概要

Simbian AI SOC Agentは、AIを活用してセキュリティアラートやログを継続的に調査し、SOC（Security Operations Center）におけるセキュリティ運用を支援するAIエージェントです。

一般的なLLMをそのままSOCへ導入するのではなく、サイバー防御に必要な多段階の調査を継続するためのDefensive Harness（防御用ハーネス）を組み合わせていることが大きな特長です。

実際のサイバー攻撃では、単一のログやイベントだけを確認すれば調査が完了するわけではありません。認証情報へのアクセス、権限昇格、ラテラルムーブメント、永続化、データアクセスなど、時間をまたいで発生する複数の攻撃ステップを追跡する必要があります。

Simbian AI SOC Agentは、調査を一度のAI回答で終了させるのではなく、次に確認すべき情報を判断しながら調査を継続します。さらに、既存のセキュリティ環境やIT運用ツールと連携することで、AIによる調査を実際のSOC業務へ組み込むことができます。

Simbian AI SOC Agentとは

Simbian AI SOC Agentは、LLMを単独でセキュリティアナリストの代わりとして利用するのではなく、セキュリティ調査を実行するシステムの一部としてLLMを活用するよう設計されています。

サイバー攻撃の調査では、大量の正常なイベントの中から攻撃の痕跡を見つけ、それぞれのイベントを関連付けながら攻撃全体を把握する必要があります。

LLMは個々のログの解析や不審なイベントの発見には有効ですが、長時間にわたる多段階調査では、攻撃が継続しているにもかかわらず「これ以上侵害の兆候はない」と判断し、調査を途中で終了してしまう場合があります。

Simbianはこの課題に対し、LLMの周囲にサイバー防御専用の仕組みを構築しています。

AIを「単独で判断するチャットボット」として利用するのではなく、調査計画、再確認、環境情報、MITRE ATT&CKに基づく調査状況などを組み合わせることで、実際のSOC業務に適した継続的な調査を支援します。

単体LLMとは異なる「Defensive Harness」

Simbian AI SOC Agentの中核となる考え方が、Defensive Harness（防御用ハーネス）です。

高性能なLLMであっても、セキュリティログを与えるだけでは、複雑な攻撃を最後まで追跡できるとは限りません。

SimbianのDefensive Harnessは、LLMに回答を生成させるだけではなく、セキュリティ調査を継続するための仕組みを提供します。

次に何を調査するかを判断

現在までに得られた証拠をもとに、次にどのデータを確認し、どのクエリを実行すべきかを判断しながら調査を進めます。

調査の早期終了を防止

LLMが十分な調査を行わないまま「問題なし」と判断してしまうことを防ぐため、結論を再確認する仕組みを利用します。

環境のコンテキストを維持

対象となる環境について得られた情報を保持しながら調査を進めます。新しいアラートごとに完全にゼロから判断するのではなく、環境の文脈を踏まえた調査を支援します。

MITRE ATT&CKに基づく調査状況の追跡

MITRE ATT&CKの戦術を基準として、すでに確認した領域と、まだ調査すべき領域を追跡します。

これにより、一部の攻撃ステップを確認しただけで調査を終了するのではなく、攻撃チェーン全体を意識した調査を実行できます。

主な機能

多段階のセキュリティ調査

Simbian AI SOC Agentは、一度の問い合わせだけで結論を出すのではなく、調査結果に応じて次の調査ステップを判断します。

ログやアラートに含まれる個々の異常を確認するだけでなく、複数のイベントを関連付けながら攻撃の流れを追跡します。

仮説を維持した継続調査

サイバー攻撃では、最初のクエリで明確な証拠が見つからないケースも少なくありません。

Simbianは、一度証拠が見つからなかっただけで調査を終了するのではなく、仮説を維持しながら追加の情報を確認することで、長い攻撃チェーンの調査を支援します。

調査結果の再確認

AIが調査完了と判断した場合でも、未確認の攻撃経路や調査項目が残っていないかを再確認します。

LLMに見られる「調査を早く終了してしまう」という問題を、AIモデルの外側にある仕組みから補完します。

MITRE ATT&CKを利用した調査管理

MITRE ATT&CKの戦術を基準として調査状況を管理し、どの攻撃領域を確認済みで、どの領域がまだ調査されていないかを追跡します。

これにより、単一のイベントだけではなく、攻撃全体を捉えることを目的とした調査を支援します。

人間の監督を前提としたAI運用

Simbianは、LLMを完全に独立したセキュリティ担当者として動作させるのではなく、人間が監督するセキュリティシステムの一部として利用する設計を採用しています。

AIによる調査を活用しながら、セキュリティチームが重要な判断や運用改善に関与できる構成です。

Case Managerと外部ツール連携

SimbianにはCase Managerが組み込まれており、AIによる調査結果やインシデント対応を管理できます。

既存のITSMやSIEMを中心に運用している企業では、Case Managerと既存システムを双方向で同期することができます。

ITSMとの双方向同期

• Jira
• ServiceNow
• ManageEngine
• Freshservice

SIEMとの双方向同期

• Microsoft Sentinel
• Palo Alto Networks XSIAM
• Securonix

既存のSOCやIT運用フローを大きく変更することなく、SimbianによるAI調査を現在のケース管理やチケット管理プロセスへ組み込むことができます。

調査・対応のための連携

Case Managerとの同期だけでなく、実際のセキュリティ調査や対応を行うための連携にも対応しています。

• Microsoft 365： フィッシングアラートの調査
• Wiz： CNAPPアラートの調査
• Cato Networks： ネットワーク上の脅威の封じ込め

