毎朝のセキュリティ確認をAIに任せたら、判定の基準が「人が動く必要があるか」に変わった

「何かが起きたら赤」だとオオカミ少年化するからな。人が動くべきかどうかに基準をシフトするのは運用のリアルが詰まってて非常に参考になる

"ログイン失敗が何件を超えたら異常、という決め方をすると、曜日やキャンペーンの有無で平常値そのものが動きます。そこで比較の基準を「直近7日分の中央値」に置きました。平均ではなく中央値にしたのは"

“固定の閾値（ログイン失敗が何件を超えたら異常）をやめて、7日中央値（中央値にしたのは、1日だけ大きな攻撃があった週を外すため）と比べる。色（赤、黄、緑、青）の意味を「人が動く必要があるか」に揃えた”

S3の公開を塞いだら、公開を検知するアラームが鳴る。API名だけ数えると防御まで事件になる。設定値も調べ、検証環境で鳴ることまで確かめる。AIに日次確認を任せても、監視の意味を決める仕事は残る。

判断は人間がしないと無責任になるよな

“ルーティンでは直さない” “このセッションの目的はあくまで攻撃の状況把握で、是正は別の判断”