DatabricksがLakewatchを発表：新しいオープンでエージェント型のSIEM

本日、私たちは、組織がますます巧妙化するエージェント攻撃者から身を守るのに役立つ、新しいオープンでエージェンティックなSIEMであるLakewatchを発表します。Lakewatchは、セキュリティ、IT、ビジネスのデータを、AIによる検出と応答のための単一の管理された環境に統合します。オープンフォーマットにより、Lakewatchは、顧客が前例のない量のマルチモーダルデータを摂取、保持、分析できるようにすると同時に、コストを削減し、ベンダーロックインを排除します。セキュリティチームは、エンタープライズ全体で完全な可視性を獲得し、防御的なセキュリティエージェントを展開して、大規模な脅威検出と応答を自動化できます。Lakewatchは本日、プライベートプレビューでリリースされ、AdobeやDropboxなどの業界リーダーを含む顧客が利用できます。

また、「オープンセキュリティレイクハウスエコシステム」も立ち上げます。これには、主要なセキュリティおよびデリバリーパートナーが含まれており、顧客がテレメトリをオープンフォーマットに正規化するのを自動化し、最新の脅威に対して自動化されたマシン速度の防御で必要な統合スケールで脅威に対応するのを支援します。

エージェント時代のセキュリティ

セキュリティは根本的に変化しています。サイバー攻撃はもはや人間が操作するだけではありません。AI主導で自動化されています。 LLMはオープンソースコードで500以上のゼロデイを発見し、AIエージェントはバグバウンティプラットフォームでトップランクのハッカーになり、国家支援グループはAIを武器化して侵入を自動化しています。攻撃者は現在、マシンレベルで動作し、24時間年中無休でエクスプロイトを構築し、攻撃を調整しています。

これらのマシンレベルの攻撃に直面して、最高のセキュリティオペレーションチームでさえ構造的な制約に直面しています。今日のセキュリティツールでは、アナリストはアラートを手動でエンリッチし、検出ルールを手動で作成し、数日から数週間かけて脅威ハンティング仮説をテストする必要があります。これらのワークフローは、人間ペースの脅威に対して効果的であった可能性があります。24時間年中無休でマシン速度で動作するAI主導の攻撃に対しては、アーキテクチャ自体がボトルネックになります。 ZeroDayClock.comによると、エクスプロイトまでの平均時間は2025年の23.2日から2026年にはわずか1.6日に短縮されました。

問題は、データを見るとさらに深刻になります。大企業は毎日テラバイト、あるいはペタバイトものセキュリティデータを生成しますが、従来のSIEMはストレージとコンピューティングを結合しているため、取り込まれるすべてのバイトに対して財務的なペナルティが発生します。チームは、取り込みを制限し、ルーティングレイヤーを介してデータをフィルタリングし、履歴データを削除し、チャットログやビデオなどのマルチモーダルソースを完全に無視することで対応します。これにより、危険な非対称性が生まれます。攻撃者はAIエージェントを使用してすべてを分析し、どこでも攻撃できますが、防御者は自身のデータのほんの一部しか見ることができません。従来のSIEMはマルチモーダルデータを処理できませんが、ソーシャルエンジニアリング攻撃、内部脅威、プロンプトインジェクションの試みが隠されているのはまさにそこです。

これは単なるコストや規模の問題ではありません。これは、私たちが直面している脅威と、それと戦うために私たちが持っているツールとの間の根本的なアーキテクチャの不一致です。私たちは以前にもこの問題を解決しました。データウェアハウスも同様の制限がありました。高価な取り込み、サイロ化されたデータ、特定のユースケースへの限定。レイクハウスは、オープンフォーマット、低コストストレージ、あらゆるデータタイプをサポートすることで、そのモデルを破壊しました。今、私たちはセキュリティに同じ変革をもたらしています。

Lakewatchは、レイクハウスの経済性とアーキテクチャをセキュリティオペレーションにもたらします。セキュリティテレメトリの100％（マルチモーダルデータを含む）を取り込んで保持し、すべてのビジネスデータとともに分析し、AI搭載エージェントを展開して、従来のコストのわずかな割合で検出と応答を行うことができます。

