マシンスピードの脅威に人手でどう挑むか？──クラウド＆AI時代の「半自律型セキュリティ運用」の現実解

マルチクラウドとAIの民主化がもたらす新たな課題

　今や多くの企業において、AWSやMicrosoft Azure、Google Cloudなど複数のクラウドサービスを適材適所で利用するマルチクラウドの運用が一般化している。さらに近年では生成AIの進化にともない、非エンジニアがアプリケーション開発を行う市民開発が進むなど、デジタルやAIの民主化が加速している。

　G-gen クラウドソリューション部 クラウドエンジニアリング2課 課長の堂原竜希氏は、Google Cloud専業のクラウドインテグレーターとして多くの導入支援を行ってきた経験を踏まえ、ビジネススピードの向上をもたらすこうした変化の裏で「企業は新たな課題に直面している」と指摘する。

　「企業の情報システム部門が認識していないAI利用による『シャドーAI』の加速、クラウド環境ごとに異なるチームが運用する『マルチクラウドのサイロ化』など、気軽にツールを使えるようになった半面、統制面の課題が多くの企業で生じています」（堂原氏）

　こうした組織内の課題に加え、組織外からの脅威もかつてないほど高度化・多様化している。近年のサイバー攻撃には生成AIが多用されるようになり、人手では到底対処が間に合わないマシンスピードの攻撃が展開されるようになった。脆弱性のパッチが公開される前に攻撃者がそれを発見して攻撃に利用するケースや、システム侵入から本格的な攻撃開始までにわずか22秒しかかからないケースなどが報告されている。

　加えて、クラウド環境以外にも、従業員が利用するエンドポイント端末のマルウェア感染や、グループウェアを狙ったフィッシングメールによる情報漏えい、内部関係者のヒューマンエラーに起因する意図せぬデータ流出など、アタックサーフェス（攻撃対象領域）があらゆるIT資産へと分散・拡大しているのが実状だという。

人手中心の運用から脱する「3つのアプローチ」

　このように高度化・高速化する脅威に対抗していくためには、従来型の人手中心による運用から脱却し、システムによる自動的・自律的な対処を取り入れていく必要がある。堂原氏はそのためのアプローチとして、「横断的監視」「自律的トリアージ」「自動的対処」の3つが不可欠だと説く。

　「マルチクラウドやSaaS、端末などに分散するログを個別に管理することには限界があります。それらの情報を横断的に収集し、相関関係を加味した『横断的監視』を行うアプローチが必要になってきます。また、攻撃対象が増加し、攻撃手法が多様化する中では、発報されるすべてのアラートに人が対応していてはアラート疲れを引き起こしてしまいます」（堂原氏）

　こうしたニーズに応えるために、現在多くのセキュリティベンダーから自動化や自律化を謳ったセキュリティ製品が提供されている。一例を挙げれば、ワークロード上の脆弱性を検知する「CWPP」や、クラウドの設定ミスを検知する「CSPM」、過剰な権限付与を検出する「CIEM」、リアルタイムの不審な動きを検知する「CDR」、機密データに特化した「DSPM」、そしてエンドポイントを監視する「EDR」などがそれに当たる。

　しかし、これらをプラットフォームやチームごとにバラバラに導入・運用すると、深刻なサイロ化を招いてしまう。サイロ化はツールごとの学習コストを増大させるだけでなく、担当者が確認すべき管理画面も多岐にわたるため、結果的に対応品質のばらつきやアラート疲れを助長することになる。

　こうした問題を根本から解決するためには、なるべく少ない数のツールで横断的な監視を実現し、そこから導き出した攻撃や脅威のコンテキストに基づく分析・評価を行うことが重要だと堂原氏は指摘する。

　「アラートを単発で判断するのではなく、環境のコンテキストを加味し、本当に対処が必要なアラートのみに専念する自律的トリアージが求められます。さらに、アラート対応を人手で都度行うのではなく、AIなどを駆使して自動的に対処していくことも、これからのセキュリティ運用において非常に有用なアプローチになります」（堂原氏）

　そして同氏によれば、まさにこれらを実現するためのソリューションが「CNAPP（Cloud-Native Application Protection Platform）」と「SIEM（Security Information and Event Management）」だという。CNAPPはクラウド環境の監視機能を一元的に提供し、SIEMはあらゆる環境からのログを集約して可視化・分析を行うプラットフォームである。