AWSのログ/アラートの調査を AIで自動化してみた話

AWSのログ/アラートの調査を AIで自動化してみた話 Security-JAWS【第42回】 2026年8月26日（水）20:15〜20:35 株式会社ヤグラ竹次智優

テーマアジェンダ • 自己紹介 • 結論 • CloudTrailを用いた例で考える • 実際に社内で動かしている仕組み
• まとめ

自己紹介株式会社ヤグラの竹次（たけつぐ）です • ヤグラという「 AI × セキュリティ」のスタートアップの COOをしております。 •
吉江さんに JapanITWeekでお会いし、 SecurityJAWSに参加しました • 麻雀やボドゲが好きです 🀄 • 初登壇です！どちらかというと Bizメンバーですので、お手柔らかによろしくお願いします！ https://yagurasec.com/

テーマ話すこと＆話さないこと話すこと • AIによるログ監視を実装するうえで普遍的な考え方 • 具体的な構築のイメージ話さないこと • 詳細なログ分析の実例
• AWSのログ監視機能を持つサービスの詳細説明

テーマテーマ： AIログ監視 / アラート監視セキュリティのアラートが出ているけど、 AIがいい感じに勝手に対応してくれないかなぁ ... →本気で開発した（している）結果をお話します

テーマテーマ： AIログ監視 / アラート監視 • セキュリティにおける AI活用・・・ログ監視への活用が効果的
• ヤグラは AIによるログ監視を研究開発しており、というサービスを提供 ※もちろん AWSで動いているクラウドサービスです →CloudTrailのログやアラートを例に、ログ監視 / 調査 / 封じ込めの AIによる自動化の取り組みと見えてきたポイントをお話しします © 2026 Yagura Inc. Security-JAWS【第42回】 2026.08.26｜株式会社ヤグラ 1

テーマ結論 • 人間がログ調査の時に見る場所は、 AIにも見えるようにしましょう →それはなぜか、また AIに情報を渡す仕組みはどうするか © 2026 Yagura
Inc. Security-JAWS【第42回】 2026.08.26｜株式会社ヤグラ 1

テーマ例：Cloud Trailでネットワーク ACLが削除された • CloudTrailを見れば、いつ、どの IAMロールが、どの IPアドレスから、どのネットワークACLを削除したかがわかります。 •
では、人間の監視部隊が見るのはそれだけでしょうか？ →否 • これだけでは、正規の構成変更なのか、アカウントが乗っ取られているのか判断できません • そこで、人間の監視部隊は、同じ時刻、ユーザー、 IPアドレス、端末を手掛かりに ID 製品の認証ログやメールの URLアクセス、 EDRの端末ログなどを確認します。 →AIログ監視も同じです 1

テーマ例：Cloud Trailでネットワーク ACLが削除された • （あたり前かもしれませんが）単一のシステムの中に AIを搭載してもできることは限られており、精度の高い AIログ監視には、統合ログ管理、統合アラート管理が前提となります。
• 今回の例であれば、例えば下記のようなログを AIが確認しに行ける状態になっていることが AIログ監視の前提となります。 • • • • CloudTrailのログ ID：Microsoft Entra ID / Okta — サインイン・ MFAイベントメール： Microsoft Defender for Office 365 / Google Workspace — URLクリック EDR：CrowdStrike Falcon / Microsoft Defender for Endpoint — プロセスイベント 1

テーマ実際の構成例（簡易版）・ログを統合管理し・アラートを出せる何か・アラートに対して調査項目を明確化し、・それぞれの調査とその封じ込め対応を提案できる何か
①各種ログを、②１箇所に集めてアラートを出し、③それを AIで自動分析させる、そしてEDR等と連携した切り離しも行う、という構築が基本となると考えます。

アラート処理例 STEP1 : アラート基準の設定ログをアラートに変える必要がありますので、何を基準にアラートをあげて査を動かすかを設定します。 AI調

アラート処理例 STEP2 : アラートに対する AI調査アラートに対して、調査プランに基づき調査を進めます。繋ぎ込んでいる情報が少ないと、ここで調査精度が低下します。 1

アラート処理例 STEP3 : 封じ込め必要な封じ込めアクションを AIに提案させます。権限を与えれば自動化できます。 1

テーマまとめ • セキュリティにおける AI活用は、攻撃者が AIを活用する以上必須であり、特にログ監視/封じ込め領域は効果が高いと考えます • 構築の際に重要な点としては、とにかく「ログを１箇所に集めて AIが見れる状態を
作ること」です • そのうえで、集まったログと AIをうまく繋ぎ込めれば AIログ監視は成立します。精度のチューニングはもちろん必要ですが、まずはログを統合していく部分から始めましょう • AWS関連サービスでは DevOps Agentが外部ログの取り込みもできてよさそうですが、弊社では現状検証できておらずです 💦 詳しい方いたら情報ください 1

AWSのログ/アラートの調査を AIで自動化してみた話

AWSのログ/アラートの調査を AIで自動化してみた話

Tomomasa

Other Decks in Business

Featured

Transcript