Cloudyが複雑なセキュリティを人間の行動に翻訳する方法

今日のセキュリティエコシステムは、驚くほど膨大な量の複雑なテレメトリを生成します。例えば、単一のメールを処理するには、送信元の評判、認証結果、リンクの挙動、インフラストラクチャのメタデータ、そして無数の他の属性を分析する必要があります。同時に、クラウドアクセスセキュリティブローカー（CASB）エンジンは、設定ミスやリスクのあるアクセス、露出したデータを検出するシグナルを SaaS 環境で継続的にスキャンしています。 しかし、検知がより洗練される一方で、説明は必ずしもそのペースに追いついていません。 セキュリティおよび IT チームは、何かがフラグされたことを認識していることが多いですが、一目でなぜそうなのかを理解できるとは限りません。エンドユーザーには、組織全体に影響を与える可能性のあるメールについてリアルタイムの判断を下すよう求められますが、重要な瞬間に明確な文脈に基づいたガイダンスが提供されることはほとんどありません。 Cloudy はそれを変えます。 Cloudy は、Cloudflare One に直接組み込まれた、大規模言語モデル（LLM）を活用した説明レイヤーです。これは、セキュリティチームとエンドユーザーの両方に対して、複雑な機械学習の出力を正確で人間が読みやすいガイダンスに変換します。生技術シグナルを露出するのではなく、Cloudy は検知の背後にある推論を、情報に基づいた行動を促す形で提示します。 Cloudflare Email Security においては、セキュリティ運用センター（SOC）へエスカレーションする前に、ユーザーがメッセージがフラグ付けされた理由を理解できるよう支援することを意味します。また、Cloudflare CASB においては、管理者が低レベルのシグナルを手動で評価することなく、SaaS 検知結果に対するリスクと修復パスをすばやく理解できるよう支援することを意味します。 本記事では、意思決定の改善、不要なノイズの削減、複雑なセキュリティシグナルを明確で実行可能なインサイトへ変換するために、Cloudy を Phishnet および API CASB へと拡張していく取り組みについて概説します。 Cloudy for Email Security users Cloudflare Email Security によってメールが分析される際、単一のシグナルやモデルによって評価されるわけではありません。代わりに、送信元の信頼性やメッセージ構造からコンテンツ、リンク、行動パターンに至るまで、メッセージの異なる部分を分析する広範な機械学習モデル群が機能します。このモデルセットは、機械学習チームが継続的に新しい検知機能をトレーニングしてデプロイし、進化する脅威に対応し続けることで、さらに拡大し続けています。 この分析に基づき、メッセージには「Malicious（悪意のあるもの）」「Suspicious（不審な物）」「Spam（スパム）」「Bulk（大量送信）」「Spoof（なりすまし）」といった結果ラベルが付けられます。これらの検知機能は効果的である一方で、顧客からは一貫して、「なぜメッセージがフラグ付けされたのかという理由が必ずしも明確ではない」というフィードバックをいただいています。決定自体は正しいと伝えられるものの、その背後にある推論プロセスは、エンドユーザーおよびセキュリティチームの双方にとって不明瞭なままであることが多々ありました。 これに対処するため、私たちは Cloudy の最初のバージョンを導入しました。これは検知結果に対する LLM 駆動の要約です。これらの要約は、機械学習モデルが捉えている内容を人間が読みやすい説明へと翻訳します。当初、これらの要約は調査中の SOC チームを支援するために Cloudflare ダッシュボードで利用可能でした。過去数ヶ月にわたり、顧客からのフィードバックにより、これらの説明が検知結果の理解度を著しく向上させることが確認されています。 顧客との対話を続ける中で、別の課題も浮上しました。私たちの Phishnet ツールでは、ユーザーがメールを不審だと判断した場合に SOC へメッセージを送信できます。これは従業員がセキュリティ活動に参加することを可能にする一方で、多くの SOC チームから、送信されたメッセージの多くが実際には安全なものであり、キューが溢れてしまっているという報告がありました。 その結果、実際に調査が必要なメールに対する不要なバックログが発生し、対応時間が遅延しました。 同時に、顧客からは従来のセキュリティ意識向上トレーニングだけでは不十分な場合があると指摘されました。ユーザーは、最も重要な瞬間にメールを評価することに依然として苦労していました。彼らは、意思決定が行われるワークフローの直中で、より文脈に即したガイダンスを求めています。 このアップグレードは、これらの 2 つの問題に対処するために設計されています。明確な説明と文脈に即した教育を Phishnet に直接組み込むことで、セキュリティを犠牲にすることなく、ユーザーがより良い意思決定を行えるよう支援し、SOC チームへのノイズを削減することを目指しています。 課題：一部のユーザーはメールを過剰に報告する一方で、他のユーザーは警戒心が不足している 組織や攻撃手法が進展するにつれて、エンドユーザーの役割も変化しています。