SERIES
Series 09｜次世代SOC ― AI SOCとDetection Engineering
全3回中3回・更新中
検知ルールを足すほどアラートが増え、分析が追いつかず、本当に危ない兆候が埋もれていく。多くのSOCが抱えるこの悪循環は、人を増やすだけでは解決しません。本シリーズでは、従来型SOCがアラート過多から抜け出せない構造的な理由を整理し、検知を設計・テスト・改善し続けるDetection Engineeringの考え方を解説します。さらに、生成AIやAIエージェントをSOCのどこまで任せられるか、人間の判断を残すべき境界とあわせて、全3回で示します。
このシリーズの記事
- 第1従来型SOCはなぜアラート過多から抜け出せないのかSOCに届くアラートは1日平均960件、そのうち40％は一度も調査されない。2025年の調査が示したこの現実は、人を増やしても製品を替えても変わりません。原因は分析者の努力不足ではなく、運用の構造にあるからです。本稿では、ルール追加型の運用、ログの増加、誤検知、属人的な分析という4つの構造的課題と、それらが連鎖する悪循環を整理します。そのうえで、検知を「作り、測り、改善する」次世代SOCへの発想の転換と、自己診断チェックリスト8項目を示します。
- 第2Detection Engineeringで検知をルールを「作って終わり」にしない検知ルールは、作った瞬間から劣化が始まります。攻撃手口が変わり、システムが変わり、ログの形式が変わるからです。本稿では、検知をソフトウェアのように設計・テスト・改善するDetection Engineeringを解説します。脅威仮説、ログ要件、検知ロジック、テスト、ATT&CKマッピング、リリースと測定、継続改善の7段階のライフサイクル、検知ごとに残す設計書の項目、「少なく、確かなアラート」を目指す品質指標、そして既存ルールの棚卸しから小さく始める3ステップを示します。
- 第3生成AI・AI AgentをどこまでSOCの自動化に使えるかAIはSOCのどの仕事を任せられ、どこから先は人間が決めるべきなのか。本稿では、アラート要約、調査支援、脅威情報整理、クエリ生成、ケース管理、自動対応の6つの領域で、生成AIとAIエージェントにできることを整理し、「自動で任せる」「AIが提案し人が判断する」「人の承認後に実行する」の3段階で境界を決める方法を解説します。ログに潜む攻撃者の指示や、もっともらしい誤りといったSOCならではのリスク、効果の測り方と段階的な進め方も示します。