Hersteller im Portfolio
Sumo Logic: Logs, Sicherheitsereignisse und Metriken auf einer Datenbasis
Sumo Logic ist eine cloud-native Plattform für Log-Analyse, Cloud SIEM, SOAR und Observability. Die Daten können in Frankfurt, Irland oder Zürich liegen. Aqaio liefert Sumo Logic im deutschsprachigen Raum.
- Datenhaltung wahlweise in Frankfurt, Irland oder Zürich
- Ein Datensatz für SOC und IT-Betrieb
- SOC 2 Type 2, ISO 27001, PCI DSS Level 1
Warum Unternehmen Sumo Logic einsetzen
Die Plattform läuft als mandantenfähiger Dienst auf AWS. Kunden betreiben keine Suchcluster und keine Indexserver, sondern wählen bei der Einrichtung die Region und senden ihre Daten über Sammler oder OpenTelemetry.
Der Betrieb liegt beim Hersteller
Skalierung und Betrieb der Such- und Speicherschicht übernimmt Sumo Logic. Eine Dimensionierung von Hardware im eigenen Rechenzentrum entfällt.
Aufnahme und Kosten getrennt
Mit dem Flex-Modell ist die Datenaufnahme unbegrenzt, abgerechnet wird nach durchsuchten Gigabyte. Damit entfällt die Diskussion über Mengendeckel in Umgebungen mit schwankendem Volumen.
Sicherheit und Betrieb auf einer Basis
Dieselben Protokolldaten speisen Cloud SIEM, Cloud SOAR und die Observability-Module. SOC und IT-Betrieb arbeiten auf einem Datensatz, ohne zweite Verarbeitungsstrecke.
Daten können in Europa bleiben
Es gibt Standorte in Frankfurt, Irland und Zürich sowie in der europäischen souveränen Cloud von AWS. Der Standort wird bei der Einrichtung festgelegt und bestimmt, wo die Daten liegen.
Produkte und Module
Die Plattform wird in Paketen verkauft. Die folgenden Bausteine sind die Teile, auf die sich Angebote beziehen.
Log-Analyse
Aufnahme, Suche und Auswertung strukturierter und unstrukturierter Protokolldaten mit Dashboards, Überwachungsregeln und geplanten Suchen. Die Aufbewahrung ist je Datenquelle einstellbar, von einem Tag bis 5.000 Tagen.
Cloud SIEM
Normalisiert eingehende Protokolle zu Datensätzen, erzeugt über Regeln Signale und verdichtet diese zu Vorfällen. Mitgeliefert werden mehrere Hundert Regeln in sechs Typen, darunter Schwellwert-, Ketten- und Ausreißerregeln.
Verdichtung nach Entität
Signale werden nicht einzeln gemeldet, sondern einer Entität zugeordnet, etwa einem Rechnernamen, Benutzerkonto oder einer IP-Adresse. Erst wenn der Aktivitätswert dieser Entität über einem Schwellwert liegt, entsteht ein Vorfall.
Cloud SOAR
Orchestrierung und automatisierte Reaktion mit Fallverwaltung, automatischer Ersteinschätzung und einem gemeinsamen Arbeitsraum, in dem mehrere Analysten denselben Vorfall zeitlich nachvollziehen. Vorgefertigte Aktionen und Abläufe kommen ohne eigenen Code aus.
Automatisierungsdienst
Führt Abläufe als festgelegte Folge von Aktionen und Bedingungen aus, ausgelöst durch Ereignisse aus dem Cloud SIEM. Die Anbindungen an Produkte anderer Hersteller kommen aus dem eigenen Katalog.
Bedrohungsdaten
Zwei verwaltete Feeds sind enthalten, von Intel 471 und CrowdStrike. Eigene Indikatoren lassen sich über STIX und TAXII, als CSV-Datei oder über die Schnittstelle einbringen. Die Regeln im Cloud SIEM greifen direkt darauf zu.
Observability
Anwendungs- und Infrastrukturüberwachung sowie verteiltes Tracing werten Protokolle, Messwerte, Traces und Ereignisse gemeinsam aus. Die Datensammlung läuft über OpenTelemetry.
Real User Monitoring
Erfasst Laden, Ausführung und Darstellung von JavaScript-Anwendungen sowie die Zeiten zwischen Browser und Backend je Transaktion, ohne Stichprobenbildung. Dazu gehören unbehandelte Fehler, Konsolenmeldungen, Klicks und Seitenwechsel.
Plattform, Datenaufnahme und Lizenzlogik
Vier Punkte, die in Angeboten und Architekturgesprächen regelmäßig zu klären sind.
Sammler und OpenTelemetry
Installierte Sammler laufen als Agent in der Kundenumgebung, gehostete Sammler holen Daten ohne Agent direkt aus AWS, Azure oder Google Cloud. Die OpenTelemetry-Distribution von Sumo Logic dient als ein Agent für Protokolle, Messwerte, Traces und Metadaten.
Datenebenen
Die Ebene für Produktionsdaten erlaubt Dashboards, Überwachungsregeln, geplante Suchen und Weiterleitung. Eine mittlere Ebene erlaubt interaktive Abfragen und Schnittstellenzugriff, aber keine Dashboards. Die günstigste Ebene ist für Debug-, Betriebssystem- und Diagnosedaten gedacht und wird je Suche abgerechnet.
Verrechnungseinheiten und Flex
Eine Verrechnungseinheit deckt Aufnahme, Speicher, Messwerte und SIEM-Nutzung ab. Im klassischen Modell wird die aufgenommene Datenmenge bewertet. Im Flex-Modell ist die Aufnahme unbegrenzt, abgerechnet werden Speicher und die bei Suchen durchsuchte Datenmenge.
