オープンソースセキュリティ「Wazuh」、クラウドからローカルLLMまで対応するAI連携によるSOC支援手法を提示

要点

• セキュリティプラットフォーム「Wazuh」において、AIを活用してセキュリティ運用センター（SOC）の調査業務を効率化する複数のアプローチが紹介された。

• クラウド版向けには、Amazon BedrockとAnthropicの「Claude」を利用して定期レポートを自動生成する「Wazuh AI Analyst」が提供されている。

• セルフホスト環境向けには、OllamaとMetaの「Llama」を用いた完全ローカルLLM構成や、「Claude 3.5 Haiku」をダッシュボードに統合する連携手法が利用可能である。

• クラウド機能における顧客データはモデル学習に利用されず、送信時の暗号化や非永続的な処理によってプライバシーが保護されている。

• オープンソースのセキュリティプラットフォーム「Wazuh」における人工知能（AI）を活用したセキュリティ運用センター（SOC）のワークフロー効率化手法について、セキュリティ専門メディアのThe Hacker Newsが2026年8月21日に報じた。日々膨大なログやアラートの対応に追われるセキュリティアナリストの負荷軽減を目的としており、クラウド型の自動分析サービスから完全オンプレミスで運用可能なローカルLLM連携まで、組織のセキュリティ要件やプライバシー方針に合わせた複数のAI活用モデルが提示されている。

現代のSOCが直面する分析負荷とアラート疲れの背景

セキュリティ運用の最前線であるSOC（Security Operations Center：組織内の情報システムを監視しセキュリティインシデントに対処する専門組織）では、エンドポイントやクラウドワークロード、ネットワーク機器、ID管理基盤、各種業務アプリケーションなど、多岐にわたる環境から日々数百万件規模のセキュリティイベントが送信されている。

こうした環境において、SIEM（Security Information and Event Management：ログ情報を集約・分析する仕組み）やXDR（Extended Detection and Response：エンドポイントやネットワークを横断して脅威を検知・対処する基盤）といった統合プラットフォームは可視性を提供するものの、アナリストはアラート間の相関分析や関連ドキュメントの調査、次に取るべき調査手順の策定に多大な時間を費やしているのが実情だという。

特にアラートの急増はアナリストの疲労（アラート疲れ）を招き、重大な脅威の見落としにつながるリスクを高めている。オンプレミスとクラウドにインフラが分散するなかで状況把握を維持することは難しさを増しており、AIを活用してコンテキスト（文脈）の説明や調査結果の要約、修復手順の提案を行うことで、専門家の判断を補助し調査決定を迅速化するアプローチが求められていると元記事は指摘している。

クラウド版で手軽な自動分析を提供する「Wazuh AI Analyst」

Wazuhが提示するAI活用手段の一つが、クラウド型サブスクリプション「Wazuh Cloud」向けに提供される「Wazuh AI Analyst」である。この機能は手動での複雑な環境構築を必要とせず、バックエンドとしてAmazon BedrockおよびAnthropic社のAIモデル「Claude」を利用してセキュリティデータを処理する完全自動化されたサービスとして位置づけられている。

Wazuh AI Analystは、設定されたスケジュールに従って定期的に分析を実施し、保護対象エンドポイントのヒストグラムやアラートの発生量、アクティブな脆弱性、環境全体のセキュリティ態勢に関する要約などをまとめた詳細なPDFレポートを生成する。生成されたレポートは登録されたメールアドレス宛てに送信されるほか、Wazuh Cloud管理コンソール内の「Environments」から「AI Reports」画面を開くことで直接閲覧することも可能となっている。

プライバシーやセキュリティの面では、顧客のサブスクリプションデータが第三者と共有されたり、AIモデルの追加学習に利用されたりすることはないと明記されている。データ処理は暗号化された通信経路と分離された環境で行われ、恒久的なデータ保存も行われない設計となっている。なお、AIが提示する推奨事項はあくまで助言的な位置づけであり、実際の対応にあたっては組織固有のセキュリティポリシーに照らし合わせて検証する必要があると説明されている。

自社運用環境に向けた2種類の外部・ローカルAI統合

自社サーバーでWazuhを独自に構築・運用している組織に向けては、要件に応じて柔軟に選択できる2種類のAI統合アプローチが紹介されている。

1. 外部ネットワークへ送信しない「Llama 3」と「Ollama」のローカル連携

自社ネットワーク外へのデータ送信を完全に遮断したい組織向けには、オープンソースのLLM実行環境「Ollama」を用いてMeta社のオープンソースLLM「Llama」をWazuhサーバー上でローカル実行する手法が用意されている。

この構成では、Pythonスクリプトを用いて指定した期間のアーカイブログを展開し、FAISS（Facebook AI Similarity Search：Meta社が開発した高速な類似ベクトル検索ライブラリ）にログデータをベクトル化して格納する。アナリストは、LLMアプリケーション開発フレームワークであるLangChainを基盤としたチャットボットを通じて、自然言語でログに対する検索や問い合わせを行うことができる。

すべてのデータ処理が社内サーバー内で完結し、外部のクラウドプロバイダーへログが送信されないため、厳格なデータ保護方針やデータレジデンシー（データの保存場所や主権に関する規制要件）の遵守が求められる組織に適した構成とされている。

2. 管理コンソールにチャット機能を統合する「Claude 3.5 Haiku」連携

もう一つの手法は、Amazon Bedrock上でホストされるAnthropic社の「Claude 3.5 Haiku」を、OpenSearch Assistantを経由してWazuhのダッシュボード内にチャットボックスとして直接組み込む連携である。

この連携を実現するには、Amazon Bedrock側でモデルの利用を有効化した上で、Wazuh環境に関連するOpenSearchプラグインを導入し、機械学習連携を行う「ML Commons」コネクタ、モデル設定、および対話型エージェントを作成する手順を踏む。セットアップが完了すると、アナリストは管理ダッシュボード上で直接AIと対話できるようになり、特定のセキュリティ検出事項に対する具体的な対処法や各種設定の変更手順について、的確なガイダンスを受け取ることが可能になるという。