Insight
2025年8月16日
生成AI（LLM）は、「仕様を伝えれば、少しずつ違うコードを大量生成できる」環境を攻撃側に与えました。結果として、防御側が“1つの検体を深く理解してから対処する”従来の前提は崩れ、同系統の別亜種が次々と到来します。 この“検知の疲弊”はツールの優劣だけでは説明できません。観測（テレメトリ）の粒度と保持、標準プロセス、そして検知の継続改善（Detection as Code）。これらの設計が伴わない限り、誤検知と見逃しの両方が増え、チームは燃え尽きます。 本稿は、日本の法人組織（情報システム／セキュリティ部門）で今日から着手できる、実務の設計図を提示します。具体的には以下の3点を軸に据えます。 可観測性の整備（何を・どの粒度で・どれだけ保持するか） 分析プロセスの標準化（Triage→Enrichment→仮説→調査→判定／封じ込め→事後学習） Detection as Code（ルールのCI/CD、週次チューニングSLA）
1. いま何が起きているのか——“検知劣化”の正体
1-1. 変化した攻撃の生産関数
攻撃者は「書く」から「生成させる」へ。プロンプトで難読化・API呼び出し・構成の小差を織り込み、半自動のバリアント量産が可能になりました。
変異速度 vvv と ルール更新周期 TTT の積が1を超えると（更新までに新亜種が大量流入）、運用はすぐに押し負けます。
1-2. シグネチャ中心が疲弊する理由
偽陽性の膨張：曖昧に広げたルールが正常系を巻き込み、アラート密度が跳ね上がる。
偽陰性の増加：厳格にすると見逃しが増え、MttD（検知までの時間）が延びる。
人力最適化だけでは限界。観測の質と運用のSLAを更新する必要があります。
1-3. 3つのボトルネック
シグネチャ飽和：優先度や排他条件が未整備でノイズが増幅。
相関の断絶：EDR・メール・ID・ネットの時刻／命名／スキーマ不統一。
チケット詰まり：Triage→調査のRACIが曖昧で、属人化。
2. 可観測性の設計図——“見えるようにする”が最初の防御
2-1. テレメトリ5階層（まずは相関の主役を押さえる）
エンドポイント：プロセス生成・親子関係、ScriptBlock、AMSI、モジュール読み込み
ネットワーク：DNS/DoH、HTTPメタ、JA3/JA4、NetFlow
ID/認証：成功／失敗、MFA、Impossible Travel、権限昇格
コンテンツ：メール（From／Reply-To／Message-ID／添付ハッシュ）、生成AI出力監査
クラウド／アプリ：API呼び出し、ジョブ実行、ストレージ操作
相関キー（
host_id / user_id / message_id / request_id / sha256）が作れるかを採否の第一基準に。
2-2. 粒度と保持期間（“全部”ではなく“相関に必要な最小”）
推奨保持：Endpoint 90日、Network／ID／Mail／Cloud 180日。
方針：メタ優先＋オンデマンド復元（全文保存はサンプル採取）。
2-3. スキーマ統一と時刻同期
正規化：ECS/OCSFへ“寄せる”レイヤを一段用意。
時刻：保存はUTC（可視化だけJST）。5秒超のスキューをアラート。
2-4. “相関ファースト”ダッシュボード（週次SLAで回す）
アラート密度（上位5ルール）／偽陽性TOP10
未相関イベント率／カバレッジ（導入・送信・正規化）
時刻スキューMAP（>5秒を自動修復キューへ）
3. 分析プロセスの設計図——“対応できるチーム”の作り方
3-1. 全体フロー
Intake/Triage → Enrichment（自動） → 仮説立案 → 調査 → 判定／封じ込め → 事後学習
3-2. Triage（最初の10–15分）
重複抑制・許可リスト照合・影響半径・信頼度をチェック。
SLA目安：S3は15分以内に封じ込め判断、S2は30分以内に追加収集開始。
3-3. Enrichment（自動化で“文脈”を埋める）
端末・ユーザー・ネット・メール・クラウドの不足フィールドを機械で取得し、空欄のまま人に回さない。
3-4. 仮説立案と調査
観測→仮説→検証/反証を300字で記述し、検索式まで書く。
時間箱（S3/S2は15–30分）で一度必ず戻る。
3-5. 判定／封じ込め／事後学習
封じ込め標準：EDR隔離、ドメイン／IPブロック、トークン失効、メール巻戻し、キー回転。
学習の成果物：エビデンスパック、検知改善チケット、KB記事、回帰テスト。
SLA：24時間以内にKBドラフト、7日以内に回帰テスト反映。
