Splunk vs. ELK: Was funktioniert am besten für Sie?

Log-Management-Lösungen spielen eine entscheidende Rolle im mehrschichtigen Sicherheits-Framework eines Unternehmens - ohne sie haben Unternehmen wenig Einblick in die Aktionen und Ereignisse, die in ihren Infrastrukturen stattfinden und entweder zu Datenschutzverletzungen führen oder auf eine laufende Sicherheitsverletzung hinweisen könnten. Splunk und ELK (auch bekannt als BELK oder Elastic Stack) sind zwei der führenden Unternehmenslösungen in dieser Kategorie. Schauen wir uns an, wie sie sich in diesem Vergleich schlagen.

Die meisten, wenn nicht sogar alle Systeme und Geräte in heutigen IT-Umgebungen generieren umfangreiche Protokolldateien, in denen die Details des täglichen Betriebs aufgezeichnet werden: auf welche Ressourcen zugegriffen wurde und von wem, durchgeführte Aktivitäten, Fehler/Ausnahmen, auf die der Host gestoßen ist und vieles mehr. Wie Sie sich vorstellen können, kann das Volumen der Protokolldateien in der Infrastruktur eines Unternehmens schnell unhandlich werden. Log-Management- und Analyselösungen ermöglichen es Unternehmen, aus diesem Datenmeer kollektive, verwertbare Informationen zu gewinnen.

Splunk

Splunk ist als "Google für Logfiles" bekannt und wird nicht nur als Protokollverwaltungs- und Analyseplattform sondern auch als SIEM-Lösung (Security Information and Event Management) vermarktet. SIEM ist im Wesentlichen Log-Management, wie es auf die Sicherheit angewendet wird: Durch die Vereinheitlichung von Logfile-Daten, die von einer Vielzahl von Systemen und Geräten in einer IT-Umgebung gesammelt wurden, können Betreiber und Infosec-Experten von einer einzigen Schnittstelle aus Sicherheitsanalysen und -bewertungen höherer Ordnung in Bezug auf den kollektiven Zustand ihrer Systeme durchführen. Es gibt eine Fülle von SIEM-Produkten auf dem Markt, aber Splunk ist in dieser Kategorie aufgrund seiner bereits erwähnten Google-ähnlichen Suchfunktionen führend. Die Plattform verwendet eine proprietäre Suchsprache namens Search Processing Language (SPL) zum Durchlaufen und Ausführen von kontextbezogenen Abfragen großer Datensätze.

Splunk bietet außerdem über 1000 Apps und Add-ons, mit denen Sie die Funktionen der Plattform erweitern können, um verschiedene Datenquellen zu unterstützen.

ELK/Elastischer Stapel

ELK steht für Elasticsearch, Logstash und Kibana und ist eine konsolidierte Datenanalyseplattform des Open-Source-Softwareentwicklers Elastic. Das Unternehmen ist vor allem für Elasticsearch bekannt, seine skalierbare Suchplattform auf Basis von Apache Lucene. Wie bei vielen Open-Source-Angeboten, die sich an Unternehmen richten, sind kostenpflichtiger kommerzieller Support und Beratung das tägliche Brot und die Butter. Der Software-Stack von ELK besteht aus Elasticsearch (verteilte RESTful-Such-/Analyse-Engine), Logstash (Datenverarbeitungs-Pipeline) und Kibana (Datenvisualisierung). In jüngerer Zeit hat Beats seinen Weg in den Stack gefunden und bietet agentenbasierten Datenversand zu einem einzigen Zweck. Dieses Konglomerat wird nun von Elastic als Open-Source-Elastic Stack vermarktet.

Zusätzlich zum ELK/Elastic-Stack ist jede dieser Technologien als diskretes Angebot von Elastic erhältlich.

Side-by-Side-Scoring: Splunk vs. ELK/Elastic Stack

1. Funktionsumfang

Splunk und ELK/Elastic Stack sind leistungsstarke, umfassende Protokollverwaltungs- und Analyseplattformen, die sich durch die Erfüllung der Anforderungen der anspruchsvollsten Anwendungsfälle in Unternehmen auszeichnen. Beide sind hochgradig anpassbar und bieten eine Reihe von Funktionen, die Sie von einer kompetenten Lösung in dieser Kategorie erwarten würden: erweiterte Berichterstellung, robuste Suchfunktionen, Warnungen/Benachrichtigungen, Datenvisualisierungen und mehr.

