AIリテラシー SIEM連携

SIEM連携とは

SIEM連携とは、AIエージェントが出力する実行ログやエラーログを、SplunkやDatadog、Azure Sentinelといった統合ログ管理システム（SIEM: Security Information and Event Management）にリアルタイムで転送・統合することを指します。

AIエージェントは高度な判断を行いますが、単体でのログ監視には限界があります。例えば、「深夜3時に大量のトークンを消費している」というAIのログだけでは不審かどうか分かりませんが、SIEMで「同じ時刻に海外IPアドレスからのVPN接続があった」というネットワークログと突き合わせることで、「アカウント乗っ取りによる不正利用」であることが明確になります。

監査における必須要件

エンタープライズレベルの監査では、ログが「改ざん不可能な状態で」「長期保存」されていることが求められます。エージェントが稼働するコンテナ内のローカルログは、コンテナの再起動とともに消えたり、攻撃者によって消去されたりするリスクがあります。SIEMへの転送は、証拠保全（フォレンジック）の観点からも不可欠です。

実務での課題と対策

コストの問題です。LLMのすべての入出力トークンをSIEMに送ると、データ転送量とストレージコストが莫大になります。対策として、PIIなどの機密情報をマスキングした上で、「メタデータ（誰が、いつ、どのツールを使ったか）」のみを全件転送し、詳細な会話内容は異常検知時のみサンプリング保存するといった、ログ設計の最適化が必要です。

失敗例・トラブル事例

• サイロ化した監視: AI開発チームは独自のダッシュボードでAIの精度だけを見ており、セキュリティチームはFWのログだけを見ていました。両者の連携がなかったため、攻撃者が「AIの脆弱性を突いて社内DBにアクセスする」という複合的な攻撃を実行した際、検知が遅れました。
• アラートの未設定: ログは転送していましたが、アラートルール（検知ロジック）を設定していなければ意味がありません。「トークン消費量が急増したら通知」などの閾値設定が放置されていました。

関連リンク

• What is SIEM? (Splunk)
• Datadog Log Management