シンガポールの研究者らが、AI を活用して多様な SIEM ルールを相互運用可能に変換する手法を開発

シンガポールと中国の学者たちは、多様なセキュリティ情報およびイベント管理（SIEM）からのルールを翻訳し、複数のシステム間でより容易に利用できるようにする技術を開発することで、AI をサイバー防御者に有用なものにする方法を見出しました。 SIEM は多数のソースからログファイルを収集し、ユーザーがセキュリティインシデントとみなされる場合にセキュリティ運用センター（SOC）が考慮するアラートをトリガーするルールを設定できる機能を提供します。「不可能な移動」シナリオのテスト、つまり同じユーザーが 1 時間以内にニューヨークとロンドンからログインし、資格情報の盗難やその他の不正行為を示唆する場合などは、一般的な SIEM ルールの例です。 多くの組織は複数の SIEM を導入することになり、それが SOC にとって複雑さを生み出します。 シンガポール国立大学と中国の復旦大学の研究者たちが登場し、最近「ARuleCon: Agentic Security Rule Conversion」と題された論文 [PDF] を発表しました。この論文では、複数の SIEM で利用可能にするためにルールを翻訳する技術について説明されています。 筆頭著者の Ming Xu 氏は『The Register』に対し、SIEM はルールに特定のスキーマを使用しているため、ある SIEM で作成されたルールは別の SIEM では機能しないと述べました。一部のベンダーが翻訳ツールを提供していますが、多くの SIEM をサポートしていません。著者らは、Microsoft のツールは Splunk ルールを Redmond の Sentinel SIEM へ変換できますが、他の SIEM には対応できないと指摘しています。 「ルール変換はセキュリティ専門家によって手動で行うことができますが、これは遅く、重い負荷を課します」と論文は指摘しています。 [Sigma](https://sigmahq.io/) などのツールは、複数のプラットフォーム間でルールを管理・共有するのを支援することを目指していますが、Ming氏と共著者たちは、このツールや他の既存の変換ツールが、複雑なルールや相互リンクされたルールに対してはうまく機能しないと考えています。 - Microsoft は実際に有用なことを実行し、Sysmon を Windows に追加した - ハイブリッドクラウドには 2 つの攻撃面があり、そのいずれにも十分な注意を払っていない - Ker-Splunk! Cisco が 280 億ドルの分析事業を買収 - Microsoft は Sentinel の監視と監査を少し容易にする方法を予告 2026 年となった今、LLM（大規模言語モデル）を使用して SIEM ルールを異なる形式に変換しようとするのは自然な試みのように思えます。 著者たちは、このアプローチは「通常、精度が低く、ベンダー固有の正確性に欠ける」と述べています。その理由は、LLM の構築に使用されたトレーニングデータに、SIEM ルールのスキーマに関する十分なデータが含まれていないからです。 「これらの欠点は、既存のルールの価値を保持し、SOC の負荷を軽減する、スケーラブルでベンダー中立かつ信頼性の高い SIEM ルール変換フレームワークを必要としています」と論文は述べており、その後、ARuleCon がどのようにしてこの課題に取り組むかを説明します。具体的には、「権威ある公式ベンダードキュメントを検索して規約やスキーマの不整合に対処するアジェンティック RAG [retrieval augmented generation] パイプライン」および「制御されたテスト環境でソース側とターゲット側の両方のルールを実行し、微妙な意味のズレを緩和するための Python ベースの一貫性チェック」を活用しています。 長話せばきりがないので要約すると、研究者らは Splunk、Microsoft Sentinel、IBM QRadar、Google Chronicle、RSA NetWitness で作成された SIEM ルールを変換できるアジェンティック技術を開発しました。すべての変換が完璧というわけではありませんが、ARuleCon は各 SIEM ベンダーが使用する独自ルール形式を複数の競合プラットフォームへ変換可能であり、その精度は汎用的な大規模言語モデル（LLM）よりも優れています。 したがって、ARuleCon により、ある SIEM からルールをエクスポートして別の SIEM で利用することが可能になります。 Ming 氏は『The Register』に対し、このツールが組織に SIEM の統合や移行を検討・計画するよう支援し、セキュリティ脅威のシグナルをより容易に検出でき、複数のアラートからのノイズを気にする必要のない SOC を実現することを願っていると語りました。®

シンガポールの研究者らが、AI を活用して多様な SIEM ルールを相互運用可能に変換する手法を開発

背景や根拠まで確認しますか？

調べる

選ぶ

サイト