口座の不正利用未然防止に向けた効率的な分析に大きく貢献

ルール作りやデータ取り込みが柔軟な、拡張性のある仕組みを希望

個別のソリューションについても、横断的なルールが組みにくく、システムによっては限定的なルールしか作れないといった課題が顕在化していました。将来的な活用も考慮した結果、新たなデータを加えて分析しやすい、データの取り込みが柔軟な仕組みを検討することに。実はその過程で注目したのが、マーケティング的な手法でした。「さまざまな形式のデータを取り込んで、ある意味“異常値”を見つけ出すアプローチは、ロイヤルカスタマーを見つけ出すマーケティングの手法に近いと考えたのです」と安田氏。しかしデータマイニングツールなども検討してみたものの、どうしてもマーケティングに偏ってしまうなど、汎用性や柔軟性に欠ける部分があったといいます。

金融機関にも実績が豊富なSplunk

そこで出会ったのがSplunkでした。「日本ではセキュリティソリューションという印象が強いですが、米国ではSplunkはマーケティングソリューションとして活用されている話も聞いていました。将来的にはオフィスの業務機器から得られるログを分析するといった新たな用途への展開も検討していたため、Splunkに興味を持ったのです」と安田氏は説明します。そこで複数のベンダに提案を求めたところ、結果として多くのベンダが提案してきたのがSplunkでした。「私の場合は感覚的な視点でしたが、実際のベンダからも同じ答えが出てきたことで、確度が高いと考えました。Splunkを利用している多くの金融機関があることも知っており、ノウハウの共有を含めて、我々にとって利便性が高いと判断しました」。

将来的には自前で運用していくことも想定しており、教育的な面でもSplunkを評価した安田氏。「Splunkが提供するトレーニングをはじめ、サイバーセキュリティの情報共有や分析を行う金融ISACという、我々が所属している団体内でもSplunkに関するトレーニングが開催されています。スキルアップしやすい環境が整っていた点も選択の大きなポイントです」と力説します。他にも、さまざまなベンダが提供するSplunk Appsも充実しており、自社の用途に応じて柔軟に機能拡張できる点も大きな魅力だったと安田氏。

今後も外部データの取り込みが増えてくることを想定し、拡張しやすいクラウド環境で利用できるサービスを選択、結果としてSplunk Cloudが同社の金融犯罪防止のための情報分析基盤として採用されたのです。

金融犯罪の兆候を見つけ出す基盤として活躍するSplunk Cloud

口座の不正利用や不正送金といった金融犯罪の兆候を見つけ出し、未然に防ぐための分析基盤としてSplunk Cloudが活用され、インターネットバンキングのアクセスログや預金の取引情報、口座開設情報はもちろん、不正アクセスの検知も提供するFraudAlert（カウリス社）と呼ばれるサービスなど、外部情報も含めたデータソースを活用。スコアリングしたうえでアラートにてリスクを管理者に通知し、必要に応じた対策を実施しています。分析に使うデータサイズは1日数十GB程度となっており、データは一定期間保持したうえで必要に応じて削除していく運用です。「我々独自に作成したリストもデータ投入していますが、システムごとにデータフォーマットやリストが異なっているため、口座番号などをキーに紐づけていくことで相関分析が可能になります。まさにSplunkが得意とするところ」と安田氏は評価します。

ログ自体はリアルタイムに取り込むものとバッチにて処理するものに分かれており、その場で口座の利用停止を行うといった判断が求められる分析にはリアルタイムに取得した情報が不可欠です。「犯罪を未然に防ぐためには、数秒のうちにその兆候を発見して口座を止めるといった処理が求められる場面もありますが、Splunk Cloudであれば必要なレスポンスも十分に担保されており、運用的にも十分満足しています」と安田氏は語ります。なお、各システムからSplunk Cloudにデータを自動的に転送していますが、緊急性を要する特殊な事案に対処したりログが活用できるか試してみたりするために、手作業にてアップロードできる環境も用意されている状況です。

分析作業の標準化で人手をかけずともビジネスの成長に追随できる

今回Splunk Cloudを活用したことで、職人肌になりやすい分析作業が標準化でき、効率化によって現状の人員のままでもビジネスの成長に追随できる環境が整備できると安田氏は評価します。「従来に比べて半分程度の期間で人材育成が可能になります。Splunk上のダッシュボードも非常に使いやすく、ヒットしたルール情報や過去の操作・取引履歴など、検知した口座情報が1つの画面で表現できています。必要な情報にたどり着けるようになっており、迅速な判断が可能になっています」。

データ取り込みが容易で、部品も多く用意されていることから、トライ＆エラーしやすい状況にある点も大きな魅力の1つとなっています。「Splunkによって犯罪を未然に防ぐことができる機会が増え、口座の利用者から感謝される機会もより増えてくるはず。担当者のモチベーションアップにもつながってくれることを期待しています」と安田氏。以前に比べて感知レベルも向上しており、アナログでのスコアリングからシステムで自動検知できることで担当者のストレスも大きく軽減できると評価します。「これまでは監視のために画面を見続ける必要がありましたが、アラートがメールで通知されるなど、負担のない運用を構築しました」。

新たな視点や知見を得るきっかけに

特にSplunkに期待するのは、これまで気付かなかった新たな視点を養うきっかけが得られることだと安田氏。「どうしても先入観を持って分析してしまうものですが、拡張性のあるSplunkであれば、これまで対象にしていない外部情報をミックスしていくことで、これまでにない視点が得られるはず。そうなれば、マーケティングにてロイヤルカスタマーを見つけるように、金融犯罪を行う人物が特定できるようになるのではと考えています」。人手によるアナログな処理では限界があった分析も、新たな情報を容易に付加できる環境が整備できたことで、これまでにない知見を得ることができるはずと安田氏は期待を寄せています。

将来的には、リスクスコアリングによるアラート通知の環境からさらに一歩進めて、アラートのレベルによっては口座の利用停止や送金停止といった、具体的な処理まで自動化できる環境を整備していきたいと安田氏は意欲的に語ります。また、現状は金融犯罪に関連した用途が中心ですが、例えば、ハードウェアの障害予兆を検知したり、複数あるソリューションのIDを棚卸したりなど、幅広い用途への展開についても検討していきたいと語ります。「基本的にはCSIRTの動きの中で活用を広げていきますが、いずれは社内にも開放していきながら、データから新たなヒントが得られるような分野に展開していきたいですね」と今後について安田氏に語っていただきました。