ログイン

トップ

アウェアネス

PhishAI

AI SOC

サービス一覧

会社概要

記事

ホワイトペーパー

セミナー

用語集

ニュース

インシデント速報

お問い合わせ

資料ダウンロード

Insight

2026/09/11

アラートトリアージの自動化：AIエージェントによる一次調査の手順と精度の担保

迎健太

SOCの時間を最も奪うアラートの仕分け（トリアージ）を、ルール・相関分析・SOARの到達点から、AIエージェントによる一次調査へ。調査の手順、誤検知・見逃しを防ぐ精度担保の仕組み、シャドー運用から始める導入の進め方を実務目線で解説します。

SOCの現場で最も多くの時間を奪っているのは、高度な攻撃の分析ではなく、日々押し寄せるアラートの「仕分け」です。EDRやSIEMが生成するアラートの多くは誤検知や重複ですが、どれが本物かは開いて確かめるまで分かりません。アナリストは「全部は見きれない、しかし見逃せない」というジレンマの中で働いており、この状態が続けばアラート疲れと離職につながります。

米国・英国・欧州各国の900人のセキュリティ実務者を対象とした調査では、63%が何らかの燃え尽きを経験し、「手作業に時間を費やすこと」が仕事で最も不満な点として最多（53%）に挙げられました。同時に93%が「自動化が進めばワークライフバランスは改善する」と回答しています（Tines Voice of the SOC, 2023）。トリアージの自動化は効率化の話にとどまらず、監視体制を持続させるための前提条件になりつつあります。

本記事では、アラートトリアージをTier1アナリストの作業単位まで分解し、ルール・相関分析・SOARプレイブックによる従来の自動化の到達点と限界を確認したうえで、AIエージェントによる一次調査の手順、精度を担保する仕組み、導入の進め方を解説します。

アラートトリアージとは何か——Tier1アナリストの仕事を分解する

トリアージ（triage）は、もともと救急医療で患者の緊急度を選別することを指す用語です。SOCにおけるアラートトリアージは、検知システムから上がってきたアラートを確認し、対応が必要なものと不要なものを切り分け、必要なものに優先順位を付けて次の担当者へ渡す一連の作業を意味します。Tier制のSOCでは、この一次対応をTier1アナリストが担い、深い調査や封じ込めをTier2・Tier3が引き継ぐのが一般的です。インシデント検知が「気づく」工程だとすれば、トリアージは「気づいたものをどう扱うかを決める」工程です。

この工程は標準文書でも明確に位置付けられています。2025年4月に公開されたNIST SP 800-61 Rev.3は、サイバーセキュリティフレームワーク（CSF 2.0）の構成に沿ってインシデント対応を整理し、「新しいインシデント報告の予備的なレビューを行い、インシデントが発生したことを確認したうえで重大度を見積もる」（RS.MA-02）こと、「範囲、想定される影響、時間的な緊急性、利用可能なリソースに基づいて対応の速さを優先順位付けする」（RS.MA-03）ことを推奨しています。また、インシデントを宣言する際には「既知の誤検知を考慮する」（DE.AE-08）こと、トリアージや優先順位付け、エスカレーションの判断は一連のリスク評価要因に基づくべきことにも触れています（NIST SP 800-61 Rev.3, 2025）。同文書は、分析対象となる潜在的に有害なイベントの量は一般に非常に多いため、組織は大規模なイベントデータを人間が確認できる規模まで絞り込む技術的な解決策に頼るべきだとも述べています。人手で全件を見ることを前提にしない考え方は、標準の側にも既に織り込まれているわけです。

