モデルは、正常時のデータ量がどれくらいか認識するように事前学習されています。そのため、コレクターのすべてのエラーを追跡するのではなく、データ量の減少が期待される範囲から外れていると検知された場合に対処するだけで済むようになりました。単なるノイズと、対処すべき問題を区別できるようになったということです。
Mitiga社：データ収集障害の検出を1日がかりから数時間へ短縮
主な課題
Mitiga社の顧客は、同社がクラウドへの攻撃を検出して阻止してくれるものと信頼しています。その信頼に応えるには、クラウド攻撃やその他の脅威の検出を支えるログを絶えず収集する必要があります。収集量の減少は、最悪のタイミングで死角が生じるシグナルになっていました。このような収集量減少は認識されていましたが、シスコを導入する前は、減少を確認および検証するのに最大で24時間かかっていました。
主な成果
収集の監視におけるアノマリ検出を強化するためにCisco Deep Time Series Model (CDTSM)を活用することで、収集量の減少を早期に検出して問題をすばやく確認できるようになりました。CDTSMは、時系列予測のためのゼロショット基盤モデルであり、各収集ジョブで期待される収集量を予測し、想定範囲から外れた収集量の減少を検知します。Splunk AI ToolkitでCDTSMを使って1万件以上の収集ジョブを処理することにより、収集の障害検出が1日がかりから数時間に短縮されました。
大規模運用での早期導入企業
2019年に設立されたMitiga社は、クラウド、SaaS、ID、サードパーティサービス、AIを横断して包括的に保護するAgentic Runtime Securityプラットフォームを提供しています。Cisco Deep Time Series Modelの早期導入企業であり、このテクノロジーを活用して、セキュリティ監視の中核であるアノマリ検出機能を強化し、Blackstone社、Redis社、New American Funding社をはじめとする世界中の大企業にサービスを提供しています。
当初はクラウドインシデント対応企業として設立されましたが、創業メンバーは、予防だけでは不十分であること、そして、従来のツールでは設計上、進行中のクラウド攻撃を調査および阻止できないことに気づきました。この課題を解消するために、Mitiga社はHelios AIDRを開発しました。Helios AIDRは、AIドリブンの検出および自動化と、1,000日を超えるアクティビティデータを保持するCloud Security Data Lakeを組み合わせた、AIネイティブの検出および対応エンジンです。ビジネスに影響が及ぶ前に攻撃を封じ込めるこの技術を、同社では「Zero-Impact Breach Prevention (ゼロインパクト侵害防止)」と呼んでいます。
このミッションを実現するには、顧客のクラウド環境から24時間体制で確実にログを収集する必要があります。Mitiga社は、専用のパイプライン(「ジョブ」)を通じて、これらのログを常時ストリーミングしています。1万件以上の収集ジョブが継続的に稼働しているため、監視範囲を漏れなくカバーするには、データパイプラインの健全性が極めて重要になります。収集に失敗すると、顧客にとって最悪なタイミングでデータフローが停止します。
「以前は、データ量の減少から収集の問題を特定するまでに最大24時間かかることがありました」と、Mitiga社のDevOpsエンジニアであるAmit Matalon氏は説明します。「Cisco Deep Time Series Modelを活用したアノマリ検出を導入してからは、データ量の減少を数時間以内に検出できるようになりました。信頼性の高いデータ収集はプラットフォームの重要な要素であるため、この課題を解消できたことは大きな成果です」
成果
- 収集の問題検出にかかる時間を24時間から数時間に短縮
- 誤検知アラートを約95％削減
- 収集の問題のMTTD (平均検出時間)を約4分の1に短縮
データ量の減少を早期に検出
Mitiga社にとって、データ量は特に重要なシグナルの1つです。イベント量の予期しない減少は、多くの場合、上流工程で障害が発生していることを示唆しています。以前は、このような障害を特定するのに約24時間かかっていましたが、データ収集が同社のプラットフォームの中核を支えていることを考えると、あまりにも遅すぎます。
目標は、データ量を「生存確認」シグナルとして利用し、高カーディナリティのジョブ全体を大規模に監視しながら、収集の問題を数時間以内に検出することでした。その実現には、季節変動やベースラインを考慮したアノマリ検出、1つの障害に関する大量のアラートを1つにまとめるスマートアラート機能、高解像度の直近データと長期的な集計データの両方を保持するシステムが必要でした。
CDTSMを収集の監視に活用
Cisco Deep Time Series Modelの早期導入企業であるMitiga社は、数万件のジョブでログ収集量の減少を検出するという、同社のプラットフォームにとって極めて重要な課題にこのモデルを適用しました。ARIMAやProphetといった従来の統計的手法とは異なり、このモデルは、独自のトレーニングやファインチューニングが不要な点で、この用途に非常に適していました。ゼロショット基盤モデルであるため、導入後すぐに多様なデータパターンに適応し、同社の複雑な高カーディナリティの環境にも対応できました。
検出は単一のSPLサーチで実行され、各ジョブのデータ量の時系列データがAI Toolkitのapplyコマンドを通じてモデルに入力されます。モデルは、各ジョブについて期待されるデータ量の範囲を予測し、その範囲を外れるデータ量の減少を検知します。CDTSMはSplunkプラットフォーム内でネイティブにホストされるため、メトリクスデータは外部のモデルやプロバイダーに送信されることなく処理されます。
Mitiga社では、独自のユースケースに合わせてCDTSMをチューニングし、問題とみなす判定基準となる検出感度を設定しました。たとえば、データ量の減少が一時的な場合は無視し、数時間続く場合は対応します。こうした仕様に合わせてモデルをチューニングしたことで、データ量が少ない時間帯に障害が誤検知されることがなくなり、本当に対処すべき異常のみがアラートされるようになりました。
実験から本稼働へ
当初は実験的に始まった取り組みが、現在では本番環境で継続的に稼働する安定した運用パイプラインになりました。この収集パイプラインは常時監視されるため、チームはほかの業務に集中できます。
「Cisco Deep Time Series Modelは、正常時のデータ量を認識するように事前学習されています。そのため、コレクターのすべてのエラーを追跡するのではなく、データ量の減少が期待される範囲から外れていると検知された場合に対処するだけで済むようになりました。単なるノイズと、対処すべき問題を区別できるようになったということです」とMatalon氏は評価します。
Mitiga社の導入成功は、高度なAIを活用することで、セキュリティチームがノイズの追跡から検証済みの脅威への対応へ重点を移せることを実証しています。同社は現在、監視アーキテクチャ全体にAI/機械学習をさらに深く統合する方法を模索しながら、このアプローチの改良を続けています。
ビジネスの拡大とともに、CDTSMを活用したアノマリ検出は同社のインフラの中核を担う要素となりました。これは、大量のデータを扱う環境でも、マシンスピードで監視すれば、大きな競争優位性がもたらされることを証明しています。
