「AIがログを取りに行く」時代、SIEMは何のためにある？ Splunkの答え：不要論の先で変わる「可視化」の役割（2/2 ページ）

「AIが必要なログを自分で取りに行く」ようになったとき、SIEMは不要になるのか。Splunkの年次イベント「.conf26」では、AIエージェントが調査から一次対応まで担うデモが披露された。そこで浮かび上がったのは、AI時代における「可視化」の意味そのものを問い直す動きだった。

[田渕聖人，＠IT]

「SIEMはもう要らない？」　AIがログを取りに行く時代にSplunkが示した答え

　前年の「.conf25」で注目されたのは、「Amazon S3」（Amazon Simple Storage Service）や「Snowflake」といった外部データレイクにデータを置いたまま相関分析できるフェデレーション機能など、AIに必要なデータをいかに効率良く扱うかという「データ基盤の整理」だった。背景にあるのは、AIに大量のログを読み込ませることで膨らむデータ処理コストをどう抑えるかという課題だ。

　一方、.conf26で前面に出ていたのは、その先にある「実行」の問題だ。整備されたデータ基盤を前提に、AIエージェントが必要な情報を自律的に取得し、判断し、各種システムにアクションを起こす。それを人間の判断速度ではなく「マシンスピード」で実行する。今回のSplunkのメッセージは、AIを分析に利用する段階から、運用や防御そのものをAIに担わせる段階へと軸足を移したものと捉えられる。

　そこで記者が気になったのは、「可視化」を強みとしてきたSplunkが、AIエージェント時代の新たな課題にどう向き合おうとしているかだ。

　AIエージェントがAPI経由で各種セキュリティ製品やクラウドサービスに直接アクセスし、必要なログをその場で取得・分析できるようになれば、「全てのログをSIEMに集約してから分析する」という従来のアーキテクチャは、必ずしも唯一の選択肢ではなくなる。データを一カ所に集める量を減らせれば、ストレージや処理にかかるコストを抑えられる可能性もある。こうした変化を背景に、一部では「SIEM不要論」ともいえる議論が出ている。

　ただし、AIエージェントが必要なときに必要なデータに直接アクセスできることと、組織としてログを保管・検索・相関分析し、状況を可視化できることは同じではない。

　特にAIエージェントが人間の介在を減らしながらシステムを操作するようになれば、「AIが何を根拠に判断し、どのデータを参照し、どのようなアクションを実行したのか」を後から確認できることが重要になる。長期間にわたる調査やインシデント対応、監査、説明責任まで考えれば、ログそのものを組織の共通基盤として保持する必要性がなくなるとは言い切れない。

　つまり、AIエージェントによって「SIEMに全てのデータを集めて人間が検索する」という従来型の使い方が変わることと、SIEMの役割そのものが消えることは分けて考える必要がある。

　ここで改めて考えたいのが、「SplunkといえばSIEM」というイメージの先にある、Splunkプラットフォームそのものの価値だ。

　Splunkはさまざまな環境からデータを収集し、それを検索・分析・可視化するためのプラットフォームとして発展してきた。SIEMはその上に構築された代表的なユースケースの一つに過ぎない。複数の環境にまたがるデータを扱い、ユーザーが自ら検索や分析の方法を組み立てられる自由度の高さは、Splunkが支持されてきた理由の一つだ。

　特に日本企業では、あらかじめ用意された機能をそのまま利用するのではなく、「Splunkプラットフォーム」をベースに、自社の運用や監視要件に合わせて構成を作り込む利用方法も見られる。これはSplunkを単なる「SIEM製品」と捉えるだけでは見えにくい部分だ。

　「.conf26」のテーマは「Reimagining」（再解釈）だった。

　記者はこのテーマを、既存のSIEMを単純に機能強化するということではなく、AIエージェントがデータを読み、判断し、システムを動かす時代に、そもそも「何を集め、どこで分析し、誰が状況を把握するのか」という可視化の前提そのものを捉え直すことだと解釈した。

　AIエージェントによって「人間がダッシュボードを見る」という従来の運用の形が変わったとしても、組織が複雑なIT環境を把握し、AIを含むシステムの判断やアクションを追跡する必要性まで消えるわけではない。

　Splunkが示したのは、SIEMを単純に「残すか、なくすか」という二択ではなく、AIエージェント時代における「可視化」の意味そのものを捉え直す方向性だったと言える。

（取材協力：シスコシステムズ）