XSIAMのセキュリティIssueをAIで一次調査
AI SOC 調査ユースケース · 開発中・先行相談
連携製品一覧 → AI SOC for Palo Alto Cortex XSIAM → この調査業務
提供状況：開発中・先行相談
Issueの重大度を読むだけでは、対象端末で何が観測され、どこまで調査できているかが分かりません。既存のIssueを起点に、対象・期間・証拠の範囲を揃えて関連データを確認します。XSIAM側の検知やケース運用と、ヤグラが追加で参照する情報の役割を決めることが重要です。
この調査の流れ
検知・ログ：Cortex XSIAM 3.xのSECURITY Issue
AIが確認する内容：Issueに含まれる端末・ユーザー・時刻から、指定datasetをXQLで検索。
判断に使う情報：Issueの根拠と追加の観測事実を整理し、次の確認事項を示す。
使用するデータと検索の起点
対象はXSIAM 3.xのSECURITY Issueです。取得対象をissues datasetのissue_domain = SECURITYで絞る設計で、INFO severityは含みません。追加調査では接続時のデータマップで指定したdatasetを使います。Issue内の端末名とログ側の識別子がどう対応するか、時刻の基準が一致するかを確認します。
Issue ID・重大度
対象端末・ユーザー
指定datasetの関連記録
アラートから追加調査までの手順
SECURITY Issueから対象と期間を確認する。
データマップで指定したdatasetを単独で検索する。
検索が完了したかを確認し、事実と不足情報をまとめる。
具体的な調査の考え方
以下は説明用の仮想例です。顧客事例や実環境での実演結果ではありません。
ある端末を含むセキュリティIssueを受け取り、その前後の操作を確認する場面を想定します。Issueの対象端末と発生時刻から調査期間を決め、指定したdatasetをXQLで絞り込みます。検索が未完了の場合は結果を待ち、失敗・タイムアウト・不完全な応答を「関連イベントなし」と読み替えません。
担当者へ引き継ぐ情報
観測事実：IssueのID・重大度と、検索が完了した範囲の関連記録を対応付ける。
判断保留：対象datasetが未指定、検索が不完全、保持期間外などの場合は確認できない範囲を明示する。
次の確認：期間や対象を絞った再検索、データマップの見直し、担当者による追加の端末調査につなげる。
接続条件と対応範囲
テナントのAPI URL、API Key IDとAPIキー、Standard／Advancedの種別を確認します。XQL APIの実行に必要な権限とquery quotaはテナントの現行条件に合わせます。アプリが実行するクエリは読み取りに限定する設計ですが、必要な資格情報の権限範囲は導入時に確認します。
連携は開発中です。XSIAM 3.xが対象で、INFO severityと2.xは検証対象外。必要なAPI権限とquery quotaを確認します。
導入前に確認すること
検証対象がXSIAM 3.xで、想定するSECURITY Issueが取得対象に含まれるか。
指定したdataset・端末識別子・調査期間で、元の画面と同じ記録を確認できるか。
検索上限やstream応答、失敗時に確認不足が可視化されるか。関連検索は単一dataset・最大500行です。
比較時は同じアラート・同じ期間を使い、参照した記録、確認できない情報、担当者が追加で行った作業を残します。調査時間の比較だけでなく、結論の根拠を担当者が確認できるかを評価します。
よくある質問
すべてのdatasetを自動で調べますか？
dataset一覧の自動取得は未対応です。導入時に調査対象をデータマップで指定し、単一datasetごとに検索する設計です。
XSIAM 2.xでも同じ範囲ですか？
この連携の検証対象は3.xです。2.xのalerts datasetやlegacy APIを同じ対応範囲として扱っていません。
この調査を自社の環境で検討する
Palo Alto Cortex XSIAMの利用環境と、困っているアラートの種類、使えるログの範囲をお知らせください。取得する情報と担当者が判断する範囲を整理し、確認する接続条件をご案内します。
AI SOC for Palo Alto Cortex XSIAMの連携全体を見る · 別の製品・調査例を探す
参考情報
確認・更新：2026年9月13日。ベンダーAPIの仕様とヤグラの接続・調査範囲は区別して記載しています。
