ただの読み物（レポート）は役に立たない──本当に機能する脅威インテリジェンスを組織へ実装せよ

単なる読み物（レポート）をありがたがる時代は終わった

　ここ数年、セキュリティ運用の現場では脆弱性の「優先順位付け」の重要性が認識されてきている。しかし、従来のCVSS（共通脆弱性評価システム）スコアは技術的な深刻度を示すだけで、自社にとっての“緊急度”は教えてくれない。そこでAI時代には、静的なスコアに頼るのをやめ、脅威インテリジェンスを掛け合わせた以下3つの軸で判断すべきだとレスリー氏は主張する。

　この優先順位付けを具現化する推奨プロセスもあるという。同氏は以下3つのステップを紹介した。

　この中で、どうインテリジェンスを活かすのか。レスリー氏は、「完成されたインテリジェンスレポートの時代は終わった」と指摘する。脅威インテリジェンスとは、エグゼクティブやセキュリティチームが読んで満足する単なる読み物であってはならない。ワークフローのアイテムにならないレポート、つまり役に立たない読み物に意味はない。それが同氏の主張である。

　それを体現する機能として、Recorded Futureのプラットフォーム上では、AIがインジケーター、脅威アクター、マルウェアなどのシグナルを自動でつなぎ合わせ、単なるレポートではなく、即座に機能する「シグネチャ」「脅威ハントパッケージ」「SIEM/SOARの検知ルール」、さらには人員確保やセキュリティ投資の判断基準となる「取締役会向けのサマリ」といった、稼働可能なオペレーショナル・アウトプットに自動変換する。

　これにより、防御側はアラートに対し受動的に反応する従来の運用から脱却でき、「このアクターがこの手法で、この標的を狙っているなら、自社のテレメトリにその痕跡があるかもしれない」という“仮説”を能動的に検証する体制へシフトできるという。

　つまり、脅威インテリジェンスをセキュリティにおけるコントロールプレーンとして機能させるべきというのがRecorded Futureの思想である。「今日、脅威インテリジェンスの裏付けなしに、適切なセキュリティ上の意思決定を下すことはもはや不可能だ」とレスリー氏。インテリジェンスは、行動を支える脳でなければならない。これなしで下す決定は、暗闇の中で矢を放つようなものだと語る。

では、アナリストの役割はどうなるのか？

　ただし、レスリー氏の主張は「人間のアナリストが必要なくなる」というものではない。AIは仮説をクエリや検知ロジックに変換してくれるが、誤検知や未検知の最終検証には、依然として人間のアナリストの判断が必要だからだ。

　アナリストの役割は根本から変わるだろうと同氏。AIは「ボリューム（量）」を処理し、人間は「結果（Consequence）」を処理するようになると語る。翻訳、データの濃縮、重複排除など、これまでアナリストが手作業で膨大な時間を費やしてきた作業は、すべてAIがこなせるようになった。これからは、人間とAIが共生する領域として仮説の設定・反証、証拠の収集を行い、人間がアトリビューションやエスカレーションといった意思決定の全責任を負う体制へとシフトしていく。

　ここでレスリー氏は、経営幹部など意思決定に携わる人たちに向け、調査会社やセキュリティ会社が頻繁に出す「世界にどれだけ大量の脆弱性があるのか」といった恐怖を煽るノイズに怯え、惑わされる必要はないとメッセージを送る。真に追うべきは、以下のような指標だという。

　「AIが至る分野に実装されつつありますが、ノイズまで自動化してはいけません。何万件もの脆弱性すべてに対して自動脅威ハントを無駄に走らせるのではなく、『今まさに、私たちに対して悪用可能なものは何か』、そして『攻撃者がそれを実行する能力と意図を持っているか』というインテリジェンスに基づき、ピンポイントで対処すべきです」（レスリー氏）