Wazuh

人工知能（AI）とは、通常人間の知能を必要とするタスクを実行するように設計されたコンピュータプログラムのことを指す。これには、学習、問題解決、意思決定、知覚などが含まれる。AIシステムは、ビッグデータとアルゴリズムを用いて情報を分析し、行動を適応させ、常に人間が監視することなく目標を達成する。

AI能力の急速な向上は、悪意ある行為者による高度な攻撃を可能にする。攻撃者はもはや手作業による侵入の試みだけに頼っているわけではない。彼らは自動化、AIを駆使したマルウェア、合法的な活動に紛れ込ませるLOTL（Living Off the Land）戦術を駆使している。組織は、この新たな脅威の状況を防御するために、同様に高度なテクノロジーを採用しなければならない。

現代のセキュリティ・オペレーションにおいて、AIは不可欠である。AIは異常検知だけでなく、ログ相関、マルウェア分類、フィッシング検知、脅威インテリジェンスにも適用される。重要な利点はスピードとスケールにある。AIは分散環境全体で何百万ものイベントを処理し、疑わしい活動を数分で浮き彫りにすることができる。

従来の検知手法の課題

従来の検知手法は、既知の脅威に対しては効果的ですが、規模や適応性で苦労することがよくあります。セキュリティチームは次のような課題に直面している：

  • アラート疲労：セキュリティ・オペレーション・センター（SOC）は、毎日何千ものアラートに溺れがちです。大半は誤検知か優先度の低いものですが、アナリストはそれらをレビューしなければなりません。このような作業の繰り返しがアラート疲労を引き起こし、本物の脅威が圧倒的なノイズのために見落とされたり、適切に処理されなかったりする。これはアナリストの燃え尽き症候群に直結し、平均検出時間（MTTD）を増加させる。
  • 脆弱性の迅速な悪用：新しい脆弱性が公開されると、脅威者は数日から数時間以内にその脆弱性を武器化することができます。Proof of Concept（PoC）エクスプロイトは、フォーラムで迅速に共有され、ボットネットやランサムウェアキットに組み込まれます。手動のパッチ・サイクルや従来の脆弱性スキャナーに頼っている組織は、多くの場合、数週間にわたって無防備な状態に置かれる。これにより、攻撃者は大きなアドバンテージを得ることになる。
  • 合法的なプロセスによる回避 現代の敵対者は、標的環境の既存のツールや手法を活用することで、その活動を隠蔽するケースが増えています。これには、信頼されたアプリケーション、システムサービス、あるいはセキュリティツールを悪用し、悪意のある動作を隠蔽するなどのLOTL（Living Off the Land）テクニックが含まれます。これらのプロセスは、管理者やビジネスアプリケーションによっても日常的に使用されているため、日常的な操作と悪意のある使用を区別することは非常に困難です。その結果、シグネチャ・ベースの防御はしばしば失敗する。
  • 圧倒的なデータ量：大企業では、エンドポイント、サーバー、アプリケーション、クラウドサービスにわたってペタバイト単位のログが生成されることがあります。強力なインデックスや検索エンジンを使用しても、静的なルールセットでは、このデータをリアルタイムで関連付けることはほぼ不可能です。このようなデータの過負荷は、攻撃者が潜む死角につながります。
  • 高度なフィッシング・キャンペーン：フィッシングは依然として、マルウェアやクレデンシャル盗難の最も一般的な初期攻撃ベクトルです。ジェネレーティブAIを利用することで、攻撃者は文法的な誤りや矛盾のない説得力のあるメールを作成することができます。人間の目には、こうした攻撃は本物の通信とほとんど見分けがつきません。
  • インサイダーの脅威とアカウントの侵害：悪意のあるインサイダーや侵害されたユーザーアカウントは、通常のアクセス権の範囲内で活動することが多い。このような行為は、正当なビジネス・プロセスに紛れ込んでいるため、過去の行動履歴をベースラインとして確立しない限り、検知は困難です。
  • ゼロデイや未知の脅威：シグネチャ・ベースのセキュリティ・ツールは、悪意のある活動の既知のパターンに依存しています。ゼロデイ・エクスプロイトやポリモーフィック・マルウェアは、常にコードを変更したり、新しいテクニックを活用したりすることで、これらの防御を回避します。その結果、防御側は常に一歩遅れをとることになります。

