メインコンテンツまでスキップ

静的ダッシュボードは終わった：SIEM+の動的ポスチャスコアを設計する

· 約5分
James Yip
James Yip
Managing Director

公開先： Eventus Engineering Blog（eventus.blog）
著者： Eventus Technologies エンジニアリングチーム

サイバーセキュリティ業界には、「量」を「リスク」と同一視する悪い習慣があります。従来型SIEMのダッシュボードに10,000件のアラートが表示されると、ステータスは赤になり、ポスチャスコアはゼロまで下がり、経営層は不安になります。

しかし、Tier-1 SOCアナリストなら誰でも知っているように、外部公開IPへの単純な自動ポートスキャンだけで、3分間に5,000件のファイアウォールドロップが発生することがあります。これは5,000件の重大な脅威ではなく、1つの低レベルイベントです。

SIEM+（siem.plus）を構築したとき、未加工のアラート数をそのままUIへ渡せば、解消したかった「アラート疲れ」を再現してしまうと分かっていました。そこで、データレイクのノイズを実際のリスクを反映する、経営会議でも使える指標へ変換する方法が必要でした。

ここでは、SIEM+動的ポスチャスコア、ペナルティ減衰アルゴリズム、そしてLLMに脅威をコンプライアンスフレームワークへ幻覚なくマッピングさせる方法を詳しく説明します。

SIEM+動的ポスチャスコアがグループ化されたケースと実行可能なリスクを可視化

🧠 ステップ1：ケースのグループ化（意図の重複排除）​

実際のセキュリティスコアを生成する第一歩は、AIがすべてのログを独立したインシデントとして扱わないようにすることです。

イベント駆動型の集約レイヤーを使い、基盤のデータレイクから軽量な要約を取得しているため、AIエンジンは活動をバッチで受け取ります。LLMパイプラインには意図の重複排除を実行させています。

同じユーザーに対して50回のログイン失敗に続きMFAバイパスが発生した場合、AIエンジンは51件のアラートを出力しません。根本原因、タイムライン、重大度を含む1つのJSONオブジェクト、つまりケースを生成します。これにより、スコアリングエンジンの分母を大幅に減らせます。

⚖️ ステップ2：ペナルティ減衰アルゴリズム​

ノイズを個別のケースへ統合したら、ID・アクセス管理やネットワーク境界などのセキュリティカテゴリごとに、実際のポスチャスコア（0～100）を計算します。

スコアが早くゼロへ落ちる線形減点ではなく、未加工のアラート数ではなく、グループ化されたケースの重大度に基づくカスタムのペナルティ減衰アルゴリズムを実装しました。

スコアリングエンジンは、主に2つの要素を評価します。

  1. 重大度の重み付け： 各ケースに基礎ペナルティを割り当てます。Criticalには大きなペナルティ、Lowには最小限のペナルティを設定します。
  2. 対数減衰： 同種のケースが同時に大量発生した場合、減衰関数を適用します。同じタイプの後続イベントが毎回、全ペナルティを差し引くことはありません。

このロジックにより、単一の重大なMFAバイパスは1,000件の低レベルなファイアウォール探査よりもポスチャスコアへ大きな影響を与え、実際のインフラリスクをより正確に反映できます。

🛡️ ステップ3：動的フレームワークマッピング（NISTとCIS）​

静的なコンプライアンスダッシュボードは壊れやすいことで知られています。「Rule ID 404が発火したらNIST PR.AC-1を付ける」といったハードコードされたルールに依存するため、インフラが変わった瞬間にマッピングが破綻します。

SIEM+ AIエンジンは、ケースを NIST CSF v2.0 と CIS Controls v8 へ動的にマッピングするよう構成しました。LLMが存在しないコンプライアンスコードを幻覚しないよう、公式フレームワーク文書のRAG（検索拡張生成）コンテキストを組み込んだ厳格なシステムプロンプトを使用しています。

AIは、不正なメール転送ルールなど攻撃の性質を評価し、違反している正確な管理策ファミリーへマッピングします。

🏗️ ステップ4：厳格なデータ契約でAIを制御する​

AI駆動のプラットフォームを構築する上で難しいことの1つは、LLMの予測不能性を制御することです。構造化された企業ダッシュボードに会話形式のテキストをそのまま渡して、正しく描画されることを期待することはできません。

エンドユーザーが生のコードやJSONに触れることはなく、洗練された経営層向けインターフェースを見るだけですが、バックエンドは決定論的なデータ契約に大きく依存しています。LLMには厳密に形式化されたJSONペイロードを出力させ、正確なスキーマに制約し、余分なフィールドを幻覚した場合は厳しくペナルティを与えます。

AIエンジンがUIへ渡す構造化インテリジェンスの例を、舞台裏から紹介します。

{
  "ui_category": "Cloud & Infrastructure Security",
  "has_log_coverage": true,
  "score": 72.5,
  "cases": { "critical": 0, "high": 2, "medium": 4 },
  "frameworks": { "nist_v2": "PR.DS", "cis_v8": "CIS_CONTROL_5" },
  "evidence_string": "Score degraded due to 2 High-severity cases: Public S3 bucket misconfiguration and unauthorized IAM role assumption."
}

結果：実行可能なセキュリティ​

ケースのグループ化、ペナルティ減衰アルゴリズム、動的なJSONスキーマ生成を組み合わせることで、SIEM+はSOCの現場と経営会議の間をつなぎます。

セキュリティエンジニアは必要な正確なコンテキストと修復手順を得られ、CISOはインフラの健全性を正確に反映する、数学的根拠のある説明可能なポスチャスコアを得られます。