近年、サイバーセキュリティの脅威はますます高度化・巧妙化しており、企業にとっては脆弱性をいかに迅速かつ正確に把握し、対応するかが非常に重要になっています。このような状況の中、Rapid7のセキュリティリサーチチームは、脆弱性スコアリングを機械学習（ML）によって自動化する画期的な取り組みを進めており、その実現にはAmazon SageMakerを活用したMLパイプラインが大きな役割を果たしています。
この記事では、Rapid7がどのようにして機械学習を用いた脆弱性リスクスコアの自動化を実現し、それによってどのような価値を生み出しているのかを、技術的な側面とその背景にある考え方を交えて、丁寧に解説していきます。
脆弱性評価の課題とRapid7のアプローチ
企業が日々直面する無数の脆弱性の中から、本当にリスクの高い脆弱性を的確に特定し対処することは、セキュリティ担当者にとって極めて重要な業務です。しかし現実には、既存のスコアリング手法（たとえばCVSS：Common Vulnerability Scoring System）だけでは、最新の脅威トレンドや実際の攻撃活動などの動的な要素を十分に反映した評価が困難とされています。
Rapid7では、「Recog」や「Metasploit Framework」のようなセキュリティツールを長年にわたって提供してきた経験から、独自の脆弱性評価指標である「Real Risk Score（リアル・リスク・スコア）」の開発に注力してきました。このReal Risk Scoreは、単なる数値的な脆弱性の深刻度にとどまらず、実際にその脆弱性がどの程度悪用される可能性があるのかや、攻撃に使用される可能性の高いツールの存在、あるいはそれが公になっているエクスプロイト情報なども考慮して算出されます。
このReal Risk Scoreの算出には、非常に多くの変数が関与します。そしてこれらの変数を組み合わせて最終的なリスクを評価するためには、大量のデータとそれを処理する高度なロジックが必要となります。紙や手作業でのプロセスでは到底対応できないこの業務を自動化するために、Rapid7は機械学習を導入するに至りました。
なぜAmazon SageMakerを選んだのか
Rapid7がこのMLワークフローの構築にあたり選択したのが、AWSの提供するフルマネージド型の機械学習サービスであるAmazon SageMakerです。多くの企業が既に利用しているAmazon SageMakerは、データの準備からモデルのトレーニング、評価、デプロイまでのすべての工程を一貫して管理できるため、MLの知見を持つチームでも素早く効率的にパイプラインを構築することが可能です。
Rapid7のセキュリティ研究チームが持つドメイン知識（たとえば悪用可能性や攻撃トレンドといったリアルタイムな脅威インテリジェンス）と、SageMakerが提供するスケーラビリティや運用効率の高さという技術面での利点が見事に融合することで、Real Risk Scoreの算出プロセスは劇的にスピードアップされただけでなく、データに基づいた客観性の高い判断が可能になったのです。
MLワークフローの全体像
Rapid7の構築したMLパイプラインは、以下のようなステップによって構成されています。
1. データ収集と前処理
まず最初に、Rapid7が日々収集している脆弱性データや脅威インテリジェンス、OSINT（Open Source Intelligence）、公的なデータベース（例えばNVDなど）から膨大な情報を抽出します。これには、攻撃ベクトル、影響を受ける資産、既知のエクスプロイトの有無、既出の悪用情報などが含まれます。
それらのデータは、Amazon SageMakerのData Wranglerを使用して効率的にクレンジングされ、前処理された状態でモデルに渡される準備が整えられます。
2. 特徴量エンジニアリング
次に、モデルの精度を高めるために特徴量（Feature）をエンジニアリングします。これは、たとえば「攻撃の目標となるシステムの種類」や「過去に同様の脆弱性が悪用された頻度」といった指標を数値的に扱いやすい形へ変換する作業です。Rapid7では、この工程においてドメイン知識が非常に重要な役割を果たしており、単に統計的な変換を行うだけでなく、実際の脅威動向に即した意味のある特徴量設計が行われています。
3. モデルの選定とトレーニング
Rapid7では、異なる機械学習アルゴリズム（ランダムフォレスト、XGBoost、ニューラルネットワークなど）を試しながら、目的に最適なものを選定しています。Amazon SageMakerのAutopilot機能を使うことで、複数のモデルを自動的に生成・比較し、最もパフォーマンスの高いモデルを選び出すことが可能です。
4. モデル評価とチューニング
作成されたモデルは、検証用データを用いて慎重に評価されます。Rapid7は、精度だけでなく再現率やF1スコアといった多角的な観点から評価を行い、必要に応じてハイパーパラメータのチューニングを重ねることで、現実に即した性能の高いモデルを追求しています。
5. デプロイとスコアリング
完成したモデルは、Amazon SageMaker上でAPIとしてデプロイされ、Rapid7の内部プラットフォームと連携してReal Risk Scoreを自動的に算出するマイクロサービスとして稼働します。この環境では、モデルの継続的な監視と再トレーニングも行われており、新たな脆弱性や攻撃トレンドが判明した際でも迅速に反映されるよう設計されています。
得られた成果と今後の展望
このようなMLパイプラインの導入により、Rapid7は以下のような大きな成果を手にしています。
– 迅速で信頼性の高いスコアリング：手動では時間を要していた脆弱性リスク評価の自動化により、数多くの脆弱性を即座に評価可能に。
– 攻撃傾向を反映したダイナミックなスコアリング：静的なスコアではなく、現実の脅威と連動したスコアを生成することで、セキュリティ対応の戦略立案に大きく寄与。
– 運用コストの削減とスケーラビリティの向上：SageMakerの機能により、モデルの開発から運用までを一貫して効率的に管理。
今後もRapid7は、このアプローチをさらに洗練させるべく取り組みを続けていくとされています。特に今後の焦点は、ゼロデイ脆弱性など未発見・未スコア化のリスクに対する予測精度の向上、自然言語処理（NLP）技術の導入による脅威インテリジェンス解析の強化、先進的な説明可能なAI（XAI）の採用によるモデルの透明性向上などが考えられます。
まとめ：セキュリティとAIが融合する未来
Rapid7がAmazon SageMakerとともに構築したこのMLパイプラインは、セキュリティという極めて重要かつ動的な分野において、人工知能技術がいかに現実的で有効なソリューションを提供できるかを示す好例と言えます。
従来の手法では対応しきれなかったリスクの優先度評価を、データとアルゴリズムに基づいて正確かつスピーディに行うことで、セキュリティ担当者は本当に重要な業務、つまりリスクが高い領域への対応や戦略的判断に集中することができます。
テクノロジーの進化によって、セキュリティの現場でも人の知見と機械の処理能力が補完しあい、安全で持続可能な情報環境の構築がますます期待される時代となってきました。Rapid7の試みは、変化し続ける脅威環境に立ち向かうための新たな道を示すものであり、今後多くの企業や組織にとっても非常に参考になるのではないでしょうか。
