المحتويات
المقدمة
منصة SIEM التزام يدوم سنوات. فقواعد الكشف ولوحات المعلومات وأدلة التنفيذ ومهارات المحللين تُبنى كلها حول لغة استعلام واحدة ونموذج بيانات واحد، والانتقال لاحقًا مكلف. ولا يعتمد الاختيار الصحيح على قوائم الميزات بقدر ما يعتمد على مكان سجلاتك، وطريقة دفعك مقابل البيانات، والمكان المسموح بتخزينها فيه.
نموذج التسعير أهم من الميزات
تأتي معظم مفاجآت تكلفة SIEM من نموذج التسعير لا من السعر المعلن. فالتسعير حسب الاستقبال يحتسب لكل غيغابايت يوميًا، مما يعاقب المصادر كثيفة السجلات ويدفع الفرق إلى إسقاط سجلات مفيدة. أما التسعير حسب الحمل أو الحوسبة فيحتسب سعة البحث والتحليل. ويجعل التسعير حسب الأصول أو المستخدمين التكلفة متوقعة، لكنه قد يخفي حدودًا على الاحتفاظ أو حجم البيانات. احسب أحجام سجلاتك الفعلية لكل خيار قبل مقارنة العروض.
أبرز المنصات في لمحة
| المنصة | تشتهر بـ | ما يجب الانتباه إليه | تناسب |
|---|---|---|---|
| Microsoft Sentinel | SIEM وSOAR سحابيان، ولغة KQL، واستقبال مجاني لكثير من مصادر Microsoft، وتوحيد مع بوابة Defender | تكلفة استقبال المصادر غير التابعة لـ Microsoft، واستضافة في Azure فقط | المؤسسات المعتمدة على Microsoft والموجودة على Azure |
| Splunk Enterprise Security | بحث SPL مرن جدًا، ومنظومة تطبيقات ضخمة، وسحابي أو محلي، وأصبح جزءًا من Cisco | التكلفة عند الأحجام الكبيرة، ويحتاج إلى مسؤولين ماهرين | مراكز العمليات الكبيرة ذات البيانات المعقدة والمتنوعة والهندسة الناضجة |
| Google Security Operations | بحث سريع مع احتفاظ طويل، وكشف YARA-L، واستخبارات Google وMandiant مدمجة | منظومة جهات خارجية أصغر، وسحابي فقط | البيئات عالية الحجم التي تريد احتفاظًا طويلًا وسريع الوصول |
| Elastic Security | قواعد كشف مفتوحة، وES|QL، وإدارة ذاتية أو سحابية، وتسعير حسب الموارد | تشغّل المجموعة وتضبطها بنفسك عند الإدارة الذاتية | الفرق التي تقودها الهندسة والمتطلبات المحلية |
| IBM QRadar SIEM | منصة SIEM محلية راسخة بربط ناضج للأحداث | انتقل QRadar SaaS إلى Palo Alto Networks في 2024، فتحقق من الخطة طويلة المدى | بيئات QRadar الحالية التي تخطط لخطوتها التالية |
| Wazuh | مجاني ومفتوح المصدر، قائم على الوكلاء، مع مراقبة سلامة الملفات وربط الامتثال | التوسع والدعم مسؤوليتك | الفرق الصغيرة والمختبرات وعمليات النشر محدودة الميزانية |
موقع البيانات في الخليج وخارجه
تحتوي السجلات الأمنية على أسماء مستخدمين وعناوين IP وعناوين رسائل، وأحيانًا بيانات عملاء، لذلك تخضع لقوانين حماية البيانات. وتواجه المصارف والجهات الحكومية ومشغلو البنية التحتية الحرجة في السعودية والإمارات وقطر غالبًا قواعد تفرض بقاء بيانات معينة داخل البلد أو في سحابات معتمدة. تأكد من المناطق التي يعمل فيها كل SIEM سحابي، وهل تخرج النسخ الاحتياطية ووصول الدعم من المنطقة، وهل يوجد خيار محلي أو سحابة محلية إذا طلبت الجهة التنظيمية ذلك.
إجراء تقييم عادل
- اختر من خمس إلى عشر حالات كشف تهمك، مثل السفر المستحيل، أو رفع الصلاحيات في لوحة السحابة، أو حذف الملفات بكميات كبيرة.
- أدخل مصادر السجلات نفسها إلى كل SIEM في القائمة المختصرة، وقس وقت التحليل والتوحيد.
- اكتب كل قاعدة كشف بكل لغة استعلام. يخبرك الجهد المطلوب بالكثير عن الحياة اليومية مع المنصة.
- أعد تشغيل هجوم واقعي وقس وقت الكشف والتحقيق والتسليم إلى SOAR أو نظام الطلبات.
- احسب تكلفة ثلاث سنوات مع النمو المتوقع للحجم، بما في ذلك الاحتفاظ وأي فئات بيانات متميزة.
اجعل قواعد الكشف قابلة للنقل
أيًا كان اختيارك، اكتب قواعد الكشف بصيغة Sigma كلما أمكن واحفظها في نظام لإدارة الإصدارات. تتحول قواعد Sigma إلى KQL وSPL وES|QL ولغات أخرى، مما يحمي استثمارك إذا انتقلت لاحقًا ويسهل مشاركة منطق الكشف مع الشركاء ومراكز ISAC.
كيف سنختار
اختر Sentinel إذا كانت Microsoft منصتك الرئيسية. واختر Splunk إذا كانت بياناتك معقدة ومتنوعة ولديك الميزانية والأشخاص للاستفادة منها. واختر Google Security Operations إذا كانت الأولوية لاحتفاظ طويل وسريع بحجم كبير. واختر Elastic أو Wazuh عندما تحتاج إلى التحكم أو النشر المحلي أو ترخيص أقل تكلفة ولديك القدرة الهندسية لتشغيلهما. وفي كل الأحوال، ستكون جودة بياناتك وقواعد الكشف أهم من الشعار على لوحة التحكم.
الخاتمة
منصة SIEM التزام طويل المدى، ويؤثر فيه التسعير وموقع البيانات بقدر ما تؤثر الميزات. قيّم قائمتك المختصرة بمصادر سجلاتك، وقدّر التكلفة بحجم واقعي، واجعل قواعد الكشف قابلة للنقل لتتمكن من تغيير المنصة لاحقًا.
- SIEM
- Microsoft Sentinel
- Splunk
- Google SecOps
- Elastic
- QRadar
- Wazuh
- مقارنة الأدوات
