生成AI（LLM)の登場で、攻撃者は「仕様を伝えれば、少しずつ違うコードを大量に作らせる」ことができるようになりました。1つの検体を深く理解してから対処するという防御側の従来の前提は崩れ、同系統の別亜種が次から次へと届きます。この「検知の疲弊」は、ツールの優劣だけでは説明がつきません。テレメトリの粒度と保持期間、標準化された分析プロセス、そして検知ルールの継続改善（Detection as Code）。この3つの設計が伴わなければ、誤検知と見逃しの両方が増え、チームは燃え尽きてしまいます。本稿では、日本の法人組織（情報システム／セキュリティ部門）が今日から着手できる実務の設計図を、①可観測性の整備（何を・どの粒度で・どれだけ保持するか）、②分析プロセスの標準化（Triage→Enrichment→仮説→調査→判定／封じ込め→事後学習）、③Detection as Code（ルールのCI/CD、週次チューニングSLA）の3点を軸に示します。
1. いま何が起きているのか：「検知劣化」の正体
1-1. 攻撃の生産関数が変わった
攻撃者の仕事は「書く」ことから「生成させる」ことに変わりました。プロンプトに難読化・API呼び出し・構成の小さな差分を織り込めば、半自動でバリアントを量産できます。変異のスピードがルール更新の周期を上回れば、更新が終わる前に新しい亜種が大量に流れ込み、運用はあっという間に押し負けます。
1-2. シグネチャ中心の運用が疲弊する理由
シグネチャ中心の運用が疲弊するのには理由があります。ルールを曖昧に広げれば正常系まで巻き込んで偽陽性が膨張し、アラート密度が跳ね上がります。逆に厳格にすれば見逃しが増える偽陰性の増加を招き、MTTD（検知までの時間）が延びてしまいます。人力での最適化だけでは限界があり、観測の質と運用のSLAそのものを更新する必要があります。
1-3. 3つのボトルネック
ボトルネックは大きく3つに整理できます。第一にシグネチャの飽和です。優先度や排他条件が整備されておらず、ノイズが増幅されます。第二に相関の断絶です。EDR・メール・ID・ネットワークの間で時刻・命名・スキーマが不統一なため、事象をつなぎ合わせられません。第三にチケットの滞留です。Triageから調査へのRACIが曖昧で、対応が属人化しています。
2. 可観測性の設計図：「見えるようにする」が最初の防御
2-1. テレメトリの5階層（まずは相関の主役を押さえる)
相関の主役を押さえるには、テレメトリを5つの階層で捉えます。エンドポイントではプロセス生成・親子関係、ScriptBlock、AMSI、モジュール読み込みを、ネットワークではDNS/DoH、HTTPメタ、JA3/JA4、NetFlowを取得します。ID/認証は成功／失敗、MFA、Impossible Travel、権限昇格を、コンテンツはメール（From／Reply-To／Message-ID／添付ハッシュ）や生成AI出力の監査を対象とします。そしてクラウド／アプリではAPI呼び出し、ジョブ実行、ストレージ操作を押さえます。
ツール採否の第一基準は、相関キー（
host_id / user_id / message_id / request_id / sha256）を作れるかどうかです。
2-2. 粒度と保持期間（「全部」ではなく「相関に必要な最小」）
粒度と保持期間は「全部」ではなく「相関に必要な最小」を基準に設計します。推奨保持はEndpoint 90日、Network／ID／Mail／Cloud 180日とし、メタデータ優先＋オンデマンド復元を方針とします（全文保存はサンプル採取にとどめます）。
2-3. スキーマ統一と時刻同期
スキーマの統一と時刻同期も欠かせません。正規化にはECS/OCSFに「寄せる」レイヤを一段用意し、時刻は保存をUTCに統一します（可視化のみJST）。5秒を超えるスキューはアラート対象にします。
2-4. 「相関ファースト」ダッシュボード（週次SLAで回す）
「相関ファースト」のダッシュボードは週次SLAで回します。アラート密度（上位5ルール）と偽陽性TOP10を確認し、未相関イベント率やカバレッジ（導入・送信・正規化）を追跡します。あわせて時刻スキューMAPを管理し、5秒超は自動修復キューへ送ります。
3. 分析プロセスの設計図：「対応できるチーム」の作り方
3-1. 全体フロー
Intake/Triage → Enrichment（自動） → 仮説立案 → 調査 → 判定／封じ込め → 事後学習
3-2. Triage（最初の10–15分）
Triageでは重複抑制・許可リスト照合・影響半径・信頼度を確認します。SLAの目安はS3が15分以内に封じ込め判断、S2が30分以内に追加収集を開始することです。
3-3. Enrichment（自動化で「文脈」を埋める）
端末・ユーザー・ネットワーク・メール・クラウドの不足フィールドを機械的に取得し、空欄のまま人に回さないことを徹底します。
3-4. 仮説立案と調査
観測→仮説→検証/反証を300字程度で記述し、使う検索式まで書き残します。時間箱（S3/S2は15–30分）を設定し、一度は必ず立ち戻ります。
3-5. 判定／封じ込め／事後学習
判定・封じ込め・事後学習の段階では、封じ込めの標準手段としてEDR隔離、ドメイン／IPブロック、トークン失効、メール巻戻し、キー回転を用います。学習の成果物としてエビデンスパック、検知改善チケット、KB記事、回帰テストを残し、SLAは24時間以内にKBドラフト、7日以内に回帰テストへ反映することを基準とします。
