Sumo Logic을 통한 운영 효율성 향상

Sumo Logic은 코어 플랫폼의 원시 로그에서 필드를 추출하고 이를 통합 SIEM 스키마에 매핑합니다. 덕분에 분석가는 별도의 사전 작업 없이도 정형 및 비정형 데이터 전체에서 이벤트를 연관 분석하고 인사이트를 도출할 수 있습니다.

Google SecOps는 자체 독점 기술인 UDM(Unified Data Model)에 의존하므로 로그를 완전히 활용 가능하도록 하기 위해서는 먼저 고정된 스키마로 정규화해야 합니다. 사전 구축된 파서가 없는 데이터 소스는 사용자 정의 매핑이 필요하며, 분석 가능 범위가 사전 데이터 모델링 방식에 의해 좌우되므로 다양한 멀티 클라우드 환경에서는 추가적인 오버헤드가 발생합니다.

Sumo Logic의 Insight Engine은 MITRE ATT&CK 프레임워크와의 연동을 통해 경고 알림 피로를 효과적으로 해결합니다. 적응형 신호 클러스터링 알고리즘을 사용해 연관된 신호를 자동으로 그룹화함으로써 경고 알림 분류 과정을 간소화합니다. 이렇게 누적된 위험도가 사전에 정의된 임곗값을 넘어서면 즉시 조치 가능한 인사이트를 생성하여 가장 치명적인 위협에 주의를 집중할 수 있도록 지원합니다.

Google SecOps는 위험 기반 경고 알림 및 연관 분석 기능을 제공하지만, 위험도 평가 및 연관 분석 설정을 튜닝하려면 YARA-L 규칙을 직접 작성해야 하는 경우가 많아 해당 전문 지식이 부족한 경우 큰 진입 장벽이 될 수 있습니다. 

Sumo Logic 클라우드 SIEM에는 더 광범위한 보안 커버리지를 보장하는 사전 구축된 앱들이 포함되어 있습니다. 이러한 앱은 이미 MITRE ATT&CK 프레임워크 및 규정 준수 콘텐츠에 매핑된 탐지 규칙을 내장하고 있어 도입 즉시 이미 알려진 위협과 구성 오류를 식별하고 사각지대를 줄여 줍니다.

Google SecOps는 선별된 탐지 기능과 콘텐츠를 제공하지만, 상당 부분이 Google Cloud와 해당 UDM 모델 중심으로 구성되어 있습니다. 이에 따라 다양한 멀티 클라우드 소스로 커버리지를 확장하려면 여전히 상당한 수준의 매핑 작업과 전문적인 서비스가 필요합니다.

Sumo Logic의 SIEM, 로그, 자동화 기능을 아우르는 통합 UI는 사용자 지정 큐레이션 피드 등 여러 신뢰할 수 있는 소스에서 집계한 실시간 위협 인텔리전스를 기반으로 워크플로를 간소화하고, 실행 가능한 인사이트가 담긴 경고 알림을 강화하여 경고 알림 피로를 줄여줍니다.

Google SecOps는 기본적인 SOC 운영 기능을 제공하지만, 위협 탐지, 조사, 대응 과정 전반에서 워크플로 조율 작업을 효과적으로 관리하기에는 부족합니다. SOC 팀은 적시 개입에 꼭 필요한 실행 가능한 실시간 경고 알림에 접근하지 못해 대용량 쿼리 응답 처리 시 어려움을 겪는 경우가 많습니다.