AI-Assisted Threat Huntingとは? クエリを打つことから、文章を打つことへ
AI Assisted Threat Huntingは平易な文章をクエリに変換します。zcrSIEMの実例となぜ人がレビューするのかを解説します。
AI-Assisted Threat Huntingとは? クエリを打つことから、文章を打つことへ
従来のthreat huntingでは、検索を始める前に専用のクエリ（field:value、AND/OR、ワイルドカード）を正しい構文で書く必要がありました ― 業務に慣れていないアナリストは、複雑なクエリを使いこなせるようになるまで長い時間がかかることも珍しくありません。AI-Assisted Threat Hunting はこの出発点を変えます ― 探しているものを平易な文章で入力するだけで、AIがそれをクエリに変換してくれます。
この記事では、zcrSIEMに実際にある機能を取り上げ、その仕組みと、なぜ単に「AIが書いてそのまま実行する」わけではないのかを解説します。
zcrSIEMのThreat Huntingページでの実例
zcrSIEMのThreat Huntingページには "Describe in plain English" というボタンがあり、「AI turns your description into a hunt query — you always review and edit it before running」（AIがあなたの説明をハンティングクエリに変換します。ただし実行前には必ずレビュー・編集できます）と明記されています。
システムに組み込まれている実際のサンプルプロンプト：
- "powershell downloading a file from the internet"（PowerShellがインターネットからファイルをダウンロード）
- "rdp logins by an administrator account"（管理者アカウントによるRDPログイン）
- "dns lookups to a suspicious top-level domain"（不審なトップレベルドメインへのDNS問い合わせ）
- "processes spawned by microsoft word"（Microsoft Wordから起動されたプロセス）
このような文章を入力してTranslateを押すと、システムが正しい構文（field:value、演算子、ワイルドカード）のクエリを自動生成します。クエリ構文に不慣れなアナリストでも、すぐにハンティングを始められます。
重要なポイント：AIは翻訳するだけで、判断は代行しない
ここは明確にしておくべき点です ― この機能は AI-assisted であり、完全なagenticではありません。AIの役割はあくまで平易な文章をクエリに変換することだけです。アナリストは引き続き以下を行う必要があります。
- AIが生成したクエリを確認する ― 実行前に、フィールドやロジックが意図したとおりかを確認します
- 必要であれば編集する ― AIの変換が完全に正しくない場合、同じ画面上でクエリを直接調整できます
- 次のアクションを自分で判断する ― 検索結果を解釈し、次に何をすべきかを決めるのは引き続きアナリスト自身です
この境界を保つことは非常に重要です ― threat huntingは本質的に「まだ知らないもの」を探す作業だからです。もしAIに人間のレビューなしですべてを判断させてしまえば、AIが学習していない兆候をまさに見逃すリスクがあります。
この機能が人材不足の解決に実際に役立つ理由
タイのSOCが直面する差し迫った問題の一つが人材不足で、2024年時点でタイには20,000人を超えるサイバーセキュリティ人材のギャップがあり、多くの組織が複雑なクエリ言語にまだ慣れていないジュニアアナリストに頼らざるを得ない状況です。AI-assisted threat huntingはこのスキルギャップを直接埋めます ― 新しいアナリストも、何ヶ月ものクエリ言語トレーニングを経なくても、すぐに脅威ハンティングを始められるようになります。
この機能が必要なサイン
- 新しいアナリストが複雑なクエリを使いこなせるようになるまで時間がかかりすぎる
- チームには何を検索したいかの明確なイメージがあるのに、使用中のシステムの正確な構文がわからない
- アナリストの時間の大半がクエリの作成・修正に費やされ、結果の分析に使えていない
この機能は、より大きな全体像の一部です ― SOC全体でAgentic AIがどう連携しているかはSOCにおけるAgentic AIとは?を、自動化側の話はSOARにおけるAgentic Automationの仕組みをご覧ください。
zcrSIEMは今すぐ利用可能です
zcrSIEMにはAI-assisted threat huntingと、クエリを保存・再利用できるhunt libraryが搭載されており、MITRE ATT&CKのコンテキストをカバーし、一つのプラットフォーム内で調査ワークフロー全体と連携しています。
この機能でチームのハンティング業務がどれだけ短縮できるか気になる場合は、zcrSIEMのプランをご覧ください。
お問い合わせ
AI-assisted threat huntingが今のチームにどれだけ役立つか、気になりませんか。お気軽にご相談ください。無料でご相談いただけます。
Technical implementation
自然言語の依頼と実行するqueryを分離します。prompt、生成query、parser/validatorの結果、時間範囲、データソース、アナリスト承認を一つのレビュー可能な記録に保存します。まずread-onlyで開始し、時間範囲と権限範囲を必ず検証します。
出典
- Fortinet — 2024年版サイバーセキュリティスキルギャップレポート — 調査対象の29地域（タイを含む）のIT・サイバーセキュリティ意思決定者1,850人のうち70%が、人材不足が自社に追加のリスクをもたらすと回答。タイ単独の集計は含まれていない
- ISC2 — ISC2 Partners with Thailand's NCSA to Strengthen Cybersecurity Workforce — タイを含むAPAC地域全体で337万人規模のサイバーセキュリティ人材ギャップがあることを確認
- ResearchAndMarkets — Thailand Managed Security Services Market Forecast and Competition Analysis Report 2025 — 2024年時点でタイには20,000人を超えるサイバーセキュリティ人材のギャップがあったと報告