Microsoft Sentinel بمقابل Splunk: انتخاب SIEM

دونوں ٹولز ایک جیسا بنیادی کام کرتے ہیں: لاگز جمع کریں، واقعات سے تعلق قائم کریں، اور وہ الرٹس سامنے لائیں جو اہم ہوں۔ فرق قیمت کے ماڈل، سوال کی زبان، اور آپ کو کتنے انفراسٹرکچر کی ذمہ داری ہے میں ظاہر ہوتے ہیں۔

ہر پروڈکٹ درحقیقت کیا ہے

Microsoft Sentinel ایک کلاؤڈ-نیٹو SIEM ہے جو Azure Log Analytics پر بنایا گیا ہے۔ پیچ کرنے کے لیے کوئی انفراسٹرکچر نہیں ہے، سائز کرنے کے لیے کوئی انڈیکسر کلسٹر نہیں ہے، اور یہ شکار سے لے کر شناخت کے قوانین تک ہر چیز کے لیے Kusto Query Language (KQL) استعمال کرتا ہے۔ اس پر ورکسپیس میں داخل کیے گئے GB کی بنیاد پر بل دیا جاتا ہے، کچھ سطریں (ادائیگی جیسے آپ جائیں، وعدہ کی سطریں 100 GB/دن کے ارد گرد شروع ہوتی ہیں) جو فی-GB کی شرح کو تبدیل کرتی ہیں۔

Splunk ایک آن-پریم لاگ پلیٹ فارم کے طور پر شروع ہوا اور بہت سی دکانوں کے لیے ابھی بھی اسی طریقے سے چلتا ہے، اگرچہ Splunk Cloud اب نئی تیاریوں کے لیے ڈیفالٹ سفارش ہے۔ یہ SPL (Search Processing Language) استعمال کرتا ہے، جو پرانا، زیادہ پختہ ہے، اور Splunkbase پر کمیونٹی ایپز کی بہت بڑی لائبریری ہے۔ روایتی طور پر Splunk نے داخلہ کی حجم پر بھی بل دیا ہے، لیکن انہوں نے صارفین کو کام کی بنیاد پر قیمت کی طرف دھکیلا ہے جو خام ڈیٹا حجم کے بجائے کمپیوٹ (سرچ جابز، انڈیکسنگ) پر چارج کرتا ہے — موجودہ شرائط کی جانچ قابلِ قدر ہے کیونکہ یہ ایک سے زیادہ بار منتقل ہوا ہے۔

سوال کی زبان: KQL بمقابل SPL

KQL فلٹرز کی پائپ لائن کی طرح پڑھا جاتا ہے، اگر آپ نے C# کو چھوا ہے تو LINQ جیسا:

SecurityEvent
| where EventID == 4625
| summarize FailedLogons = count() by Account, bin(TimeGenerated, 1h)
| where FailedLogons > 10

SPL ایک مختلف نحو کے ساتھ وہی چیز کرتا ہے:

index=wineventlog EventCode=4625
| bucket _time span=1h
| stats count as FailedLogons by Account, _time
| where FailedLogons > 10

تجزیہ کنندگان جنہوں نے SQL استعمال کیا ہے وہ KQL کو تیزی سے اٹھاتے ہیں۔ SPL میں transaction، eventstats، اور مشین لرننگ ٹول کٹ کی ضم جیسی چیزوں کے لیے زیادہ بنائے ہوئے حکام ہیں، جو اہم ہے اگر آپ سادہ تھریش ہولڈز سے ہٹ کر شماریات شناخت کر رہے ہیں۔ کوئی بھی زبان معروضی طور پر بہتر نہیں ہے — حقیقی لاگت ایک ٹیم کو دوبارہ تربیت دینا ہے جس کے پاس ایک یا دوسری میں سالوں کی عضلاتی یادداشت ہے۔

ڈیٹا داخلہ اور رابطہ کار

Sentinel کو ایک فائدہ ہے اگر آپ کا رقبہ پہلے سے Microsoft-بھاری ہے: Azure AD (Entra ID) سائن ان لاگز، Defender for Endpoint، Office 365، اور Azure سرگرمی لاگز کے لیے مقامی، کم رگڑ والے رابطہ کار۔ AWS یا آن-پریم Syslog ڈیٹا کو Azure Monitor Agent کے ذریعے پائپ کرنا ٹھیک سے کام کرتا ہے، لیکن یہ مقامی Azure ذرائع کے مقابلے میں ایک اضافی ہاپ ہے۔

