マシンスピードの脅威に人手でどう挑むか？──クラウド＆AI時代の「半自律型セキュリティ運用」の現実解

マルチクラウドとAIの民主化がもたらす新たな課題

　今や多くの企業において、AWSやMicrosoft Azure、Google Cloudなど複数のクラウドサービスを適材適所で利用するマルチクラウドの運用が一般化している。さらに近年では生成AIの進化にともない、非エンジニアがアプリケーション開発を行う市民開発が進むなど、デジタルやAIの民主化が加速している。

　G-gen クラウドソリューション部 クラウドエンジニアリング2課 課長の堂原竜希氏は、Google Cloud専業のクラウドインテグレーターとして多くの導入支援を行ってきた経験を踏まえ、ビジネススピードの向上をもたらすこうした変化の裏で「企業は新たな課題に直面している」と指摘する。

　「企業の情報システム部門が認識していないAI利用による『シャドーAI』の加速、クラウド環境ごとに異なるチームが運用する『マルチクラウドのサイロ化』など、気軽にツールを使えるようになった半面、統制面の課題が多くの企業で生じています」（堂原氏）

　こうした組織内の課題に加え、組織外からの脅威もかつてないほど高度化・多様化している。近年のサイバー攻撃には生成AIが多用されるようになり、人手では到底対処が間に合わないマシンスピードの攻撃が展開されるようになった。脆弱性のパッチが公開される前に攻撃者がそれを発見して攻撃に利用するケースや、システム侵入から本格的な攻撃開始までにわずか22秒しかかからないケースなどが報告されている。

　加えて、クラウド環境以外にも、従業員が利用するエンドポイント端末のマルウェア感染や、グループウェアを狙ったフィッシングメールによる情報漏えい、内部関係者のヒューマンエラーに起因する意図せぬデータ流出など、アタックサーフェス（攻撃対象領域）があらゆるIT資産へと分散・拡大しているのが実状だという。

人手中心の運用から脱する「3つのアプローチ」

　このように高度化・高速化する脅威に対抗していくためには、従来型の人手中心による運用から脱却し、システムによる自動的・自律的な対処を取り入れていく必要がある。堂原氏はそのためのアプローチとして、「横断的監視」「自律的トリアージ」「自動的対処」の3つが不可欠だと説く。

　「マルチクラウドやSaaS、端末などに分散するログを個別に管理することには限界があります。それらの情報を横断的に収集し、相関関係を加味した『横断的監視』を行うアプローチが必要になってきます。また、攻撃対象が増加し、攻撃手法が多様化する中では、発報されるすべてのアラートに人が対応していてはアラート疲れを引き起こしてしまいます」（堂原氏）

　こうしたニーズに応えるために、現在多くのセキュリティベンダーから自動化や自律化を謳ったセキュリティ製品が提供されている。一例を挙げれば、ワークロード上の脆弱性を検知する「CWPP」や、クラウドの設定ミスを検知する「CSPM」、過剰な権限付与を検出する「CIEM」、リアルタイムの不審な動きを検知する「CDR」、機密データに特化した「DSPM」、そしてエンドポイントを監視する「EDR」などがそれに当たる。

　しかし、これらをプラットフォームやチームごとにバラバラに導入・運用すると、深刻なサイロ化を招いてしまう。サイロ化はツールごとの学習コストを増大させるだけでなく、担当者が確認すべき管理画面も多岐にわたるため、結果的に対応品質のばらつきやアラート疲れを助長することになる。

　こうした問題を根本から解決するためには、なるべく少ない数のツールで横断的な監視を実現し、そこから導き出した攻撃や脅威のコンテキストに基づく分析・評価を行うことが重要だと堂原氏は指摘する。

　「アラートを単発で判断するのではなく、環境のコンテキストを加味し、本当に対処が必要なアラートのみに専念する自律的トリアージが求められます。さらに、アラート対応を人手で都度行うのではなく、AIなどを駆使して自動的に対処していくことも、これからのセキュリティ運用において非常に有用なアプローチになります」（堂原氏）

　そして同氏によれば、まさにこれらを実現するためのソリューションが「CNAPP（Cloud-Native Application Protection Platform）」と「SIEM（Security Information and Event Management）」だという。CNAPPはクラウド環境の監視機能を一元的に提供し、SIEMはあらゆる環境からのログを集約して可視化・分析を行うプラットフォームである。

