フォローする 誰も望まないトレードオフ
SOCおよびSIEMプロジェクトに長く携わったことがある人は、同じ決定が予算会議で何度も繰り返されるのを見てきた。セキュリティチームは、セキュリティエンジニアリングとは関係ない選択肢を迫られ、全てが請求書に関わることである。
オプション1：ログソースを削減する。DNSをカットし、エンドポイントプロセスのテレメトリーを削減し、クラウド監査トレイルを削減するか、ライセンスが吸収できる程度にサンプル数を減らす。このままでは、チームは予算を乗り切るが、検出の範囲は静かに縮小する。削減されたソースはすべて、最初から監視されていなかったために、敵が回避する必要のない盲点となる。
オプション2：すべてを保持する。生のテレメトリーをSIEM、データレイク、AIエージェントにストリームし、ビジネスがログする量に比例して請求額が増えることを受け入れる。クラウド移行、Kubernetes、アイデンティティプロバイダ、SaaSの拡散—すべてが量を加えるが、今年のセキュリティ予算が増えたかどうかは誰も問うていない。
どちらの選択肢も戦略ではない。それらは検出が発生するという同じアーキテクチャの前提の結果である 保存の 後に。この前提は、現代のSOCで最大のコスト要因であり、我々が取り除こうとするものである。
今日、我々は第三のアプローチの検証済みのROIを共有できる：完全な脅威検出エンジンを データパイプラインの中に配置し、 高価な階層がデータを見る前に配置する。
Prime Detectが実際に行うこと
SOC Prime Detectは、あなたのストリーミングテレメトリーの100％をワイヤ速度で評価します。サンプルでもなく、6ヶ月前にコストコントロールのルールによって選ばれたフィルタされたサブセットでもありません。すべてが移動に従います。
これは、キュレーションされたSigmaロジックをパイプライン層で適用することで実現します—コレクタと目的地の間の転送段階です。その配置から生まれる3つの事柄：
Tier 1 — ノイズ削減。Prime Detectは、有料の目的地に到達する前に、生のログノイズの93％をフィルタリングします。成功したルーチン認証、多弁なプロセステレメトリー、ヘルスチェック、企業環境が生成する巨大な背景音で、分析者が開いたことのないもの。イベントは検出ロジックに従って評価され、次に破棄または安価にルーティングされ、後で重要かもしれない可能性のある高いインジェスト料金で支払われるのではなく、評価されます。
Tier 2 — 相関。孤立した一致は検出ではありません。Prime Detectは、Higher Order Sigmaルールとして表現されたSigma相関を使用して、ソースおよび時間を超えた攻撃チェインに個別の一致を組み立てます。これが、一つの疑わしいLDAPクエリと一つの異常なサービス作成が、低信頼度のイベント二つから高信頼度のシーケンスに変わった瞬間です。
Tier 3 — 信号配信。スタックの上部に到達するのは、元のストリームの0.000007、7 PPMに圧縮されています。それが、Tier 3 AIエージェントに渡される素材です：すでに相関され、文脈化され、すでに考慮に値する七つのイベントが百万につき。
重要な点は、何も捨てられることはないということです 検査される前に。従来のコストコントロールでは盲目的にデータが削除されます。Prime Detectはすべてを検査し、その後に進む価値のあるものだけを転送します。 it is examined. Traditional cost control drops data blind. Prime Detect inspects everything and forwards only what earns its place downstream.
