Immer mehr Sicherheits- und Betriebsaufgaben finden jetzt in einem KI-Client statt, anstatt in einer dedizierten Konsole. Diese Verschiebung schafft eine Lücke für jede Plattform, die nicht Teil des Gesprächs ist. Jedes Mal, wenn ein Analyst einen Insight triagieren oder ein Log überprüfen muss, muss er den KI-Client verlassen und ein anderes Tool öffnen.
Sumo Logic schließt diese Lücke mit einem Model Context Protocol (MCP) Server. Er verbindet die SIEM– und Log-Analytics-Funktionen von Sumo Logic direkt mit Claude Code, GitHub Copilot und anderen MCP-kompatiblen KI-Clients, sodass SOC-Analysten, DevOps– und SRE-Teams Logs durchsuchen, Insights untersuchen und Warnmeldungen sowie Dashboards verwalten können – alles innerhalb des KI-Clients, den sie bereits nutzen.
Hier sehen Sie, wie das tatsächlich aussieht und wie es funktioniert.
Was der Sumo Logic MCP Server tut
MCP ist ein offener Standard für die Verbindung von KI-Clients mit externen Tools und Datenquellen. Anstatt für jedes KI-Produkt, das Ihr Team einsetzt, eine separate Integration zu erstellen, bietet MCP einen einzigen kontrollierten Verbindungspunkt.
Der MCP-Server von Sumo Logic stellt einen definierten Satz von Tools zur Verfügung, die jeder MCP-kompatible Client aufrufen kann: Warnmeldungssuche, Dashboard-Verwaltung, SIEM-Insights und Erkennungsregeln, Log-Suche und Datenermittlung. Verbinden Sie Claude Code (oder einen anderen unterstützten Client) mit diesem Server, und Sie können ihn in natürlicher Sprache auffordern, eine Warnmeldung abzurufen, einen SIEM-Insight zu triagieren oder eine Log-Suche durchzuführen, dann auf die Ergebnisse reagieren – alles in derselben Sitzung.
Dies löst eine echte Workflow-Lücke. Analysten, die mehr Zeit in einem KI-Client verbringen, mussten trotzdem den Kontext wechseln und die Sumo Logic-Benutzeroberfläche öffnen, jedes Mal wenn sie einen Insight triagieren oder Logs durchsuchen mussten. Teams, die diese Lücke mit benutzerdefinierten Integrationen schließen wollten, taten dies normalerweise ohne die Audit-Trails und Zugriffskontrollmechanismen, die Sicherheits- und Compliance-Teams benötigen. Der MCP-Server behebt beide Probleme. Es gibt keinen benutzerdefinierten Connector zum Erstellen, und jede Aktion läuft immer noch durch die bestehende Authentifizierung, Autorisierung und rollenbasierten Berechtigungen von Sumo Logic.
Was Sie damit tatsächlich tun können
Der MCP-Server gruppiert seine Tools in einige Kategorien:
- SIEM. Insights abrufen und filtern, die Signale und Entitäten hinter einem Insight abrufen, den Insight-Status oder die Zuweisung aktualisieren und Erkennungsregeln erstellen oder überprüfen.
- Log-Suche. Eine Log-Suche über einen Zeitraum durchführen und aggregierte Datensätze oder Rohnachrichten zurückbekommen.
- Warnmeldungen. Warnmeldungen nach Status, Schweregrad oder Monitor suchen und abrufen.
- Dashboards. Dashboards erstellen, abrufen und aktualisieren.
- Discovery. Benutzerdefinierte Felder, Feldextraktionsregeln und Partitionen auflisten, um eine Suche einzugrenzen.
In der Praxis unterstützt dies mehrstufige Untersuchungen in einem einzigen Gespräch: einen offenen SIEM-Insight abrufen, seine Signale und beteiligten Entitäten überprüfen, dann eine Log-Suche für eine dieser Entitäten durchführen, um die Rohereignisse dahinter zu finden – alles ohne Claude zu verlassen.
Wie die Verbindung kontrolliert wird
Jede MCP-Aktion wird als benannter Benutzer ausgeführt, der durch die bestehenden Sumo Logic-Rollen und -Berechtigungen dieses Benutzers eingeschränkt ist – nicht durch ein Servicekonto mit Vollzugriff. Die Authentifizierung erfolgt über OAuth 2.0 mit Client-ID-Metadatendokumenten (CIMD) als empfohlenes Setup für unterstützte Clients. Kundendaten werden niemals zum Trainieren von KI-Modellen verwendet, und alle MCP-Interaktionen werden für Compliance- und Sicherheitsüberprüfungen protokolliert. Agenten, die über MCP verbunden sind, werden in Ihrer eigenen Umgebung ausgeführt, nicht in der Infrastruktur von Sumo Logic.
Administratoren kontrollieren den MCP-Serverzugriff separat von anderen KI-Funktionen. Er ist standardmäßig auf Organisationsebene aktiviert und kann unabhängig von Mobot und dem SOC Analyst Agent unter Feature Management umgeschaltet werden.
Wofür MCP gedacht ist und wofür nicht
Sumo Logic konzentriert den MCP-Server auf konversationsgesteuerte, agentische Arbeiten wie mehrstufige Untersuchungen, Triage und Agent-zu-Agent-Workflows, bei denen eine Person beteiligt ist. Er ist nicht für die Massenextrahierung oder hochvolumige automatisierte Abfragen gedacht. Diese gehören weiterhin zur Standard-Search-Job-API. MCP-Anfragen sind von Natur aus kostenerhöhend, da eine konversationsgesteuerte Anfrage mehrere Tool-Aufrufe auslösen kann. Daher ist diese Unterscheidung besonders wichtig für Flex-Pricing-Kunden, die ihre Scan-Kosten im Auge behalten.
