SOARにおけるAgentic Automationの仕組み ― Action、Approval、Human Taskが1つのキャンバスに
一直線の自動化は、影響の大きい操作を無人で実行させるにはリスクが高すぎます。SOARのAgentic Automationの仕組みを解説します。
SOARにおけるAgentic Automationの仕組み ― Action、Approval、Human Taskが1つのキャンバスに
多くのチームが馴染んでいる自動化は一直線のスクリプトです ― 開始から終了まで順番に実行され、途中で止まるポイントはありません。問題は、実際のシステムに大きな影響を与えるステップ（データ削除、アカウント無効化、ホストの隔離など）が含まれる場合、一直線のまま無人で実行させるのはリスクが高すぎるということです。SOARにおける Agentic Automation はこれをグラフとしてワークフローを設計することで解決します ― 自動で動くノードと、人間の承認を待って止まるノードの両方を組み合わせるのです。
この記事では、zcrSOARのplaybook builderの実際の構造を取り上げ、それが何でできているのかを見ていきます。
Playbookキャンバス上のノードの種類
zcrSOARのplaybook builderには、5つのカテゴリーに分かれたノードパレットがあります。
TRIGGER（起点）
- Manual ― 手動でplaybookを開始します。いつ着手するかを人が判断すべきステップに適しています
FLOW（経路制御）
- Condition ― ロジックに応じて経路を分岐させます。たとえば深刻度がcriticalなら一方の経路、そうでなければ別の経路、というように
- Subplaybook ― 別のplaybookを呼び出してネストして実行し、結果を共有します
ACTION（自動実行）
- Action ― IOCデータのエンリッチメントや追加ログの取得など、システムが自ら実行するステップ
- Command ― 接続されたシステムに特定のコマンドを送信します
HUMAN（人が必要な箇所）
- Approval ― 次のステップに進む前に、権限を持つ担当者の承認を待って停止します。特に本番環境に実際の影響を与えるステップで重要です
- Human Task ― 人間の判断が必要なステップを引き渡し、その後自動実行を再開します
CONTROL（実行制御）
- Parallel ― 複数のステップを順番に待つのではなく同時に実行します
- Loop ― 同じロジックを複数の項目に対して繰り返します。たとえば複数のIOCを同じロジックでチェックする場合など
これが「Human-on-the-loop」の実際の姿です
最も重要なのは、HUMAN カテゴリーのノード（Approval、Human Task）が ACTION カテゴリーのノードと同じグラフ上に存在していることです ― これこそが、自動化を過度なリスクを負うことなく本当に「agentic」にするアーキテクチャです。システムは自ら計画を立て、動作し続けられます（Action、Command、Condition、Loopを通じて）が、実際の影響があるステップに到達すると、グラフは必ず人間の前で一度停止します。
言い換えれば、アナリストはすべてのステップを自分でこなす必要はありません（すべてのボタンを人が押す従来のhuman-in-the-loopモデルではありません）。かといって、システムに誰も見ていない状態ですべてを判断させるわけでもありません（完全な自律性でもありません）。これが中間にあたるhuman-on-the-loopです ― 人が全体を監督し重要なチェックポイントを承認し、大量かつ繰り返し可能な作業はシステムが引き受けます。
この構造で実際に動いている実例
zcrSOARのフィッシング対応playbookも、まさにこの構造で作れます ― Actionステップがリンクの確認と無害化を自動で行う一方、実際のユーザーに影響するステップ（通知やメール削除など）の前にはApprovalゲートを置けます。playbookのライフサイクルの詳しい解説はフィッシング対応Playbookの作り方をご覧ください。
なぜこのアーキテクチャが今重要なのか
タイのSOCチームは、人間が本当に処理しきれる量を超えるアラートに直面していますが、自動化にすべての判断を完全に委ねるのは、トリガーが誤作動した場合のリスクが高すぎます。意図的に配置されたApprovalゲートを持つノードグラフ構造は、そのバランスの取れた答えです ― アラート量に追いつくだけの速さを持ちながら、リスクの高いポイントでは常に人間がコントロールを保持します。SOCにおけるAgentic AIの全体像はSOCにおけるAgentic AIとは?をご覧ください。
zcrSOARはこのアーキテクチャを完全にサポート
zcrSOARには、上記5つすべてのノードカテゴリーを備えたビジュアルなノードグラフ型のplaybook builderがあり、本番投入前にドライランでテストでき、役割ベースの承認ワークフローでゲートされ、バージョン管理のためYAMLとしてエクスポートできます。
リスクをコントロールしたまま十分な速さの自動化を設計したい場合は、zcrSOARのプランをご覧ください。
お問い合わせ
こうしたagentic automationが今のチームにどれだけ役立つか、気になりませんか。お気軽にご相談ください。無料でご相談いただけます。
Technical implementation
各nodeにinput/output schemaと pending → approved → running → succeeded/failed の実行状態を持たせます。playbook_version、承認者、tool、対象、request ID、結果を記録し、retryはidempotentな操作だけに限定します。承認が期限切れになった場合やcontextが変わった場合はworkflowを停止します。