シンガポールと中国の研究者が、AIをサイバー防御側に役立てる方法を見つけました。さまざまなセキュリティ情報・イベント管理（SIEM）からのルールを翻訳する技術を作ることで、複数のシステムでより簡単に利用できるようにしたのです。

SIEMは多くのソースからログファイルを収集し、利用者がルールを設定してアラートを発報できるようにします。セキュリティ運用センター（SOC）は、それらがセキュリティインシデントを表している場合に備えて、アラートを考慮します。「不可能な移動（impossible travel）」のシナリオ――同じユーザーが1時間以内にニューヨークとロンドンからログインしており、資格情報の窃取やその他の不正を示唆している――をテストすることは、よくあるSIEMルールです。

多くの組織では結局、複数のSIEMを抱えることになり、その結果、SOCに複雑性が生じます。

登場したのは、シンガポール国立大学と中国の復旦大学の研究者たちです。彼らは最近、論文 [PDF]「ARuleCon: Agentic Security Rule Conversion」を発表し、その中で、複数のSIEMが利用できるようにルールを翻訳するために開発した技術を説明しています。

筆頭著者のMing Xu氏はThe Registerに対し、SIEMはルールに対して特定のスキーマを使うため、あるSIEMで作成したルールは別のSIEMでは機能しないことが原因で、同氏と同僚はARuleConを開発したと語りました。いくつかのベンダーは翻訳ツールを提供していますが、多くのSIEMに対するサポートまでは提供していません。著者らは、MicrosoftのツールはSplunkのルールをレドモンドのSentinel SIEMへ移せるものの、それ以外は扱えないと述べています。

論文では「ルール変換はセキュリティの専門家が手作業で行うこともできるが、その場合は遅くなり、重い作業負荷が課される」と指摘しています。

返却形式: {"translated": "翻訳されたHTML"}

Sigma のようなフレームワークは、複数のプラットフォームにまたがるルールを管理し共有するために役立てようとするものですが、Ming らの共著者は、それや他の既存の翻訳ツールでは、複雑で相互に関連したルールにうまく対応できないと考えています。

• Microsoft は実際に役立つことをしている――Sysmon を Windows に追加
• ハイブリッドクラウドには2つの攻撃面があり、どちらにも十分な注意が払われていない
• ケル・スプランク！ Cisco が 280億ドル規模の分析企業買収を完了
• Microsoft が Sentinel を監視・監査しやすくする方法を予告

2026年なので、SIEM のルールをさまざまな形式に変換するために LLM を使ってみるのは自然な流れのように思えます。

著者らは、そのアプローチについて「通常、精度が低くなり、ベンダー固有の正しさが欠ける」と述べています。理由は、LLM を構築するために使われる学習データに、SIEM ルールのスキーマに関する十分なデータが含まれていないからです。

「これらの欠点は、既存ルールの価値を保持しつつ、SOC の作業負荷を軽減する、スケーラブルでベンダーニュートラルかつ信頼できる SIEM ルール変換フレームワークを必要とする」と論文では述べ、その後、ARuleCon が仕事をどう成し遂げるのかを説明します。説明の内容は、「権威ある公式ベンダー文書を取得して、慣習／スキーマの不一致に対処する“エージェント型 RAG［検索拡張生成］パイプライン”」と、「ソースルールとターゲットルールの双方を制御されたテスト環境で実行し、微妙な意味のズレを抑える Python ベースの整合性チェック」です。

要するに、研究者たちは、Splunk、Microsoft Sentinel、IBM QRadar、Google Chronicle、RSA NetWitness で作られた SIEM ルールを翻訳できるエージェント型の技術を開発しました。すべての変換が素晴らしい出来というわけではありませんが、ARuleCon は、各 SIEM ベンダーが採用している独自のルール形式を複数の競合プラットフォームへ変換でき、さらに汎用的な LLM よりも高い精度でそれを実現します。

そのため、ARuleCon により、ある SIEM からルールをエクスポートし、別の SIEM でそれを使うことが可能になります。

Ming は The Register に対し、このツールが組織による SIEM の統合や移行を検討・計画するのに役立つことを期待していると語りました。そして、複数のアラートから生じるノイズを気にし続けることなく、より容易にセキュリティ脅威の兆候を検知できる SOC を手に入れられるようになることを願っています。®

関連記事

• AI
• サイバーセキュリティ
• Splunk

これに近い内容