Databricks Genieをベースに構築され、Unity Catalogでの行レベルのテナント分離を備 えた、Barracuda Managed XDRの「AI駆動型ログ検索」機能の仕組みに迫ります。
によって Barracuda XDR Engineering Team による投稿
セキュリティアナリストが不審なログインや異常なファイアウォールのブロックに関するアラートを受け取ったとき、その答えはほぼ常にログの中にあります。しかし、それを見つけ出すのが困難な部分です。
Barracuda Managed XDRは、高度な検知機能と専用のSecurity Operations Center（SOC）を組み合わせたAI駆動型のセキュリティサービスであり、組織がエンドポイント、ネットワーク、メール、クラウド環境全体で脅威を防御、検知、対応できるよう支援します。
この保護は、数千もの顧客環境にわたるファイアウォール、エンドポイント、IDプロバイダー、クラウドプラットフォーム、メールゲートウェイからの膨大なセキュリティログに依存しています。WatchGuard、Fortinet、Palo Alto、Microsoft 365、AWSなどのすべてのソースには、それぞれ独自のスキーマとフィールド名があります。従来、これらのデータから答えを導き出すには、SQLを記述し、ベンダーごとに異なる不整合や独自のフォーマットに対応する必要がありました。
Barracudaのエンジニアリングチームは、この課題の解決に乗り出しました。彼らは、アナリスト、MSPの技術者、セキュリティマネージャーの誰もが、多数のログフォーマットのエキスパートになることなく、データを直接クエリできるようにしたいと考えま した。
彼らが提供したソリューションが、Genieをベースに構築され、XDRダッシュボードに直接統合された「AI駆動型ログ検索（AI-Powered Log Search）」です。ユーザーが「過去24時間における外部IPからのログイン失敗試行を表示して」といった質問を投げかけると、データレイヤーでマルチテナントの分離が適用された状態で、わずか数秒で結果が返されます。
仕組みに関する詳細な技術解説をご希望ですか？Barracudaエンジニアリングチームのブログ記事をお読みください。
AI駆動型ログ検索が導入される前は、調査は通常、次の2つの方法のいずれかで進められていました。
担当のアナリストが特定のデータソースに関連するスキーマを理解していれば、自分でデータをクエリできました。しかし、ベンダーのフォーマット全体を学ぶ時間や背景知識を持つ人が少なかったため、ルーティン以外の業務のほとんどを少数のシニアアナリストが担当することになっていました。
スキーマがわからない場合は、エスカレーションされました。クエリを書ける人に質問が引き渡されるため、順番待ちが発生します。簡単なリクエストであっても、シニアアナリストの手が空くまで待たなければなりませんでした。
どちらのアプローチも、数千もの顧客やパートナーに対して円滑にスケールすることはありませんでした。Barracudaは、管理型プラットフォームが依存するテナント分離を損なうことなく、SQLを必要とせずにすべてのユーザーがデータに直接アクセスできる仕組みを求めていました。
AI駆動型ログ検索は、XDRダッシュボード内に組み込まれています。ユーザーが質問を入力すると、GenieがそれをSQLに変換し、その顧客のログに対して実行して、見慣れたテーブルビューで結果を返します。生成されたクエリは結果と並べて表示されるため、アナリストは実行内容を確認したり、次回の参考にSQLを学習したりできます。
これが一般的なText-to-SQLツールよりも優れた成果を上げる理由は、Genieがアクセスできるコンテキストにあります。Barracudaは、ネットワーク、サーバー、クラウド、メール、エンドポイントのソースをカバーするすべての列とテーブルの説明を含む、セキュリティに特化したメタデータでUnity Catalogを強化しました。そのため、ユーザーが「ブロックされた接続」について質問すると、Genieはその顧客が利用しているファイアウォールベンダーが何であれ、適切なテーブルとフィールドにリクエストをマッピングできます。
