Elastic Workflowsのご紹介：Elasticsearchのためのネイティブ自動化

本日、Elasticsearchに直接組み込まれた自動化エンジンであるElastic Workflowsを発表します。Workflowsは、単純なタスクに対して信頼できるスクリプト化された自動化を提供し、論理的な思考を必要とする複雑な問題にはAI駆動の自動化を提供します。

Elastic Workflowsがテクニカルプレビュー版として利用可能になりました。

ワークフローは完全にコンポーザブルでイベント駆動型です。Elasticsearch内のデータの変更に、Webhookを介して外部システムからのイベントに対応したり、ユーザーが開始したアクションに対応したりできます。ワークフローは連結したり、ネストしたり、他のシステムから呼び出し可能なツールとして公開したりできます。

ワークフローが稼働すると、クラウドプロバイダー、サービスデスク、メッセージングプラットフォーム、IDプロバイダーなど、組織が既に利用している外部システムに接続されます。しかし、Elasticsearchは中心的な役割を担うため、ワークフローのすべてのステップで環境の完全なコンテキストにアクセスできます。

その結果、基本的なコンテキストで外部システムへの往復が不要になるため、変動要素が少なく、実行速度が速い、よりシンプルなアーキテクチャになります。また、複雑な連携関係を維持する必要がないため、不具合が発生する可能性も低くなります。

この統合は双方向です。ワークフローは、より大きなプロセス内のインテリジェントなステップとしてエージェントを呼び出すことができます。また、エージェントはワークフローをツールとして呼び出すことができ、単にテキストを生成するだけでなく、組織が運用しているシステム上で実際に具体的なアクションを実行できるようになります。

Elastic Workflowsは、Elasticsearchのネイティブ機能であるElastic Agent Builderとの統合により、エージェント機能を実現します。Agent Builderで構築されたエージェントは、ワークフローと同じデータとコンテキストにアクセスできるため、より的確な意思決定を行うことができます。また、ワークフローとエージェントは同じプラットフォーム上で動作するため、推論と実行の間に統合上のギャップは生じません。

標準のAIツールは多くの場合、提案を生成するだけですが、Elastic Workflowsはエージェントがサービスの再起動、レコードの更新、通知の送信、別のワークフローのトリガーなどのアクションを実行できるようにします。

セキュリティアナリストは絶え間ないアラートの流れに対応しており、初期のトリアージ作業の多くは予測可能なパターンに従います。すなわち、アラートに文脈を加え、関連活動を確認し、資産や身元情報を取り込み、ケースを更新し、適切な担当者に通知します。これこそが自動化が担うべき仕事です。

ワークフローは、セキュリティチームがこれらのプロセスを完全な制御と予測可能性をもって体系化することを可能にします。ルーティンステップは常に自動的かつ一貫して行われます。

ただし、調査はいつも日常的なものではありません。時にはアラートが既知のパターンと一致しないこともあります。時には攻撃者が新手の攻撃を仕掛けることもあります。このような場合、アナリストは通常、ゼロから調査を開始し、ログを手動で収集し、ユーザーの行動を追跡し、システム間のシグナルを関連付け、何が起こったのかについて仮説を立てます。

こうしたケースでは、ワークフローとエージェントとの連携作業が効果を発揮します。証拠の確認、異常パターンの特定、制御が想定どおり機能したかどうかのチェック、追求すべき重要な手がかりの提案といった手間のかかる準備作業は、エージェントに任せることができます。ワークフローによってプロセス全体が体系的で、監査可能な状態で維持されるのに対し、不明確な点はエージェントが対処します。

分析者は主導権を握りつつも、既に収集された背景情報と、構築するのではなく評価するための初期仮説に基づいて、より先を見据えて分析を開始できます。

運用チームは、ヘルスチェック、キャパシティ決定、アラートルーティング、修復手順書など、広範囲にわたって自動化を進めています。これらのプロセスは、既知のパターンに合致する条件でサービスを円滑に稼働させます。

しかし、すべてのインシデントがパターンに従うわけではありません。複雑な性能低下、予期せぬ機能低下、連鎖的な障害などの状況に明確な対処法が用意されていることは稀です。オペレーターは通常、ゼロから調査を開始し、ダッシュボードやツール間でデータを関連付けて、実際に何が起こっているのかを突き止める必要があります。

ワークフローやエージェントを活用すれば、その調査はより早く開始できます。ログ、メトリクス、トレースにアクセスできるエージェントは、最近の導入をスキャンし、相関関係のある異常を特定し、最も可能性の高い説明を提示できます。オペレーターは、手作業で文脈を組み立てるのではなく、仮説とそれを裏付ける証拠から始められます。

この仮説が正しければ、変更のロールバック、サービスのスケーリング、構成の調整などによって、ワークフローは修復へと進むことができます。エージェントは判断を下し、ワークフローは実行を担います。オペレーターは常に状況を把握し、重要な決定を承認し、必要に応じて介入します。

その結果、監視や管理を放棄することなく、問題解決までの時間を短縮できます。

Elastic Workflowsはテクニカルプレビューとして利用できるようになりました。一般提供版は近日公開予定です。Elastic Cloudのトライアルを始めて、ドキュメンテーションをご確認ください。

私たちは、チームがより多くの作業を自動化できるよう、既存のワークフローやエージェント連携の構築を続けています。信頼性や柔軟性を犠牲にせずに自動化をデータにより近づける方法を探しているなら、ここは良い出発点です。

詳細な技術的情報は、ワークフローに関する技術ブログをご参照ください。

本記事に記述されているあらゆる機能ないし性能のリリースおよびタイミングは、Elasticの単独裁量に委ねられます。現時点で提供されていないあらゆる機能ないし性能は、すみやかに提供されない可能性、または一切の提供が行われない可能性があります。

このブログ記事では、それぞれのオーナーが所有・運用するサードパーティの生成AIツールを使用したり、参照している可能性があります。Elasticはこれらのサードパーティのツールについていかなる権限も持たず、これらのコンテンツ、運用、使用、またはこれらのツールの使用により生じた損失や損害について、一切の責任も義務も負いません。個人情報または秘密/機密情報についてAIツールを使用する場合は、十分に注意してください。提供したあらゆるデータはAIの訓練やその他の目的に使用される可能性があります。提供した情報の安全や機密性が確保される保証はありません。生成AIツールを使用する前に、プライバシー取り扱い方針や利用条件を十分に理解しておく必要があります。

Elastic、Elasticsearch、および関連するマークは、米国およびその他の国におけるElasticsearch B.V.の商標、ロゴ、または登録商標です。他のすべての会社名および製品名は、各所有者の商標、ロゴ、登録商標です。