3-6. RACI（例）
CSIRT（A）／SOC L1・L2（R）／MDR・ベンダ（C）／IT（R）／法務・広報（C/I）。
S3は「10分応答／30分封じ込め提案」を共通言語に。
4. 検知エンジニアリング——“Detection as Code”で回す
4-1. リポジトリ設計
/sigma /yara /allowlists /tests /datasets /pipelines /metrics /docs
各ルールにowner precision_baseline rollout(shadow|canary|global) を付与。
4-2. CI/CD
PR → Lint/Schema → 合成データでユニットテスト → 影響予測 → Shadow → Canary → Global
Canaryでアラート密度が閾値超過なら自動ロールバック。
4-3. 指標と週次SLA
Precision/Recall／半減期／アラート密度／MttD・MttR／回帰テスト網羅率。
週次でノイズTOP10を必ず処理し、偽陰性を最低1件回帰テスト化。
5. 役割分担と連携——ツールは“点”ではなく“線”
5-1. 役割分担の要点
EDR：実行と隔離、即応。
SIEM：横串相関と時間軸。
UEBA：逸脱の早期兆候。
Sandbox：未知／亜種の挙動評価。
Mail GW／CASB・DLP／IdP：初期侵入遮断・データ抑止・強制MFA／トークン失効。
5-2. 相互フィードの最低3系統
EDR→SIEM→Mail GW：端末実行を起点に全社メール巻戻し。
Mail GW→Sandbox→SIEM→EDR：High判定でレトロ狩り→隔離。
UEBA→IdP→CASB：Impossible Travel＋不審通信で強制MFA／共有停止。
6. よくある落とし穴と“神話”
「AIがあれば全部検知できる」→相関キー×保持×更新SLAが揃わなければ劣化。
「ルールは長持ち」→亜種の洪水で半減期は短い。週次小改修が前提。
「ダッシュボードを増やせば良い」→JOINできなければ**“眺める仕事”**が増えるだけ。
即日〜90日の最小ToDo
即日：
host_id/user_id/message_id/request_id/sha256を必須フィールド化、時刻同期5秒以内。30日：正規化レイヤ整備、Detection as Code導入、RACIとロールバック条件を明記。
90日：DNS/認証フル保持、資産DB×IdPの一意連携、パープル演習の四半期化。
7. 上級者向けヒント
**ラベル付き事例集（KB）**を“プロダクト化”（新人でも再現できる粒度で）。
攻撃経済性：封じ込め遅延コストと運用投資を同じ単位で提示。
計測可能な自動化：発火率／ロールバック成功率をKPIに。測れない自動化は入れない。
8. FAQ（注目スニペット最適化）
Q1. LLMが量産する亜種にEDRは有効ですか？
有効です。観測の粒度（プロセスツリー／DNS）と更新SLAが鍵。Shadow→Canary→Globalで週次に小改修を回すとPrecision劣化を抑えられます。
Q2. まず何から始めれば良い？
相関キーの必須化、時刻同期、アラート密度TOP10の整理。30日で検知CIの最小セットを導入します。
Q3. UEBAとSIEMの違いは？
UEBAは逸脱、SIEMは相関が得意。UEBA高スコアをSIEMの時間軸に重ねると横移動の確度が上がります。
Q4. 保持はどのくらい必要？
目安はEndpoint 90日、DNS/認証/メール/クラウド 180日。メタ優先＋オンデマンド復元でコストを抑えます。
Q5. 自動封じ込めは危険では？
Canary配信と解除条件をセットにすれば安全に導入可能。誤爆時のロールバックTATをKPI化します。
9. 結論と次の一手（ブランド想起型CTA）
生成AIは攻撃のスケールを変え、検知の半減期を短くしました。勝負は、可観測性×標準プロセス×Detection as Code。週次の小改修と学習の閉ループが、疲弊スパイラルを学習サイクルへ変えます。
今日からの3アクション
相関キー必須化と時刻同期の一本化（>5秒スキューは即是正）
アラート密度TOP10の「停止／弱体化／維持」を今週中に決裁
Shadow→Canary→Globalの3段階展開を検知CIでスタート
関連記事： ソーシャルエンジニアリング
軽いお知らせ：Yaguraは、生成AI由来の攻撃（文章・音声・映像・コード）に特化し、コンサル＋ソフトウェアで防御アーキテクチャの実装をご支援しています。
