SIEM の上に AI を載せる：汎用 AI だけではセキュリティ運用を支えられない理由
公開日： Eventus Engineering Blog（eventus.blog）
著者： Eventus Technologies Engineering Team
月曜日の朝 9 時 2 分、インターネットに公開されたファイアウォールがポートスキャンを記録し始めました。
9 時 5 分には、SIEM が 5,000 件のアラートを生成しています。IT 責任者がダッシュボードを開くと赤い表示で埋め尽くされ、ほとんどの小規模なセキュリティチームがいずれ尋ねる質問を口にします。
「SIEM の上に AI を載せて、重要なものだけ教えてもらえないのですか？」
これはもっともな疑問です。実際、SIEM の上に AI を置くことは正しい方向性です。既存の SIEM はすでにイベントを収集し、検知ルールを適用し、証拠を保存しています。AI レイヤーは、その出力を優先順位、説明、次のアクションへ変換できます。
それが SIEM+ の考え方です。現在使っている SIEM を置き換えることなく、トリアージとセキュリティポスチャを改善するための AI セキュリティオーバーレイです。
重要なのは、どのような AI レイヤーを追加するかです。
汎用チャットボット、一度きりの LLM スクリプト、あるいは疎結合の AI コパイロットは、1 件のアラートに対して印象的な回答を返せるかもしれません。しかしセキュリティ運用には、より持続的な仕組みが必要です。コンテキストを保持し、関連する証拠をまとめ、データ境界を守り、ポスチャを継続的に追跡し、後から説明できる出力を作らなければなりません。
「SIEM に AI をつなぐだけ」が魅力的に見える理由
汎用 AI の魅力は明らかです。
多くの企業はすでに SIEM を導入しており、何年分ものログ、アラートルール、ダッシュボード、連携機能を持っています。チャットボットを追加すれば、新しいプラットフォームを購入せずに済むように見えます。エンジニアは数件のイベントをエクスポートしてプロンプトに貼り付け、次のように質問できます。
- これは本当の脅威か？
- このイベントは何を意味するのか？
- どのコンプライアンス管理策に影響するのか？
- 次に何をすべきか？
単一のイベントであれば、この方法は役に立ちます。LLM は専門用語の翻訳、技術的証拠の要約、調査の方向性の提案を得意としています。
たとえば 4625: failed logon を IT 担当者にも分かる文章に変換したり、不可能な移動の検知が重要な理由を説明したり、ベンダーのドキュメントを手で検索するより早く対処方法を下書きしたりできます。
そのため SIEM AI は単純に聞こえます。既存のアラートをモデルに送り、ノイズを減らしてもらうのです。
しかしセキュリティ運用は、独立した質問の連続ではありません。不完全な証拠、変化する環境、複数のアナリスト、監査要件、本番環境に影響するアクションを含む、継続的で状態を持つプロセスです。
ここで汎用 AI は限界に達します。
汎用 AI が限界に達するポイント
1. アラートやシフトをまたいだ記憶を持てない
チャットセッションは目の前のインシデントを理解できても、「昨日何が起きたか」「アナリストが何を調査したか」「どの対処が完了したか」という永続的で構造化された履歴を通常は維持しません。
たとえば、1 つのユーザーアカウントが 3 日間にわたって、未知の国からのログイン、複数回の MFA 失敗、見慣れない ASN からの成功ログイン、これまで関連付けられていないデバイスからのトークン更新を発生させたとします。
それぞれを単独で見れば決定的とは限りません。しかし時系列で見れば、直ちに対応すべき 1 件のアイデンティティインシデントかもしれません。
AI が毎回別々のプロンプトでアラートを受け取ると、個々のアラートを正しく説明しながら、相互の関係を見落とす可能性があります。次のアナリストや次のシフトが、ケースを手作業で再構成することになります。
本番の AI セキュリティオーバーレイには、永続的なケース、タイムライン、アナリストの判断、対応状況が必要です。新しいアラートなのか、調査済みなのか、別のケースに関連するのか、解決済みなのかを把握できなければなりません。
2. コンテキストウィンドウは実際のログ量に合わない
SIEM が生成するのは 5 件のイベントではなく、数千、数百万のイベントです。
50,000 件のイベントをプロンプトに貼り付けて、重要な関係を確実に発見できるとは期待できません。技術的にコンテキストウィンドウに収まっても、コスト、速度、再現性に問題があり、無関係なデータがシグナルを埋もれさせます。
