Microsoft Sentinel yn erbyn Splunk: Dewis SIEM

Mae'r ddau arf yn gwneud yr un swydd crai: casglu logs, cydberthynu digwyddiadau, a dod â'r rhybuddion sy'n bwysig i'r wyneb. Mae'r gwahaniaethau'n ymddangos yn y model prisio, iaith y ymholiad, a faint o seilwaith rydych chi'n gyfrifol amdano.

Beth yn union yw pob cynnyrch

Microsoft Sentinel yw SIEM brodorol y cwmwl wedi'i adeiladu ar Azure Log Analytics. Nid oes seilwaith i'w glytweinio, nid oes clwstwr indexer i'w fainio, ac mae'n defnyddio Kusto Query Language (KQL) ar gyfer popeth o hela i reolau canfod. Caiff ei filio fesul GB a fewnfuddir i'r gweithfan, gyda rhai haenau (talu wrth fynd, haenau ymrwymiad yn dechrau o gwmpas 100 GB/diwrnod) sy'n newid y gyfradd fesul GB.

Dechreuodd Splunk fel platfform log ar-leoliad a rhedeg yn dal felly ar gyfer llawer o siopau, er bod Splunk Cloud bellach yn argymhelliad diofyn ar gyfer dosbarthiadau newydd. Mae'n defnyddio SPL (Search Processing Language), sy'n hŷn, yn fwy aeddfed, ac sydd â llyfrgell llawer mwy o apiau cymunedol ar Splunkbase. Yn hanesyddol talodd Splunk ar sail meintiau mewnfudo hefyd, ond maent wedi annog cwsmeriaid tuag at brisio yn ôl gwaith llwyth sy'n codi tâl ar gyfer cyfrifo (gwaith chwilio, mynegeio) yn hytrach nag ar faint data crai — yn werth gwirio'r telerau cyfredol gan fod hyn wedi symud mwy nag unwaith.

Iaith y ymholiad: KQL yn erbyn SPL

Mae KQL yn darllen fel pibellau hidlyddion, yn debyg i LINQ os ydych wedi cyffwrdd â C#:

SecurityEvent
| where EventID == 4625
| summarize FailedLogons = count() by Account, bin(TimeGenerated, 1h)
| where FailedLogons > 10

Mae SPL yn gwneud yr un peth gyda chystrawen gwahanol:

index=wineventlog EventCode=4625
| bucket _time span=1h
| stats count as FailedLogons by Account, _time
| where FailedLogons > 10

Mae dadansoddwyr sydd wedi defnyddio SQL yn tueddu i godi KQL yn gyflymach. Mae gan SPL fwy o orchmynion adeiledig ar gyfer pethau fel transaction, eventstats, a chydintegreiddiad y pen-set peiriant dysgu, sy'n bwysig os ydych yn gwneud canfod anormaleddau y tu hwnt i drothwyon syml. Nid yw un iaith yn well yn wrthrychol — y cost go iawn yw hyfforddi tîm sydd eisoes â blynyddoedd o atgof cyhyr mewn un neu'r llall.

Data ingestion a chysylltyddion

Mae gan Sentinel fantais os yw eich ystâd eisoes yn drwm gan Microsoft: cysylltyddion brodorol, di-wrthdaro ar gyfer Azure AD (Entra ID) mewnlog, Defender for Endpoint, Office 365, a logs gweithgarwch Azure. Mae pibelio data AWS neu ar-leoliad Syslog yn gweithio'n iawn trwy'r Azure Monitor Agent, ond mae'n hop ychwanegol o'i gymharu â ffynonellau brodorol Azure.

Ecosystem cysylltydd Splunk yw'r ehangach mewn cyfrif crai oherwydd ei fod wedi bod o gwmpas yn hirach — mae Splunkbase yn cynnwys miloedd o apiau ac ychwanegion, gan gynnwys rhai a gynhelir gan y gymunedol ar gyfer cynhyrchion niche. Os ydych yn mewnfudo o amgylchedd cymysg (tanwallau Cisco, treftadaeth ar-leoliad AD, apiau SaaS ar hap heb API fodern), byddwch yn debygol o ddarganfod Technology Add-on (TA) cyn-adeiledig ar gyfer Splunk cyn i chi ddarganfod cysylltydd Sentinel cywerthrog.

Rheolau canfod ac adintelligence bygwth

Mae Sentinel yn cael temledi rheolaethau dadansoddi wedi'u mapio i MITRE ATT&CK, ac mae fwydo bygwth dwyieithog Microsoft (Microsoft Threat Intelligence) yn integreiddio'n uniongyrchol. Mae Fusion, injan cydberthnasiad Sentinel, yn cysylltu rhybuddion isel-cywirdeb i digwyddiad unigol yn awtomatig, sy'n lleihau blinder rhybudd ar gyfer timau llai heb grŵp detection engineering neilltuo.

Mae Splunk Enterprise Security (ychwaneg talu ar wahân, heb ei gynnwys mewn Splunk sylfaenol) yn rhoi Notable Events, rhybudd yn seiliedig ar risg, a fframwaith chwilio cydberthyniad mwy customizable i chi. Rhybudd yn seiliedig ar risg yn benodol — sgorio endidau dros amser yn hytrach na tanio ar ddigwyddiadau unigol — yw un o'r patrymau canfod cryfach sydd ar gael ar yr un naill platform, ac mae gan Splunk hyn yn hirach.

Cost a gorbenion gweithredol

Mae model di-weinydd Sentinel yn golygu dim cynllunio capasiti ar gyfer indexers neu phen chwilio, ond gall costau mewnfudo ddringo'n gyflym os ydych yn nodi ffynonellau gwrthglawdd fel DNS neu drafig tân heb hidlo yn gyntaf. Mae Data Collection Rules (DCRs) yn gadael i chi hidlo a thrawsnewid data cyn iddo daro'r gweithfan, sy'n werth ei sefydlu'n gynnar yn hytrach nag ar ôl eich bil cyntaf sy'n synod.

Mae Splunk ar-leoliad yn rhoi rheolaeth llawn i chi dros gadw a mainio caledwedd ond mae'n golygu bod rhywun yn berchen ar y clwstwr indexer, defnydd y drwydded, a'r cylch diweddaru. Mae Splunk Cloud yn tynnu'r rhan fwyaf o hynny ond rydych chi dal yn talu am chwiliadau trwm cyfrifiaduol o dan y model prisio mwy newydd, felly mae ceisiadau SPL a ysgrifennwyd yn wael yn taro'ch poced yn fwy uniongyrchol na yn yr hen gynllun yn seiliedig ar mewnfudo.

Pa un sy'n addas i'ch amgylchedd

Os ydych eisoes yn ddwfn yn Azure a Microsoft 365, mae Sentinel fel arfer yn costio llai i'w sefydlu a'i gynnal. Os ydych angen cydintegreiddiadau eang o drydydd partïon, ecosystem app aeddfed, neu mae eich tîm eisoes yn gwybod SPL, mae hyblygrwydd Splunk yn talu ar ei phen er gwaethaf y llift gweithredol uwch. Mae llawer o fusnesau mwy mawr yn rhedeg y ddau yn wir — Splunk ar gyfer ffynonellau treftadaeth ar-leoliad, Sentinel ar gyfer yr ochr brodorol Azure — a fwydo data crynodedig rhyngddynt yn hytrach nag yn dewis un yn unig.

Am fwy ar adeiladu rheolau canfod ac amlygon log, gwiriwch y segmentau SIEM a Blue Team cysylltiedig ar Korra Studio.