セキュリティログをAIに読ませる——異常検知の自動化入門
セキュリティログは「見なきゃいけないけど、量が多すぎて見きれない」もの代表です。
ファイアウォール、ウイルス対策ソフト、認証システム——各種セキュリティ製品が吐き出すログは膨大で、人力で全てを確認するのは非現実的。そこでAIに「異常なパターン」を検出させる試みをしてみました。
なぜAIでログ分析なのか
セキュリティログの分析は、本来SIEM（Security Information and Event Management）のような専用ツールの仕事です。しかし、SIEMは導入・運用コストが高く、中小企業では導入が難しい。
そこで「SIEMほど本格的ではないが、人力よりはマシ」な中間解として、生成AIを活用したログ分析を試みました。
どうやったか
Step 1: ログの収集と前処理
各セキュリティ製品のログをテキスト形式でエクスポート。機密情報（IPアドレス、ユーザー名等）はマスキングしてからAIに渡します。
Step 2: AIへの分析依頼
前処理済みのログをAIに渡して「以下のセキュリティログから異常なパターンを検出してください。通常の業務時間外のアクセス、短時間での大量ログイン試行、通常と異なるアクセスパターンに注目してください」と指示。
Step 3: 結果のレビュー
AIが返してきた「異常の候補」を人間が確認。本当に異常なのか、正常な業務なのかを判断します。
実際に検出できたもの
- 深夜帯の大量ファイルアクセス：通常業務時間外に特定アカウントから大量のファイルダウンロードが発生していたケース。調査の結果、バッチ処理の誤設定だったが、放置していたら問題に発展した可能性がある
- 短時間でのログイン失敗パターン：同一アカウントに対して短時間で複数回のログイン失敗が発生していたケース。パスワード攻撃の兆候として検出
- 通常と異なるアクセス元：普段と異なるネットワークからのVPNアクセス。出張先からのアクセスだったが、検知の仕組みとして有効
注意点
機密情報のマスキングは必須：ログにはIP、ユーザー名、内部のシステム情報が含まれる。外部のAIサービスに渡す場合は必ずマスキングしてください。
AIの判断を鵜呑みにしない：AIが「正常」と言っても、それは保証ではない。AIは「目安をつけてくれる」ツールであり、最終判断は人間が行う必要があります。
SIEMの代替にはならない：リアルタイムの監視や大規模なログ相関分析はSIEMの領域。AIによるログ分析は「SIEMを導入できない環境でのベターな選択肢」として位置づけています。
まとめ
AIによるセキュリティログ分析は「完璧な異常検知」ではなく「人間の目を補助するツール」です。SIEMほどの精度はないが、人力で全ログを読むよりは遥かに効率的。
中小企業の情シスで「ログは取っているけど見る時間がない」という方は、まず1日分のログをAIに読ませてみてください。思わぬ発見があるかもしれません。
よくある質問
Q: どのAIツールが適している？ A: 長文の処理が得意なClaude（200Kトークン対応）や、ファイルアップロードが可能なChatGPTがおすすめ。社内にデータを留めたい場合はローカルLLMも選択肢に。
Q: この記事の情報はいつ時点のもの？ A: 2026年6月時点の情報をもとに書いています。