Fortune 100の半数以上が採用する、エージェントレスなCNAPP

　このCNAPPの代表的なソリューションの1つとして、堂原氏は「Wiz」を挙げる。Wizは2020年に創業したスタートアップ企業によって開発され、2026年にGoogleによって買収されたことで大きな注目を集めている。マルチクラウドに対応したCNAPPソリューションとして、Fortune 100企業の半数以上が利用するなど、世界中で高く評価されているという。

　Wizは、CSPMやCWPP、CIEMなどの機能を提供するコアの「Wiz Cloud」を中心に、開発ライフサイクルのセキュリティをカバーする「Wiz Code」、リアルタイムな脅威検知を実現する「Wiz Defend」といったアドオンで構成される。堂原氏はWizの強みとして、「エージェントレスによる迅速な可視化」「Wiz Security Graph」「コンテキストに基づいたイシューの優先順位付け」の3点を挙げる。

　「Wizの最大の強みは、エージェントレスによる迅速な環境の可視化にあります。環境分析を行う際、各仮想マシンにエージェントをインストールする必要がなく、Wizがあらかじめ準備しているコードを実行するだけで各クラウド環境内のリソース情報を素早く収集し、シャドーITなどの潜在的なリスクを迅速に洗い出すことができます」（堂原氏）

　また、Wiz Security Graph機能では、インターネットからサーバーまでの経路、権限設定、存在する脆弱性などを1つのグラフで直感的に可視化することができる。これにより、攻撃者が辿る可能性のあるアタックパスを一目で把握できる。

　さらに、多くのアラートの中から真に対応すべきものを絞り込む機能を備えているのも、Wizの大きな特徴の1つだという。従来型のツールでは、すべての脆弱性や設定ミスが横並びにアラートされるため、アラート疲れを引き起こしていた。しかしWizでは、ユーザーが定義した環境の重要度や、複数のアラートの組み合わせといったコンテキスト情報を加味して、AIがリスクの重要度を自動的に分類する。これにより、管理者は基本的にはクリティカルなイシューにのみ対応すればよい設計となっている。

　このほかにも、AIを活用して攻撃者と同じ手法を用いて脆弱性を洗い出すペネトレーションテスト機能や、リスクに対する最適な解決策を提示するAIチャットボットなども備えており、管理者の負担を軽減できるという。

SecOpsのエージェント機能との組み合わせで、運用を半自律化

　続いて堂原氏は、SIEMとSOAR（Security Orchestration, Automation and Response）を統合したプラットフォームである「Google SecOps」を紹介した。同プラットフォームは、Googleの生成AIであるGeminiや、世界規模の脅威インテリジェンスデータベース「Google Threat Intelligence」と深く統合されているという。

　Google SecOpsには、最新の脅威情報から検出ルールを自動生成する「Agentic Detection Engineering」や、アラートをAIが調査して優先順位付けを行う「Triage & Investigation」、既存の検知をすり抜けた高度な脅威を能動的に捜索する「Agentic Threat Hunting」など、AIを駆使した自動化・自律化の機能が複数搭載されている。これらを活用することで、端末からクラウドまでを横断した緻密な調査と対応が可能になるとした。

　堂原氏によれば、WizとGoogle SecOpsは似ているようで、実際には明確な役割の違いがあるという。Wizはエージェントレスで迅速にクラウド構成や設定を可視化し、アタックパスを特定するなど、静的なリスクの管理に強みを持っている。一方、Google SecOpsは、EDRやIdP、ネットワークなど広範なツールのログを一元的に取り込み、不審なプロセスの実行といった動的なリスクの検知や、SOARによる運用業務の自動化に強みを持っているという。

　この2つを組み合わせることで、旧来の完全手動のセキュリティ運用から脱却し、AIの支援を受けながら対応を行う「半自律型」のセキュリティ運用が実現すると訴える。

　「この両製品を組み合わせることで、環境内のリスク、脅威、不審なアクティビティを自動的に検出し、コンテキストを考慮したトリアージを実施します。さらに、AIが導き出したネクストアクションに基づく対応や、プレイブックを活用した定型業務の自動化により、対策の提示から実行までを一貫して自動化できます。両製品とも同じGoogle Cloudのソリューションとして、今後もより一層の連携強化が期待されます」（堂原氏）