一般的な回避策は、まずログを要約することです。しかし、それでは何が省略されたかという別の問題が生まれます。一見重要でないイベントが、アカウント侵害と特権操作、永続化の試みをつなぐ情報かもしれません。
堅牢な AI-on-SIEM アーキテクチャには、モデルがデータを見る前の取り込み・正規化レイヤーが必要です。タイムスタンプ、アイデンティティ、IP アドレス、デバイス、イベント種別、ソースシステムなどを一貫したフィールドに整理し、範囲を制御して関連証拠を取得し、元の記録へのリンクを保持します。
モデルが推論するのは選別された証拠であり、巨大な貼り付けテキストをセキュリティデータパイプラインだと見なすべきではありません。
3. コンプライアンスのマッピングで幻覚が起きる
発見事項を NIST CSF や CIS Controls にマッピングするよう求めると、汎用 AI は特に危険です。
モデルはもっともらしいが古い、広すぎる、あるいは完全に誤った管理策 ID を生成することがあります。フレームワークの機能と具体的なカテゴリを混同したり、関連する活動があっただけなのに、管理策が有効に運用されている証拠だと主張したりします。
たとえば、管理者が MFA なしでログインしたアラートは、アクセス制御の懸念を示す証拠になり得ます。しかし、それだけで組織がフレームワーク内のすべてのアイデンティティ管理策に失敗したことを証明するわけではありません。
だからこそ、コンプライアンスのマッピングには制約付きで検証可能なパイプラインが必要です。管理されたフレームワーク分類を使用し、各マッピングに証拠を要求し、監視済みと未監視の範囲を区別し、推論を証明のように表示しないことが重要です。
ポスチャスコアにも同じ原則が当てはまります。「静的ダッシュボードは終わった」で説明したように、意味のあるスコアは生のアラート数ではなく、グループ化されたケース、重大度、カバレッジ、説明可能な証拠に結び付く必要があります。
4. アラートを個別に扱い、ケースを相関できない
ポートスキャンの例が分かりやすいでしょう。
5,000 件のファイアウォール拒否は、1 回のスキャン活動かもしれません。汎用 AI がこれらを別々の行として受け取ると、それぞれは正しいものの、長い観察結果のリストを返す可能性があります。件数が多いという理由だけで、全体を高重大度と判定することさえあります。
これは役に立つトリアージではありません。
セキュリティチームにはケース相関が必要です。関連アラートを意図、アイデンティティ、送信元、対象、時間帯、周辺活動によってまとめます。出力は次のようになります。
1 台の外部ホストが 3 分間にわたり公開アドレスを高速スキャンした。成功した接続や、その後の侵害は確認されていない。
これは 5,000 件のアラート説明より有用です。送信元をブロックするか、さらに調査するか、背景ノイズとしてクローズするかを判断しやすくなります。
これが効果的な AI SIEM トリアージの基礎です。重複したシグナルを、実際の調査作業を表す少数のケースへ変換します。
5. その環境で何が正常かを知らない
汎用モデルは、組織にとって通常のアイデンティティ、エンドポイント、境界の動作を自動的には知りません。
シンガポールからのログインは、ある従業員にとっては不審でも、別の従業員には完全に正常かもしれません。サービスアカウントが新しいホストから認証するのは、移行作業では想定内でも、認証情報の悪用である可能性もあります。管理者活動の急増も、計画されたメンテナンス時間帯かもしれません。
環境固有のベースラインがなければ、AI は自信ありげだが一般的な判断を出します。正常な活動に過剰反応したり、組織にとって非常に異常な変化を過小評価したりします。
専用のレイヤーは、既知のアイデンティティ、通常の場所、資産の役割、重要システム、通常の活動パターン、最近の変更など、環境に関するコンテキストを保持すべきです。データが不十分なときは、不確実性も伝える必要があります。
目標はモデルを断定的に見せることではなく、判断の精度を高めることです。
6. チャットの記録は監査用の証拠ではない
会話は調査中には役立ちます。しかし監査人、保険会社、経営者、インシデントレビュー担当者に渡す最終成果物として適切とは限りません。
チャット記録には、どのソースレコードを使ったのか、いつ分析したのか、どの管理策を評価したのか、ギャップが存在したのか、誰が対応を承認したのかが明確に残らない場合があります。月ごとの一貫した比較も困難です。
監査人が必要とするのは、AI が生成した結論ではなく、証拠に裏付けられた説明です。何を監視し、何が見つかり、どの管理策に対応し、カバレッジにどのような限界があるかを理解できなければなりません。
そのため、監査対応レポートは、スクリーンショット、スプレッドシート、チャット履歴から手作業で組み立てるのではなく、プラットフォームに組み込むべきです。
