サイバーセキュリティシステムは、変革の機運が高まっています。長年にわたり、個々のツールが乱立し、それぞれが独自のデータ形式を採用した結果、膨大な量のばらばらなデータが生み出されています。また、こうしたデータを評価できる熟練したサイバーセキュリティアナリストは世界的に不足しており（見つけられたとしても非常に高額です）、さらにハッカーはますます巧妙かつ創造的になっています。AIはこれらの問題の解決策となるはずでしたが、大規模で綿密に計画されたインフラストラクチャが必要となるため、大規模な問題解決には限定的な効果しか発揮していません。この記事では、サイバーセキュリティシステムにおけるAIの役割と、AIが真に革新的なテクノロジーとなる可能性について考察します。
AIはニセ薬
AIはサイバーセキュリティソリューションを説明するマーケティング資料でよく取り上げられていますが、これまでのところ、想像するほど変革をもたらしていません。市場規模が年々拡大しているにもかかわらず、 年平均成長率20.5パーセントAIをセキュリティ問題に導入するのは依然として運用上困難です。現代の セキュリティオペレーションセンター（SOC)おそらく、見にくいダッシュボードとCNNを備えた大型テレビや、ますます複雑化する攻撃に直面して企業内で何が起こっているかを見極めるために手作業でデータを相関させることに時間を費やしているセキュリティアナリストが、おそらく仕事に苦痛を感じているだろう。もし人間がそれをしているのなら、次のような疑問が湧いてくる。 「AIはどこにありますか？」
サイバーセキュリティは複雑な運用上の問題であり、それがAIによる変革が遅れている主な理由です。脅威が通常の活動とほとんど見分けがつかない場合が多い中で、数百ものテレメトリソースから企業内の脅威を特定するのは非常に困難な問題です。さらに、各セキュリティツールからのデータは異なる形式をとる可能性があり、AIシステムのトレーニングに使用する前に正規化する必要があります。
業界やユースケースに関わらず、AIはデータから学習します。AIエンジンは、何が異常で何が異常でないかを学習し始めるために、データでトレーニングされる必要があります。セキュリティ問題の厄介な点はまさにそこにあります。企業のセキュリティデータは、ツールや動作パターンが異なるため、少なくとも多少は異なり、場合によっては大きく異なることもあります。画像認識や音声認識システムのように、ライセンス供与できるような、セキュリティ分野における理想的なトレーニングデータセットは存在しません。セキュリティ問題に対処するためにAIを使用するには、独自のデータを作成し、取得する必要があります。
AIエンジンにとって有用なデータ正規化は、非常に大きな課題です。この問題の価値は非常に高く、主に自動運転車アプリケーションに特化したAI開発のためのデータAPIを開発するスタートアップ企業であるScale AIは、設立からわずか5年足らずで70億ドルの評価額を獲得しました。Scale AIはすでに、世界で最も革新的な組織の多くを顧客として抱えています。
変革をもたらすAIは何をもたらすのか
セキュリティにおける AI は、最終的には攻撃と防御の両方で変革をもたらす可能性がありますが、それはまた別の機会にお話ししましょう。ここでの「変革」とは、セキュリティのあらゆる部分にわたる広範な変革を意味し、企業のセキュリティへの取り組み方を根本的に変えることになります。現時点では、AI によってセキュリティを向上できる限られたアプリケーションに満足しなければなりません。
それでも、セキュリティ分野におけるAIの明るい兆しはいくつかあります。これらは、データの問題をじっくり考えることで簡単に見つけることができます。セキュリティスタックのどの部分が、クリーンで学習可能なデータを生成するのでしょうか？メール詐欺とマルウェア検出は、その好例です。AIエンジンは、利用可能なフィッシングの例やマルウェアのシグネチャから学習し、類似のエクスプロイトを検出できます。顧客のメールやマルウェアサンドボックス全体のデータは、エンタープライズ製品を支えるAIモデルのトレーニングに使用できます。ネットワークを横方向に移動する攻撃（ファイアウォールからActive Directoryサーバー、そしてデータサーバーへなど）の検出といった問題では、同じトレーニングを実装するのははるかに困難です。なぜなら、この横方向の移動は企業ごとに少しずつ異なるからです。
