今日、大企業でサイバーセキュリティアナリストを務めることは、干し草の山の中から針を探すようなものです。しかもその干し草の山が、光ファイバー並みの速度でこちらに向かって飛んでくるとすればなおさらです。
毎日、従業員と顧客は、通常の行動パターンを定める膨大なデータを生み出しています。攻撃者もシステムに侵入するためにさまざまな手法を用いる過程でデータを生成します。目標は、その「針」を見つけ出し、被害が出る前に食い止めることです。
この作業はデータ量が多いため、機械学習の計算処理能力との相性が良く、近年、AIを活用したシステムがサイバーセキュリティ市場に実際に大量に出回っています。しかし、そうしたシステムには固有の問題も伴います。すなわち、誤検知が絶え間なく発生し、セキュリティアナリストにとって時間を節約するどころか、かえって時間を奪う存在になりかねないという問題です。
MIT発のスタートアップであるPatternExは、アルゴリズムだけではシステムを保護できないという前提から出発しています。同社は、機械学習モデルが攻撃の可能性を検知し、人間の専門家がフィードバックを提供するという閉ループ型のアプローチを開発しました。そのフィードバックがモデルに組み込まれることで、今後はアナリストが注目すべき活動のみを検知する能力が向上していきます。
「サイバーセキュリティにおける機械学習システムの多くは、これまで異常検知を行ってきました」と、PatternExの共同創業者であり、MITの主任研究科学者でもあるKalyan Veeramachaneniは述べています。「その問題点は、まず、基準値（[通常の活動]）が必要になることです。また、モデルは通常教師なしであるため、大量のアラートを表示することになり、結果的に人々がその機能を停止させてしまいます。PatternExの大きな違いは、アナリストがシステムに情報を提供でき、システムがそのフィードバックを用いて誤検知を除外する点です。」
その結果、アナリストの生産性が向上しています。一般的な異常検知ソフトウェアと比較すると、PatternExのVirtual Analyst Platformは、同じ数の1日あたりのアラートで10倍多くの脅威を正しく特定しました。そして、汎用システムがアナリストに1日あたり5倍多くのアラートを提供した場合でも、その優位性は持続しました。
2016年に初めて導入されて以来、現在では、同社のシステムは、サービスとしてサイバーセキュリティを提供する企業とともに、さまざまな業界の大企業でセキュリティアナリストによって利用されています。
サイバーセキュリティへの人間的アプローチと機械的アプローチの統合
Veeramachaneniは2009年にポスドク研究員としてMITに来ており、現在は情報・意思決定システム研究所（Laboratory for Information and Decision Systems）で研究グループを率いています。MITでの彼の研究は主にビッグデータ科学と機械学習に関するものですが、2013年にPatternExの共同創業者であるCostas Bassias、Uday Veeramachaneni、Vamsi Korrapatiとのブレインストーミングを行うまでは、これらのツールをサイバーセキュリティに応用することについて深くは考えていませんでした。
2013年から2015年までMITでVeeramachaneniとともにポスドク研究員として勤務したIgnacio Arnaldoは、その後まもなく同社に加わりました。Veeramachaneniとarnaldoは、MITで機械学習研究者向けのツールを開発した経験から、成功するソリューションには機械学習と人間の専門知識をシームレスに統合する必要があることを知っていました。
「人々が機械学習に対して抱える問題の多くは、機械がアナリストと並んで作業しなければならないことから生じています」とVeeramachaneniは述べ、検知された攻撃は、さらなる調査のために人間に分かりやすい形で提示されなければならないと指摘しています。「機械学習はすべてを単独で行うことはできません。融資の承認のような単純なことであっても、ほとんどのシステムは、人間から意思決定を単に奪う機械学習ではなく、人間を補完するものです。」
同社の最初の提携先は、大手オンライン小売業者でした。この提携により、創業者は実際のデータを用いて、潜在的に悪意のある行動を特定するためのモデルを訓練することができました。彼らは、ネットワーク内のWi-Fiアクセスログ、認証ログ、その他のユーザー行動などの情報源を用いて、さまざまな種類の攻撃を検知するためにアルゴリズムを一つずつ訓練していきました。