Lakewatchがセキュリティオペレーションを変える方法：

すべてのデータに対する完全な可視性

組織はすでに脅威を調査するために必要なコンテキストを持っています。HRシステム、コラボレーションプラットフォーム、アプリケーションログ、トランザクションデータは今日レイクにありますが、従来のセキュリティツールは高価な重複なしにはアクセスできません。Lakewatchはモデルを反転させます。セキュリティはレイクハウス上で直接実行されます。Unity Catalog上に構築されているため、セキュリティデータは他のすべてのデータと並んで配置されます。アラートが発生すると、ファイルを移動したりツールを切り替えたりすることなく、あらゆるデータソース間で即座に相関させることができます。最新の攻撃は、システム間のギャップを悪用し、ソーシャルエンジニアリング、内部コンテキスト、およびレガシーツールでは処理できないマルチモーダルシグナルに依存しています。すべてのコンテキストが1か所にあるため、アナリストは数日ではなく数分で脅威を検出および封じ込めることができます。

Lakewatchは、次のことによりこれを可能にします：

• エンタープライズ全体でのガバナンス：テーブル、行、列、属性レベルでのきめ細かなアクセス制御と、すべてのデータに対する完全な監査可能性。
• オープンスタンダード：OCSF（Open Cybersecurity Schema Framework）上に構築されているため、データが独自のフォーマットにロックされることはありません。
• 自動取り込み：Lakeflow Connectは、主要なセキュリティソース（AWS、Okta、Zscalerなど）の取り込みと正規化を標準化されたテーブルに処理します。
• 真のデータ所有権：Delta LakeまたはApache Icebergで独自のクラウドストレージにデータを保存し、任意のクラウドでクエリを実行し、ベンダーロックインを防ぎます。

エージェントでエージェントと戦う

従来のSIEMは、データ全体にアクセスできないボルトオンAI機能に依存しています。Lakewatchは、セキュリティデータが存在する場所に直接組み込みAIをもたらします。Genieは、新しいログソースをOCSFに取り込んで解析したり、最新の脅威インテリジェンスに基づいて新しい検出を作成したり、既存のルールを変更して誤検知を減らしたり、自然言語の質問をSQLクエリに翻訳したりするなど、重要なワークフローを自動化します。Genie Spacesを使用すると、セキュリティチームは、専門的なクエリ言語ではなく、プレーンイングリッシュを使用してペタバイトのデータをクエリでき、スキルレベルに関係なく脅威ハンティングを民主化できます。

主な機能は次のとおりです：

• Genie Code：取り込みの自動化、新しい検出の作成、誤検知を減らすためのルールの変更、調査のための自然言語の質問からSQLクエリへの翻訳を行うAIアシスタント。
• Genie Spaces：自然言語クエリインターフェイスとエージェンティックハーネスにより、ユーザーは複雑なマルチステップの脅威ハンティングを実行し、複雑なクエリ言語を学習することなくデータに関する質問をすることができます。
• Detection-as-Code：YAMLで検出ルールをSQLクエリまたはPythonノートブックで定義し、履歴データに対してバックテストし、CI/CDパイプラインを通じてデプロイします。
• カスタムML検出：MLflow、Feature Store、Model Servingを使用して、セキュリティデータ上で直接機械学習モデルをトレーニングおよびデプロイし、異常検出、行動分析、エンティティリスクスコアリングなどを可能にします。
• 強力なダッシュボード：AI強化されたビジュアライゼーションを備えたエグゼクティブ、オペレーショナル、コンプライアンスダッシュボードを作成して、リアルタイム監視を行います。

ペタバイト規模での効率的なSecOps

ストレージとコンピューティングを分離することで、独自のクラウドストレージにフルフィデリティのセキュリティテレメトリのペタバイトを保存し、コンピューティングに対してのみ支払うことができます。サーバーレスコンピューティングを使用して、必要なときにのみ分析を実行します。数週間ではなく、数年間のホットクエリ可能なデータを維持します。あなたはデータを所有しています。あなたはコストを管理します。