人工知能がこれらの課題に対処する方法

今日のサイバー脅威の規模が明らかになったことで、AIがどこでその威力を発揮するかがわかりやすくなった。AIの利点は抽象的でも未来的でもなく、セキュリティ・チームが日々直面するペインポイントに直接対抗するものです。アラート疲労の軽減からコンプライアンスの自動化まで、AIは人間のアナリストが圧倒されがちな分野にスピード、正確性、拡張性をもたらします。

AIは、いくつかの方法でこれらの課題に対処します：

  • ノイズの削減と優先順位付け： 機械学習アルゴリズムは、反復的なアラートをフィルタリングし、関連するイベントを相関させ、最も重大なリスクをもたらすインシデントに優先順位を付けることができます。誤検知を減らすことで、アナリストは際限のないノイズを選別する代わりに、価値の高いアラートにエネルギーを集中させることができます。
  • 脆弱性の優先順位付け：AIを活用した脆弱性管理プラットフォームは、不足しているパッチを特定するだけではありません。脆弱性管理プラットフォームは、脆弱性の悪用可能性、組織環境内での露出度、潜在的なビジネスインパクトを評価します。これにより、ITチームは最も重要な箇所に修復作業を集中させることができ、攻撃者の隙を効果的に減らすことができる。
  • 正当なプロセス・アクティビティの行動分析： AIは、ある環境における正規のツールやプロセスが「通常」どのように見えるかを学習することで、静的なシグネチャを超える。AIは、これらのプロセスがいつ、どのくらいの頻度で、どのようなコンテキストで実行されるかといった典型的な使用パターンのベースラインを確立することができます。これらのベースラインからの逸脱を継続的に分析することで、日常的なITオペレーションとして処理される可能性のある不審なアクティビティが浮き彫りになります。これにより、日常業務に紛れ込んだ密かな活動を発見することができます。
  • スケーラブルなデータ処理：大量のログ処理に苦戦する従来のシステムとは異なり、AIモデルは大量の構造化データおよび非構造化データをリアルタイムで取り込み、分析することができます。これにより、死角をなくし、インフラ全体にわたる実用的な洞察を防御者に提供します。
  • 高度な内部脅威の検知AIを活用したUser and Entity Behavior Analytics（UEBA）は、従業員とシステムの習慣を継続的に学習します。通常とは異なるログイン時間、通常とは異なるデータセットへのアクセス、異常な権限の昇格など、疑わしいアクティビティは自動的にフラグが立てられ、内部脅威のプロアクティブな検知が可能になります。
  • 自然言語処理（NLP）によるフィッシング検知：自然言語処理（NLP）モデルは、プロフェッショナルなメッセージに見える場合でも、電子メールのコンテンツから悪意のある意図を検知することができます。ヘッダー解析と送信者のレピュテーション・スコアリングにより、AIツールは従来のフィルタリングをすり抜けるようなフィッシングの試みを特定します。
  • インシデントレスポンスの自動化：AIによって強化されたSOAR（Security Orchestration, Automation, and Response）プラットフォームは、侵害されたエンドポイントの隔離や悪意のあるIPアドレスのブロックなどのアクションを推奨したり、自動的に実行したりすることができます。これにより、平均応答時間（MTTR）が数時間から数分に短縮されます。

Wazuhはどのようにサイバー防御強化のために人工知能を採用しているか

Wazuhは、XDRとSIEMの機能を統合した無料のオープンソースセキュリティプラットフォームです。オンプレミス、仮想化、コンテナ化、クラウドベースの環境にまたがるワークロードを保護します。