現代のメール脅威は、ソーシャルエンジニアリング、微妙なりすまし、心理的圧力にますます依存しており、これによりユーザーが直接意思決定のプロセスに関与することになります。 これに対応するため、ユーザーには追加の防御層として行動することが求められています。しかし、従来のセキュリティ意識向上ツールは往々にして不十分です。トレーニングは通常、定期的なセッションや模擬フィッシングキャンペーンを通じて提供されますが、実際のメッセージや実際の意思決定とは切り離されています。ユーザーが見慣れないメールに遭遇した際、リスクを自信を持って評価するための十分な文脈情報が得られないことがよくあります。 このギャップは、一般的に以下の2つの結果のいずれかを招きます。一部のユーザーは疑わしいメッセージをほぼすべてセキュリティ運用センター（SOC）へ提出し、過剰なノイズを生み出して調査を遅らせています。一方、他のユーザーは、その瞬間に明確なリスクを示す何もないため、本来接触すべきではないメッセージとやり取りしてしまいます。 Cloudy を Phishnet に直接組み込むことで、このギャップを解消します。 ユーザーは、Cloudflare が何を検知しているのか、なぜメッセージが危険である可能性があるのかを理解するのに役立つ、即座に提供される文脈付きの説明を受け取ります。これにより、ユーザーはインタラクションの時点で情報に基づいた意思決定を行い、SOC への不要なエスカレーションを減らし、セキュリティチームが本当に注力すべきメッセージに集中できるようになります。 このアプローチは、時間とともにユーザーをノイズの発生源から、検出および対応ワークフローにおける効果的な一部へと変化させます。その結果、セキュリティチームに摩擦や負担を追加することなく、より強力なメールセキュリティが実現されます。 Microsoft 向け Phishnet に Cloudy アップグレード 来月、Cloudy の要約機能を拡張するために、Phishnet の報告ボタンをアップグレードする予定です。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/6dO9TV4MfE2R0YZ035QQ7/3693156d65a4c8aca4b2b9d57e77ce87/image1.png) 新しい Phishnet スクリーンでは Cloudy の要約が表示されます。 このアップグレードにより、エンドユーザーはメッセージを報告する瞬間に、Cloudy 要約の簡略化された使いやすいバージョンを受け取ります。これらの要約は、Cloudflare Workers AI を用いてリアルタイムで生成され、ユーザーが Phishnet でメッセージと対話した際に、Cloudflare のグローバルな Workers プラットフォーム上で直接実行されます。 ユーザーが Phishnet 報告ボタンをクリックすると、リクエストは、そのメッセージに関連する複数の検出モデルからの構造化された出力を集約する、Workers ベースのワークフローをトリガーします。これらのモデル出力には、送信元の評判、ドメインおよびインフラストラクチャの特徴、認証結果、リンクおよびコンテンツ分析、そしてメッセージ処理中に収集された行動指標などのシグナルが含まれています。 集約されたシグナルはその後 Workers AI に渡され、そこで目的別に設計された一連のプロンプトが自然言語による説明を生成します。各プロンプトは、低レベルの検出出力を簡潔で人間が読みやすい要約へと変換するように設計されています。このプロセスは分類ではなく説明に焦点を当てており、メッセージの元の処理方針を変更することはありません。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/5PSAZclxFkdcvSivalmoCn/b355e9e6cf667e6e8e9587f6946db5c6/image6.png) Cloudy が検出結果を明確な説明へと変換する様子。 今回の体験においては、Cloudflare ダッシュボードの管理者向けに表示される要約とは意図的に再設計を行いました。テストの結果、管理者向けの要約は非技術的なユーザーが解釈するのが難しい技術概念に依存していることが判明しました。「ASNs（自律システム番号）」、「IP レピュテーション」、「認証失敗」といった用語には翻訳が必要でした。 エンドユーザーが要約を理解できるようにするため、Phishnet は基盤となる検出の意味を保持しつつ、平易な言葉による説明を重視しています。 シグナル | 意味 | エンドユーザー向けの Cloudy による翻訳 ---|---|--- SPF Fail（SPF 失敗） | 送信者が SPF によって明示的に許可されていない | このメールは送信者検証チェックに失敗しました。 DKIM Fail（DKIM 失敗） | メッセージの署名が検証されない | メッセージ整合性チェックに失敗しました。これは改ざんの兆候となる可能性があります。 DMARC Fail（DMARC 失敗） | DMARC ポリシーチェックに失敗 | 送信者のドメインがこのメールが正規のものであることを確認できませんでした。 返信不一致への回答 宛先が送信者とは異なる場合があります。 