シンガポールの研究者らが、AI を活用して多様な SIEM ルールを相互運用可能に変換する手法を開発
本文の状態
日本語全文を表示中
詳細モードで約4分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
The Register AI/ML
シンガポールと中国の学者らは、異なる形式のセキュリティ情報イベント管理（SIEM）ルールを AI で翻訳し、複数のシステム間で円滑に処理できる新技術を確立した。これにより、セキュリティオペレーションセンター（SOC）の効率化が実現する。
Source Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
シンガポールと中国の学者たちは、多様なセキュリティ情報およびイベント管理（SIEM）からのルールを翻訳し、複数のシステム間でより容易に利用できるようにする技術を開発することで、AI をサイバー防御者に有用なものにする方法を見出しました。
SIEM は多数のソースからログファイルを収集し、ユーザーがセキュリティインシデントとみなされる場合にセキュリティ運用センター（SOC）が考慮するアラートをトリガーするルールを設定できる機能を提供します。「不可能な移動」シナリオのテスト、つまり同じユーザーが 1 時間以内にニューヨークとロンドンからログインし、資格情報の盗難やその他の不正行為を示唆する場合などは、一般的な SIEM ルールの例です。
多くの組織は複数の SIEM を導入することになり、それが SOC にとって複雑さを生み出します。
シンガポール国立大学と中国の復旦大学の研究者たちが登場し、最近「ARuleCon: Agentic Security Rule Conversion」と題された論文 [PDF] を発表しました。この論文では、複数の SIEM で利用可能にするためにルールを翻訳する技術について説明されています。
筆頭著者の Ming Xu 氏は『The Register』に対し、SIEM はルールに特定のスキーマを使用しているため、ある SIEM で作成されたルールは別の SIEM では機能しないと述べました。一部のベンダーが翻訳ツールを提供していますが、多くの SIEM をサポートしていません。著者らは、Microsoft のツールは Splunk ルールを Redmond の Sentinel SIEM へ変換できますが、他の SIEM には対応できないと指摘しています。
「ルール変換はセキュリティ専門家によって手動で行うことができますが、これは遅く、重い負荷を課します」と論文は指摘しています。
Sigma などのツールは、複数のプラットフォーム間でルールを管理・共有するのを支援することを目指していますが、Ming氏と共著者たちは、このツールや他の既存の変換ツールが、複雑なルールや相互リンクされたルールに対してはうまく機能しないと考えています。
- Microsoft は実際に有用なことを実行し、Sysmon を Windows に追加した
- ハイブリッドクラウドには 2 つの攻撃面があり、そのいずれにも十分な注意を払っていない
- Ker-Splunk! Cisco が 280 億ドルの分析事業を買収
- Microsoft は Sentinel の監視と監査を少し容易にする方法を予告
2026 年となった今、LLM（大規模言語モデル）を使用して SIEM ルールを異なる形式に変換しようとするのは自然な試みのように思えます。
著者たちは、このアプローチは「通常、精度が低く、ベンダー固有の正確性に欠ける」と述べています。その理由は、LLM の構築に使用されたトレーニングデータに、SIEM ルールのスキーマに関する十分なデータが含まれていないからです。
「これらの欠点は、既存のルールの価値を保持し、SOC の負荷を軽減する、スケーラブルでベンダー中立かつ信頼性の高い SIEM ルール変換フレームワークを必要としています」と論文は述べており、その後、ARuleCon がどのようにしてこの課題に取り組むかを説明します。具体的には、「権威ある公式ベンダードキュメントを検索して規約やスキーマの不整合に対処するアジェンティック RAG [retrieval augmented generation] パイプライン」および「制御されたテスト環境でソース側とターゲット側の両方のルールを実行し、微妙な意味のズレを緩和するための Python ベースの一貫性チェック」を活用しています。
長話せばきりがないので要約すると、研究者らは Splunk、Microsoft Sentinel、IBM QRadar、Google Chronicle、RSA NetWitness で作成された SIEM ルールを変換できるアジェンティック技術を開発しました。すべての変換が完璧というわけではありませんが、ARuleCon は各 SIEM ベンダーが使用する独自ルール形式を複数の競合プラットフォームへ変換可能であり、その精度は汎用的な大規模言語モデル（LLM）よりも優れています。
したがって、ARuleCon により、ある SIEM からルールをエクスポートして別の SIEM で利用することが可能になります。
Ming 氏は『The Register』に対し、このツールが組織に SIEM の統合や移行を検討・計画するよう支援し、セキュリティ脅威のシグナルをより容易に検出でき、複数のアラートからのノイズを気にする必要のない SOC を実現することを願っていると語りました。®
原文を表示
Academics from Singapore and China have found a way to make AI useful for cyber-defenders, by creating a technique that translates rules from diverse Security Information and Event Managements (SIEMs) so they’re easier to consume across multiple systems.
SIEMs collect log files from many sources and allow users to set rules that trigger alerts that a security operations center (SOC) considers in case they represent security incidents. Testing for an “impossible travel” scenario – in which the same user logs on from New York and London within an hour, suggesting credential theft or other skulduggery – is a common SIEM rule.
Many organizations end up with multiple SIEMs, which means complexity for SOCs.
Enter researchers from the National University of Singapore and China’s Fudan University, who recently presented a paper [PDF] titled “ARuleCon: Agentic Security Rule Conversion” in which they explain a technique they developed to translate rules so they’re consumable by multiple SIEMs.
Lead author Ming Xu told *The Register* she and her colleagues developed ARuleCon because SIEMs use specific schemas for rules, so a rule created with one SIEM won’t work with another. While some vendors provide translation tools, they don’t offer support for many SIEMs: the authors say Microsoft’s tool shifts Splunk rules into Redmond’s Sentinel SIEM but can’t handle others.
“Rule conversion can be performed manually by security experts, which are slow and imposes a heavy workload,” the paper observes.
Tools like the Sigma framework aim to help manage and share rules across multiple platforms, but Ming and her co-authors think it, and other existing translation tools, don’t do well with complex or interlinked rules.
- Microsoft actually does something useful, adds Sysmon to Windows
- Hybrid clouds have two attack surfaces and you’re not paying enough attention to either
- Ker-Splunk! Cisco closes $28 billion analytics acquisition
- Microsoft teases how it'll make Sentinel a bit easier to monitor and audit
It’s 2026 so it seems natural to try using an LLM to convert SIEM rules into different formats.
The authors say that approach “typically yield a poor accuracy and lacks vendor-specific correctness” because training data used to build LLMs doesn’t include enough data about SIEM rule schemas.
“These shortcomings call for a scalable, vendor-neutral, and reliable SIEM-rule conversion framework that retains existing rule value and eases SOC workloads,” the paper states, before explaining how ARuleCon gets the job done with an "agentic RAG [retrieval augmented generation] pipeline that retrieves authoritative official vendor documentation to address the convention/schema mismatches, and Python-based consistency check that running both source and target rules in controlled test environments to mitigate subtle semantic drifts."
Long story short, the researchers developed agentic tech capable of translating SIEM rules created using Splunk, Microsoft Sentinel, IBM QRadar, Google Chronicle and RSA NetWitness. Not all the conversions are brilliant, but ARuleCon can translate the proprietary rule format each SIEM vendor uses to multiple rival platforms – and does it more accurately than a generic LLM.
ARuleCon therefore makes it possible to export rules from one SIEM and use them in another.
Ming told *The Register* she hopes the tool helps organizations to consider and plan SIEM consolidations or migrations, and emerge with SOCs that can more easily detect the signals of security threats and stop worrying about noise from multiple alerts. ®
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み