SIEMの未来を自らコントロール

Sumo Logicは、クラウドネイティブのマルチテナント型プラットフォームであり、需要に応じてアーキテクチャの各コンポーネントを即座にスケールアップやスケールダウンが可能です。

QRadarのクラウド製品は、オンプレミス版ソリューションをそのまま移行したものであり、大規模なデータ取り込みや検索には、追加コストの要るプロビジョニングが必要でした。QRadar SaaSのサポート終了に伴い、クラウドファーストを掲げるチームには今後の道筋が不透明になってしまいました。

Sumo Logicは、オブザーバビリティ（ログ、メトリクス、APM／トレース、RUM）とセキュリティ（セキュリティ・データ・レイク、監査およびコンプライアンス、クラウドSIEM、クラウドSOAR）のための統合プラットフォームを提供し、ツールの統合を簡素化します。

QRadarの製品群（ログ、EDR、SIEM、SOAR）は幅広いものの、導入は複雑でコストもかかり、多くの場合プロフェッショナル・サービスが必要です。またIBMがQRadar SaaSをPalo Alto Networksに売却したため、現在は複数のベンダーに分散しています。

Sumo Logicは特定のプラットフォームやベンダーに依存しない設計で、追加のハードウェアを一切必要とせず、オンプレミス、クラウド、マルチクラウド環境全体からログやセキュリティ関連データを収集します。

QRadar では、ログを転送するためにデータゲートウェイ／コレクターアプライアンスの導入と保守が必要となり、ハードウェアや運用上の負担が増加します。

Sumo Logicには、CrowdStrike（OEM）を活用してセキュリティイベントに脅威のコンテキストを追加する、統合型で導入直後から利用可能なTIPが搭載されており、外部のインテリジェンスフィードとも連携可能です。

QRadarは統合されたTIPを提供していますが、この利用には追加コストでIBM X-Force / Advanced Threat Protectionフィード購入の必要があります。

Sumo Logicは、構造化・非構造化データを問わず、すべてのログデータをあらかじめ定義されたスキーマに無理に当てはめることなくインデックス化します。これにより迅速な価値実現と柔軟な検索が可能になります。

QRadarでは、データを検索するには、あらかじめフィールドごとに解析しておく必要があります。フィールドが解析されていない場合、キーワード検索のみが可能となります。

Sumo Logicでは、シンプルでクレジットベースのライセンスモデルを採用しており、予測可能性と柔軟性に富んでいます。このモデルでは従業員数ではなく、ご利用のユースケースに応じスケールします。

QRadarのユーザーベースのライセンス体系は、コストが従業員数（ユーザーあたり約1 EPS）に連動し、デフォルトのデータ保存期間も制限があるため、実際の利用状況に見合ったコスト管理が困難です。