トリアージを構成する5つの作業

Tier1アナリストが一件のアラートに対して行っていることを分解すると、おおむね次の5つに整理できます。

重複排除：同じ事象から複数の製品が生成したアラートや、同じホストで繰り返される同種の検知を一つにまとめ、確認すべき件数を減らします。
コンテキスト付与：アラートに含まれるIPアドレス、ホスト名、ユーザー、ハッシュ値に対して、資産情報（重要度、所有部門、外部公開の有無）、ユーザー属性（役職、権限、通常の勤務地や時間帯）、脅威インテリジェンスを紐付けます。
真偽判定：集めた情報から、検知が実際の脅威（真陽性）か、正常な業務活動の誤検知か、悪性ではあるが既に無害化されているものかを見極めます。
優先度付け：影響範囲、重要資産への近さ、攻撃の進行段階から緊急度を判断し、SLAに沿って処理順を決めます。
エスカレーション：本物と判断したものを、判定根拠と推奨対応を添えて上位Tierやインシデント対応チームへ引き渡します。

一見すると定型作業ですが、実際には「どの情報をどこから取るか」「どこまで調べれば判定を下してよいか」という判断の連続であり、アナリストの経験差がそのまま判定品質の差になります。Microsoft Learnのドキュメントも、セキュリティ運用を効果的に行う上で最も重要な要素の一つは「プロセスの標準化」であり、誰がシフトに入っていてもインシデントが同じ処置とSLAを受けるべきだと説明し、その手順を定義するのはSOCマネージャーや上級（Tier2・3）アナリストだとしています（Microsoft Learn）。トリアージ自動化の本質は、この標準化を人の記憶や気力に頼らずに実現することにあります。

従来の自動化の到達点——ルール、相関分析、SOARプレイブック

トリアージの自動化は新しいテーマではなく、SIEMやSOARの普及とともに段階的に進んできました。第一段階は検知ルールのチューニングで、誤検知の原因となるユーザーやIPアドレスを除外し、閾値を調整してアラートの量そのものを減らします。NIST SP 800-61 Rev.3も、継続的モニタリング技術を誤検知と検知漏れが許容可能な水準に収まるよう調整することを推奨しています（NIST SP 800-61 Rev.3, 2025）。第二段階はログ相関分析で、複数のログソースにまたがる事象を時間や主体で結び付け、単体では意味を持たない低重大度のイベントを一つのインシデントにまとめます。第三段階がSOAR（Security Orchestration, Automation and Response）のプレイブックで、アラートの種類ごとに「この情報を取得し、この条件ならクローズ、そうでなければ担当者に割り当てる」といった手順をワークフローとして自動実行します。

到達点を具体的に見るために、Microsoft Sentinelの「自動化ルール」を例に取ります。Microsoft Learnによると、自動化ルールはインシデントの作成時・更新時、アラートの作成時をトリガーとして、ステータスや重大度の変更、担当者の割り当て、タグの付与、タスクの追加、プレイブックの実行といったアクションを実行できます。ユースケースとしては、新規インシデントのステータスをNewからActiveに変えて担当者を割り当てる「トリアージ」、ペネトレーションテストなど既知の事情で発生するインシデントを期限付きで自動クローズする「抑制」、既知の誤検知を「プレイブックを使わずに」自動解決する運用が挙げられています（Microsoft Learn）。誤検知の扱いについては、自動化ルールで一時的な例外を監査証跡付きで適用する方法と、分析ルールやウォッチリストを修正して恒久的に除外する方法が整理され、後者は最も柔軟で網羅的だがSOCエンジニアによる実装が必要で複雑だと説明されています（Microsoft Learn）。

これらは「あらかじめ分かっている条件」に対しては非常に強力で、既知の誤検知を落とし、既知のパターンを既知の担当者に振り分けるだけでもアナリストの負荷は目に見えて下がります。しかし限界もはっきりしています。第一に、処理できるのは設計者が事前に想定した分岐の範囲内に限られ、想定外のアラートは結局人間の前に積み上がります。第二に、判定に必要な情報を「見て、考えて、追加で調べる」工程がなく、収集した情報を人間に見せるところで止まります。第三に、環境や攻撃手法が変わるたびにルールとプレイブックの改修が必要で、その維持コストが自動化の効果を食いつぶします。403人のセキュリティ実務者が回答したSANS 2024 SOC Surveyでは、SOC運用の障壁として「自動化・オーケストレーションの不足」が単独で最も多く挙げられました（SANS 2024 SOC Survey, 2024）。自動化への需要は高いのに、従来の手法では埋めきれない領域が残っているのが多くの組織の実感でしょう。この違いはSOARとAI SOCの違いで詳しく比較しています。

