Anthropic Mythos時代にセキュリティ運用を確立する90日間ガイド：SplunkとAWSが切り拓くレジリエンスへの道

本ブログの執筆にご協力いただいたAWSのMatt Eglin氏、SplunkのDevi Sekar、Paul Frederiksen、Trav Kaneに、心より感謝申し上げます。

Anthropic社のClaude MythosのようなフロンティアAIモデルの急速な進化により、サイバーセキュリティの環境は一変しました。かつては脆弱性の悪用に何年もかかっていたものが、今ではマシンスピードで実行できるようになっています。Anthropic社がMythosの一般公開版(Fable 5)をリリースし、さらに新たなモデルの登場も控える中、この流れは今後ますます加速していくでしょう。こうした劇的な変化に対し、セキュリティ運用には新たなアプローチが求められています。すなわち、AIによる自動化と人の知見を生かした、スケーラブルな統合プラットフォーム上での運用です。

SplunkとAWSは、組織がこの課題に対処するための独自のソリューションを提供します。両社が提供する統合ソリューションは、脅威の検知、調査、対応のワークフローを加速し、AIを活用する脅威のスピードに対応したセキュリティ運用を支援します。

Mythosがもたらす課題：加速する脅威、短縮される対応時間

従来のセキュリティオペレーションセンター(SOC)は、攻撃者が人間のスピードで行動することを前提としていました。しかし、Claude MythosのようなフロンティアAIモデルによって、脆弱性の発見や悪用が自動化されたことで、悪用までの平均時間は劇的に短縮しています。こうした攻撃の加速によって、従来型のSOCモデルが抱える3つの重大な弱点が浮き彫りになっています。

• マシンスピードの攻撃：新たなAIモデルは、既存の脆弱性(数カ月、数年にわたって存在してきたもの)であれ、新たな脆弱性であれ、マシンスピードで発見できるようになっています。
• 急速なデータ増加：企業におけるAIの導入拡大に伴い、データ量も飛躍的に増加しています。その結果、組織内で可視性にギャップが生じる可能性があります。
• AIのパラドックスの問題：ビジネスの効率化を目的に開発しているAIそのものが、セキュリティや可視性の面で新たな課題をもたらします。つまり、保護すべき対象がさらに増えるということです。

エージェンティックSOC：AI時代の新たな運用モデル

AWSのクラウドインフラストラクチャを基盤とするSplunkのエージェンティックSOCモデルは、セキュリティライフサイクルのあらゆる段階にAIエージェントを組み込む一方、重要な意思決定における人の権限を維持することで、こうした課題に対応します。このモデルは、次の3つの主要なレイヤーで構成されています。

• データレイヤー：AWSの大規模な基盤、Splunkのアジリティ、Cisco Data Fabricによるデータ統合を活用することで、組織はネットワークやエンドポイント、アイデンティティ、アプリケーション、クラウド環境にまたがる広範なテレメトリデータを収集・統合できます。この基盤は、正確な検知と対応に不可欠です。
• 推論レイヤー：AIエージェントが、アラートのトリアージや情報の拡充、相関分析、運用の自動化など、高度な判断を必要としない大量のタスクを自動化します。これらのエージェントは、進化し続ける攻撃者の行動に対応できるよう検知ロジックを継続的に調整し、アラート疲れや運用負荷を軽減します。
• アクションレイヤー：封じ込めやエスカレーションなど、重大な影響を伴う意思決定については、人間のアナリストが最終的な決定権を維持します(ヒューマンインザループ)。AIによるすべてのアクションは透明性と追跡可能性が確保され、取り消しも可能なため、ガバナンスとコンプライアンスを確保できます。

SplunkとAWSがMythos/Fableと連携する仕組み

Splunk Enterprise Security PremierをAWS上で稼働させることで、エージェンティックSOCの運用に必要なアジリティとスケールを確保できます。AWSのクラウドネイティブサービスでエージェンティックAIの実行基盤をすばやく構築し、Splunkのプラットフォームで高度な行動ベースの検知、リスクベースのアラート、封じ込めの自動化を利用できます。

SplunkとAWSを組み合わせることで、以下が可能になります。

• 検知と対応を迅速化：Amazon Bedrock AgentCoreを介して稼働するAIエージェントが、大量のテレメトリデータをリアルタイムで処理することで、従来は数時間かかっていた検知と対応を数秒で実行できるようになります。
• 可視性とコンテキストを強化：AWSの各種サービスやCisco Talosの脅威インテリジェンスを統合することで、データを拡充します。これにより、アナリストに有用なインサイトを提供し、見落としを減らすことができます。
• データレジデンシーとセキュリティを確保：AWS上でSplunkを柔軟に展開し、お客様のデータレジデンシー要件にも対応しながら、テレメトリデータやモデルの更新を厳格な変更管理のもとで運用できます。
• ガバナンスとコンプライアンスを支援：AIエージェントの活動のリアルタイム監視や、操作主体の追跡、監査に対応した証跡により、各種の規制フレームワークに対応できます。

フロンティアAIによってセキュリティ運用そのものが変わったわけではありませんが、対応にかかる時間は大幅に短縮されました。だからこそ、これまで以上に基本を徹底することが求められています。

• すべてを可視化：データと可視性
  攻撃者は、偵察から悪用、ラテラルムーブメントまでの一連の攻撃をわずか数分で実行します。収集していないデータを相関分析することはできません。完全なテレメトリを継続的に保持することこそが、マシンスピードで対応するための大前提となります。
• 異常を見抜く：行動分析
  AIによって攻撃者が正規ユーザーを装えるようになる中、ルールだけでは十分に対応できなくなっています。行動ベースラインを活用することで、普段とは異なる行動を取る正規ユーザーと、正規ユーザーになりすます攻撃者を見分けることができます。
• あるべきものを把握する：アイデンティティとエクスポージャー
  十分に把握できていないものを守ることはできません。環境内に何が存在すべきで、何が存在すべきでないかを把握することで、認証情報の侵害による影響を最小化できます。

Cisco Data Fabric powered by the Splunk Platform、UEBA、Exposure Analyticsは、こうした基盤となる機能を提供します。

エージェンティックSOCの成熟度を高める実践的な90日間のロードマップ

組織は、段階的なアプローチを通じて、断片化された手作業中心の運用から、本格稼働するエージェンティックSOCへと移行できます。

1. 1～3週目：包括的なテレメトリデータの取り込みとエクスポージャー分析を確立し、環境全体の可視性を確保します。
2. 3～6週目：トリアージ、情報の拡充、ランブックの自動化にAIエージェントを導入し、検知と対応を迅速化します。
3. 7～12週目：ガバナンスのフレームワークを整備し、脅威インテリジェンスを統合するとともに、リスクベースのアラートを最適化します。
4. 12週目以降：継続的な改善、パープルチーム演習、CI/CDパイプラインへの統合を通じて、持続的な対応力を構築します。

このアプローチにより、平均検出時間(MTTD)と平均対応時間(MTTR)を測定可能な形で改善し、アナリストはより価値の高い調査に注力できるようになります。

結論：マシンスピードで実現するレジリエンス

Mythos時代には、運用に対する統制や信頼を損なうことなく、マシンスピードで機能するセキュリティ運用が求められます。SplunkとAWSは、統合されたスケーラブルなプラットフォームを提供し、AIを活用する脅威をセキュリティチームが効果的に検知、調査、対応できるよう支援します。エージェンティックSOCモデルを実際の運用に組み込むことで、組織はSOCを、アラートへの対応に追われる受動的な組織から、フロンティアAI時代に対応できるプロアクティブでレジリエントな防御システムへと変革できます。