Elasticは、セキュリティ運用センター（SOC）で深刻化するアラート過多への対応を目的としたAIエージェント群「AlertZero」を発表した。Elastic Securityに組み込み、アラートのトリアージ、脅威ハンティング、フォレンジック分析を支援する。10月8日（現地時間）、SiliconAngleが報じた。

同社によると、AlertZeroはSOCチームの運用負荷軽減に重点を置く。SOCでは、アナリストが処理しきれない量のアラートが日常的に発生しており、誤検知も多いため、精査すべきアラートの増加が課題になっているという。

ユーザーは、タスク単位でAlertZeroの自動化範囲を調整できる。最も自律性の高い設定でも、判断が曖昧なケースでは人による承認を必要とする。利用するモデルは顧客側で選択でき、調査の途中で証拠の状況が変化した場合には、アナリストがモデルを切り替えることも可能だ。

AlertZeroは4つのエージェント群で構成される。「Triage Watch」は受信したアラートに関連情報を付加し、実際の脅威かどうかを判定する。ノイズと判断したアラートは、その理由を記録したうえでクローズする。「Hunt Watch」は脅威リサーチを基に、継続的な脅威追跡を担う。

「Detection Watch」は、ほかの3つのWatchの結果を基に、ノイズの多い検知ルールの調整や、検知の抜けを補う新たなルールの追加を提案する。ルールは承認なしに変更されることはない。「Forensic Watch」は、マルウェア分析とエクスプロイト経路の追跡を担う。

Elasticのセキュリティ部門責任者、マイク・ニコルズ氏は「AlertZeroは、実際にSOCアナリストを経験したメンバーが開発した」としたうえで、「チームが監督できる範囲でのみ自動化を受け入れられるようにすることが目標だ」と述べた。

AlertZeroは、Elastic Cloud、セルフマネージド環境、ネットワーク分離環境向けに技術プレビューとして提供する。