単一プロセスで動く Rust の Sigma 相関エンジン。8 回の最適化で現実的なワークロードは 301% 速くなり、その後スレッドを 4 にしたら 2 より 23% 遅くなりました。なぜそうなったのか、既定値に何を選んだのか、そして作らないと決めたもの。
量が人員に収まるまで検知をチューニングするのは、可視性を人員数で決めることです。答えはアナリストの増員ではなく、トリアージの 3 層を「何について誤ってよいか」で分けることでした。
