SOAR资讯 【转载】Forrester:2020 年安全分析平台厂商评估

poker · 2021年01月25日 · 50 次阅读

在 Gartner 2020 年度的 SIEM 魔力象限出来之前,我们先看看 Forrester 最新的安全分析平台(Security Analytics Platform)的厂商评估报告(Forrester Wave),发表于2020年12月1日。Forrester 的 SAP 细分市场大致对应于 Gartner 宇宙的 SIEM 细分市场。

上一次 Forrester 发布 SAP 的厂商评估报告还是在 2018 年,时隔两年多,变化还是比较大的,因为最近几年正值 SIEM/SOC/SAP 领域翻天覆地的时代。

Forrester 在此前的另一份报告《Now Tech: Security Analytics Platforms, Q3 2020》中给出了最新的 SAP 定义:

SAP 构建在大数据基础设施之上,融合来自网络、身份、端点、应用和其它安全相关数据源的日志,产生高保真的行为告警,并促成快速的安全事件分析、调查与响应。

回顾一下 Forrester 首次定义 SAP 的时候,是在《Counteract Cyberattacks With Security Analytics》报告中:

SAP 是一个构建在大数据架构之上的平台,它融合了来自包括 SIM,(特定)安全解决方案,网络流数据,外部威胁情报和各种终端及应用的日志数据、关联数据和报表数据。SAP 使用这些信息和机器学习技术为(用户)提供实时监测,促使(用户)更快速地事件检测、分析与响应。

对比一下,定义大致保持一致,并且现在的定义更加简洁。

注意,SAP 不等于 SA,SA(安全分析)是一种技术,不是一个细分产品市场!

Forrester 认为当前 SAP 的三个核心用途是:

  • 通过更好的网络可见性识别位置威胁

  • 借助自动化告警分诊和响应推荐来支撑 SOC 分析师的工作

  • 实现整个环境的编排化响应

显然,Forrester 对 SAP 的定义外延比经典的 SIEM 更大,称作下一代的 SIEM,更贴近我们现今对安管平台(或者 SOC 平台)的认知。当然,现在 Gartner 在分析 SIEM 市场的时候也早已不在局限于经典 SIEM 范围了,大家对市场的认识都在趋同。ESG 的 SOAPA 也差不多是一个意思。

在 Forrester 看来,SOAR 是 SAP 的核心能力,甚至以此来区分不同类型的 SAP。此外,Forrester 直接使用 Gartner 宇宙的 SOAR 术语,以替代原来的 SAO。

小结一下,用我们通俗可以理解的话来描述,SAP = 大数据 + SIEM + SOAR + XDR + UEBA。

回到报告,2020 年的 Forrester Wave 象限图如下:

对比一下 2018 年的 Wave 象限图:

可以看到,这个变化还是比较大的。

首先,AlienVault 已经被 AT&T 收购,McAfee、Fortinet、Huntsman 也没有上榜,而 FireEye 上榜了。

其次,微软凭借 Azure Sentinel 上榜,且位置突出,表明 Forrester 对 Cloud SIEM(该术语来自 Gartner)市场的重视。而 Gartner 目前还没有将 Cloud SIEM 纳入 SIEM MQ 考察范围。

最后,也是最重要的,维持入榜的厂商位置都发生了较大变化。IBM 和 Splunk 两强领跑,LogRhythm 退居二线,Securonix 和 Exabeam 凭借 UEBA(Forrester 称之为 SUBA)技术异军突起。

进一步来看,IBM 和 Splunk 十分贴合 Forrester 对 SAP 的看法(也不好说是谁影响了谁),都是 SIEM+SOAR 的战略,都有云端 SAP 产品和服务,市场表现也很好。

LogRhythm 虽也有 SOAR 和 SaaS 版,都这些能力表现都差强人意。不过这个报告没来及讲到的是,就在2021年1月13日,LogRhythm 宣布收购云分析平台厂商 MistNet,预计将重组其围绕看家的 SIEM 之上的 XDR 和 Cloud SIEM 技术/产品/市场战略。

Micro Focus 的 Arcsight 在经历了数年的大滑坡后,也稍稍回血,先是 2019 年收购了 Interset 获得了 UEBA 技术,然后在 2020 年 7 月收购了 ATAR Labs 获得了 SOAR 技术,总算是面子上追了回来,但整合的如何尚未可知。而且 Forrester 认为 Arcsight 拥抱云相较于其它几个大厂而言太晚了点。

顺带提一下,Micro Focus 旗下的 Arcsight 退步是有目共睹,但 Forrester 还算手下留情,给它放到的第二档,而 Gartner 则狠心将其放到了 2019 年度 MQ 的第四档。

Forrester 对 SAP 的主要观点

Forrester 认为,SAP 的未来在云端,因为用户的工作负载在向云端迁移,而且云端具有存储极易扩容、轻松上规模、稳定可靠等特点,另外云端 SAP 的软件开发与发布更高效。从实际市场来看,Forrester 发现主流的 SAP 厂商都开始提供 Cloud SIEM。

  • 微软的 Azure Sentinel 可谓云原生 SAP,走到了 GCP Chronicle 前面。

  • IBM 凭借 QRadar 和 Resilient 上榜,同时 Forrester 也提到了 IBM 的 CloudPak for Security Platform,作为其向云转战的标志。

  • Spunk 凭借 ES 和 Phantom 上榜,同时其面向云的 Misson Control 受到关注。

  • Securonix 也推出了基于 SaaS 的多租户版 SAP。

Forrester 给选择 SAP 的客户提了 4 点建议,也就是 SAP 应具备的 4 个关键能力:

1)客户定制化能力,特指分析内容,分析场景和分析模型的自定义;

2)分析与自动化响应一体化,不仅能够发现问题,还能帮助解决问题;

3)把 MITRE 的 ATT&CK 框架作为安全运行的一部分,贯穿检测、调查和猎捕的各个环节;

4)具备 XDR 的愿景,能够将 EDR 很好的整合到安全分析中来。

Forrester 在评估 SAP 厂商技术能力的时候,考量的维度包括:部署模式和数据架构、可见性、关联分析能力、威胁检测能力、ATT&CK 映射、定制化检测能力、安全编排能力、合规性、平台使用体验、分析能力、风险评分与优先级划分能力。

小结

建议大家结合笔者2019 年的 Gartner SIEM MQ 分析文章来看这个报告,尤其是厂商分析部分。

正如笔者在上个文章《Ponemon:再谈 SOC 出效果要花多少钱》中指出的那样,SAP/SOC/SIEM 迎来了一个大发展的时代,必须求变才能顺应这个潮流。

转载声明

本文转载自:https://www.secrss.com/articles/28740

暂无回复。
需要 登录 后方可回复, 如果你还没有账号请点击这里 注册