【23 Daily】AiSOCはオープンソースでセルフホスト可能なAIセキュリティオペレーションセンターシステムであり、アラートの融合、LLMエージェントによるインシデントの振り分け、MITRE ATT&CKフレームワークに基づく調査機能を備えている。GitHubのbeenuar / AiSOCプロジェクトによって開発され、2026年11月1日にGitHubトレンド入りし、6,000以上のスターを獲得している（プロジェクトの説明による）。

自動化された脅威検出と調査の一連のプロセス

AiSOCは各種セキュリティツールからのテレメトリデータを取り込み、正規化し、7,015ルールライブラリから2,534個の実行可能ルールを適用して脅威を検出および関連付ける。 AIエージェントがMITRE ATT&CKフレームワークに沿って各インシデントを調査し、そのプロンプトおよびツール呼び出しの全てを記録、監査可能とすることで透明性を確保している。調査結果に基づき対応案を提示し、人間による承認後に実行されるため、企業のリスク管理精度を高める。

多様なデータソースと柔軟な導入

AiSOCは87以上のクリックアンドコネクト型データコネクターをサポートし、Splunk、Microsoft Sentinel、Elastic、CrowdStrike、Okta、AWS、Kubernetesなどを含む。ベンダー固有の正規化と設定マニュアルも備える。AWS S3とSQS通知、Google Pub/Sub、Azure Event Hubs、syslog/CEFのコレクターを備え、それぞれ再開可能なカーソルとポーリング上限を持ち、過負荷を防止する。APIキー不要でローカル言語モデルを用いたオフライン処理も可能。Docker Compose v2、8GBメモリ、20GB空きディスク容量が必要で、インストールはコマンド一行で完了する。

システム検証フローとユーザー体験

内蔵のmake smokeやmake demoコマンドで、イベント受信からKafka経由の処理、検出、関連付け、Postgres格納、API読取りまでの一連の動作を検証できる。初回ログイン時はセットアップウィザードが起動し、サンプルデータ読み込みでイベントの重大度やAI振り分けを体験できる。管理者パスワードはローカルで生成され一度のみ表示される。コンソール画面にはアラート詳細とAIの判断根拠が明示されている。

編集部の視点：セキュリティ系スタートアップへの示唆と検証法

AiSOCは複雑なセキュリティ監視・調査業務を自動化・オープン化し、監査可能なAIエージェントにより信頼性を構築。従来のセキュリティ運用センターの高コスト・人手不足の課題を打破する。スタートアップはオープンソースかつセルフホスト型の戦略を採用し、導入障壁を下げ、中小企業やデータ主権を重視する組織へ訴求可能。検証はテスト環境構築後、内蔵テストコマンドと多様なデータ接続で模擬攻撃を試し、アラート精度やAI振り分けの妥当性、既存製品との統合性を評価する方法が考えられる。