AIエージェントによる一次調査の手順

この「想定外を見て考える」工程を機械に担わせるのが、AIエージェントによる一次調査です。ここでのAIエージェントとは、大規模言語モデル（LLM）を推論の核に据え、SIEM・EDR・ID管理・脅威インテリジェンスなどのツールをAPI経由で操作しながら、「このアラートは本物か、どう対処すべきか」という目的を達成するまで自律的に行動するソフトウェアを指します。手順を事前に固定するSOARとの本質的な違いは、手順を「その場で組み立てる」点にあります。AI SOCの全体像はAI SOCとは？仕組み・従来型SOCとの違い・導入メリットで解説していますので、ここでは一次調査の中身に絞って手順を追います。

アラートの受信と正規化：EDR・SIEM・クラウドサービスなど複数の製品から届くアラートを共通の形式に揃え、重複を統合します。
関連情報の収集：アラートに含まれるホスト、ユーザー、プロセス、IPアドレス、ハッシュ値といった要素（エンティティ）を起点に、前後の時間帯のログ、資産台帳上の重要度と所有者、ユーザーの通常の振る舞い、脅威インテリジェンスとの照合結果を集めます。人間のアナリストが複数のコンソールを開いて行っていた作業に相当します。
仮説の立案：「管理者による正規の保守作業」「侵入後の権限昇格の試み」「脆弱性スキャンの誤検知」といった複数の仮説を立て、それぞれを確かめるには何を見ればよいかを決めます。攻撃者の戦術・技法を体系化したMITRE ATT&CKが、ここで共通の語彙になります。
追加クエリによる検証：「同じユーザーが同時刻に別拠点からサインインしていないか」「そのプロセスの親プロセスは何か」「同じハッシュ値が他のホストにもあるか」といった問いをSIEMやEDRに投げ、結果を見ながら深掘りします。
判定：真陽性・誤検知・無害化済みのいずれかを判定し、確信度と重大度を付与します。確信度が低い場合に「人間の確認が必要」と返すことも、重要な選択肢です。
根拠付きレポートの作成：何を調べ、何が見つかり、なぜその判定に至ったかを、時系列と証拠への参照を添えて文書化します。上位Tierや経営層が読める要約になっていることが、後工程の速さを決めます。
対処の提案または実行：端末の隔離、アカウントの無効化、メールの回収といった対処を提案し、権限が与えられている範囲では実行します。どこまで自動実行するかは、後述するガードレールの設計次第です。

この手順は、熟練アナリストが頭の中で行っている調査そのものです。Microsoft Learnは、Sentinelのインシデントを「特定の調査に関連するすべての証拠の集約」と定義し、アラートから引き継いだエンティティやMITRE ATT&CKの戦術・技法、タイムライン、最大20件の類似インシデント、セキュリティ研究者が定義したクエリによる「トップインサイト」を一画面に集めてMTTRの短縮を目指す設計を説明しています（Microsoft Learn）。AIエージェントは、アナリストがこの画面で目と手を使って辿っていた工程を、APIを通じて同じ順序で、しかし全件に対して休みなく実行します。

仮説立案で参照されるMITRE ATT&CKは、「実世界の観測に基づく、攻撃者の戦術と技法に関する全世界からアクセス可能な知識ベース」として無償で公開されており、企業向けのEnterpriseマトリクスは偵察から影響までの14の戦術で構成されています（MITRE ATT&CK）。アラートを「どの戦術のどの技法か」で表現できると、エージェントの仮説と人間の理解を同じ言葉で突き合わせられ、レビューの効率も上がります。

