システムごとに散らばる痕跡
WAF、ロードバランサー、Webサーバー、DB、OSに分かれた記録を集め、同じ事象の流れとして見る必要があります。
GIIP AI Security Operations
ハッキングの痕跡、
その次に何をすべきか。
押し寄せるセキュリティアラートの前で本当に必要なのは、判断と実行です。GIIPは、散らばったログの横断調査からレポート、承認後の対応までを一つの運用フローでつなぎます。
検知から対応まで
接続されたインフラと付与された権限にもとづいて進めます。
01 / DETECT検知攻撃の痕跡を確認
02 / INVESTIGATE調査原本ログを検証
03 / REPORT報告事実と推定を区別
04 / RESPOND対応承認後に実行
01 / THE PROBLEMアラートは届きました。
アラートは届きました。
被害まで確認できていますか？
WAFに攻撃の痕跡が残っただけでは、実際の侵入やデータ漏えいを断定できません。リクエストがどこまで到達し、何が実行されたのか、原本の証拠をつなげて確認する必要があります。
突き合わせにかかる時間
アラートを確認したあと、原本ログと実行結果を手作業で突き合わせている間に初動対応が遅れます。
調査と対応の負担
外部の専門家に頼る繰り返しの調査を減らし、社内で判断し対応できる運用フローが必要です。
02 / WORKFLOW
AI指示書から調査を始めます。
GIIPをインフラに接続したうえで、セキュリティモニターで見つけたイベントを、収集エージェント側AIの調査へとつなげます。
攻撃の痕跡を確認します。
セキュリティモニターで検知イベントと判定情報を確認します。
「AI指示書をコピー」を押します。
イベントの状況と調査に必要な情報をまとめた指示書をコピーします。
収集エージェント側AIに渡します。
コピーした指示書をAIに渡すと、エージェントに付与された権限の範囲で原本ログの調査と突き合わせを行います。
レポートを見て対応を決めます。
確認された事実、推定、追加確認が必要な項目と対応案を検討します。変更作業は管理者の承認と付与された実行権限を前提とします。
03 / CROSS-ANALYSIS
攻撃の試みと実際の被害を区別します。
検知確率は調査の出発点です。原本ログ、応答サイズ、ステータスコードと実行の痕跡を突き合わせ、実際の影響を確認します。
WAFLBWebサーバーDB監査ログQuery StoreOS
EVIDENCE FIRST
検知結果を原本の証拠と照合
DB監査ログなどから当該リクエストの実行結果を確認し、応答サイズとステータスコードをもとにデータアクセスや漏えいの可能性を検証します。
調査範囲は、接続されたログ、保存期間、エージェントのアクセス権限によって異なります。
Q1
誰が何を送ったのか？
時刻、IP、リクエストと検知パターンをつなぎ、攻撃の流れを追跡します。
Q2
何が実行されたのか？
ステータスコード、応答サイズと、書き込み・ファイル・権限操作の痕跡を確認します。
Q3
実際の影響はどこまでか？
データアクセスや持ち出しの痕跡を調べ、影響範囲と未確認事項を整理します。
04 / INTELLIGENCE REPORT
確認された事実と推定を分けて報告します。
管理者が判断できるように原本の証拠を整理し、まだ検証できていない内容は追加調査の項目として残します。
VERIFIED FACTS
確認された事実
- 原本ログで確認したイベントと発生時刻
- 実行結果、応答情報と関連する証拠
- 証拠で確認できるシステムへの影響
ASSESSMENT & NEXT ACTION
推定と対応の提案
- 攻撃の可能性と判断の根拠
- 未確認の事項と追加で必要な証拠
- 遮断・設定変更など検討すべき対応案
レポート構成の例です。実際の事件の調査結果を示した画面ではありません。
05 / CONTROLLED RESPONSEレポートを検討し、
レポートを検討し、
許可された範囲で実行します。
管理者がレポートと対応案を確認したうえで、AIに実行を指示します。AWS・Azureなど対象の環境で、許可された作業と権限の範囲内で対応を進めます。
管理者の確認と承認
調査結果と提案された対応の影響範囲を検討し、必要な作業を承認します。
エージェント権限の確認
ログを読める範囲と、インフラを変更できる範囲に応じて、可能な作業が決まります。
遮断と設定変更
承認された内容に従い、必要なインフラの遮断や設定変更を付与された権限の範囲で実行します。
指示書のコピーは調査依頼の始まりです。インフラの変更は、管理者の承認とエージェントに付与された実行権限を前提とします。
06 / OPERATIONAL VALUE繰り返しの調査負担を減らし、
繰り返しの調査負担を減らし、
判断と対応に集中します。
散らばった記録を集める作業から、調査と実行のつなぎまで、セキュリティ運用の繰り返し業務を減らすことが目標です。
| 区分 | 手動対応 | GIIP AIセキュリティ運用 |
|---|---|---|
| 調査の開始 | 担当者がログ照会と分析手順を準備 | イベント情報を含むAI指示書で調査を依頼 |
| 分析範囲 | システムごとの記録を個別に照会し突き合わせ | アクセス可能な複数のログを横断調査 |
| 判断材料 | 集めた証拠を担当者がレポートに整理 | 確認された事実と推定を区別したレポート |
| 対応の実行 | 担当者が各環境で設定を変更 | 承認後、エージェントの権限範囲で実行 |
所要時間やコスト削減の効果は、接続環境、ログの規模、事件の複雑さによって異なります。
07 / FAQ
導入前に確認すること
GIIPを接続すると、まず何ができますか？
添付資料では、インフラ接続後にセキュリティモニターで攻撃の痕跡を確認し、AI指示書を収集エージェント側AIに渡して調査する流れを紹介しています。実際の調査対象は、ログの接続とアクセス権限によって決まります。
AIが自動でインフラを変更しますか？
紹介している対応の流れは、管理者によるレポート確認と承認、エージェントへの権限委任、インフラの遮断および設定変更の順です。実行できる作業は、あらかじめ付与された権限の範囲に限られます。
攻撃確率だけで侵害を確定しますか？
検知結果をもとに、原本ログと実行結果を確認します。実際の被害の有無は証拠を検証したうえで判断し、確認された事実と推定を区別して報告します。
セキュリティの主導権を取り戻しましょう。
攻撃の痕跡を見つけたその瞬間から、実際の調査と対応まで。
GIIPセキュリティモニターの使い方の流れをご確認ください。
提供された「GIIP AI Security Operations」の韓国語紹介資料をWeb本文として再構成しました。