Splunk کا رابطہ کار ایکو سسٹم خام شمار میں وسیع ہے کیونکہ یہ لمبے عرصے سے ہے — Splunkbase میں ہزاروں ایپز اور ایڈ-آنز ہیں، جن میں نچے پروڈکٹس کے لیے کمیونٹی کے قائم کردہ ہیں۔ اگر آپ ایک ملی جلی ماحول (Cisco فائر والز، وراثتی آن-پریم AD، بے ترتیب SaaS ایپز جن کے پاس کوئی جدید API نہیں ہے) سے داخلہ کر رہے ہیں، تو آپ کو شاید Splunk کے لیے ایک پہلے سے بنایا ہوا Technology Add-on (TA) ملے گا اس سے پہلے کہ آپ کو ایک مساوی Sentinel رابطہ کار ملے۔

شناخت کے قوانین اور خطرے کی ذہانت

Sentinel MITRE ATT&CK سے منسلک تجزیاتی اصول ٹیمپلیٹس کے ساتھ آتا ہے، اور Microsoft کی اپنی دھمکی کی خفیہ معلومات (Microsoft Threat Intelligence) براہ راست ضم ہو جاتی ہے۔ Fusion، Sentinel کا ارتباط انجن، سادہ حفاظت والے الرٹس کو خود بخود ایک واحد واقعہ میں جوڑتا ہے، جو کمزور ٹیموں کے لیے الرٹ کی تھکاوٹ کو کم کرتا ہے جن کے پاس شناخت انجینیری کا ایک الگ گروپ نہیں ہے۔

Splunk Enterprise Security (ایک الگ ادائیگی والا ایڈ-آن، بنیادی Splunk میں شامل نہیں) آپ کو Notable Events، خطرے کی بنیاد پر الرٹنگ، اور ایک زیادہ حسب ضرورت ارتباط کی تلاش کی فریم ورک دیتا ہے۔ خطرے کی بنیاد پر الرٹنگ خاص طور پر — وقت کے ساتھ اہلیتوں کو سکور کرنا بجائے اس کے کہ واحد واقعات پر فائر کریں — دونوں پلیٹ فارمز میں دستیاب ایک طاقتور شناخت کے نمونوں میں سے ایک ہے، اور Splunk کے پاس یہ لمبے عرصے سے ہے۔

لاگت اور آپریشنل سربراہی

Sentinel کی سرورلیس ماڈل انڈیکسرز یا سرچ ہیڈز کے لیے صلاحیت کی منصوبہ بندی نہیں کرتا ہے، لیکن داخلہ کی لاگتیں تیزی سے بڑھ سکتی ہیں اگر آپ DNS یا فائر والز کی ٹریفک جیسے تشریح شدہ ذرائع کو لاگ ان کر رہے ہیں بغیر پہلے فلٹر کیے۔ ڈیٹا کلیکشن Rules (DCRs) آپ کو ڈیٹا کو فلٹر اور تبدیل کرنے دیتے ہیں اس سے پہلے کہ یہ ورکسپیس تک پہنچے، جو اپنے پہلے سرپرائز بل کے بعد کی بجائے جلدی قائم کرنے کے قابلِ قدر ہے۔

Splunk آن-پریم آپ کو رکھنے اور ہارڈویئر سائزنگ پر مکمل کنٹرول دیتا ہے لیکن اس کا مطلب ہے کہ کوئی انڈیکسر کلسٹر، لائسنس کا استعمال، اور اپ گریڈ کے چکر کی مالکانہ ہے۔ Splunk Cloud زیادہ تر اس سے بچاتا ہے لیکن آپ ابھی بھی نئی قیمت کی ماڈل کے تحت کمپیوٹ کی بھاری تلاش کے لیے ادائیگی کر رہے ہیں، لہذا بُری طریقے سے لکھے ہوئے SPL سوالات آپ کے پرس کو پرانی داخلہ کی بنیاد والی اسکیم میں زیادہ براہ راست کو ہٹاتے ہیں۔

کون سا آپ کے ماحول میں فٹ ہو جاتا ہے

اگر آپ پہلے سے Azure اور Microsoft 365 میں گہرائی میں ہیں، تو Sentinel عام طور پر کم خرچ میں کھڑا اور برقرار رکھنا ہے۔ اگر آپ کو وسیع تیسری فریق کی انضمامات، ایک پختہ ایپ ایکو سسٹم، یا آپ کی ٹیم پہلے سے SPL جانتی ہے، تو Splunk کی لچک اعلیٰ آپریشنل اٹھائی کے باوجود ادا کرتی ہے۔ بہت سی بڑی شرکتیں دراصل دونوں چلاتی ہیں — Splunk وراثتی آن-پریم ذرائع کے لیے، Sentinel Azure-مقامی طرف کے لیے — اور خلاصہ شدہ ڈیٹا کو ایک کی بجائے ان کے درمیان آگے بھیجتے ہوئے بند کرتے ہوئے۔

شناخت کے قوانین اور لاگ پائپ لائنز بنانے کے بارے میں مزید کے لیے، Korra Studio پر متعلقہ SIEM اور Blue Team حصے دیکھیں۔