マルチターンの会話もサポートされており、これは多くのアナリストが実際に作業する流れに沿っています。最初の質問で大まかな全体像を把握し、その後の質問で「送信元IPの上位10個だけに絞り込んで」、「先週の同じデータを表示して」、「内部アドレスを除外して」といったように絞り込んでいきます。Genieはコンテキストを引き継ぐため、同じことを何度も説明し直すことなく、前の質問を踏まえて絞り込みを行うことができます。
Barracudaによると、Genieの導入により、日常的な調査におけるインサイト獲得までの時間が数時間から数分に短縮されました。先月までなら複雑なクエリをエスカレーションしていたジュニアアナリストが、今では自分で実行できるようになっています。複数の顧客を担当するMSPの技術者は、シニアアナリストに回すことなく、その場で質問に回答できます。コンプライアンスチームやセキュリティリーダーは、チケットを発行することなく自分でデータを取得できます。また、すべてのクエリがログに記録されるため、追加の仕組みを構築することなく、監査証跡がSOC 2などのコンプライアンス要件をカバーします。
この変化は、Barracudaが定期的なログ検索リクエストを処理する方法をすでに変えつつあります。Genieが導入される前は、ビジネスユーザーは特定のログ検索データを取得するために、定期的にSOCアナリストを頼っていました。SOCチームは月に約200件のリクエストを受け取っており、リクエストの解釈、適切なデータソースとスキーマの特定、SQLの記述、クエリの実行、チケットによる回答に、それぞれ25〜30分かかっていました。Genieを使用することで、これらの定期的なリクエストをセルフサービスに移行できるようになり、SOCアナリストの時間を月に推定83〜100時間、年間で1,000〜1,200時間削減できます。
Databricks Genieを使用して、パートナーやSMBが日常的な言葉で複雑なセキュリティデータをクエリできるようにすることで、Barracuda Managed XDRは脅威調査を驚くほど使いやすいものにしています。この直感的なAI駆動型検索により、潜在的なリスクへの対応が迅速化され、運用全体の生産性と企業の防御力が大幅に向上します。—Boopathy Veerappa氏（Director, Cyber DevOps Engineering - Managed XDR）
セキュリティログへの自然言語インターフェースは、共有プラットフォーム上の数千の顧客に安全に公開できて初めて価値を持ちます。顧客の境界を越えるクエリは情報漏洩を意味するため、Barracudaはシステムのすべてのレイヤーにテナント分離を組み込みました。
Genieがベーステーブルを直接クエリすることはありません。代わりに、クエリエンジンがSQLを実行する前に、認証されたユーザーの組織ごとにデータをフィルタリングするUnity Catalogのセキュアビューをクエリします。フィルターはプロンプトやアプリケーションコードではなくビューレイヤーで適用されるため、不正なクエリや敵対的なクエリがこれをバイパスすることはできません。サービスプリンシパルは単一の組織にスコープが限定されており、クエリバリデータが生成されたすべてのSQLステートメントを検査して、組織フィルターが存在することを確認し、失敗したものは拒否します。
この設計により、ガバナンスが自然と確保されます。基盤となるテーブルを保護するのと同じ行レベルのセキュリティポリシーが自然言語クエリにも適用されるため、維持すべき並行アクセスモデルや、同期を保つべき個別の認可レイヤーは必要ありません。
BarracudaのManaged XDRチームは、AI駆動型ログ検索のさらなる強化を続けています。検索の保存とスケジュール実行が短期的なロードマップに組み込まれているほか、要約のためのBarracuda's AI Assistantとの統合、追加のデータソースへの対応、クエリ結果からのチャートや可視化の直接生成などが予定されています。
複合AIアーキテクチャ、行レベルセキュリティの実装、クエリ検証パイプライン、マルチリージョン展開モデルなど、技術的な詳細については、Barracudaのエンジニアリングブログ記事をお読みください。
Genieの詳細や、チームがデータを活用してすべての従業員がエージェントを利用できるようにする方法については、Genieの製品ページをご覧ください。
(このブログ記事はAI翻訳ツールを使用して翻訳されています) 原文記事
ブログを購読して、最新の投稿を受信トレイにお届けします。