企業のあらゆるデジタル業務を包括的に保護するAIの開発は、今日の自動運転車企業が行っている取り組みと多くの点で類似している。例えば、Waymoの自動運転車ソフトウェアは、2009年以来、15億マイルを超えるシミュレーション走行と20万マイルを超える実走行データに基づいて学習を重ねてきた。Waymoは、さまざまなレベルの忠実度（シミュレーション、クローズドコース、実世界）で厳格なテストを実施し、数千ものバリエーションを持つシナリオを実行すると同時に、改善のためにデータを収集している。
これはセキュリティにおける AI の完璧な例えではありませんが、かなり良い例えです。シミュレーション データによるテスト、シミュレーションまたは実際の攻撃によるラボ環境でのテスト、さまざまな企業での実際の運用でのテストです。よりクリーンなデータへの自然なアクセスに関するセキュリティの問題は、真の AI 搭載製品によって、エンタープライズ セキュリティ スタック全体にわたるより困難なデータの問題よりも早く発生します。そこに到達するには時間と資金が必要であり、データの問題に徹底的に焦点を絞ったイノベーションが、まず第一に、広範な変革を解き放つための鍵となります。現在、多くのセキュリティ ツールは、インフラストラクチャ全体の特定の問題点にサイロ化される傾向があるため、データの正規化に焦点を当てていません。
セキュリティにおけるAIの変革とは
すべての IT イニシアチブ、構成、セキュリティ ログ、アラートが、その特定の分野における世界トップクラスのセキュリティ専門家によって、業務を中断することなくリアルタイムで確認できると想像してください。エンタープライズ アナリストがその専門家に相談し、指示を受けることができると想像してください。セキュリティにおける AI は、最終的にはそのようなものになるでしょう。
では、どうすればよいのでしょうか？綿密に練られたデータ資産に基づいて構築され、データの複雑さを軽減する製品こそが、最終的にその分野の王者となるでしょう。そうでなければ、製品は顧客ごとに機能せず、サービスのような利益率しか得られず、拡張性もありません。（興味深いことに、Andreesen Horowitzは、AIの構築と拡張に伴う固有のコストのため、同社のエンタープライズAI企業のほとんどは、同等のSaaS企業よりも利益率がはるかに低いことを発見しました。）
これらの将来のカテゴリーキングは、データが本当に資産とみなされ、製品の自己改善性に役立つようになるまで、おそらく何年もかけてデータインフラストラクチャと収集に投資する必要があります。しかし、これらの企業の王がAI用の真のデータ資産を獲得すると、彼らの革新のペースは競合他社が追いつくのが困難になり、直感的な製品を維持できる限り、彼らはカテゴリーキングの座に就くでしょう。検索エンジンカテゴリがGoogleに急速に統合されたのと同じように、データ集約型のサイバーセキュリティソリューションでも同じことが起こるでしょう。特に、セキュリティ情報とセキュリティの分野での大規模な統合に注目してください。 イベント管理（SIEM), 拡張検出および対応（XDR), エンドポイントの検出と応答（EDR）、および ネットワークの検出と応答（NDR） 市場。
つまり、セキュリティ分野におけるAIは、先に述べたメール詐欺やマルウェアの例のように、データの複雑さが少ない小規模な問題からまず登場し始めています。その後、AIは徐々に複雑なデータ問題へと展開していくでしょうが、真に意味のあるAIエンジンを搭載できるのは、データの複雑さの管理に徹底的に注力した製品だけです。効果的なAI駆動型セキュリティプログラムを実現するには、利用可能なすべてのセキュリティツールと脅威フィードからデータを収集し、そのデータをAIエンジンのトレーニングに利用できるように正規化する必要があります。これが、サイバーセキュリティにおけるAIの未来像です。
著者について
サム・ジョーンズは Stellar Cyber, Inc. の製品管理担当副社長です。経験豊富な製品開発リーダーであり、顧客に愛される AI およびセキュリティ製品の構築で実績があります。AI/ML、データ インフラストラクチャ、セキュリティ、SaaS、製品設計、防衛の分野で豊富な経験があります。サムは、Palantir Technologies や Shield AI などの企業で製品およびエンジニアリングの役職を務め、米国空軍ではサイバー防衛戦略に携わりました。コーネル大学で電気工学およびコンピューター工学の学士号を取得しました。