精度を担保する仕組み——「速いが間違う」を避けるために

速さと引き換えに精度が落ちるなら、トリアージ自動化は本末転倒です。誤検知を本物と判定すれば人間の確認作業が増えるだけですが、本物を誤検知としてクローズすれば、検知できていないのと同じ結果を招きます。実際、SANS 2024 SOC Surveyでは、AI・機械学習技術はSOC技術の満足度ランキングで下位2枠を占め、生成AIは初登場で最下位の評価（満足度スコア1.80）でした（SANS 2024 SOC Survey, 2024）。期待と現実のギャップは率直に認めるべき事実であり、だからこそAIエージェントの精度を「モデルの賢さ」に委ねず、運用の「仕組み」で担保する設計が問われます。一般論として検討すべき要素は五つあります。

人間のレビュー（ヒューマン・イン・ザ・ループ）

エージェントの判定のうち、どれを人間が確認するかをあらかじめ設計します。導入初期は全件をレビューし、安定してきたら高重大度の判定や確信度の低い判定に絞る、といった段階的な運用が一般的です。「AIが判定したから終わり」にしないことと、全件を人が見直して自動化の意味を失わないことの、両方のバランスが要点です。

証跡（エビデンス）の記録

どのクエリを発行し、どの結果を得て、どう解釈して判定に至ったかを、一件ごとに再現可能な形で残します。判定の正しさを後から検証するためだけでなく、監査や規制対応の際に「なぜこのアラートをクローズしたのか」を説明するために不可欠です。NIST SP 800-61 Rev.3がインシデント宣言時に「既知の誤検知を考慮する」ことを求めているように、誤検知と判断した根拠こそ最も丁寧に記録されるべき情報です（NIST SP 800-61 Rev.3, 2025）。

コンテキストメモリ

「このサーバーの管理者は誰か」「この時間帯のこのスクリプト実行は定期ジョブである」「この部門は海外拠点と日常的にやり取りする」といった自社環境の正常状態を蓄積し、判定に反映させる仕組みです。汎用的な脅威知識だけで判定すると、その組織では正常な活動を誤検知として扱い続けることになります。環境固有の文脈を学習し続けることが、誤検知削減の精度を時間とともに高める鍵です。

フィードバックループ

人間がレビューで判定を覆した場合、その結果をエージェントに戻し、以降の判定に反映させます。「どの種類のアラートで、どの方向に間違えやすいか」を継続的に測定し、コンテキストメモリや判定基準を更新していくことで、精度は運用とともに向上します。この測定がなければ、精度が上がっているのか下がっているのかを誰も説明できません。

ガードレール

エージェントが実行できる操作の範囲を明示的に制限します。典型的には、調査（読み取り）は自律的に行わせ、端末隔離やアカウント停止などの変更操作は承認制にする、あるいは影響の小さい操作から段階的に自動化を許可する設計です。NIST SP 800-61 Rev.3も、マルウェアの隔離や侵害された端末の隔離用ネットワークへの移動といった封じ込めの一部を自動実行するようセキュリティ技術を構成することを、必須要件ではなく「検討する」対象として挙げています（NIST SP 800-61 Rev.3, 2025）。自動化の範囲は、組織ごとのリスク評価に基づいて決める事項だということです。

導入の進め方——対象アラートの選定、シャドーモード運用、KPI

精度を担保する仕組みを備えたとしても、いきなり全アラートの判定をAIに委ねることは現実的ではありません。多くの組織で有効なのは、次の三段階です。

第一に、対象アラートの選定です。件数が多く、判定手順が比較的明確な種類から始めます。SANS 2024 SOC Surveyでは、調査のきっかけとして最も多く報告されているのはEDR/XDRなどエンドポイント製品のアラートでした（SANS 2024 SOC Survey, 2024）。EDRの不審なプロセス実行、不審なサインイン、従業員から報告されたフィッシングメールなどは、必要な情報源が限られ、人間の判定基準も言語化しやすいため、最初の対象に適しています。