初期のモデルは小売業で最も効果を発揮しましたが、Veeramachaneniは、MITで企業幹部と多く対話する中で、他の業界の企業が業務に機械学習を適用するのにどれほど苦労しているかを知っていました（この件について、PatternExは最近、 論文を発表しています）。
「私がここに来た10年前から、MITは産業界を積極的に迎え入れるという素晴らしい取り組みを続けてきました」とVeeramachaneniは述べています。彼は、MITの産業連携プログラム（Industrial Liaison Program）の一員として過去6年間に、民間企業の関係者と直面している課題について話し合うための会議を200回行ったと推定しています。また、彼はこれらの対話を活用して、自身の研究室の研究が関連性のある課題に取り組んでいることを確認しています。
企業顧客に加えて、同社は、ネットワーク内の未検知のサイバー攻撃を探索することを専門とするセキュリティサービスプロバイダーやチームにも、自社のプラットフォームの提供を開始しました。
現在、アナリストは、コードを一行も書くことなく、PatternExのプラットフォームを通じて機械学習モデルを構築できます。これにより、機械学習を利用するハードルが下がり、AIの民主化とVeeramachaneniが呼ぶ、業界全体のより大きな潮流の一部となっています。
「サイバーセキュリティには時間的な余裕がありません。攻撃がなぜ起きているのかを理解するのに、何時間、あるいは何日もかけることはできません」とVeeramachaneniは述べています。「だからこそ、アナリストが機械学習モデルを構築し、調整できる能力を持つことが、当社のシステムにおいて最も重要な側面なのです。」
セキュリティアナリストに大軍を与える
PatternExのVirtual Analyst Platformは、セキュリティアナリストが、データログを精査し、ネットワーク上で最も疑わしい行動を提示してくれる多数のアシスタントを抱えているように感じられるよう設計されています。
このプラットフォームは、機械学習モデルを用いて50を超えるデータストリームを処理し、疑わしい行動を特定します。その後、その情報をアナリストに提示してフィードバックを求めるとともに、アナリストが対応を判断するのに役立つグラフやその他のデータ可視化も併せて提供します。アナリストがその行動が攻撃であるかどうかを判断すると、そのフィードバックがモデルに組み込まれ、PatternExの顧客基盤全体にわたってモデルが更新されます。
「機械学習以前は、誰かが攻撃を検知しても、おそらく少し遅れてからであり、その攻撃に名前を付け、発表していました。すると、他の企業もすべて問い合わせを行い、その攻撃について知り、自社のデータを確認しに行っていました」とVeeramachaneniは述べています。「当社の場合、攻撃があれば、そのデータを取得します。顧客が複数いるため、他の顧客のデータにもリアルタイムで転送し、そちらでも同じことが起きているかどうかを確認しなければなりません。当社は、これを日々非常に効率的に行っています。」
新しい顧客でシステムが稼働を開始した時点で、170種類の既製機械学習モデルを用いて、40種類の異なるサイバー攻撃を特定することができます。Arnaldoは、同社がこれらの数字を伸ばすよう取り組む中で、顧客もまた、直面している特定の脅威に対応するソリューションをプラットフォーム上で構築することで、PatternExのモデル基盤に貢献していると指摘しています。
顧客が自らプラットフォーム上でモデルを構築していない場合でも、機械学習の専門知識がなくても、PatternExのシステムをそのまま導入し、それが自動的に賢くなっていく様子を見守ることができます。
このような柔軟性を提供することで、PatternExは、自社の業界を最も深く理解している人々に、人工知能の最新ツールをもたらしています。これは、人間を人工知能に置き換えるのではなく、人工知能によって人間の能力を高めるという同社の創業理念に通じるものです。
「システムの対象ユーザーは、熟練したデータサイエンティストや機械学習の専門家ではありません。こうした人材は、サイバーセキュリティチームが採用するのが難しい人材です。むしろ、データと利用事例について最も深い理解を持つ、すでに社内に在籍している分野の専門家です」とArnaldoは述べています。
