사용자가 주도하는 SIEM의 미래

Sumo Logic은 수요에 맞춰 아키텍처의 각 구성 요소를 즉시 확장하거나 축소할 수 있는 클라우드 네이티브 멀티테넌트 플랫폼입니다.

QRadar의 클라우드 제품은 온프레미스 솔루션을 그대로 이관한 방식이었기 때문에, 대규모 데이터 수집 및 검색을 위해 추가 비용이 드는 별도의 프로비저닝이 필요했습니다. QRadar SaaS가 이제 지원 종료됨에 따라, 클라우드 우선 팀은 앞으로 나아갈 경로가 없는 상황입니다.

Sumo Logic은 옵저버빌리티(로그, 메트릭, APM/트레이스, RUM)와 보안(보안 데이터 레이크, 감사 및 규정 준수, Cloud SIEM, Cloud SOAR)을 위한 통합 플랫폼을 제공하여 도구 통합을 간소화합니다.

QRadar의 포트폴리오(로그, EDR, SIEM, SOAR)는 폭넓지만 구현이 복잡하고 비용이 많이 들며, 전문 서비스가 필요한 경우가 많습니다. 또한 IBM이 QRadar SaaS를 Palo Alto Networks에 매각한 이후 현재는 여러 벤더로 분리되어 있습니다.

Sumo Logic은 플랫폼 및 벤더에 구애받지 않으며, 추가 하드웨어 없이 온프레미스, 클라우드 및 멀티클라우드 환경 전반에서 로그와 보안 관련 데이터를 수집합니다.

QRadar는 로그를 전달하기 위해 데이터 게이트웨이/컬렉터 어플라이언스를 배포하고 유지 관리해야 하므로, 하드웨어 및 운영에 대한 부담이 추가됩니다.

Sumo Logic에는 즉시 사용 가능한 통합형 TIP가 포함되어 있어, CrowdStrike(OEM)를 활용하여 보안 이벤트에 위협 컨텍스트를 추가하고 외부 인텔리전스 피드도 연동할 수 있습니다.

QRadar는 통합 TIP를 제공하지만, IBM X-Force / Advanced Threat Protection 피드를 추가 비용으로 구매해야 합니다.

Sumo Logic은 구조화된 로그와 비구조화된 로그 데이터를 모두 사전 정의된 스키마에 강제로 맞추지 않고 인덱싱하므로, 빠른 가치 실현과 유연한 검색이 가능합니다.

QRadar에서 데이터를 검색하려면 먼저 필드로 파싱해야 합니다. 필드가 파싱되지 않은 경우, 키워드 검색만 가능합니다.

Sumo Logic은 예측 가능성과 유연성을 제공하는 간단한 크레딧 기반 라이선스 모델을 채택하고 있으며, 직원 수가 아닌 사용 사례에 따라 확장됩니다.

QRadar의 사용자 기반 라이선싱은 비용을 직원 수와 연계하며(사용자당 약 1 EPS), 기본 보존 기간이 제한적이어서 실제 사용량에 맞춰 지출을 조정하기 어렵습니다.