English日本語
2018年12月3日，，，Gartner正式对外宣布了2018年SIEM市场魔力象限剖析报告。。 。。。。新的市场竞争名堂基本成型，，，SIEM产品越来越注重威胁检测和响应，，，尤其是新型的检测要领和响应方法。。 。。。。所谓新型检测要领特指UEBA，，，及其他高级清静剖析要领（如NTA、EDR、诱骗、威胁捕猎等）；；；；；所谓响应方法特指Gartner提出的SOAR（Security Orchestration, Automation and Response）。。 。。。。
报告显示，，，SIEM现在属于成熟市场，，，并且竞争十分强烈。。 。。。。全球SIEM市场从2016年的20亿美元上升到了2017年的21.8亿美元（注：这些数字相较于去年的展望有所下降，，，以最新的为准）。。 。。。。SIEM市场的主要驱动力时威胁治理，，，其次是清静监控与合规治理。。 。。。。相对欠成熟的亚太和拉美地区的SIEM增添率远远高于在北美和欧洲市场。。 。。。。
从销量上看，，，主要照旧集中在Splunk、Arcsight、IBM、LogRhythm和McAfee身上。。 。。。。
2018年的SIEM MQ矩阵如下图所示：
比照一下2017年的矩阵：
可以发明：
1）向导者中三强职位相对稳固：经由三年的时间，，，SIEM市场三强IBM、Splunk、LogRhythm的第一集团优势已经形成，，，不管其它厂商收支向导者象限，，，他们三家的职位基本稳固。。 。。。。若是稍微调研一下这三家公司的SIEM产品，，，着实也会生长其产品战略有诸多相似之处，，，那即是在高级清静剖析领域特殊重视UEBA，，，在清静响应领域特殊重视SOAR，，，同时特殊重视云盘算情形下的SIEM应用场景，，，纷纷推出面向云盘算的SIEM，，，并提供支持MSSP和SaaS的版本。。 。。。。而IBM还在应用市场领域与Splunk睁开强烈的争取，，，Splunk的应用市场模式也已经被许多SIEM厂商所仿效，，，而这也是Splunk能够称霸三强的焦点竞争力。。 。。。。而从自身产品的周全性角度来看，，，IBM的功效显然更全，，，除了高级清静剖析和清静响应，，，尚有专门的NTA、弱点治理、危害治理。。 。。。。在高级清静剖析领域，，，除了有盛行的UEBA，，，还整合了Watson的AI功效。。 。。。。Splunk的功效笼罩面虽然不全，，，但他的优势照旧基于早前基于应用市场构建起来的开放生态。。 。。。。LogRhythm则紧跟Gartner对SIEM市场生长趋势的研判，，，自建了UEBA和SOAR功效，，，同时开发了EDR和NTA探针，，，从而增强了威胁检测能力。。 。。。。
2）UEBA成为SIEM的要害功效：若是说基于规则的关联剖析是SIEM的焦点功效，，，那么UEBA就是SIEM的要害功效。。 。。。。凭证Gartner的展望，，，到2020年，，，80%的SIEM产品都将具备UEBA功效。。 。。。。届时，，，UEBA生怕就成为SIEM的另一个焦点功效了。。 。。。。也正由于云云，，，现在位居向导象限的所有SIEM厂商都具备了UEBA功效。。 。。。。而其它SIEM厂商也都纷纷引入UEBA功效，，，岂论是自研照旧OEM。。 。。。。而在这些厂商中，，，最引人注目确当属依附UEBA起身的Exabeam和Securonix杀入了SIEM的向导者象限。。 。。。。从2017年两家厂商首次入围SIEM MQ到今年位列向导者象限，，，可见Gartner对其青睐有加。。 。。。。由于这两家厂商建设时间较短，，，因此他们的基础架构相关于其它家都要更为先进，，，且没有历史肩负。。 。。。。而老牌的厂商则要么面临老架构向新架构转型的痛苦，，，要么面临同时维护新老两套架构的贫困。。 。。。。而除了UEBA功效及其仰仗的底层大数据架构，，，Exabeam和Securonix的其它功效的体现着实也就中规中矩，，，可见UEBA有多讨好。。 。。。。
3）昔日豪强生长各异：关于多年以前在向导者阵营中争取桂冠的McAfee、DELL（RSA）和MicroFocus（Arcsight）而言，，，景物不再。。 。。。。McAfee算是三家中相对较好的，，，自从收购Nitro Security一举冲高后就从三甲的位置徐徐下滑，，，近三年都缩居在向导者象限的牢靠位置。。 。。。。Arcsight则在被HP收购后一起运气崎岖，，，从2016年跌出三甲，，，然后一起下滑，，，2017年退居挑战者象限，，，到了2018年则连挑战者的位置都仅仅是委屈保住，，，都快要掉入niche象限了。。 。。。。审查Arcsight在MQ中陨落的路径可以看到：在一连的团队动荡中，，，先是手艺退步，，，然后带来市场下滑。。 。。。。平心而论，，，我以为Arcsight手艺体现没有这么糟糕，，，更多照旧受公司折腾危险太深。。 。。。。在Gartner看来，，，Arcsight的手艺短板主要是架构新老搭配，，，切换不彻底，，，并且差别组件架构各不相同；；；；；尚有就是没有UEBA（现在是OEM Securonix的一个老旧版本）。。 。。。。再看看RSA，，，10年前依附envision位居SIEM三甲，，，厥后徐徐疏弃，，，眼看不可又收购了NetWitness，，，从2012年最先就一直牢靠在挑战者象限。。 。。。。然后在2018年，，，突然跳到了向导者象限且位居McAfee之上。。 。。。。仔细比照这两年的MQ报告，，，初略可以找到这个跳变的缘故原由：由于RSA收购了UEBA厂商Fortscale，，，同时在SOAR偏向OEM了Demisto，，，教科书般的遵照了Gartner的“教育”，，，以是排名就飙升了。。 。。。。反观McAfee，，，要不是去年OEM了一个UEBA产品，，，预计Leader阵营难保！
