Sumo Logicによる業務効率化の推進

Sumo Logicは、コアプラットフォーム内の生ログからフィールドを抽出し、それらを統一されたSIEMスキーマにマッピングします。これにより、アナリストは事前の準備作業を必要とせずに、構造化データと非構造化データの両方にわたってイベントの相関分析を行い、インサイトを引き出すことができます。

Google SecOpsは、独自のUnified Data Model（UDM）に依存しており、ログを完全に活用するには、あらかじめ固定されたスキーマに正規化する必要があります。事前構築済みのパーサーがないソースではカスタムマッピングが必要となり、分析可能な範囲は事前にデータがどのようにモデル化されたかによって決まるため、多様なマルチクラウド環境ではオーバーヘッドが発生します。

Sumo LogicのInsight Engineは、MITRE ATT&CKフレームワークと統合することで、アラート疲労に対処します。適応型シグナルクラスタリングアルゴリズムを使用して、関連するシグナルを自動的にグループ化し、アラートの優先順位付けを効率化します。集約されたリスクが事前に定義されたしきい値を超えると、実行可能なインサイトが生成され、最も深刻な脅威に注意が向けられます。

一方、Google SecOpsはリスクベースのアラートと相関分析を提供しますが、リスクスコアリングや相関分析の調整には、多くの場合YARA-Lルールの作成が必要となる場合が多く、その専門知識を持たないチームにとっては大きな負担となります。

Sumo Logic Cloud SIEMには、より広範なセキュリティカバレッジを提供する事前構築済みアプリが用意されています。これらのアプリには、MITRE ATT&CKフレームワークとコンプライアンスコンテンツにマッピングされた検出ルールが既に含まれていることが多く、導入直後から既知の脅威や設定ミスを確実にカバーし、死角を削減します。

Google SecOpsには厳選された検出ルールやコンテンツが提供されていますが、その多くはGoogle CloudとそのUDMモデルを中心に構成されおり、多様なマルチクラウドソースに範囲を拡大するには、依然として大規模なマッピング作業や専門サービスが必要となる場合があります。

Sumo LogicのSIEM、ログ、自動化機能に共通する統一されたUIは、複数の信頼できる情報源（カスタムフィードを含む）から集約されたリアルタイムの脅威インテリジェンスを基盤とした、効率化されたワークフローと充実した実用的なアラートにより、アラート疲労を軽減します。

Google SecOpsはSOCの基本的な運用機能を提供していますが、脅威の検知、調査、対応の各フェーズにおけるワークフローの調和を効果的に管理するには不十分です。タイムリーな対応に不可欠な、リアルタイムで送信され、迅速なアクションを可能にするアラートにアクセスできないSOCチームは、大量のクエリ応答の処理に苦慮することになります。