沖電気工業（OKI）は2020年8月27日、同社に対するサイバー攻撃への対策として、AIを搭載した攻撃監視システムを開発し、セキュリティ監視業務での利用を開始したと発表した。Webサイトへのアクセスを監視し、調査すべき不審な端末を絞り込むシステムである。条件検索では発見が難しい攻撃の疑いを検知する。本システムの効果として、攻撃監視能力が最大で27倍向上したという。
沖電気工業（OKI）は、膨大なWebアクセスの中からサイバー攻撃に当たるアクセスを見つけ出すシステムを開発し、サイバー攻撃の監視業務を効率化した。情報漏洩につながる不正の兆候を早期に調査できるようになった。背景について同社は、膨大なWebアクセスの中から不正の兆候を見つけることは難しい状況を挙げる（図1）。
図1：沖電気工業（OKI）が構築して運用している攻撃監視システムの概要（出典：沖電気工業）拡大画像表示
開発したシステムは、2段階で攻撃の疑いを検知する。1段目では、ルールエンジンを使って、膨大なWebアクセスに埋もれた攻撃の疑いを検知する。ルールに合致したアクセスをリストアップする。2段目では、マルウェアに共通する挙動を学習して作成したAI判定モデルを使って、調査すべき端末の数を絞り込む。
2段階の検知によって数を絞り込んだ不審な端末は、ダッシュボード上で可視化する。セキュリティ監視者は、該当端末を調査し、サイバー攻撃の有無を最終的に判断する。この判断結果は、AIの学習用データとして利用できるので、セキュリティ監視者の知見をシステムに取り込める。
AIが端末のどのような振る舞いの特徴を攻撃として検知したかを確認する機能も持っている。検知した端末にどのような攻撃の疑いがあるかを、1段目のルールベースエンジンの検知結果をもとに説明する仕組みである。セキュリティ監視者は、調査すべき観点を把握できる。
