、対処方法を助言する。Quintが異常を検知するとAIが裏側で自律的に調査を始め、人間が確認すべきものだけを通知する。堀野CTOは「我々の集大成」と位置づけている。

　省力化の効果も見えている。従来はエンジニアが1件のアラートを調査し報告するまでに平均1～2時間を要していたが、SOC Agentは2～5分程度で調査と判断を終える。人の最終判断を含めても10～20分だ。堀野CTOは「調査できる人材の時給を考えれば、AIのコストは十分に安い」と言う。

25年分の知見がAIを動かす、純国産の強み

　もっとも、LogStareのソリューションは対処の実行までは自動化しない。堀野CTOは「今のAIの進歩は著しく、明日には方針転換するかもしれない。しかし現段階では、対処までAIに任せるのは危うい。最終的な判断は人間がやるべきだ」と、その理由を説明する。AIは与えられた情報の範囲で最善を尽くすが、実運用への影響に配慮が及ばず「インターネットを切断して調査する」「データベースを初期化する」といった選択をしてしまう恐れがある。現場の事情までくんだ最終判断は、人に残す。それが同社の設計思想だ。

　AIの精度を支えるのは、2001年から親会社セキュアヴェイルのSOCが積み上げてきた運用ノウハウだ。熟練エンジニアの調査の定石や勘を文章化し、AIのスキルとして与える。グループ約120人の環境を毎日AIに処理させ、判断が過剰なら指示書を見直す。堀野CTOは「自分たちが第一のユーザーであり続けることが、品質を担保する唯一の方法だ。ぽっと出のAI活用ではなく、25年分の知見がAIをドライブしている」と強調する。

　その知見が、純国産という強みにも重なる。セキュリティクリアランスや能動的サイバー防御が議論されるいま、国産SIEMは希少な存在だ。

　さらに今後は、AI導入を支援するSIerとの共創も見据えているという。「24時間体制の構築が難しいSIerの裏方として、AI-SIEMをサービスのバックエンドに使ってほしい」と堀野CTOは述べる。AIで徹底的に省力化し、最後の一手だけを人が担うーー。四半世紀のSOC運用の実績が、AI-SIEMの精度を支えているのだ。