3-6. RACI（例）
CSIRT（A）／SOC L1・L2（R）／MDR・ベンダ（C）／IT（R）／法務・広報（C/I）。S3については「10分応答／30分封じ込め提案」をチームの共通言語にします。
4. 検知エンジニアリング：「Detection as Code」で回す
4-1. リポジトリ設計
/sigma /yara /allowlists /tests /datasets /pipelines /metrics /docs
各ルールにはowner precision_baseline rollout(shadow|canary|global) を付与します。
4-2. CI/CD
PR → Lint/Schema → 合成データでユニットテスト → 影響予測 → Shadow → Canary → Global
Canary段階でアラート密度が閾値を超えたら自動ロールバックする仕組みにしておきます。
4-3. 指標と週次SLA
指標と週次SLAではPrecision/Recall／半減期／アラート密度／MTTD・MTTR／回帰テスト網羅率を追跡します。週次でノイズTOP10を必ず処理し、偽陰性を最低1件は回帰テスト化します。
5. 役割分担と連携：ツールは「点」ではなく「線」でつなぐ
5-1. 役割分担の要点
役割分担の要点を整理すると、EDRは実行の把握と隔離を担う即応の主役です。SIEMは横串の相関と時間軸の再構成を担い、UEBAはふるまいの逸脱から早期兆候をつかみます。Sandboxは未知・亜種の挙動評価を行い、Mail GW／CASB・DLP／IdPは初期侵入の遮断、データ持ち出しの抑止、強制MFA／トークン失効を担います。
5-2. 相互フィードの最低3系統
相互フィードは最低3系統を用意します。まずEDR→SIEM→Mail GWで、端末での実行を起点に全社メール巻戻しを行います。次にMail GW→Sandbox→SIEM→EDRで、High判定を起点にレトロ狩り→隔離を実施します。最後にUEBA→IdP→CASBで、Impossible Travelと不審通信の組み合わせから強制MFA／共有停止につなげます。
6. よくある落とし穴と「神話」
現場でよく聞かれる「神話」にも注意が必要です。「AIを入れれば全部検知できる」という声がありますが、相関キー×保持×更新SLAが揃わなければ、どんなAIでも劣化します。「一度書いたルールは長持ちする」という前提も、亜種の洪水の中では半減期が短く、週次の小改修が前提になります。「ダッシュボードを増やせば良い」という発想も、JOINできないダッシュボードは「眺める仕事」を増やすだけです。
即日〜90日の最小ToDoを示します。即日では、host_id/user_id/message_id/request_id/sha256 を必須フィールド化し、時刻同期を5秒以内にします。30日では、正規化レイヤの整備、Detection as Codeの導入、RACIとロールバック条件の明文化を進めます。90日では、DNS/認証ログのフル保持、資産DB×IdPの一意連携、パープル演習の四半期化を実現します。
7. 上級者向けヒント
ラベル付き事例集（KB）を「プロダクト」として整備し、新人でも再現できる粒度に落とし込みます。あわせて攻撃経済性の視点を持ち、封じ込め遅延のコストと運用投資を同じ単位で経営に提示することも重要です。さらに計測可能な自動化を心がけ、発火率やロールバック成功率をKPIにします。測れない自動化は入れません。
8. FAQ
Q1. LLMが量産する亜種にEDRは有効ですか？
有効です。鍵になるのは観測の粒度（プロセスツリー／DNS）と更新SLA。Shadow→Canary→Globalの段階展開で週次の小改修を回せば、Precisionの劣化を抑えられます。
Q2. まず何から始めれば良いですか？
相関キーの必須化、時刻同期、アラート密度TOP10の整理からです。30日で検知CIの最小セットを導入します。
Q3. UEBAとSIEMの違いは？
UEBAは逸脱の検出、SIEMは相関が得意分野です。UEBAの高スコアをSIEMの時間軸に重ねると、横移動を捉える確度が上がります。
Q4. ログの保持はどのくらい必要ですか？
目安はEndpoint 90日、DNS/認証/メール/クラウド 180日です。メタデータ優先＋オンデマンド復元でコストを抑えられます。
Q5. 自動封じ込めは危険ではありませんか？
Canary配信と解除条件をセットにすれば安全に導入できます。誤爆時のロールバックTATをKPI化しておくのがポイントです。
9. 結論と次の一手
生成AIは攻撃のスケールを変え、検知ルールの半減期を短くしました。勝負を分けるのは可観測性×標準プロセス×Detection as Codeの掛け算です。週次の小改修と学習の閉ループを回せれば、疲弊のスパイラルは学習サイクルに変わります。
今日からの3アクションとして、まず相関キーの必須化と時刻同期の一本化（5秒超のスキューは即是正）に着手します。次にアラート密度TOP10の「停止／弱体化／維持」を今週中に決裁します。そしてShadow→Canary→Globalの3段階展開を検知CIでスタートします。
関連記事： ソーシャルエンジニアリング
お知らせ：Yaguraは、生成AI由来の攻撃（文章・音声・映像・コード）に特化し、コンサルティングとソフトウェアの両面から防御アーキテクチャの実装をご支援しています。