7. アクションループのない助言では仕事が終わらない
汎用 AI は「エンドポイントを隔離する」「アカウントを無効化する」「トークンをローテーションする」と提案できます。しかし運用担当者が別のツールへ提案をコピーし、正しい資産を探し、正しいアイデンティティを確認して手動実行するなら、ワークフローには依然として大きな遅延が残ります。
セキュリティ運用には、関連活動の検知、平易なリスク説明、具体的な対応提案、根拠となる証拠の提示、権限を持つ担当者による実行、結果の記録という接続されたアクションループが必要です。
最後の記録が重要です。対応アクションはケース履歴の一部になるべきで、別のコンソールや非公式なメッセージの中に消えてはいけません。
正しく実装された AI-on-SIEM とは
本当の AI-on-SIEM レイヤーは、チャットボットよりも運用システムに近い動作をします。
第一に、既存の SIEM ツール全体で取り込みと正規化を行います。Microsoft Sentinel、Splunk、QRadar、Devo、Chronicle などからアラートやログを受け取り、全面的な置き換えプロジェクトを必要としないことが重要です。
第二に、永続的なセキュリティ状態が必要です。相関ケース、過去のポスチャ、データカバレッジ、アナリストの判断、対応状況、環境コンテキストが含まれます。時間とともに変化するスコアなら、その理由を説明できなければなりません。
第三に、AI にはガードレールが必要です。トリアージエージェントは取得した証拠、制約されたスキーマ、管理された重大度ロジック、明確な出力項目を使って動作するべきです。コンプライアンスエージェントは検証済みのフレームワーク参照に基づいてマッピングし、証拠と解釈を区別する必要があります。
第四に、プラットフォームには 2 種類の出力が必要です。運用チームには優先キュー、平易な説明、ケースのタイムライン、対応手順を提供します。経営者とコンプライアンスチームには、傾向、カテゴリ別スコア、フレームワークとの対応、カバレッジのギャップ、説明可能なレポートを提供します。
同じ基盤の証拠が、両方のビューを支えるべきです。
SIEM+ のアプローチ
SIEM+ は、既存の SIEM アーキテクチャに重ねるインテリジェントなオーバーレイとして設計されています。アラートやエクスポートされたログを取り込み、重要なイベントコンテキストを正規化し、AI エージェントでトリアージ、調査コンテキスト、脅威の翻訳、監査準備を支援します。SIEM+ の AI セキュリティオーバーレイについて詳しく見る。
ベンダー固有のイベントコードを別の壁として表示する代わりに、SIEM+ は技術的な発見を、平易な要約、ビジネスへの影響、根拠となる証拠、優先度付きの対応ガイダンスへ変換します。動的な 0–100 セキュリティヘルススコアは、アイデンティティ、境界、エンドポイント、インフラストラクチャなどを追跡し、生のアラート数より意味のあるポスチャを提供します。
運用とガバナンスのワークフローも分けています。AI Ops View は優先度付きアラート、インシデントの翻訳、エンドポイント隔離などの対応アクションに焦点を当てます。AI Auditor View は NIST CSF と CIS Controls のマッピング、証拠、ポスチャの傾向、ワンクリック PDF エクスポートに焦点を当てます。
SIEM+ は組織がすでに利用しているセキュリティツールと連携することを目的としています。公開されている製品情報では、Microsoft Sentinel、Google Chronicle、Splunk、Devo、IBM QRadar、Elastic Security などとの連携が案内されています。既存の SIEM 基盤を作り直さずに AI セキュリティレイヤーを追加できます。
SIEM の上に AI を載せる方向性は正しい。必要なのは正しいアーキテクチャだ
AI を SIEM の上に置くべきかどうかが問題なのではありません。置くべきです。
問題は、その AI レイヤーがセキュリティ運用の現実、つまり継続的なコンテキスト、大量データの取り込み、ケース相関、環境ベースライン、制約付きのコンプライアンスマッピング、監査対応の証拠、アクションループにつながっているかです。
汎用モデルはアラートを説明できます。専用の SIEM AI プラットフォームは、そのアラートを中心としたセキュリティプログラム全体の運用を支えるべきです。
すでに SIEM を運用しているのに、アラートの解読、コンテキストの再構成、レポート作成に時間をかけすぎているなら、SIEM+ の 15 分デモを予約して、AI セキュリティオーバーレイが現在の環境にどう組み込めるかをご確認ください。