日立製作所（以下、日立）は11月12日、「ソースコードセキュリティ診断」と「ペネトレーションテスト」の提供を開始したと発表した。いずれも、同社のオペレーショナルレジリエンスサービス「HMAX Cyber」を構成するサービスである。
両サービスには、AnthropicやOpenAIなどのフロンティアAIモデルを活用する。社会インフラのミッションクリティカルシステムで培った防御・運用の知見も組み合わせる。
脆弱性やセキュリティリスクを検出するだけではなく、対応の優先順位を付けた診断レポートと対策案を提示。攻撃につながるおそれの高い問題から対処できるようにする狙いだ。
コードの文脈を解析し、ビジネスロジックの脆弱性を検出
「ソースコードセキュリティ診断」は、顧客から預かったアプリケーションのソースコードをフロンティアAIで解析するサービスである。検出した脆弱性について、日立製作所のセキュリティ専門家が対応の優先度を評価する。対策案を含むレポートも提供するという。
AIは、コード上の処理の流れや依存関係などの文脈を考慮して解析する。これにより、従来のツールで発生していた誤検知の低減を図る。
複数の機能が連携する複雑な業務処理も解析対象となる。従来は検出が難しかったビジネスロジック起因の脆弱性についても、高度なセキュリティスキルを持つ人材と同等レベルで検出できるとしている。
AIは診断結果の整理にも用いる。対応の優先順位付けを支援し、検出結果の正誤判定にかかる作業の削減につなげる。
顧客から預かったソースコードは、安全な環境で管理・解析する。診断完了後は速やかに削除するなど、同社が定めるセキュリティ管理の下で取り扱うという。
ホワイトハッカーとAIがシステムを疑似攻撃
「ペネトレーションテスト」では、日立のホワイトハッカーとフロンティアAIが協働する。攻撃者の視点から目標と攻撃手法を検討し、顧客システムの偵察から疑似攻撃まで実行する。なお、ホワイトハッカーとの協働はProfessionalプランが対象となる。
テスト結果を基に、システムやネットワークに潜む脆弱性とセキュリティリスクを検出。評価結果に対応の優先順位と対策案を加え、レポートとして提供する。
日立はこれにより、AIの活用によって従来よりもコストと工数を抑えながら、セキュリティ対策の有効性を検証できるとしている。
金融・公共分野の開発環境で先行活用
日立は、顧客への適用に先立って自社を最初の利用者とする「カスタマーゼロ」の取り組みを進めた。金融・公共分野などのシステム開発環境で両サービスを先行的に活用し、有効性を検証したという。検証結果は、診断精度の向上を含むサービス改善に反映している。
「HMAX Cyber」の予防領域に位置付け
2つのサービスは、「HMAX Cyber」の「Govern & Identify」カテゴリーに位置付けられる。潜在的なリスクを把握し、サイバー攻撃に備える領域を担う。
「HMAX Cyber」は、「Govern & Identify」に加えて、24時間365日の監視・運用を支援する「Manage」と、有事からの早期復旧を支援する「Recover」で構成する。
日立は、各サービスを連携させることで、脆弱性の可視化から継続監視、回復設計、データ復旧、BCPの実行までを支援する方針だ。今後は、検出した脆弱性への対策の具体化や実装、既存システムのモダナイゼーションにも支援範囲を広げるとしている。