第二に、シャドーモード運用です。エージェントの判定を本番のワークフローには反映させず、人間のアナリストの判定と並走させて比較します。見るべき指標は、判定の一致率、エージェントが誤検知と判定したものに本物が含まれていた件数（見逃し）、本物と判定したものに誤検知が含まれていた件数（過検知）、一件あたりの調査時間です。この期間にコンテキストメモリへ自社環境の文脈を蓄積し、ガードレールの設定を調整します。

第三に、KPIを定めて段階的に権限を広げることです。トリアージ自動化のKPIは、アラート全体のうち実際に調査された割合（調査率）、一次判定の人間との一致率、誤検知をクローズするまでの時間、エスカレーションの件数と精度、そしてMTTD・MTTRが基本です。指標の設計と読み方はMTTR・MTTDとは？SOCのKPI設計と改善の実務で整理しています。指標が安定したら、調査のみの権限から対処の提案、承認付きの実行、影響の小さい操作の自動実行へと段階的に広げます。同時に、エージェントがエスカレーションした案件をインシデント対応チームがどう引き取るかを、インシデント初動対応とSOCの連携で述べているランブックの形で明文化しておくことが重要です。

AI SOCにおけるトリアージ自動化の姿

ここまで述べた手順と仕組みをサービスとして提供する形態がAI SOCです。ヤグラAI SOCは、一流アナリストの調査手法を再現したAIエージェントが、EDR・SIEMのアラートを24時間365日、自律的に調査・対処する自社開発のサービスで、Microsoft Sentinelを含むEDR・SIEM・ID管理製品など100以上のセキュリティ製品と連携します。コンテキストメモリで自社環境を学習し、調査精度が運用とともに向上する設計を採っています。

導入効果は、アラートのうち実際に調査できた割合、担当者の手動分析時間、追加調査や再判定に要した工数を分けて評価します。AIによる調査で担当者の負担をどこまで減らせるかは、取得できる情報やアラートの種類によって変わります。自社の実データを使い、見逃しや誤った判定が増えていないかも合わせて検証してください。

この投資の効果はコスト面でも示され始めています。IBMとPonemon Instituteの調査では、セキュリティにおけるAIと自動化を広範に活用している組織は、まったく活用していない組織と比べて侵害一件あたりのコストが平均193万ドル低いと報告されています（IBM Cost of a Data Breach Report, 2026）。トリアージは、その自動化の最初の入口であり、最も効果を測定しやすい領域です。

まとめ

アラートトリアージは、重複排除、コンテキスト付与、真偽判定、優先度付け、エスカレーションという五つの作業からなる判断の連続です。ルールや相関分析、SOARプレイブックによる従来の自動化は既知の条件に対する処理を大きく効率化しましたが、想定外のアラートを「見て、考えて、追加で調べる」工程は人間に残されたままでした。AIエージェントによる一次調査は、この工程を全件に対して実行することで、調査率と対応速度を根本から変える可能性を持っています。

ただし、その価値は精度の担保があって初めて成立します。人間のレビュー、証跡の記録、コンテキストメモリ、フィードバックループ、ガードレールを備え、対象を絞ったシャドーモード運用から始めて、KPIで効果を確認しながら権限を広げる。この順序を守ることが、「速いが信用できない自動化」ではなく「速くて説明できる自動化」への道筋です。まずは自社で最も件数が多いアラート種別を一つ選び、人間の判定手順を書き出すことから始めてみてください。

関連サービス：本記事で解説した一次調査の自動化を、EDR・SIEMのアラートに対してAIエージェントが24時間365日自律的に調査・対処する形で提供する「ヤグラAI SOC」の詳細はこちら。