4）其它：Rapid7的买买买战略使得其快速扩充手艺能力，，，从2017年最先打榜SIEM MQ，，，暂居远见者象限。。 。。。。一众Niche象限的厂商们则要么手艺上不完全知足Gartner的研判标准，，，要么在市场上没有笼罩全球（尤其是北美市。。 。。。。。。 。。。。Trustwave和FireEye由于其SIEM营业聚焦于MSS/MDR，，，因此被移出榜单（由于Gartner将MSS/MDR界说为另外一个市场，，，尚有MQ）。。 。。。。NetIQ由于MicroFocus收购Arcsight后产品线重叠而下榜。。 。。。。LogPoint成为了第一家入围Gartner SIEM MQ的欧洲公司。。 。。。。
通太过析入围厂商，，，我们进一步可以发明：
1）Gartner十分看重UEBA功效。。 。。。；；；；；旧蟄EBA功效强弱与SIEM厂商的手艺职位成正比。。 。。。。UEBA可以说是现在高级清静剖析领域中相对最为成熟的剖析要领，，，也可以说是使用AI/ML和大数据做网络清静的最乐成的产品化实践之一。。 。。。。Gartner今年4月份宣布了最新版的UEBA市场市场指南（Market Guide），，，体现到2021年自力的UEBA市场将消逝，，，转而作为一个功效特征融入到其他一系列产品中去，，，其中与SIEM的融合尤为显著。。 。。。。同时，，，SIEM厂商近些年一直在结构UEBA及其底层的基于ML的行为剖析能力，，，作为对古板基于规则的关联剖析的有利增补，，，并建设更多抓客户眼球的用户视角的威胁场景。。 。。。。SIEM厂商获得UEBA能力的方法多种多样，，，有不少都接纳并购的方法，，，譬如Splunk的UBA功效来自于2015年对Caspida的收购，，，RSA则收购了Fortscale。。 。。。；；；；Ｉ杏械脑蚪幽蒓EM模式，，，譬如Arcsight、McAfee。。 。。。。
2）大数据架构已经成为主流。。 。。。。并不是说SIEM必需使用大数据架构，，，由于这是一个应用场景问题而非手艺问题。。 。。。。但面临大宗数据需要处置惩罚的场景时，，，基于大数据架构的SIEM则必不可少。。 。。。。得益于大数据手艺及其生态系统的日益成熟，，，新型的SIEM厂商有时机使用成熟的大数据手艺去构建其底层架构，，，从而为快速逾越古板的厂商创立了有利条件（但不是充分条件）。。 。。。。而古板的SIEM厂商出于维护存量客户和已有投资等缘故原由，，，无法快速将基于古板RDBMS的数据架构转换成大数据架构，，，尚有的转的又太早（早些年，，，开源的、轻量级大数据手艺尚未成熟）。。 。。。。进一步研究可以发明，，，像现在较量生猛的Exabeam和Securonix建设时间都较量晚，，，遇上了大数据手艺生长的好时光，，，其架构都是完全融合大数据手艺的。。 。。。。譬如Exabeam的底层数据架构基于ES（ELasticSearch）和Hadoop，，，新闻系统接纳Kafka，，，机械学习（ML）接纳Spark，，，而Securonix也是基于Hadoop、Kafka、HBase、Solr。。 。。。。SIEM三强，，，虽说不是彻底的大数据架构，，，但也基本刷新完成。。 。。。。Splunk和QRadar接纳了自己的NoSQL数据架构，，，同时推出了支持Hadoop架构的产品版本，，，LogRhythm的底层数据架构也已经刷新成了ES。。 。。。。
Gartner在报告中还专门提及了使用开源工具（譬如ELK、Apache Metron）自己搭建SIEM/SOC解决计划的情景。。 。。。。Gartner的研究批注，，，只管这些软件自己是免费的，，，但使用这些软件照旧较量腾贵的，，，包括陋习模的安排的本钱，，，以及事务源接入和剖析所需的开发事情量都很大。。 。。。。使用开源工具而非商业化产品不见得能够镌汰破费。。 。。。。
与这份SIEM MQ报告同期宣布的尚有SIEM CC（要害能力）报告。。 。。。。这份报告中，，，Gartner对入围的厂商从三个维度举行了打分排名。。 。。。。更主要地，，，枚举了Gartner在评估SIEM厂商时所关注的要害手艺能力，，，包括：
深感幸运地是，，，笔者作为亲历者，，，再次加入了这次SEIM MQ的入围事情。。 。。。。也是为了这次入围，，，笔者推迟了出来创业的时间。。 。。。。相较于去年的第一次加入，，，这次有了比照，，，感受也更多。。 。。。。这次评选相较于上次评选在一些评价点上举行了细化，，，从而使总的评价项又增添了不少。。 。。。。除了手艺方面的评价项，，，尚有许多公司战略、产品营业模式、产品市场营销、产品设计与妄想方面的评价项。。 。。。。有些评价项是我平时并不怎么关注的，，，经由Gartner的提醒，，，倒让我对产品治理有了更多的考量。。 。。。；；；；Ｗ防纯，，，对笔者而言，，，加入Gartner SIEM MQ入围已经无关产品声誉，，，更多则是磨炼自己国际化视野下的产品妄想与治理能力。。 。。。。
（泉源：51CTO博客作者叶蓬原创作品）
Copyright ? 918博天堂 版权所有 京ICP备05032414号 
京公网安备11010802024551号
