ハッキングされた？何から始めるべきか分からない時のGIIP活用法 — secwatchとAI指示書による侵入調査と自動対応

GIIP secwatch AI Incident Response

「ハッキングされたかもしれない。でも、何をすればいいか分からない。」
そんな現場のエンジニアや管理者へ向けた、GIIPの実践的な活用法です。

セキュリティの脅威が疑われる際、最も重要なのは迅速なトリアージ（証拠収集）と正確な攻撃検証です。しかし、分散したクラウドインフラで膨大なログを手作業で追跡するのは容易ではありません。

GIIPを導入していれば、わずか数ステップでこの調査プロセスを自動化できます。

1. GIIP セキュリティモニターとAI指示書

まず、GIIPをインフラに接続します。
…いきなり宣伝になってしまいましたね…😅

続いて、**セキュリティモニター（Security Monitor）を開きます。
攻撃の痕跡が表示されたら、カード下部にある「AI指示書をコピー」**をクリック。
コピーした内容を、収集エージェント側のAIに渡します。

すると、エージェントに付与された権限の範囲内で侵入調査が即座に始まり、結果を詳細なレポートにまとめてくれます。

2. 実際のAI指示書の内容

コピーされる指示書には、次のように明確な判定概要・取得コマンド・検証手順が構造化されています。

【secwatch セキュリティ判定・調査依頼】

secwatchの1次前段フィルター＋2次Jevゲートウェイが、以下のイベントを分類した。実際の攻撃かどうかを原本で確認し、対応すること。

■ 判定概要
・時刻：2026年10月19日 21:32（GMT+9）
・ルーティング：review — インジェクションの可能性が境界域にあり、人による確認が必要
・is_injection：0.34
・イベント種別：secevt_batch_audit
・攻撃種別：recon_probe（偵察・探索）
・攻撃である確率：34%
・深刻度：1（0〜4）
・エンジン：jev-1.13.0
・収集エージェント（lssn）：72784
・攻撃元として検出されたIP：10.102.51.75
・パターン：#5

■ 原本の所在
※マスキング前の証拠はソース側にのみ存在
・source / system：- / -
・location：-
・ref / ts：- / -

■ 実施事項

1. 原本ログを取得する。
aws logs get-log-events --log-group-name "/aws/rds/cluster/prd-cmsdb/audit" --log-stream-name "prd-cmsdb-instance-1.audit.log.2" --start-from-head --output text > "audit_connid=4346660_queryid=202904093.txt"

2. 原本から攻撃の成否を確認する。
認証情報を狙っているか、実際にデータが抽出されたか（応答サイズ・retcode）、書き込み・ファイル操作・権限操作の試行があるかを調べる。

3. 判定する。
攻撃であれば深刻度と影響範囲を確認する。データ抽出や書き込みの形跡があれば、対象テーブルへの被害まで調査する。

4. 対応する。
SPEC_JEV_SQLI_DETECTION.md §7に従って通知する。人によるレビューが必要な場合は、関連付けたGIIP Issueを作成する。誤検知であれば、根拠とともにbenignとして記録する。（kscsn=256）

参照：giipdb/docs/30_Specs/SPEC_JEV_SQLI_DETECTION.md
関連Issue：GIIP #3833

3. 多層ログの横断・突合分析

この指示書により、AIはWAF、ロードバランサー（LB）、Webサーバー、データベース監査ログ、Query Storeなど、接続先インフラのあらゆるログを立体的に突き合わせます。

どのIPが侵入し、何を投げ込んだのか？
そのリクエストに対して何バイトの応答を返しているのか？
実際にどの程度の情報が外部へ流出した可能性があるのか？

こうした痕跡を正確に照合し、確認できた「事実」と「推定」を論리的に整理したレポートを作成し、最適な対応策まで提案してくれます。

4. 承認後の自動遮断・対応実行

レポートの内容を確認し、AIに指示を出すだけで対応の実行まで完結します。
AWSでもAzureでも、付与された権限の範囲内で必要なIP遮断やセキュリティグループの設定変更を自動で推進します。

まとめ

脆弱性診断だけで数百万円、インシデント調査やフォレンジック対応まで依頼すれば数千万円かかることもあるセキュリティの世界。

その調査と初動対応を、皆さん自身がAIに指示して自社内で迅速に進められるようになります。

GIIPにつながっていれば、です！ 😉

🔗 GIIP secwatch セキュリティモニターガイド:
https://giip.littleworld.net/ja/guides/secwatch-monitor

Talk Lowy(jp)

このブログを検索