Dropzone AIとは？SOCのアラート調査をAIが進める米国のセキュリティ企業

企業のセキュリティ監視を担うSOC（セキュリティ運用センター）の分析担当者は、SIEMやEDRから届くアラートを1件ずつ調べ、攻撃か誤検知かを判断しています。米国のDropzone AIは、ログや関連情報を集めてアラートを調査し、判定案と根拠をまとめるAIを提供しています。アラートが増えても全件を調べられる体制を目指しています。

国：米国。情報確認日：2026年11月1日。同社の公式発表は、米ワシントン州シアトルを発信地としています。

Dropzone AIが扱うSOCのアラート調査

製品ページの説明では、1件のアラートを調べるにはSIEMでの検索、端末の確認、IDやクラウド上の操作の確認が必要です。アラートが増えると、チームはどれを調べるかを選ばなければならなくなるとしています。主力製品のAI SOC Analystは、SIEM、EDR、メールセキュリティなどからログを取得します。 IDやクラウドの状況も確認しながら、証拠をつなぎ合わせます。各アラートには「悪意あり」「無害」「追加データが必要」のいずれかの判定が根拠とともに付くと、製品ページは案内しています。

同社はセキュリティ説明ページで、人の分析担当者と同じセキュリティツールやITシステムにAPIで接続し、アラートの取得やデータの照会を行うと説明しています。製品ページでは、100以上の連携先があり、データ移行は不要だとしています。

アラートが判定案になるまでの工程

セキュリティ説明ページは、調査の流れを次のように説明しています。

工程	AIの入力	AIの出力・作業	人の関わり
受信	接続したセキュリティツールのアラート	調査を始める	調査させるアラートを絞り込む
計画	アラートの内容	アラートが出た理由の仮説と、調べる筋道	―
証拠収集	社内のセキュリティツール、脅威情報、WHOISなど	仮説を確かめる証拠	接続先と権限を決める
報告	集めた証拠と分析結果	判定案、根拠、使ったデータ源、元のログへのリンク	報告書を読んで判断する

アラートを受けたAIは、それが出た理由について複数の仮説を立て、必要な調査の筋道を決めます。証拠を集めて分析した後も、結論に達するまで新たな仮説を立てて調査を続けるとしています。 Splunkの検索文を組み立てるなど、分析担当者の個別の技能を再現するよう事前学習した専門モジュールが証拠を集めます。調査を終えると、無害、疑わしい、悪意ありのいずれかの推奨結論を含む要約報告書を作ります。報告書を確認する分析担当者は、リンクから元のログなどの証拠をたどれます。判定の区分は製品ページとこの説明ページで表現が異なるため、導入前に実際の画面で確かめる必要があります。

製品ページには、Amazon S3に関するアラートを定期バックアップと判断して閉じた調査結果の画面例が載っています。 gennaiの見立てでは、この種の判定はバックアップ用のサーバーや権限の役割を知らなければ、AIでも人でも攻撃と区別しにくいものです。自社の環境についての前提知識をどれだけAIに教えられるかが、判定の質を左右すると考えます。

人が確認する工程と、AIに任せる範囲

公式ドキュメントによると、AIが調査を終えたアラートは「New」の状態でレビュー待ちの一覧に入ります。分析担当者は、AIの結論、証拠、推論を評価します。正しい調査はワンクリックで承認でき、誤りがあれば理由を添えて結論を変更できます。レビューで得た知識は、コンテキストメモリーや再利用できる調査方針として登録でき、以後の調査に反映されます。製品ページによると、どのホストが誰のものか、どのアラートがこの環境でいつも出るかといった「この環境での普通」を分析担当者がAIに教えます。セキュリティ説明ページは、登録する例として自社のIPアドレス範囲、許可しているVPNサービス、セキュリティテストを行う担当者などを挙げています。このコンテキストメモリーは顧客のテナント内だけに保持され、他の顧客の環境と混ざらないとしています。

