はじめに
Security Orchestration, Automation and Response(以下、SOAR) は、セキュリティ運用の自動化及び効率化を行うための技術やソリューションです。
CrowdStrike Falconでは、CrowdStrike社によって開発されたCharlotte AIを利用して、ノーコードでSOARのワークフローを作成することができます。
本記事では、CrowdStrike FalconのSOARワークフローにCharlotte AIを組み込む方法について記載しています。
Charlotte AI
Charlotte AI は、CrowdStrike社によって開発されているサイバーセキュリティの生成系AIです。
2025年からCharlotte AIの一般提供が開始されていますが、本記事執筆時点では、対象となるサブスクリプションを契約している場合、Charlotte AIの無料利用権（50クレジット）が提供されます。
Charlotte AIの利用を開始するためには、オプトインを行う必要があります。オプトインを行なって、プロンプトを実行するまでの例を以下に記載しています。
オプトイン
管理コンソールの左ペインに、Charlotte AIが表示されているので開きます。
「AIクレジットを入手」を押します。
「完了」を押します。
対話
Charlotte AIに対してプロンプトを実行するためには、「対話」を開きます。
プロンプト例に表示されているWhich adversaries target the financial sector?のテキストを入力後、回答として金融セクターを標的にしている脅威アクターが表示されました。
また、金融セクターを標的とする敵対勢力は150団体存在すことを示すサマリーも表示されています。
クレジットモニタリングを見ると、クレジットの消費が確認できます。
クレジットモニタリングの画面右上を見ると、「節約された時間」が表示されています。項目の説明では、Charlotte AIの1クレジットは、人手による作業10分に相当するとのことです。
SOARワークフロー
本記事では、Falconセンサーが検知した内容をLLMで要約して、メールを送信するというワークフローを作成します。
仕組みとしては、Detectionをトリガー、Severityを条件、アクションに「Charlotte AI - LLM Completion」及び「Send email」を使用しています。
SOARワークフローを作成するにあたり、Charlotte AIの回答結果をどのような値として利用できるか不明でしたが、Charlotte AIにワークフローの作成自体を命令することで解決しました。
ワークフローの作成方法
Charlotte AIに作成して欲しいワークフローの内容を伝えます。※日本語は対応していないため、英語を使用してプロンプトを入力
Charlotte AIから回答が返ってくると、ワークフローが作成されているので、「Fusionで編集」を選択します。
ワークフローの画面に遷移し、Charlotte AIよりワークフローのインポートが完了しました。
アクションの「Send email」を選択して開くと、メッセージの値として${data['CharlotteAILLMCompletion.FaaS.nlpassistantapi.llminvocator_handler.completion']}が確認できます。従ってこの値がCharlotte AIの回答結果であることが分かります。
「Send emal」の「Subject」や「Recipients」を設定後、「ワークフローの公開」を押します。
ステータスがオフだと実行されないため、ステータスを「オン」に変更されていることを確認します。
テストアラートを発生さたところ、Charlotte AIの実行が確認できました。なお、CrowdStrike Falconの検知テストして使用されるchoice /M crowdstrike_sample_detectionコマンドを実行しているだけなので、分析は行われていません。
上記ワークフローを設定して検証を行ったところ、実際に検知したアラートに対しても正常に機能していることを確認しました。
実際に運用で活用するためには、検知した内容をメールで送信する際に、エンドポイントのデバイス名やSeverityなどの情報を追加することで、事象が把握しやすくなります。
その他、アクションの「Charlotte AI - LLM Completion」では、Temperatureの値を設定することができるので、回答のチューニングができます。
おわりに
Charlotte AIを使用した所感としては、脅威インテリジェンス、脅威ハンティング、SOARワークフローの組み込みなど、セキュリティ活動を行うツールとして役立つと思います。
サイバーセキュリティの世界では、脅威アクターやスクリプトキディによるAI活用が今後も高度化してくると言われています。最近注目されているのが、スクリプトキディのAI活用によって、中級程度のハッカーとの差がなくなってきているとも言われているようです。
組織でセキュリティに携わる者としても、AI活用は必須なスキルです。単にツールとして使うだけではなく、できることとできないことの限界を理解した上で、意思決定のパートナーとして利用することが重要です。