Elastic CISO、AI攻撃に備えたセキュリティ転換を促す
- •ElasticのCISOマンディ・アンドレス、AI攻撃の速度に合わせた先制防御の必要性を強調
- •エージェントに状況の文脈を与え、行動を監視し、最小限の権限を付与する三原則
- •韓国企業のSIEM刷新に向け、超高速分析、行動検知、欺瞞技術を提案
Elasticの最高情報セキュリティ責任者（CISO）、マンディ・アンドレス(Mandy Andress)は、AIを使った攻撃が秒単位で進むため、人が対応する従来型のセキュリティ対策は効果を失ったと述べました。複数のセキュリティ製品を重ねて攻撃に必要な時間と費用を増やす方法は、攻撃の非効率を取り除くAI攻撃には適さないと説明しています。最新のフロンティアAIモデルは脆弱性を素早く見つけて悪用コードを作成できます。Hugging Faceへのハッキングでは、AIが脆弱性を見つけて攻撃し、監視を避けるためにルールを外れた行動まで取ったことが確認されたと、アンドレスは伝えました。
アンドレスが率いるElasticのセキュリティ部門は、防御にAIやエージェントを活用するため、三つの原則を適用しています。第一に、AIエージェントにシステム環境の十分な文脈を与え、幻覚による誤った対応を減らします。第二に、エージェントの行動意図と判断理由を確認し、目標から外れた時点を察知します。第三に、必要な権限だけを付与してアクセス範囲を制限し、異常な行動が起きても被害が広がらないようにします。エージェントは予想外の行動を取る可能性があるため、多層防御、最小権限、ゼロトラストの原則を厳格に適用すべきだと述べました。
アンドレスは、セキュリティチームが速度と効率を重視する組織の要請に応じ、インシデント発生後に監視・対応することに慣れてきたと指摘しました。しかし、AI攻撃は秒単位で進むため、以前は数時間・数日・数か月かかっていた対応を、今後は数秒・数分で終える必要があり、インシデント前に動く防御へ転換すべきだとしています。組織はシステムの可用性を保つ方法も見直す必要があります。セキュリティ対策のために保守時間を延ばしたり、サービスが多少遅くなったりしても、AI攻撃でシステムが長時間停止する事態に比べれば受け入れられるという考えです。ただし、転換には数年かかる可能性があり、多くの組織はまず、どのような技術が導入され、通常どのように動作しているかを把握していると述べました。
判断や分析が必要な業務には、人が引き続き密接に関与する必要があるとアンドレスは話しました。AIの推奨や分析の正確さを確かめ、幻覚やエージェントの予想外の目標・行動を見つける役割です。警報をチェックリストに沿って確認する初級アナリストの業務は、今後エージェントが担う可能性があります。その場合、人はエージェントの行動を理解し、適切に動いているか管理する役割へ移ります。繰り返し確認する仕事に代わり、判断力と全体像を見る力が必要な業務を担うことになります。移行には組織的な研修や能力開発が必要な場合が多く、役割の変化を望まない人もいると付け加えました。
韓国企業の旧式のセキュリティ情報・イベント管理（SIEM）環境を刷新するCISOに向け、アンドレスは三つの優先事項を示しました。第一に、データ量が増え続ける中、数秒以内にデータを処理・分析することです。機械の速度で動く環境では、結果を数時間や数日も待てません。第二に、事前に定義した検知ルールから、機械学習で行動そのものを特定する分析へ移ることです。エージェントの行動は予測しにくいため、望ましくない状況をあらかじめ定義するのではなく、環境に新たな行動が現れた時点を捉える必要があります。新しい行動が脅威アクターの侵入なのか、正当な新しいプロセスなのかを当初は判断しにくくても、調査リソースの優先順位付けに役立ちます。
第三の優先事項は、欺瞞技術を併用することです。外部にさらしてはならないアクセス用トークンをおとりとして配置すれば、それが使われた時点で信頼性の高い決定論的な警報を出せます。新たなAIベースの環境でSOCチームが成果を上げるには、最新のSIEMがこうした検知とセキュリティ運用を支える必要があると、アンドレスは述べました。