Wazuhは、検知、調査、状況認識を改善するために、複数の機能にAI機能を統合しています。以下は、WazuhがAIを利用してサイバーセキュリティ防御をより革新的で迅速なものにする方法です。

セキュリティデータからAIが生成する洞察

セキュリティ・プラットフォームは、膨大な量のデータ、アラート、脆弱性スキャン、エンドポイント・ログを収集しますが、アナリストがパターンを抽出したり傾向をまとめたりする時間がないことがよくあります。貴重なコンテキストは、ダッシュボード、レポート、生の遠隔測定に埋もれてしまいます。洞察が抽出されなければ、意思決定は遅くなり、脅威は気づかれずに通り過ぎてしまうかもしれない。

Wazuhは、AWS Bedrockを介したClaude 3.5 Haikuのダッシュボードへの統合を、ブログポスト「Leveraging Claude Haiku in the Wazuh dashboard for LLM-Powered insights」で紹介している。この統合には、AIアシスタントプラグインを有効にし、AWS IAM認証情報を設定する必要がある。一旦接続されると、Claudeは生のログスニペットだけでなく、コンテキストに基づいた回答を提供する。これは、専門家の知識を監視ワークフローに直接組み込むことで、アラートとアクションのギャップを埋めるものです。この統合により、Wazuhのダッシュボード・インターフェースにチャット・アシスタント機能が追加され、ユーザーは自然言語でシステムに問い合わせることができる。

以下は、AIが生のセキュリティ・データを実用的な洞察に変える方法の例です：

ガイド付き脆弱性対応

プロンプトの例「脆弱性アラートが表示されたらどうすればよいですか？

脆弱性アラートは、特に明確な改善ガイダンスがない場合、圧倒されることがあります。AIが生成する洞察は、アラートの深刻度、潜在的な影響、推奨される対応手順に関するコンテキストを提供し、セキュリティチームが迅速かつ効果的に行動できるようにします。

自動化された設定ガイダンス

プロンプトの例「ブルートフォース試行に対するアクティブレスポンスの設定方法を教えてください。

文書に目を通す代わりに、アナリストは AI に直接、設定手順を問い合わせることができます。アシスタントは、IPアドレスのブロックやエンドポイントの隔離など、自動化された対策の設定に関する実用的で実行可能なガイダンスで応答し、アクティブ防御の展開を効率化します。

サービスの脆弱性プロファイリングとコンテキスト監査の実行

ネットワーク監査では、エンドポイント全体で多くのオープン・ポートやサービスが明らかになることがよくあります。ポートが開いていることを知ることは、全体像の一部に過ぎない。セキュリティ・チームは、どのようなサービスが実行されているか、既知の脆弱性があるかどうか、そしてそれらがどのように悪用される可能性があるかを理解しなければならない。特に、古いソフトウェアを実行していたり、不必要にインターネットに露出していたりする場合はなおさらだ。

WazuhによるNmapとChatGPTのセキュリティ監査ブログポストでは、NmapスキャンとChatGPTを統合することで、アナリストが「何がオープンであるか」以上のことを明らかにする方法を示している。Wazuhは、コマンドモニタリングモジュールを通して定期的にNmapスキャンを実行し、オープンポートと対応するサービスバージョンの出力を収集することができます。このデータは（API経由で）ChatGPTに送信され、潜在的な脆弱性や修復ガイダンスを含む、各オープンサービスに関する充実した情報を返します。

この結果、アナリストは、アラートの解釈や修復を計画する際に、ガイド付きの支援を得ることができます。ドキュメントの相互参照に費やす時間を削減することで、AIアシスタントはセキュリティチームがより迅速かつ自信を持って対応できるよう支援します。

