クアッドマイナー、文脈データを軸にしたAIセキュリティを提案

クアッドマイナーは、AIセキュリティ体制が脅威を検知して対応するには、モデル性能に先立ち、判断根拠となる文脈データを確保する必要があるとの考え方を示しました。サイバー脅威の可能性を知らせる警報だけでは、どのようなデータがやり取りされたのか、行動が通常と異なっていたのかを判断しにくいとしています。根拠が不足したまま自動化を拡大すると、分析ミスが誤った遮断につながるおそれがあるため、正確な検知と信頼できる自律対応に活用・検証できるデータが必要だと同社は説明しました。

中核となるのは「文脈データ中心のAIセキュリティオブザーバビリティ」プラットフォームです。クアッドマイナーのネットワーク検知・対応（NDR）製品「ネットワークブラックボックス」は、全パケットの収集からセッションとファイルの再構成、行動分析、脅威検知までの過程でデータを生成します。同社は、元のトランザクション・セッションデータ、行動の基準線、検知の説明可能性という3つの軸で、ネットワーク上で起きたこととAIの判断根拠を結び付けるとしています。これにより、実際の通信内容を確認し、通常の行動と異常な行動を比較して、脅威と判断した理由を検討できます。

ネットワークブラックボックスは、セッションごとの行動を資産ごとの基準線と照合し、繰り返しのリクエストやパラメーターの改ざんなど複数の兆候を組み合わせるシナリオハンティングで攻撃の流れを追跡します。全パケットの分析により、接続情報だけでなく実際の通信内容や、流出が疑われるデータも確認できます。AI機能は、資産の行動異常検知、メール文脈の異常検知、暗号化トラフィックの分類、説明可能な脅威文脈分析に適用されています。検知根拠を自然言語で説明する機能は、誤検知かどうかを確認する負担の軽減に役立つと同社は説明しました。

クアッドマイナーは、グローバルな検索分析プラットフォーム企業と協業し、通信事業者の監視環境で、大規模言語モデル（LLM）を使った攻撃シナリオ分析の運用上の有用性を確認する価値検証（PoV）を進めています。文脈データとSIEMの相関分析で得たインシデント情報を分析プラットフォームに送り、正規化と機械学習分析によって生成した警報を顧客社内の言語モデルが関連付けて分析する仕組みです。同社は、データ基盤を顧客の既存セキュリティ体制と連携させ、判断から対応へつなげる取り組みを進めています。

ネットワークブラックボックスは、検知結果と関連するネットワーク情報を、顧客のセキュリティ情報・イベント管理（SIEM）、エンドポイント検知・対応（EDR）、セキュリティオーケストレーション・自動化・対応（SOAR）の各ツールに送ります。疑わしい端末と情報流出経路を端末セキュリティに提供して調査範囲を絞り、ファイアウォール対応には確認済みの攻撃通信情報を活用します。異なるツールによる分析と措置をネットワーク証拠でつなぎ、顧客環境に合わせて検知・分析・対応を段階的に連携させることで、既存のセキュリティ投資と分析根拠を補強できるとしています。クアッドマイナー最高技術責任者（CTO）のキム・ヨンホ氏は、AIによるハッキングに対抗する基準はAIの判断根拠となるデータの質だと述べました。また、文脈データを先に確保した組織は、既存のSIEM・EDR・SOARへの投資を基盤に、AI検知と自動化の効果を高められると話しました。

クアッドマイナーは、AIセキュリティ体制が脅威を検知して対応するには、モデル性能に先立ち、判断根拠となる文脈データを確保する必要があるとの考え方を示しました。サイバー脅威の可能性を知らせる警報だけでは、どのようなデータがやり取りされたのか、行動が通常と異なっていたのかを判断しにくいとしています。根拠が不足したまま自動化を拡大すると、分析ミスが誤った遮断につながるおそれがあるため、正確な検知と信頼できる自律対応に活用・検証できるデータが必要だと同社は説明しました。

中核となるのは「文脈データ中心のAIセキュリティオブザーバビリティ」プラットフォームです。クアッドマイナーのネットワーク検知・対応（NDR）製品「ネットワークブラックボックス」は、全パケットの収集からセッションとファイルの再構成、行動分析、脅威検知までの過程でデータを生成します。同社は、元のトランザクション・セッションデータ、行動の基準線、検知の説明可能性という3つの軸で、ネットワーク上で起きたこととAIの判断根拠を結び付けるとしています。これにより、実際の通信内容を確認し、通常の行動と異常な行動を比較して、脅威と判断した理由を検討できます。

ネットワークブラックボックスは、セッションごとの行動を資産ごとの基準線と照合し、繰り返しのリクエストやパラメーターの改ざんなど複数の兆候を組み合わせるシナリオハンティングで攻撃の流れを追跡します。全パケットの分析により、接続情報だけでなく実際の通信内容や、流出が疑われるデータも確認できます。AI機能は、資産の行動異常検知、メール文脈の異常検知、暗号化トラフィックの分類、説明可能な脅威文脈分析に適用されています。検知根拠を自然言語で説明する機能は、誤検知かどうかを確認する負担の軽減に役立つと同社は説明しました。

クアッドマイナーは、グローバルな検索分析プラットフォーム企業と協業し、通信事業者の監視環境で、大規模言語モデル（LLM）を使った攻撃シナリオ分析の運用上の有用性を確認する価値検証（PoV）を進めています。文脈データとSIEMの相関分析で得たインシデント情報を分析プラットフォームに送り、正規化と機械学習分析によって生成した警報を顧客社内の言語モデルが関連付けて分析する仕組みです。同社は、データ基盤を顧客の既存セキュリティ体制と連携させ、判断から対応へつなげる取り組みを進めています。

ネットワークブラックボックスは、検知結果と関連するネットワーク情報を、顧客のセキュリティ情報・イベント管理（SIEM）、エンドポイント検知・対応（EDR）、セキュリティオーケストレーション・自動化・対応（SOAR）の各ツールに送ります。疑わしい端末と情報流出経路を端末セキュリティに提供して調査範囲を絞り、ファイアウォール対応には確認済みの攻撃通信情報を活用します。異なるツールによる分析と措置をネットワーク証拠でつなぎ、顧客環境に合わせて検知・分析・対応を段階的に連携させることで、既存のセキュリティ投資と分析根拠を補強できるとしています。クアッドマイナー最高技術責任者（CTO）のキム・ヨンホ氏は、AIによるハッキングに対抗する基準はAIの判断根拠となるデータの質だと述べました。また、文脈データを先に確保した組織は、既存のSIEM・EDR・SOARへの投資を基盤に、AI検知と自動化の効果を高められると話しました。