自前で動かせる警備AIが公開、不審な通信を自動調査しすべての判断理由を記録

自前環境で完結するセキュリティ運用の仕組み

GitHub上で、組織内のセキュリティ監視や脅威調査を自動化するオープンソースの基盤ソフトウェア「AiSOC」が公開された。外部のクラウドサービスに依存せず、手元のサーバー上で独立して実行できるセルフホスト型を採用しており、各種監視ツールから送られるデータを集約して脅威の検知や調査を行う。

7000件超の規則と透明性の高い調査機能

AiSOCは、ライブラリに含まれる7015件の検知規則のうち、実際に検証を通過した2530件の規則を基に動作する。イベント発生時には規則に基づいてアラートを集約し、AIエージェントが自動的に背景調査を進める。

特徴的なのは、AIの推論過程が完全に追跡可能な点である。調査の中でモデルに送られた指示や、データ検索に用いられたツール呼び出しの内容はすべて台帳に記録される。根拠となる証拠データに含まれていない情報をAIが回答した場合は、自動的に人間による確認へ回される仕組みを導入し、事実に基づかない出力による誤判断を防ぐ。

既存ツールとの連携と軽量モデルのローカル動作

データの取り込み面では、SplunkやSentinel、AWS CloudTrailなど87種類の接続構成に対応する。既存の検知ルールを変換する仕組みも用意されており、同梱された2005件のSplunkルールのうち1734件を変換して利用できる。

実行環境には、Docker Composeを用いて約2GBのモデル「llama3.2:3b-instruct-q4_K_M」が同梱されている。GPUを搭載しないCPU環境でも動作し、外部の有料APIサービスと契約することなく、不審な動きのトリアージをローカル環境で処理できる。50件のアラートに対する検証では、出力をJSON形式に制約することで全件において実用的な判定が得られたという。

自動化と人間の承認プロセスの両立

検知後の対応手順についても安全性が重視されている。AIが調査結果に基づいて対応策を提案するものの、人間が明示的に承認するまでは外部のベンダーや機器に対する操作は実行されない。承認待ちの状態はデータベースに安全に保持され、システムの再起動があっても中断した状態から再開できる設計となっている。