ドメイン年齢 ドメインは最近登録されました 送信元のドメインが新しく作成されており、フィッシング攻撃でよく見られるパターンです。 URL の評判が低い 宛先の URL に悪い評判があります リンクの宛先にはリスクに関連する兆候が含まれています。 このワークフローは Cloudflare Workers プラットフォーム上で実行されるため、要約は低遅延かつグローバルスケールで生成され、ユーザーはインタラクションの瞬間に即座にフィードバックを受け取ります。このリアルタイムの文脈により、ユーザーはエスカレーションするかどうかを決定する前に、なぜメールがリスクがあるのか、あるいはなぜ安全に見えるのかをよりよく理解できます。 現在、要約の正確性と信頼性を確保するため、Microsoft の顧客を対象にベータテストを実施しています。Cloudy による要約は顧客データでトレーニングされたものではありません。また、生成された説明がハルシネーション（幻覚）を起こさないよう、追加の検証も適用しています。この段階では精度が極めて重要であり、誤ったガイダンスは実際のセキュリティリスクをもたらす可能性があります。 ベータ期間終了後、Microsoft ユーザー全員へのアクセス拡大を計画しています。また、2026 年後半には Google Workspace ユーザー向けにも Phishnet サイドバーに同様のアップグレードを導入する予定です。 Your CASB findings, explained with Cloudy しかし、エンドユーザーがメールのリスク要因をよりよく理解するのを支援することは、物語の一部に過ぎません。私たちはまた、セキュリティ運用の管理側面にも Cloudy を適用しており、そこでも明確さとスピードが同じくらい重要です。Phishnet 以外にも、Cloudy は複雑な CASB（クラウドアクセスセキュリティブローカー）の検知結果を構造化された説明に変換し、セキュリティおよび IT チームがリスクをすばやく理解し、修復の優先順位をつけ、SaaS エコシステム全体で自信を持って行動できるよう支援します。 現場の API を活用した CASB Cloudflare One（当社の SASE プラットフォーム）内では、CASB がチームがすでに使用している SaaS およびクラウドツールに接続します。プロバイダーとの間で API を通じて通信することで、CASB はセキュリティおよび IT チームに対して以下を提供します： Microsoft 365、Google Workspace、Slack、Salesforce、Box、GitHub、Jira、Confluence などのアプリケーション全体における設定ミス、過剰なファイル共有、リスクの高いアクセスパターンを統合したビュー（CASB インテグレーション）。 ユーザーが共同作業し、ファイルを共有し、新しいツールを採用する際に発生する新たな問題に対する継続的なスキャン。 トリアージおよびレポート作成のために整理され、検索可能で、エクスポート可能な検知結果。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/1CH5fnjMQL3oK5PdF9F1bT/d34abcaa64d536cd8706a407f20ba2a9/image2.png) Microsoft 365 の検知結果を示す典型的な CASB 検知結果ページ。 SaaS セキュリティをシンプルに これまで、CASB ファインディング（接続された SaaS 統合全体で行われる検出）を正確にトリガーした原因を理解することは、ブラックボックスの状態でした。なぜ特定のファイル、特定のユーザー、特定の構成が CASB ファインディングタイプを引き起こすのかという説明に必要な情報は存在しましたが、最終的に当社のシステムによって検出された理由が明確であるとは限りませんでした。 CASB における Cloudy サマリー（要約）の導入により、ユーザーは検出の根拠に関する短い記述と、具体的なマッチング詳細を列挙した情報を取得し、容易に理解できるようになりました。 単なるテキスト要約とは異なり、CASB 向けの Cloudy は即座に対応策を講じるために設計された構造化された分析を提供します。Microsoft 365 から Dropbox まで異なるプロバイダーでのベータテストで確認された通り、このモデルは一貫してファインディングを2つの明確なセクションに分解します: リスク: ファインディングがなぜ重要なのかを具体的に特定します。例えば、「停止中のユーザー」と単に記録するのではなく、Cloudy は「これはアカウントの乗っ取りを示唆しているか、または会社データへのアクセス権限を持つべきではないユーザーである可能性があります」と明確化します。 ガイダンス: 直ちに実行可能な次のステップを提供します。一般的なアドバイスではなく、停止が意図的なものかどうかの確認や、アクセス権を剥奪する前にアプリケーションの正当性を確認するなど、具体的なアクションを提案します。 この構造により、分析担当者は特定の SaaS アプリケーションに関する深い専門知識がなくても、ファインディングの重大さを理解することが可能になります。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/BkfPI5VWYYaGzjjHsfyEz/16783ef841292ff66972222afda350e9/image4.png) CASB ポスチャーファインディングにおける Cloudy サマリーの例。 