AI SOC for Palo Alto XSIAM｜Issueから始めるAI調査

連携製品一覧に戻る

開発中・先行相談受付中

Palo Alto Networks Cortex XSIAMのセキュリティIssueを起点に、AIが関連データを調査する連携を開発しています。XSIAM 3.xのIssueとXQL検索を活用し、既存の運用に合わせて証拠確認と引き継ぎの進め方を整えます。

XSIAM環境でのAI SOC導入を相談する

XSIAMの既存運用と、AI SOCの役割を決める

XSIAMを導入済みの場合、まず確認したいのは「何を追加するか」です。現在の検知、Issue管理、自動化、人による判断を確認し、担当者が手作業で調べ直している場面を評価対象にします。

例えば、Issueに関連する操作をデータセットで検索する作業や、検索結果を次の担当者へ伝える作業です。ヤグラではXSIAMのセキュリティIssueと、その背景となる情報を参照する連携を設計しています。既存の自動化と処理が重ならないよう、調査開始と完了確認の責任者を決めて導入を検討します。

連携の流れ

XSIAM 3.xのセキュリティIssue → ヤグラ AI SOC → XQLで関連データを照会 → 証拠・不足情報の整理 → 担当者への引き継ぎ

セキュリティIssueを取り込む

開発中の連携は、issues データセットの SECURITY ドメインを対象とします。Issue IDを使って重複を確認し、調査するIssueの対象と時刻を特定します。

指定データセットをXQLで調べる

接続時に調査対象を指定し、AIが単一データセットごとに読み取り検索する構成です。検索開始後は実行結果を確認し、完了した検索結果を証拠として扱います。

検索できなかった範囲も引き継ぐ

検索の失敗、タイムアウト、不完全な応答を「該当なし」に置き換えない構成です。調査対象が多い場合は期間と条件を絞り、確認できた範囲を明示します。

調査例：セキュリティIssueに関連する端末操作を確認する

以下は提供開始後の活用例です。指定データセットに対象の操作記録があることを前提とします。

1. Issueから対象端末、識別子、発生時刻を確認します。

2. 対象データセットを指定し、同じ端末の前後の操作をXQLで検索します。

3. 検索結果をIssueの内容と照らし合わせ、検知の背景と追加確認が必要な点を整理します。

4. 担当者が既存のXSIAM運用へ引き継ぎ、対処の実施や追加調査を判断します。

検証では、関連情報が見つかるケースだけでなく、検索権限が足りない場合、保持期間を超える場合、取得量が多い場合も扱います。情報不足が担当者に伝わることを評価します。

提供範囲と制約

• 対象はXSIAM 3.xです。2.xのアラート取得方式は本連携の検証対象外です。

• issues データセットに含まれないINFO severityは取り込み対象外です。

• 追加調査は単一データセットの読み取り検索が対象です。結合、外部照会、書き込みは受け付けない構成です。

• データセット一覧の自動取得には未対応です。調査対象を接続時に指定します。

• 開発中の構成では、追加調査は最大500行です。Issue取得は1,000件超やstream形式の応答をエラーとして扱うため、対象期間・条件を調整して検証します。

これらはヤグラの開発中の連携範囲です。XSIAM自体の機能上限を示すものではありません。

接続前に確認すること

テナントのAPI URL、API Key ID、Standard / AdvancedのAPIキー種別を確認します。XQL APIに必要な権限、契約、クエリ枠、通信元の許可条件は、テナントの現行仕様に合わせて確認します。

アプリが実行する検索は読み取りに限定します。ただし、APIキーの発行に必要な管理権限と検索内容の制限は別の事項です。権限の付与・管理・見直しを誰が担当するかも決めます。

PoCで、既存運用に加わる価値を測る

Issue取得：対象Issueが重複なく取得され、元のID・時刻・重要度と照合できるか。

追加調査：指定データセットから必要な情報を確認できるか。確認できなかった範囲も分かるか。

既存機能との分担：XSIAM側の自動化で完結する工程と、ヤグラで調査する工程を明確にできるか。

引き継ぎの品質：次の担当者が同じ調査をやり直さずに判断できるか。追加確認や修正の回数を記録します。

よくある質問

Cortex XDRの連携と同じですか？

異なります。このページはCortex XSIAM 3.xのIssueとXQL検索を対象にしています。Cortex XDRをご利用の場合は、製品と取得したい情報を確認したうえで別の連携をご案内します。

XSIAMの自動化を置き換えますか？

現在利用している自動化と、人に残っている確認作業を整理して併用を検討します。既存の処理と重複する工程を増やさないことが導入時の確認点です。

全データセットを自動で調べますか？

開発中の連携では、調査対象を指定し、単一データセットごとに検索します。全データセットの自動探索は提供範囲に含まれません。

すぐに本番利用できますか？

現在は開発中・先行相談の段階です。バージョン、API利用条件、Issueの取得範囲を確認し、検証と提供開始の進め方をご案内します。

XSIAMのどの調査工程を改善したいか、ご相談ください

バージョン、対象Issueの種類、検索したいデータセット、現在の調査フローをもとに、連携範囲を具体化します。

XSIAM連携の先行相談をする

技術仕様の参考

XQLによるデータ検索は、Palo Alto Networksの公式ドキュメントをご参照ください。連携の評価では、ベンダー仕様とヤグラ側の対象範囲を照合します。

関連するAI SOC連携

• AI SOC for Splunk

• AI SOC for CrowdStrike

• AI SOC for Microsoft Sentinel

• AI SOC for Microsoft Defender

ヤグラ AI SOC · AI SOCとは

更新：2026年9月12日