攻撃者の次の一手が見えたら？AIが変えるサイバー防御のあり方

攻撃を検知することは、これまでサイバーセキュリティの基本でした。そして、これからもその重要性が変わることはありません。ただ、攻撃のスピードがAIによって加速する今、検知した事実を確認しているだけでは、攻撃者の動きに追いつけなくなりつつあります。いま問われているのは、「何が起きたのか」を把握するだけでなく、「次に何が起きる可能性が高いのか」まで見通せるかどうかです。AIエージェントは、作業の実行や状況に応じた判断、さらには別のエージェントへのタスク分担まで担うようになっています。攻撃者がこうした仕組みを利用すれば、攻撃の手順を自動化し、環境の変化に合わせて次の手を選び、これまで以上の速さで動くことができます。しかも、攻撃者はひとつの場所にとどまりません。エンドポイントからネットワークへ、クラウドからデータ環境へと、複数の領域をまたいで攻撃を進めます。ひとつの経路を塞いでも、別の手段に切り替える。防御側が複数のログを集めて状況を整理している間に、攻撃者はすでに次の段階へ進んでいるかもしれません。

攻撃者の「次の一手」は、直前の行動に表れる

先を読むためには、まず、ここまでに何が起きたのかを正しく理解する必要があります。高度な攻撃は、ひとつの端末やシステムだけで完結するものではありません。たとえば、最初にエンドポイントから侵入し、ネットワーク内を横展開し、認証情報を悪用して、最終的に重要なデータへアクセスする。こうした動きは、複数のイベントが連なって初めて全体像が見えてきます。ところが、セキュリティ製品や管理画面が領域ごとに分かれていると、分析担当者はそれぞれのアラートを確認し、手作業で関連付けなければなりません。ひとつひとつのイベントは小さな異常に見えても、つなげてみると、すでに進行中の攻撃を示していることがあります。大切なのは、点在する行動の記録を、ひとつの攻撃シナリオとして捉えることです。攻撃者が何をしたのか、その行動が何を意味するのかが分かれば、次に取る可能性のある行動も見えてきます。

領域をまたいでシグナルをつなぐ

そのための土台となるのが、エンドポイント、ネットワーク、クラウド、データなど、複数の領域から得られるテレメトリーを関連付けることです。たとえば、フィッシングメールをきっかけに端末へビーコン通信を行うプログラムが入り、その後、攻撃者がネットワーク共有を列挙し、リモートのスケジュールタスクを作成したとします。これらを別々のアラートとして見ているだけでは、ひとつひとつの意味を判断するのに時間がかかります。しかし、領域をまたいで関連付ければ、侵入後に攻撃者がどのように足場を広げようとしているのか、その意図を把握しやすくなります。ネイティブなテレメトリー相関によって、個々のイベントを攻撃の流れのなかで捉えられるようになります。分析担当者は、アラートをひとつずつ追うのではなく、「この一連の動きは何を示しているのか」という、より重要な問いに集中できます。

AIは、攻撃のパターンから次の展開を読み解く

攻撃者の行動には、繰り返し現れるパターンがあります。現実の攻撃チェーンを数多く分析すれば、攻撃者がある段階から次の段階へ進む際に、どのような手順を取りやすいのかを学習できます。AIを活用すれば、分断されたツールから情報を集めて人手で関連付ける作業を減らし、過去の攻撃パターンをもとに、進行中の攻撃で次に起こり得る動きを推定できます。もちろん、予測は「何となく次を当てる」ことではありません。重要なのは、実際の攻撃行動に基づくパターンと確度を示し、分析担当者が判断できる材料を提供することです。また、AIが複雑なイベントを分かりやすい言葉で要約すれば、何が起きたのか、なぜ重要なのか、次に何を確認すべきなのかを把握しやすくなります。すべてのログを一から読み解くのではなく、状況を理解したうえで、必要な調査と対応に時間を使えるようになります。

攻撃者の4～5手先を見据える「Incident Prediction」

SymantecとCarbon BlackのThreat Hunterが分析した50万件以上の実際の攻撃チェーンを学習データとして活用するのが、Symantec CBXの予測AI機能Incident Predictionです。

