毎朝のセキュリティ確認をAIに任せたら、判定の基準が「人が動く必要があるか」に変わった

BRANK

本番環境に攻撃の兆候が来ていないかを、AIエージェントが平日の朝に確認して、判定付きのレポートを作るルーティンを動かしています。動かし始めて1週間で、判定の基準を3回変えました。最初は「何かが起きたら赤」でしたが、それだと社員の普段の作業でも毎週赤になります。最後は、何が起きたかではなく、人が動く必要があるかで色を決める形に落ち着きました。仕組みそのものより、この基準の変わり方の方が、同じことをやろうとしている人の役に立つと思います。ダッシュボードで足りるかを、先に棚卸ししたルーティンを作る前に、既にあるダッシュボードとアラームで何が見えていて、何が見えていないかを一覧にしました。結論は「見えていない範囲がある」でした。ダッシュボードはクエリを書いた攻撃しか拾えません。想定していない種類の攻撃は、そもそも画面に出てきません。アラームも、鳴った後に誰かが実行者や送信元を引きに行かなければ、何が起きたのかは分かりません。足りない部分は、毎朝AIに取りに行かせることにしました。見るものは次の4系統です。入口（WAF・ロードバランサー）の遮断数と、国別の通信量アプリケーションへのログイン失敗とロックク…