AIによる脅威ハンティングの強化

脅威ハンティングは、シグネチャやルールを回避するステルス攻撃を検出するために不可欠です。しかし、何百万ものログを手作業で調査することは、リソースを大量に消費し、専門アナリストを必要とします。Wazuhのブログポストでは、脅威ハンティングに人工知能を活用することで、WazuhがLlama 3（Ollama経由）とベクトル埋め込み、Facebook AI Similarity Search（FAISS）を使用して、アーカイブされたログを意味的に検索する方法を紹介しています。

キーワードの一致に頼る代わりに、アナリストは自然言語でクエリーを行うことができ、システムは文脈に関連した結果を取得します。

以下は、隠れた脅威を発見するためにAIがセキュリティ・チームをどのように支援するかの例です：

侵入検知

プロンプトの例「プロンプトの例：「先週のSSHブルートフォース試行を特定する。

ブルートフォース攻撃は認証ログのノイズに紛れ込むことが多く、静的な検索では捕捉が困難です。

AIを活用したハンティングにより、アナリストは自然言語でログを照会し、ログインの失敗が繰り返されたイベントを迅速に取得することができます。

データ流出の監視

プロンプトの例「データ流出の兆候をチェックする。

不正なデータ転送を検知するには、大量のネットワークやシステムのログを分析する必要があります。AIを活用したハンティングにより、アナリストは過去のデータを意味的に検索し、異常なファイル転送や不審な送信接続など、データ流出の可能性を示す異常を浮き彫りにすることができます。

このアプローチにより、Wazuhは隠れた脅威を発見し、遡及的な調査を可能にします。会話型AIをハンティングのワークフローに組み込むことで、Wazuhはアナリストがデータに対してより深く、より柔軟な質問をするための効率的な方法を提供します。

Wazuh AIアナリストサービス

より多くのワークロードとインフラストラクチャがクラウドに移行するにつれて、セキュリティチームは、ますます分散した環境、より大きな攻撃対象領域、膨大なシステムデータ量に対処しています。監視と対応に対する従来のアプローチでは、この規模と複雑性に対応するのに苦労することがあります。そこで、Wazuh AIアナリストが特に重要になります。

Wazuh Cloudユーザー向けに設計されたWazuh AIアナリストは、セキュリティチームに会話型の調査パートナーを提供する新機能です。

まだ初期段階ではあるが、アラートの要約、文脈の充実、次のステップのガイダンスを提供することで、セキュリティチームを補強することを目的としている。

このサービスは、Wazuh Cloudと高度な機械学習モデルを組み合わせることで、自動化されたAI主導のセキュリティ分析を提供する。セキュリティデータを大規模に処理し、組織全体のセキュリティ態勢を強化する実用的な洞察を生成します。

AIをWazuh Cloudに組み込むことで、企業はインフラとともに成長し、脅威への対応能力を強化する拡張性のあるセキュリティの味方を得ることができる。

結論

サイバーセキュリティの状況は急速に変化している。攻撃者が自動化、ステルス化、AIを駆使した戦術を採用し、従来の防御を凌駕する中、防御者は静観するわけにはいかない。デジタル化された環境では、人工知能はもはやオプションではなく、現代のサイバー防衛に不可欠なレイヤーになりつつある。

ノイズを減らし、隠れた脅威を発見し、対応を加速することで、AIはセキュリティ・チームが敵の先を行く力を与えてくれる。

AIは人間の専門知識に取って代わるものではなく、それを補強するものです。人間のアナリストは、機械では再現できない批判的思考、創造性、文脈をもたらします。一方、AIは比類のないスピード、スケーラビリティ、一貫性を提供します。両者を組み合わせることで、現代の脅威の高度化に対応した重層的な防御が実現する。

Wazuhはこのシフトを実践で示している。AIによって強化された脅威ハンティング、インテリジェントな洞察、クラウドユーザー向けの新しいWazuh AI Analystは、防御者が複雑化するサイバー攻撃に対処できるようにするワークフローにAIをどのように統合できるかを示しています。

Wazuhの詳細については、同社のドキュメントを参照してください。

Wazuhがスポンサーとなり、執筆しました。