ログ解析ツール、統合ログ管理としてのプラットフォームを利用してセキュリティソリューションとしても展開している Splunk を SIEM（ Security Information and Event Management ）として導入されているところは多いかと思います

そして、その Splunk は Splunk Apps により機能拡張が容易であることが一つの魅力であると捉えられます。

今回は 別の会で確認したセキュリティ運用に特化したAI機能「AIでSIEMの能力、SOCの効率を最大化　ー　SPIDER TM AI Edition　－」の Splunk 連携について確認していきます。

セキュリティ運用に特化したAI「SPIDER TM AI Edition」とは

SIEM として開発された「SPIDER TM」、その 「SPIDER TM」 を活用したセキュリティ運用の中で確認されたセキュリティイベントのデータを、収集し、分析し、その結果を学習させたAIです。
このAIはイベントの危険度をスコアリングし、イベントの対応優先度をつけることが出来、危険度の高いイベントから処理すくことを可能とします。

さらに、このAiは、日々の運用の中から通常の振る舞いも学習し、独自に持っているサイバー攻撃の特徴情報から、 これまで検知することが難しかった、最新の脅威や潜在するサイバー攻撃を検知することを可能としています。

[blogcard url=” https://www.cyberfortress.jp/2020/06/26/blog-spider-tm-ai-edition/ “]

SIEMはそのままで、セキュリティに特化したAIをアドオン

セキュリティに特化したAI 「SPIDER TM AI Edition」 は、同じ開発元のSIEM製品 「SPIDER TM」だけではなく、他のSIEM製品にAIの機能だけをアドオンさせることを目指いしています。
もちろん、「SPIDER TM」をベースに開発されているため、「SPIDER TM」の上で活用することが推奨されています。

しかし、SIEMはセキュリティ運用の中で中核となるもの、それを容易く変更することは難しいことも知っています。
その為、その他の SIEMとして利用されている製品にアドオンできる形として、「Splunk」へのアドオンが挙げられています。

日々進化するサイバー攻撃へ対抗できる強固なセキュリティ環境を実現する為には、多くのソリューションと連携することが重要と考えています。そして 「SPIDER TM AI Edition」はそれを実現しようとしていると言えます。

そして「SPIDER TM AI Edition」 の結果をAPIを利用して他のサービスプラットフォームと連携させて、さらなる拡張性の提供も目指しています。

「SPIDER TM AI Edition」が Splunk Apps に

「 SPIDER TM AI Edition 」は、Splunk Apps としてSplunkの機能拡張としても利用できるとしています。

その為、2つのAppsを開発しています。
・ SPiDER TM AI PM (Platform Management)
・ SPiDER TM AI Edition

AIの分析機能を持つ「 SPiDER TM AI Edition 」
その「 SPiDER TM AI Edition 」にSplunkのデータを連携させる為の「 SPiDER TM AI PM 」

それぞれを利用することで、Splunk上で「 SPIDER TM AI Edition 」を利用することが可能になるとしています。

Splunk　＞　SPiDER TM AI Edition

Splunk　＞　SPiDER TM AI PM

最後に

多くの業界で人手不足が課題とされている中、システム業界でもエンジニア不足は重大な課題となっています。そして、それを解決する為、多くの分野でAIの活用が必要と言われています。そして、システムセキュリティの分野でも、以前より SOAR が注目されています。

それを実現する為にもまた、AIの活用は必要であると考えています。SplunkでもSOARを実現する Splunk Phantom などもあると思います。反復的作業の自動化、これに「 SPIDER TM AI Edition 」の機能を兼ね備えることで、危険度の高いセキュリティインシデントの対応も迅速にでき、さらなる効率化も図れるのではないでしょうか。

何よりも、複数のソリューションと連携できることはシステムセキュリティの機能を最大限生かせるものとなると考えています。
それは、新型コロナウィルス感染症のワクチン開発で協力しあう世界中の製薬会社と同じことを意味するのではないでしょうか。

[blogcard url=” https://www.cyberfortress.jp/contact/ “]