発見タイプ 技術シグナル Cloudy 翻訳（リスクとガイダンス） ID とアクセス管理 Dropbox: 一時停止されたユーザー リスク：一時停止されたユーザーアカウントは、乗っ取られたアカウントか、または会社データへのアクセス権限を失うべきユーザーを示している可能性があります。 ガイダンス：この一時停止が意図的なものであることを確認し、ユーザーのアクセス権限が適切に取り消されているかどうかを確認してください。 シャドウ IT Google Workspace: サードパーティ製アプリがインストールされた リスク：Google Sign In へのアクセス権を持つこのインストール済みアプリケーションは、ユーザーデータへの不正アクセスのリスクとなる可能性があります。 ガイダンス：アプリケーションの正当性と必要性を見直し、不要になった場合はアクセス権限を取り消すことを検討してください。 メールセキュリティ Microsoft 365: ドメインに DMARC レコードが存在しない リスク：DMARC レコードがないと、ドメインがメールのスプーフィングやフィッシング攻撃に対して脆弱になる可能性があります。 ガイダンス：ドメインに DMARC レコードを設定し、認証されていないメールをどのように処理するかを指定してください。 データ損失防止 (DLP) Microsoft 365: ファイルが公衆にアクセス可能 + DLP マッチ リスク：編集権限付きで公開共有されているこのファイルは、不正な変更を許容する可能性があります... 特に DLP プロフィールの一致によって示される潜在的に機密性の高いコンテンツがある場合。 ガイダンス：ファイルの内容を見直し、必要に応じてアクセス制限を検討してください。 お客様が特定されたセキュリティ課題の根本原因を究明する際、時間は極めて重要です。不十分な状態からより安全な状態へと移行するまでの時間を余計に引き延ばすことにならないよう、何が起きているのかという点における不必要な不確実性や不明瞭さは一切排除すべきだと考えています。 この機能は、Cloudflare のすべての製品と同じくプライバシーファーストの基盤の上に構築されています。CASB における Cloudy サマリーは、Cloudflare Workers AI を用いて生成されるため、分析中もお客様のデータが当社の安全なインフラ内に留まります。モデルはお客様の SaaS データを用いて訓練されたものではなく、サマリーはトリアージを支援するために一時的に生成されます。これにより、チームは機密性の高い内部文書や設定をパブリックなモデルに露出させることなく、AI のスピードを活用することができます。 What's next Email セキュリティにおいては、Cloudy が管理者とエンドユーザーの両方をどのように支援するかをさらに拡大していきます。重点は、より明確な説明の提供、文脈に即したガイダンスの強化、そして日常業務ワークフローへの深い統合にあります。 CASB については、クラウドおよび SaaS アプリケーション全体で何が起きているかを CASB 管理者が理解しやすくする機会を探ることに興奮しています。自然言語を用いて発見結果を照会できるように Cloudy カバレッジを拡大することで、リスクの特定と修正にかかる時間をさらに短縮できるよう、今後の展開にご注目ください。 今後に向けて、これは追加の検出タイプに対するより詳細な説明、ユーザーのアクションと検出結果との間のフィードバックループの強化、そして Phishnet を通じたユーザーと SOC チームの協力方法の継続的な改善を含みます。私たちの目標は、Cloudy が組織がメールセキュリティに関する意思決定を理解し、信頼し、行動する際の核となる一部となるようにすることです。 私たちは、すべての組織（Cloudflare の顧客であるかどうかにかかわらず）に、Retro Scan ツールへの無料アクセスを提供しています。これにより、Microsoft 365 に存在する既存の受信トレイメッセージを予測 AI モデルを使用してスキャンすることが可能になります。 Retro Scan は発見されたあらゆる脅威を検出しハイライト表示し、組織がメールアカウント内で直接それらの対策を実行できるようにします。これらの洞察に基づき、組織は Cloudflare Email Security または好みのソリューションを使用するなどしてさらなる制御措置を講じ、同様の脅威が将来受信トレイに到達しないように防止することができます。 Cloudflare があなたの受信トレイのセキュリティ強化にどのように役立つかについて興味がある場合は、ここでフィッシングリスク評価の登録を行ってください。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/FcaNb9DmTtKE1VbgLfPtT/5824d6eacb9f4ea5fe09c3dbd0843ba1/image3.png)

Cloudyが複雑なセキュリティを人間の行動に翻訳する方法

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト