SOC の誤検知除外フィルターを LLM に「候補 3 案」出させて人が選ぶ
誤検知と判定したアラートから除外フィルターを自動生成するとき、単一 LLM に候補を複数出させ分析者が選ぶ方式が、複数エージェント構成と精度がほぼ同じで速かった、という Kaspersky の実務解説。
いつ使うか
- SIEM／EDR の誤検知が多く、除外ルールの手書きが追いつかないとき
- 「検知ルールと同じ条件をそのまま除外」してルールを実質無効化するミスを減らしたいとき
やり方の骨子
- 入力は「誤検知と判断したイベント」と「元の検知ルール」。出力は除外フィルター候補と理由。
- 項目の選び方は従来アルゴリズムに任せ、文言生成と説明だけ LLM に渡す（単一 LLM 方式）。
- 候補は 3 案出して、担当者が 1 つ選ぶ（または却下して再生成）。自動適用しない。
- 広すぎる除外（必要アラートまで消す）と狭すぎる除外（同種 FP が残る）の両方をレビュー観点にする。
- 効果測定は、(a) 3 案から 1 つ以上選ばれた割合、(b) 導入前後の誤検知削減率。報告では誤検知 99% 削減・生成数増・処理効率向上（誤検知に対する削減率であり全アラートではない）。
アルゴリズムだけ／複数エージェントとの違い
- 頻出組み合わせ（FP-Growth など）だけだと、初回検知直後や表記ゆれに弱いが再現性は高い。
- 複数エージェント（選択・生成・検証・説明を分割）は工程改善しやすいが LLM 呼び出しが増え遅い。評価では単一 LLM と大差なく、単純な単一 LLM を採用した。
注意
- 隔離ネットワークではモデル API に届かない。オンプレ LLM か、従来アルゴリズム側にフォールバックする。
- 生成結果に構文チェックや「元ルールを丸ごと無効化していないか」の機械検証を挟む。
- 関連: 脆弱性スキャン結果の誤検知を切り分ける 3 手