Incident Predictionは、AIによる行動分析と確率スコアリングを用いて、進行中の攻撃で次に起こる可能性が高いステップを特定します。攻撃者が次の段階へ進むのを待つのではなく、攻撃チェーンの先を見越して、被害が発生する前に介入することを目指します。原記事によると、この機能は実際のインシデントの80%で、確度の高い攻撃シーケンスを特定できるとされています。これにより、分析担当者はどこに注意を向け、どのタイミングで介入すべきかを判断するためのコンテキストを得られます。脅威の状況に応じて保護ポリシーを適用し、危険が取り除かれた後に通常の設定へ自動的に戻すことも可能です。攻撃の進行を予測するだけでなく、その予測を具体的な防御アクションにつなげる点が重要です。特に、正規の管理ツールやOS標準機能を悪用し、通常の業務活動に紛れ込むLiving off the Land（LOTL）攻撃では、単一のファイルやプロセスだけを見ても不審さを判断できない場合があります。行動の順序と関係性を捉えることで、単なる正規ツールの利用と、攻撃の一部としての悪用を見分けやすくなります。

防御側もAIを味方につける

AIによって攻撃者の動きが速くなるのであれば、防御側もAIを活用しなければなりません。ただし、目的はAIを導入すること自体ではありません。SOCの現場で、実際に役立つ形で使うことです。攻撃の次の動きを予測する。大量のアラートから重要な兆候を見つける。複数領域のシグナルを関連付ける。そして、長時間かかっていた調査を、より短い時間で進められるようにする。こうした実務上の改善こそが、セキュリティチームにとってのAIの価値です。AIは、経験豊富な分析担当者の判断を置き換えるものではありません。むしろ、膨大な情報のなかから判断に必要な材料を整理し、担当者がより重要な意思決定に集中できるよう支援するものです。

セキュリティリーダーが考えるべきこと

これからのセキュリティ運用では、検知件数やアラート対応時間だけでなく、攻撃の連鎖をどれだけ早い段階で把握し、被害が起きる前に介入できるかが重要になります。

• 領域横断の可視性は確保できているか：エンドポイント、ネットワーク、クラウド、データの情報を関連付け、攻撃の全体像を把握できるか。
• 個別のアラートを攻撃シーケンスとして理解できるか：それぞれのイベントが、攻撃者の目的や次の行動とどう結び付くのかを説明できるか。
• AIの予測を実際の防御につなげられるか：予測結果の根拠や確度を確認し、適切なタイミングでポリシー適用や封じ込めを実行できるか。
• 担当者の判断力を高められるか：AIによる要約や相関分析を活用し、調査の負荷を下げながら、専門家が重要な判断に集中できる環境を整えているか。

攻撃者の次の一手を完全に言い当てることはできません。それでも、過去の行動を正しく読み解き、複数のシグナルをつなぎ、起こり得る展開を先回りして考えることはできます。その差が、攻撃を検知するだけで終わるのか、それとも被害が出る前に止められるのかを左右します。

AIを「攻撃の加速装置」にさせないために

AIは攻撃者に新たなスピードと柔軟性を与えています。しかし、防御側にも、これまで人手では難しかった規模の分析や予測を可能にする力をもたらしています。

Symantec CBXのIncident Predictionは、SymantecとCarbon BlackのThreat Hunterが蓄積してきた実際の攻撃チェーンの知見を、予測型の防御に活用する取り組みです。検知した後に調査を始めるのではなく、攻撃者の行動のつながりから次の展開を読み、より早い段階で対処する。これが、AIを活用した次世代のセキュリティ運用の方向性です。AIを攻撃者だけの武器にしておく必要はありません。防御側もその力を活用し、見えている脅威だけでなく、その先にあるリスクまで捉えることが求められています。

さらに詳しく

• 検知だけでは不十分な理由：攻撃者の次の一手を読む
• XDRでネイティブなテレメトリー相関が重要な理由
• Living off the Land（LOTL）攻撃に対抗する3つの方法
• eBook：AIがSOCの負担を軽減する8つの方法
• ウェビナー：AIで攻撃者の次の動きを予測する
• Symantec CBXのデモをリクエストする