AIに与える接続権限は既定で読み取り専用で、チケット管理システムへの書き込みなどが必要な場合に書き込み権限を追加すると、セキュリティ説明ページは説明しています。製品ページでは、IPアドレスの遮断やアカウントの無効化をAIが単独で実行してよい範囲と、必ず人に回す範囲を利用者が決められるとしています。料金ページによると、自動の封じ込めは悪意あるIPアドレスの遮断と侵害されたアカウントの無効化に限られ、AIが脅威と確認した場合にだけ実行されます。管理者は、調査の完了などをきっかけに独自のPythonコードを隔離されたコンテナで実行する「Response Actions」も設定できます。その出力やエラー、実行状態は記録されると、公式ドキュメントは案内しています。

gennaiの見立てでは、導入初期は読み取り専用で動かすのが安全です。 AIの判定が分析担当者の最終判断とどの程度一致するかを記録してから、自動対応の範囲を広げると、リスクを抑えやすくなります。特に、悪意のある活動を無害と判定した件数は、全体の一致率とは分けて数える必要があります。

性能の数字を読むときの条件

Dropzone AIは、Cloud Security Alliance（CSA）と共同で行った調査の結果を公式発表で公表しています。この調査では148人のセキュリティ分析担当者を対象に、AI SOC Analystの支援がある場合とない場合の成績を比べました。課題は、Amazon S3のバケットに関するアラートと、Microsoft Entra IDのログイン失敗の2つのシナリオでした。評価には、正確さ、速さ、網羅性、詳細さなどの指標を使っています。同社の発表では、AIの支援を受けた調査は支援なしの群より22〜29%正確で、45〜61%速く完了しました。 gennaiの読み方では、この数字は2つのシナリオで人の作業を比べた結果です。 AIが単独で全アラートを判定したときの精度を示すものではありません。自社で評価する場合は、過去のアラートをAIに調べさせ、自社の分析担当者の結論と照らし合わせる方法が、実際の運用に近い比較になります。

会社概要と提供条件

会社概要では、創業者兼CEOのEdward Wuが以前ExtraHopでネットワーク検知製品を開発していたと紹介しています。同ページの年表では、ChatGPTの公開ベータの3か月後に同社が創業されたと説明しています。 2025年7月17日の公式発表では、Theory Venturesが主導したシリーズBで3,700万ドルを調達したと発表しました。会社概要では、資金調達の総額を5,740万ドルとしています。確認した公式資料では、Dropzone AIが他社に買収されたという発表は見つかりませんでした。

料金ページでは、アラート調査のAI SOC Analystのほかに、次の3つのAIエージェントを紹介しています。脅威ハンティングを行うAI Threat Hunter、ベータ版のAI Threat Intel Analyst、2027年に提供予定のAI Detection Engineerです。同社は公式発表で、AI Threat Hunterの一般提供を発表しました。 AI Threat Hunterは、MITRE ATT&CKに対応づけた270以上のハンティング用パックを使います。 Splunk、Microsoft Sentinel、CrowdStrike NG-SIEM、Elastic、Pantherをまたいで調べられます。 AI Detection Engineerは検知ルールの改良や新規作成を担い、展開前に分析担当者が確認する設計だと、料金ページは説明しています。

料金ページに金額は掲載されていません。企業向けは従業員数に応じた一括パッケージで、MSSP向けと政府機関向けはエージェントごと・処理能力ごとに組み立てる方式です。製品ページでは、SOC 2 Type IIとFedRAMP High（Class D）の認可を挙げています。

日本の企業から見る導入条件

セキュリティ説明ページによると、Dropzone AIは顧客ごとに専用のクラウドテナントをAWS上に用意します。大規模言語モデルには、Anthropic、Azure OpenAI、Perplexityなどの外部サービスを利用します。導入先は通常AWSの米国西部（us-west-2）で、プライバシーや規制に対応するための地域別導入も選べます。 EUの顧客は、域内での導入を依頼できます。顧客データは、Dropzone AIや委託先のモデルの学習には使わないと説明しています。確認した公式資料では、日本のリージョンでの提供や、日本語のアラート・メールへの対応についての記載は見つかりませんでした。

gennaiの見立てでは、日本の企業は次の点を確認する必要があります。まず、アラートに含まれる個人情報や社内メールが、国外のテナントや外部のモデル提供者に渡る点を、社内規程と照らし合わせます。次に、国内で使っているSIEM、EDR、チケット管理システムが連携先に含まれるかを確かめます。日本語の件名や本文を含むフィッシング報告を正しく扱えるかも、試験導入で確かめたい項目です。

Dropzone AIを評価する出発点は、自社のSOCで調べきれずに残っているアラートが、どの種類にどれだけあるかです。 AIの調査時間だけでなく、分析担当者のレビュー時間や結論を修正した割合を分けて測ると、自社に合うかを判断しやすくなります。