Sumo Logic（スモーロジック）は2026年10月29日付のコンテンツリリースおよび11月2日付のアプリケーションリリースにおいて、シャドーAIや悪意ある機械学習モデルへの対策を含むセキュリティールールの追加と、脅威インテリジェンス調査機能の大幅な強化を発表した。
10月29日のコンテンツリリースでは、エンドポイントおよびウェブトラフィックにおけるAI利用と固有の脅威を可視化する4つの新ルールが導入された。初検知を捉えるFirst Seenルールとして、Ollama、vLLM、LM Studio、llama.cpp、GPT4All、ComfyUIなどのローカルAIランタイムがホスト上で初めて実行されたことを検知する「FIRST-S00103 First Seen AI Runtime on Endpoint」と、それらのランタイムへ外部IPアドレスが初めて接続したことを検知する「FIRST-S00104 First Seen External Client to AI Runtime」が追加された。Ollamaをはじめとするランタイムはデフォルトで全ネットワークインターフェースを認証なしでリッスンすることが多く、インターネットへの露出リスクやシャドーITの懸念に対処する。これら両ルールは14日間のベースラインを学習した後にアラートを発報する。
複合イベントを検出するChainルールとしては、同一エンティティにおいてDLP（情報漏洩対策）の検知から10分以内にChatGPT、Claude、Gemini、Copilotといった生成AIツールへのアップロードが発生した相関を捉える「CHAIN-S00028 Sensitive Data Sent to Generative AI Tool - Cross-Vendor」が提供された。承認済みドメインはallowed_ai_domainsマッチリストに追加することで除外できる。さらに、Pythonプロセスが.pkl、.pt、.ckptなどのシリアライズされたモデルファイルを読み込んだ後、10分以内にリバースシェル、ダウンロード実行コマンド、エンコードされたペイロードの実行、あるいは/etc/shadowや/etc/passwdの読み取りを発生させた挙動を捉える「CHAIN-S00029 Suspicious Child Process Spawned After Python Model Deserialization」が追加された。これはHugging Faceなどの公開リポジトリー流通する悪意ある兵器化モデルを検知するものであり、ci_cd_hostsマッチリストに対象サーバーを登録することで除外設定が可能である。あわせてパーサー更新として、McAfee Web Gateway CSVパーサーがsyslog経由のスペース区切りアクセスログの解析に対応し、CSVと同一のフィールド名で抽出されるため既存のログマッパーやルールがそのまま適用可能となった。
11月2日のアプリケーションリリースでは、シグナル詳細画面のエンティティパネルに「Threat Intelligence Enrichment」タブが新設された。シグナル生成時点における脅威インテリジェンスのスナップショットが記録され、一致したインジケーター、ソース、信頼度、脅威タイプ、脅威アクター、キルチェーンフェーズなどが表示される。スナップショットは生成時の状態で固定されるため、後からインジケーターが更新または期限切れになった場合でも、発報当時の正確な文脈を維持したまま過去のシグナルを調査できる。
また、ルール記述関数「hasThreatMatch」のフィルタリング機能が拡張され、脅威アクター名やキルチェーンフェーズに一致させるactors属性およびkill_chain属性がサポートされた。さらに、contains()やtoString()といったCloud SIEMルール構文関数をフィルター式内で直接利用できるようになったほか、自社独自のインテリジェンスフィードに含まれるカスタムフィールドを評価するための_threatlookup_fieldsに対応した。これにより、特定の攻撃者に関連するインジケーターのみを絞り込むなど、より精緻な脅威検知ルールの作成が可能となった。
出典：Sumo Logic
この製品の詳細については、Sumo Logic製品ページをご覧ください。