Nachweise und Verschlüsselung
Vorhanden sind SOC 2 Type 2, ISO 27001, CSA STAR, PCI DSS 4.0.1 als Dienstleister der Stufe 1, eine HIPAA-Bestätigung und eine FedRAMP-Moderate-Zulassung. Daten im Ruhezustand sind mit AES-256 verschlüsselt, die Datenträger zusätzlich auf Betriebssystemebene.
Typische Einsatzszenarien
Protokolle über mehrere Clouds zusammenführen
Gehostete Sammler ziehen Daten aus AWS, Azure und Google Cloud ohne Agent, installierte Sammler ergänzen Server und Geräte im eigenen Rechenzentrum.
SOC-Betrieb mit weniger Alarmen
Das Cloud SIEM bündelt Einzelsignale je Entität und erzeugt erst oberhalb eines Schwellwerts einen Vorfall, statt jeden Regeltreffer einzeln zu melden.
Automatisierte Ersteinschätzung
Cloud SOAR und der Automatisierungsdienst prüfen Indikatoren gegen die Bedrohungsdaten und führen Abläufe aus, bevor ein Analyst den Fall öffnet.
Nachweise mit langer Aufbewahrung
Die Aufbewahrung lässt sich je Datenquelle bis 5.000 Tage einstellen, dazu gibt es eine eigene Kategorie an Anbindungen für PCI-Anforderungen.
Kubernetes und Container überwachen
Protokolle, Messwerte und Traces aus Kubernetes und Docker laufen über OpenTelemetry in dieselbe Plattform wie die Sicherheitsdaten.
Diagnosedaten günstig vorhalten
Debug- und Betriebssystemprotokolle gehen in die günstigste Datenebene mit niedrigem Aufnahmepreis und Abrechnung je Suche.
Auf einen Blick
Unterlagen zu Sumo Logic
Wir schicken Ihnen die Unterlagen direkt zu. Eine kurze Nachricht über das Formular genügt.
Häufige Fragen zu Sumo Logic
Können die Daten in Europa bleiben?
Ja. Sumo Logic betreibt Standorte in Frankfurt, Irland und Zürich sowie in der europäischen souveränen Cloud von AWS. Der Standort wird bei der Einrichtung des Kontos festgelegt und bestimmt, in welcher Region die Daten liegen; die Schnittstellen sind entsprechend getrennt. Für schweizerische Anforderungen nennt der Hersteller die Region Zürich.
Was unterscheidet Flex vom klassischen Modell?
Im klassischen Modell wird die aufgenommene Datenmenge bewertet. Im Flex-Modell ist die Aufnahme unbegrenzt, bezahlt werden der Speicher und die bei Suchen durchsuchte Datenmenge. Flex passt dort, wo das Volumen schwankt oder Datenquellen bisher aus Kostengründen weggelassen wurden.
Wie kommen die Daten in die Plattform?
Über drei Wege: installierte Sammler als Agent auf Servern, gehostete Sammler, die ohne Agent direkt aus AWS, Azure oder Google Cloud lesen, und die OpenTelemetry-Distribution für Protokolle, Messwerte, Traces und Metadaten. Für verbreitete Produkte liegen fertige Anbindungen mit Dashboards und Beispielsuchen bereit.
Wie reduziert das Cloud SIEM die Zahl der Alarme?
Jeder Regeltreffer erzeugt zunächst ein Signal, das einer Entität zugeordnet wird. Die Bewertung summiert die Signale dieser Entität über ein einstellbares Zeitfenster, voreingestellt zwei Wochen. Erst wenn der Wert den Schwellwert überschreitet, entsteht ein Vorfall. Danach werden gleichartige Signale für mehrere Stunden unterdrückt.
Welche Nachweise gibt es für Prüfungen?
Sumo Logic führt SOC 2 Type 2, ISO 27001, CSA STAR, PCI DSS 4.0.1 als Dienstleister der Stufe 1, eine HIPAA-Bestätigung und eine FedRAMP-Moderate-Zulassung. Die Dokumente werden über das Trust Center des Herstellers angefordert.
Gibt es einen kostenlosen Einstieg?
Ja. Es gibt ein dauerhaft kostenloses Konto mit kleinem Tagesvolumen, sieben Tagen Aufbewahrung und bis zu drei Benutzern sowie einen 30-tägigen Test mit 1 GB pro Tag, 30 Tagen Aufbewahrung und 20 Benutzern ohne Kreditkarte.
Wie greifen SIEM, SOAR und Automatisierung ineinander?
Das Cloud SIEM erkennt und verdichtet, Cloud SOAR führt den Fall mit Fallverwaltung und gemeinsamem Arbeitsraum, der Automatisierungsdienst führt die Abläufe aus. Die Aktionen sprechen Produkte anderer Hersteller über ein offenes Integrationsmodell an. Cloud SOAR ist Teil des Enterprise-Umfangs und kein getrennt zu betreibendes Produkt.
Wie starten wir?
Wir richten einen Testzugang ein, binden erste Quellen an und zeigen die Auswertung an Ihren Daten. Schreiben Sie uns über das Formular auf dieser Seite.
Passende Themen bei Aqaio
Sumo Logic mit Aqaio testen
Wir richten den Testzugang ein, binden erste Quellen an und zeigen die Auswertung. Ihre Anfrage landet direkt bei uns.
E-Mail eintragen, danach öffnet sich das PDF.
Es gilt unsere Datenschutzerklärung. Die Einwilligung können Sie jederzeit widerrufen.