はじめまして、イベントスのエンジニアチームです。

私たちは過去数ヶ月間、既存のデータレイク（Devo、Splunk、Microsoft Sentinelなど）の上に被せて機能する、自律型AIセキュリティオーバーレイ「SIEM+ (https://siem.plus) 」を開発してきました。

先日、台湾のエンタープライズ企業で本番環境（プロダクション）への導入を完了し、現在は日本市場への展開を進めています。本記事では、私たちが直面した「従来型SIEMの課題」と、それをAIでどう解決したのか、その主要な機能とアーキテクチャの概要を共有したいと思います。

🚨 解決したかった課題：SIEMのアラート疲労とLLMのコスト問題
従来のSIEMを運用したことがあるエンジニアなら、「アラート疲労（Alert Fatigue）」の辛さがわかると思います。ファイアウォール、EDR、クラウドのログをすべてSIEMに流し込むと、ダッシュボードは常に警告（Red）で埋め尽くされます。

「じゃあ、生のログをすべてChatGPT等のLLMに投げればいいのでは？」

最初はそう考えますが、これはセキュリティAIを構築する上で最悪のアプローチです。毎秒数万件発生する生のログをリアルタイムでLLMに処理させると、「APIコストの破産」「レイテンシの悪化」「コンテキストウィンドウの枯渇」を引き起こします。

✨ SIEM+ の主要機能とアーキテクチャ概要
既存のSIEMをリプレイスするのではなく、上に被せる「オーバーレイ」として設計することで、これらの問題を解決しました。

イベント駆動型のログ集約（スマート・アグリゲーション）
LLMに生のログを読ませるのではなく、基盤となるSIEM（例：Devo）の集計能力を活用します。SIEM側で「過去15分間のMFAバイパスのカウント」などのサマリーデータを抽出し、AIエンジンに渡します。これにより、トークンコストを劇的に削減しながらリアルタイム性を担保しています。
AIによるケースグループ化とコンテキスト翻訳
数千件の関連するアラート（例：自動化されたポートスキャン等）を、1つの「インシデントケース」としてAIがグループ化します。さらに、難解なJSONやHex（16進数）のペイロードを解析し、経営層やジュニアエンジニアでも理解できる自然言語の概要に翻訳します。
動的コンプライアンス・マッピングと「可視性の欠如」検知
事前定義された静的ルールに依存せず、イベントの内容から NIST CSF v2.0 や CIS Controls v8 のどの要件に違反しているかをAIが動的にマッピングします。

さらに重要な機能として、「ログ自体が届いていない（盲点になっている）」状態を検知します。無風状態が「安全」なのか「ログサーバーがダウンしている」のかをAIが判定し、スコアに反映します。

実行可能な修復ガイドラインの提示
アラートを投げて終わりではなく、「ユーザーXのAzure ADトークンを取り消し、IP Yをブロックする」といった具体的なNext Step（修復手順）をAIが自動生成します。

📊 実際のダッシュボード画面（AIの出力を可視化）
裏側では、LLMに対して厳格なJSONスキーマ出力を強制しており、その構造化データをフロントエンドで可視化したのが以下のダッシュボードです。

ログの有無（可視性の欠如）、ケース化されたアラート数、コンプライアンス要件（NIST/CIS）へのマッピング、そしてAIが生成したインシデントの概要が、エグゼクティブにもエンジニアにも一目でわかるようになっています。

🚀 台湾でのプロダクション導入事例
このアーキテクチャを用いて、台湾のエンタープライズ顧客で最初の本番展開を行いました。

導入後最初の1週間で、私たちのAI推論エンジンは見事にベースラインのノイズをフィルタリングし、生の膨大なログフィードの中に埋もれていた「実際のクラウド設定ミス」と「アイデンティティの脅威」を特定しました。

最も価値があったのは、修復機能です。AIが明確な修復手順を提示したため、顧客の少人数のITチームは、高価な外部SOCにエスカレーションすることなく、自らの手でセキュリティギャップを修正し、実際の業務を完了させることができました。

最後に
現在、日本市場向けに展開を進めており、金融機関向けのFISC対応などのマッピング拡張も計画しています。

既存のSIEMとAIの連携アプローチや、アーキテクチャの設計について、Qiitaの皆様のフィードバックやご意見をコメント欄でいただければ幸いです！

URL: https://siem.plus