エンタープライズ顧客での測定された数値
以下の表は、スタックのどこでコストが発生するかによって分割された、100GB/日から10TB/日までのインジェスト量にわたる検証済みの節約を示しています。
3つの異なるコストラインは、非常に異なる振る舞いをするため注意深く読む価値があります。
SIEMおよびデータレイクの節約は最も馴染みがあります。それらは量に比例して線形にスケールし、既に多くのセキュリティリーダーがトラッキングしているものです。1TB/日で、支払い段階に到達するものの93％削減は、年間約100万ドルの価値があります。10TB/日では、それは10の価値がある。
クラウドAI節約は、AI SOCを計画している人にとって本当に不快になるところです。トークンコストはモデルに読むよう要求されるテキストの量に比例してスケールします。生のテレメトリーをLLMに指向することは、推論価格で、すべてのハートビートおよび成功したログインのために支払うことを意味し、永遠に続きます。生のストリームでの推論と7 PPM信号での推論の間のギャップは、ライン項目と不可能性の違いです。1TB/日で、その違いは年間136.8百万ドルです。
GPUハードウェアの節約は、独自のインフラストラクチャでモデルを実行するチームに適用されます。節約は絶対的には小さいですが、構造的に重要です：最初の警告を発する前にGPUファームが必要な検出戦略は、多くの組織が資金を獲得することのない戦略となる。
スタックに対する意味
1. インジェストボリュームがセキュリティ戦略を決定させないようにします。下流のソフトウェア、ハードウェア、およびAIの費用は最大93％削減可能です。より重要なことは、どのログソースを保持するかという決定が、購買の代わりに検出エンジニアリングの決定に戻ることです。カバレッジが配給されるのを停止します。
2. 未解析ログの100％にわたって継続的な検出を可能にします。パイプライン層での検出は、ソースが最初に正規化され、マッピングされ、オンボードされている必要がありません。Sigmaルールはストリームが到着すると同時に実行され、新しいソースは解析プロジェクトの後でではなく1日目から検出に貢献します。また、それは多くの成熟したプログラムを静かに制限するSIEMルール実行制限を回避します。チームは新しいものに場所を開けるためにルールを引退することがよくあります。評価をパイプラインに移動することで、その制限を取り除き、それを追加のアラートボリュームでアナリストや検出エンジニアを埋めることなく実現します—相関は配信の前に行われ、後ではありません。
3. 高精度な攻撃チェーン上で自律AI SOCエージェントを実行します。AIエージェントは構造化され、相関された証拠を推論する際に非常に優れていますが、生のノイズを整理するよう要求されると非常に高価になります。相関された7 PPM信号を提供することが、自律型トリアージを経済的に実行可能にし、数百万ドルのトークン予算やGPUで満たされたサーバールームが不要になる理由です。
なぜSigmaか、なぜパイプライン層か
ここで重態を担うデザイン選択は2つあり、どちらも意図的です。
Sigmaは、オープンでベンダーに依存しない検出フォーマットであり、多くのアクティブに維持されている公共のロジック体を持っています。パイプライン層でキュレーションされたSigmaロジックを使用することは、検出コンテンツが移植可能であることを意味します：購入したプラットフォームのクエリ言語に縛られず、目的地が変わっても書き直す必要がありません。あなたのチームが作成したコンテンツとコミュニティが公開するコンテンツは同じ場所で、同じストリームに対して動作します。
Sigma相関は、そのモデルを単一イベントの一致からシーケンスおよび閾値ロジックに拡張します。Higher Order Sigmaルールが、パイプラインが個々に目立たないイベントのクラスターがエスカレートする価値のある攻撃チェーンを構成することを決定し、同様に、周囲の文脈のない一致するイベントがそうではないことを決定できるものです。
パイプライン層は重要です。なぜなら、それが設計内で唯一の場所であり、すべてのイベントがまさに一度だけ、動いている状態で通過することが保証されているからです。そこでの検出は、SIEMが行うより安価なバージョンではありません。それは、まだ無料でできる唯一のポイントで行われる同じ作業です。
自分自身で確認してみてください
カバレッジとコストの間のトレードオフは自然法則ではありませんでした。それは、検出がスタックのどこに位置していたかの産物でした。検出をパイプラインに移動すれば、そのトレードオフの両側が同時に改善されます：テレメトリーのより多くが検査され、そのうちの少なすぎる部分が二重の料金を支払われることなく済みます。
自身のセキュリティスタックでこのROIを得たい場合は、ご連絡ください—またはPrime Detectがどのように機能するかのライブデモをご覧ください。制約なしです。
