最前線のAIでサイバー防御を強化：SophosとOpenAIによるDaybreakプログラムの力

導入：Sophosが牽引するサイバーセキュリティの未来

今日のデジタル化された世界において、サイバー攻撃はますます巧妙化し、その脅威は常に進化を続けています。このような状況の中、最前線のテクノロジーを活用した防御戦略が不可欠です。本記事では、サイバーセキュリティのリーディングカンパニーであるSophos（ソフォス）の最高技術責任者（CTO）、ジョン・ピーターソン氏が語る、AIと人間による協調がサイバー防御をいかに変革しているかについて深く掘り下げます。

Sophosは、世界最大級のサイバーセキュリティ企業の一つであり、グローバルに展開する約65万社の顧客を擁しています。40年以上にわたるサイバーセキュリティビジネスの経験を通じて、あらゆるセグメントとセクターにわたる多種多様な攻撃に直面し、それらに対抗するための広範な専門知識を培ってきました。ピーターソン氏の洞察を通して、最先端のAI技術がどのようにサイバーセキュリティの課題に対応し、顧客を保護しているのかを具体的にご紹介します。

「防御者の窓」の狭まりとAIの役割

サイバーセキュリティ業界では、「防御者の窓（Defender's Window）」という概念が非常に重要視されています。これは、脅威を検出してから対応するまでの時間的猶予を指しますが、ピーターソン氏はこの窓が急速に狭まっていると指摘します。その主な要因は、フロンティアインテリジェンス（最先端のAI技術）の進化ペースの加速にあります。

最先端のモデルは、より洗練されたサイバー攻撃能力を開発しており、それらの能力はオープンウェイトモデルにも波及しています。これにより、より迅速なエクスプロイト（脆弱性攻撃）の経路が生まれ、脆弱性報告（CVEs）の数も過去数年間で劇的に増加しています。これは、防御側にとって新たな課題を突きつけていることを意味します。

Sophosでは、この「防御者の窓」が狭まる課題に対し、Daybreakのようなプログラムを通じてフロンティアインテリジェンスを活用することに大きな機会を見出しています。これにより、攻撃者の一歩先を行くことが可能になります。Sophos自身も大規模なサイバーセキュリティ企業であるため、常に攻撃の標的となりますが、65万社もの顧客を保護する義務があります。Daybreakのようなプログラムは、この義務を果たす上で極めて重要な役割を担っているのです。

Sophos、OpenAI、顧客の協業エコシステム

サイバー防御を効果的に機能させるためには、テクノロジーと専門知識の組み合わせが不可欠です。この点において、OpenAI、Sophos、そして顧客それぞれがどのように貢献しているのでしょうか。

Sophosは、サイバーセキュリティ分野における長年のドメインエキスパートとして、豊富な専門知識を提供します。これには、脅威インテリジェンス、顧客のインシデント管理における対応プレイブック、そして熟練した人材の専門性が含まれます。Sophosは、これらの専門知識とノウハウを通じて、大規模な攻撃に対抗する能力を持っています。

一方で、DaybreakプログラムやOpenAIのような企業は、フロンティアインテリジェンスをもたらします。これにより、Sophosの持つドメイン専門知識をスケーリングし、すべての顧客をサポートすることが可能になります。このパートナーシップが非常に強力であり、Sophosが今日までに築き上げてきたものを支える基盤となっているとピーターソン氏は強調します。

脅威調査におけるDaybreakパワードエージェントの実践例

DaybreakパワードエージェントがSophosのチームの脅威調査をどのように支援しているか、具体的な例を見てみましょう。その説明の出発点となるのが「Sophos Fusionシステム」です。これは、Sophosのマネージド検出・対応（MDR）サービスや、すべてのエンドポイント検出・対応（EDR）および拡張検出・対応（XDR）製品を支える基盤システムです。

このシステムは、500を超えるサードパーティ製のセキュリティ製品やSophos自身の製品からのセンサーデータを活用して構築されています。これらのセンサーは、毎日膨大な数のイベント、実に数兆ものイベントを生成します。これらのイベントは、最終的に1日あたり約1,000〜2,000件のケースに集約され、世界中の9か所にあるセキュリティオペレーションセンター（SOC）が顧客のために調査を行っています。

従来の調査プロセスとAIによる変革

歴史的に、ケースの調査、分析、そして脅威の修復というプロセスは、主に人間の専門知識によって推進されてきました。約18ヶ月前、Sophosのこのプロセスにおける平均調査時間は約38分でした。これは当時、プロフェッショナルなセキュリティオペレーションセンターの96%よりも優れた実績でした。

しかし、Daybreakプログラムを活用して開発されたエージェントの導入により、状況は一変しました。現在、Sophosが扱うケースの約半分は、これらのエージェントによって自動化されており、平均対応時間は約89秒にまで短縮されています。これは、調査にかかる労力を劇的に変え、顧客にとってより良い成果をもたらしています。

Daybreakエージェントの具体的な動作

Daybreakエージェントは、セキュリティオペレーションチームに送られてくるケースをどのように処理するのでしょうか。開発された調査エージェントは、ケースに関するあらゆる情報、例えば顧客コンテキスト、検出情報、侵害の痕跡（IoC）、そして現在の脅威状況に関する知識を収集します。これらの情報は「計画モデル」に供給され、そこで「計画・実行・レビュー」のループが生成されます。

具体的には、調査計画が作成され、それに基づいて調査手順が実行されます。最終的に、アナリストがレビューするためのサマリーと、推奨される対応アクションのセットが作成されます。さらに、Sophosでは一部の対応自体を処理するエージェントも開発しています。この一連のプロセスは、より迅速な対応を可能にするだけでなく、顧客により一貫性のある結果を提供する上で非常に大きな変革をもたらしています。

解放された時間とリソースの活用

対応時間が半分になったことで、Sophosは余剰となった時間と労力をどのように活用しているのでしょうか。ピーターソン氏は、サイバーセキュリティの専門知識は常に不足していると指摘します。SophosのMDRビジネスや他のMDRビジネスが成功している大きな理由の一つは、顧客を保護するための専門知識を持つセキュリティオペレーションアナリストを見つけることが非常に困難であるためです。自社でSOCを構築し、24時間365日の対応能力を維持することもまた、容易ではありません。

Daybreakエージェントは、この人材不足の課題に対して大きな解決策を提供します。これにより、組織内の既存の人材をより効果的かつ効率的に活用できるようになりました。つまり、MDRビジネスを支える人員を増やす代わりに、「計算リソース」をスケールアップさせることが可能になったのです。このアプローチは、サイバーセキュリティ業界が長年直面してきたスキルギャップの問題に対処する上で、大きな貢献をしています。

まとめ：AIが実現する次世代のサイバー防御

SophosとOpenAIによるDaybreakプログラムは、フロンティアインテリジェンスをサイバー防御戦略の中核に据え、脅威への対応方法を根本から変革しています。この記事で見てきたように、AIエージェントの活用は、脅威の調査時間を劇的に短縮し、より迅速で一貫性のある顧客成果をもたらしています。

サイバーセキュリティの専門家が不足する中で、AIは人間の専門知識を拡張し、リソースを効率的に活用するための強力なツールとなります。Sophosの取り組みは、AIがもはや未来の技術ではなく、今日のサイバー脅威と戦うための不可欠な要素であることを明確に示しています。このパートナーシップがさらに進化し、次世代のサイバー防御をどのように形作っていくのか、今後の展開に注目が集まります。

参考動画

Sophos CTO on leveraging AI to outpace cyber attackers: JP Peterson at Daybreak Day London