これは次のように翻訳されます：

• あなたのデータを所有する：オープンフォーマットを使用して、あなたが管理するクラウドオブジェクトストレージ（S3、ADLS、GCS）に保存されたセキュリティテレメトリ。
• 長期保持：コンプライアンス要件を満たし、コストペナルティなしで数年間の脅威ハンティングを可能にします。
• 予測可能な経済性：バイトあたりのライセンス料を発生させることなく、大規模なフルフィデリティログを保存します。
• オンデマンドの弾力的なコンピューティング：きめ細かなコスト管理により、必要なときにのみ強力な分析およびMLワークロードをプロビジョニングします。
• サーバーレスパフォーマンス: 管理するインフラは一切不要です。クエリにのみ料金をお支払いください。

Anthropicとのパートナーシップ深化

両社の既存の戦略的パートナーシップの成功を基盤に、DatabricksとAnthropicは、エージェンティックなセキュリティオペレーションを提供するために協力関係を深めています。AnthropicのClaudeモデルは、セキュリティ、IT、ビジネスデータを横断するシグナルを相関させて脅威をより迅速に特定するために、Claudeの高度な推論能力を活用してLakewatchを強化しています。Anthropicはまた、Databricksを独自のセキュリティレイクハウスとして利用し、セキュリティおよびビジネスデータ全体を完全に可視化して、脅威を早期に検出しています。

オープンセキュリティレイクハウスエコシステム

Databricksは、今日の脅威にはエコシステム全体でのオープンなコラボレーションが必要であり、顧客が自身のデータを完全に管理できることが重要だと考えています。そのため、私たちは、Akamai、Anvilogic、Arctic Wolf、Cribl、Deloitte、Obsidian、Okta、1password、Palo Alto Networks、Panther、Proofpoint、Rearc、Slack、TrendAI、Wiz（現在はGoogle Cloudの一部）、Zscalerを含む、急成長中のトップセキュリティベンダーおよびデリバリーパートナーのグループである「オープンセキュリティレイクハウスエコシステム」を発表できることを嬉しく思います。

Zscalerは、オープンエコシステムに対するDatabricksのコミットメントを共有しています。私たちはオープンセキュリティレイクハウスエコシステムに参加し、共通のお客様が必要とするデータとツールを提供して、AIネイティブなソリューションでAIネイティブな攻撃から防御できることを楽しみにしています。 — Eddie Parra, VP Solutions Architect Partner Ecosystem, Zscaler

サイバー脅威がAI駆動型のマシン規模の攻撃へと進化するにつれて、組織はペースを維持するために根本的に新しいアーキテクチャを必要とする可能性があります。Lakewatchは、DatabricksレイクハウスのパワーをSOCにもたらし、チームがデータを活用し、インテリジェントエージェントをデプロイし、進化する脅威の一歩先を行くことを支援することで、セキュリティオペレーションの進歩を表しています。 — Jennifer Vitalbo, Managing Director, and Government and Public Services Cyber Defense and Resilience Offering Leader, Deloitte & Touche LLP

AntimatterおよびSiftD.aiの買収によるセキュリティリーダーシップの拡大

オープンでエージェンティックなSIEMアプローチを推進するため、DatabricksはAntimatterとSiftD.aiの両社の買収を発表します。Antimatterは、AIエージェント向けの証明可能なセキュリティ認証および認可の基盤を築いたUC Berkeleyのセキュリティ研究者によって設立されました。SplunkのSearch Processing Language（SPL）の作成者とSplunkの検索スタックのリードアーキテクトによって設立されたSiftD.aiは、大規模な検出エンジニアリングと最新の脅威分析に関する深い専門知識をもたらします。

詳細はこちら

Lakewatchは、セキュリティオペレーションの働き方に根本的な変化をもたらします。オープンなセキュリティレイクハウスとして、経済性は向上し、アーキテクチャはより柔軟になり、AI機能は後付けではなくネイティブに組み込まれています。

Lakewatchは現在プライベートプレビューで提供されており、より広範な利用に向けて準備を進めています。コスト圧力、保持制限に直面している場合、または大規模なセキュリティワークロードをデータプラットフォームに移行したいと考えている場合は、ぜひお聞かせください。

SOCのモダナイゼーション方法について詳しくは、Lakewatch製品ページをご覧ください。

(このブログ記事はAI翻訳ツールを使用して翻訳されています) 原文記事