これにより、AIによる分析だけで完結するのではなく、既存環境から必要な情報を取得し、セキュリティ運用のワークフローへ接続することができます。

Simbianが選ばれる理由

LLMそのものではなく「防御システム」として設計

Simbianでは、どのLLMを利用するかだけでセキュリティ性能が決まるとは考えていません。

モデルの周囲に、調査計画、再確認、環境情報の保持、MITRE ATT&CKに基づく進捗管理などの仕組みを構築することで、LLMを実際のサイバー防御で活用できるシステムへ変えています。

複雑な攻撃を最後まで追跡

実際の攻撃は、単一のアラートだけで完結するとは限りません。

Simbianは複数のログや攻撃ステップを関連付け、調査の途中で判断を打ち切らない仕組みを採用しています。

既存のSOCワークフローと連携

Jira、ServiceNowなどのITSMや、Microsoft Sentinel、Palo Alto Networks XSIAM、SecuronixなどのSIEMとの双方向同期により、既存の運用環境を活用できます。

AIモデルだけに依存しないセキュリティ運用

SimbianのCyber Defense Benchmarkでは、単体のフロンティアLLMだけでは、実際の攻撃テレメトリを利用した多段階の防御調査で十分なカバレッジを得ることが難しいことが示されています。

一方、SimbianのDefensive Harnessを組み合わせた構成では、同じベンチマークで95%のカバレッジを達成しており、この結果はグローバルMSSPによって検証されています。

ユースケース

ユースケース	課題	Simbian AI SOC Agentによる支援
SOCのアラート調査	大量のアラートを継続的に調査する必要がある	AIが次の調査ステップを判断しながら多段階の調査を支援
複雑な攻撃チェーンの調査	複数のイベントを関連付けながら攻撃全体を把握する必要がある	仮説を維持しながら追加調査を行い、攻撃ステップを追跡
既存SIEMを活用したAI SOC	SIEMは導入済みだが、調査作業の負荷が高い	Microsoft Sentinel、XSIAM、SecuronixなどとCase Managerを双方向同期
既存ITSMとの連携	インシデントやチケットを既存ITSMで管理している	Jira、ServiceNow、ManageEngine、Freshserviceと双方向同期
フィッシング調査	メール関連アラートの調査に時間がかかる	Microsoft 365と連携してフィッシングアラートを調査
クラウドセキュリティ調査	クラウド環境のアラートを個別に確認している	Wizと連携してCNAPPアラートを調査
ネットワーク上の脅威対応	調査結果を実際の封じ込めにつなげる必要がある	Cato Networksと連携してネットワーク上の脅威封じ込めを支援

導入とデータ保護

生成AIをSOCで利用する場合、セキュリティログや社内情報をどこで処理するかは重要な検討事項です。

Simbian AI SOC Agentは、オンプレミスでの本番運用に対応しており、機密性の高いセキュリティテレメトリを顧客ネットワーク内に保持したまま利用できる構成を提供しています。

一般消費者向けのチャットAIへ機密ログやソースコードなどを直接入力する運用とは異なり、企業のセキュリティ要件を考慮した環境でAIによる調査を実行できます。

FAQ（よくある質問）

Q1. Simbian AI SOC Agentとは何ですか？
A. セキュリティアラートやログをAIで継続的に調査し、SOCにおけるサイバー攻撃の発見・調査を支援するAIエージェントです。LLM単体ではなく、サイバー防御専用のDefensive Harnessを組み合わせていることが特長です。

Q2. ChatGPTなどのLLMをそのままSOCで利用する場合と何が違いますか？
A. 一般的なLLMは、個々のログ解析や説明には利用できますが、多段階のセキュリティ調査を途中で終了してしまう場合があります。Simbianは、次の調査ステップの判断、結果の再確認、環境情報の保持、MITRE ATT&CKに基づく調査状況の追跡などを組み合わせて調査を継続します。

Q3. Defensive Harnessとは何ですか？
A. LLMをサイバー防御に利用するためにSimbianがモデルの周囲に構築している仕組みです。次に実行する調査の判断、早期終了の防止、環境情報の保持、MITRE ATT&CKを利用した進捗管理などにより、LLM単体では難しい継続的な攻撃調査を支援します。

Q4. Case Managerとは何ですか？
A. Simbianに組み込まれているケース管理機能です。調査結果やインシデント対応を管理でき、既存のITSMやSIEMとの双方向同期にも対応しています。

Q5. どのITSMと連携できますか？
A. Jira、ServiceNow、ManageEngine、Freshserviceとの双方向同期に対応しています。

Q6. どのSIEMと連携できますか？
A. Microsoft Sentinel、Palo Alto Networks XSIAM、Securonixとの双方向同期に対応しています。

Q7. セキュリティ調査に利用できるその他の連携はありますか？
A. Microsoft 365によるフィッシングアラートの調査、WizによるCNAPPアラートの調査、Cato Networksによるネットワーク上の脅威封じ込めなどに対応しています。

Q8. オンプレミスで利用できますか？
A. はい。オンプレミスでの本番運用に対応しており、機密性の高いセキュリティテレメトリを顧客ネットワーク内に保持した構成で利用できます。

Q9. AIだけで完全自動運用する製品ですか？
A. SimbianはLLMを単独でSOCとして動作させる考え方ではなく、人間が監督するシステムの一部としてAIを利用する設計を採用しています。AIによる調査を活用しながら、セキュリティチームが重要な判断や運用改善に関与できます。

メーカーの製品サイト：https://simbian.ai/