2. Benutzerfreundlichkeit

Beide Lösungen sind relativ einfach zu implementieren und zu verwenden, insbesondere angesichts der Breite der Funktionen und Fähigkeiten der jeweiligen Plattform. Allerdings bieten die Dashboards von Splunk zugänglichere Funktionen und die Konfigurationsoptionen sind etwas raffinierter und intuitiver als die von ELK/Elastic Stack. Darüber hinaus sind die Benutzerverwaltungsfunktionen von ELK schwieriger zu bedienen als die von Splunk. Auf der anderen Seite bietet AWS Elasticsearch als Service an, der einen Großteil der Schwierigkeiten bei der Bereitstellung und Verwaltung beseitigt.

3. Unterstützung durch die Community

Beide sind Marktführer in ihren jeweiligen Kategorien mit einer großen Community von Nutzern und Unterstützern. Open Source hat jedoch seine Vorteile, und ELK/Elastic Stack verfügt über eine sehr aktive und reaktionsschnelle Entwickler-/Benutzergemeinschaft sowie eine Fülle von Ressourcen, die online verfügbar sind. Sehen Sie sich die Elastic-Bibliothek mit von der Community bereitgestellten Clients für verschiedene Programmiersprachen an.

4. Freigaberate

Beide Lösungen wurden im Laufe der Jahre regelmäßig veröffentlicht: Das Enterprise-Angebot von Splunk liegt derzeit in Version 6.5 vor, während ELK/Elastic Stack-Releases - als Composite-Plattform - pro Komponente geschichtet sind. Derzeit befindet sich Elastic Stack (sowie seine Kernkomponenten: Kibana, Elasticsearch, Beats und Logstash) in Version 5.0. Die vollständige Versionshistorie für Elastic und Splunk finden Sie auf den Websites der Anbieter.

5. Preisgestaltung und Support

Splunk ist ein proprietäres Unternehmensangebot mit einem High-End-Preisschild, während ELK/Elastic Stack eine kostenlose Open-Source-Plattform ist. Trotzdem können die Gesamtbetriebskosten von ELK/Elastic Stack auch bei umfangreichen Infrastrukturen recht hoch sein: Hardwarekosten, Speicherpreise und professionelle Dienstleistungen können sich schnell summieren (obwohl der oben erwähnte AWS-Service dies vereinfachen kann, wenn Cloud-Hosting eine praktikable Option ist). Sowohl Splunk als auch ELK/Elastic Stack bieten jetzt Cloud-basierte, gehostete Versionen für preisbewusstere Unternehmen an. In Bezug auf den Support sind sowohl ELK/Elastic Stack als auch die Support-Angebote von Splunk außergewöhnlich.

6. API und Erweiterbarkeit

Splunk bietet eine gut dokumentierte RESTful-API mit über 200 Endpunkten für den Zugriff auf alle Funktionen des Produkts sowie SDKs für gängige Sprachen. Elasticsearch von ELK/Elastic Stack wurde von Grund auf als verteilte Such- und Analyse-Engine unter Verwendung von Standard-RESTful-APIs und JSON entwickelt. Es bietet auch vorgefertigte Clients zum Erstellen benutzerdefinierter Apps in Sprachen wie Java, Python, .NET und mehr.

7. Integrationen von Drittanbietern

Splunk bietet über 1000 Add-ons und Apps in seinem Splunkbase-App-Portal, die in 6 Kategorien unterteilt sind: DevOps, IT-Betrieb, Sicherheit/Betrug/Compliance, Business Analytics, IoT/Industriedaten und Dienstprogramme. Um nicht zu übertreffen, bietet ELK/Elastic Stack auch eine Fülle von Plugins und Integrationen, sowohl aus der Community als auch von Drittanbietern.

8. Unternehmen, die es verwenden

Splunk hat über 12.000 Kunden und 80 der Fortune 100-Unternehmen: Adobe, BlackRock, Coca-Cola, ING, Tesco, AAA, Staples und andere. Die Kundenliste von Elastic ist ebenso beeindruckend und besteht aus Ebay, Verizon, Netflix, Cisco, Salesforce, Facebook, Thomson Reuters, um nur einige zu nennen.

9. Lernkurve

Die Lernkurve von ELK/Elastic Search ist für das, was es tut, überraschend flach. Splunk hat eine moderate Lernkurve, insbesondere wenn es darum geht, Fachwissen für die Durchführung speziellerer Analysen aufzubauen.

10. Sicherheitsbewertung

Splunk hat eine respektable Sicherheitsbewertung von 836/950, während es eine niedrigere, aber immer noch anständige Bewertung von 779/950 erzielt.

Anzeigetafel und Zusammenfassung

Kurz gesagt, sowohl Splunk als auch ELK/Elastic Stack sind kompetente Protokollverwaltungs- und Analyseplattformen der Enterprise-Klasse, denen die weltweit führenden Unternehmen vertrauen. Die Gesamtbetriebskosten können für beide Lösungen erheblich sein. Als Reaktion auf die Nachfrage von preisbewussteren Unternehmen haben Splunk und Elastic kürzlich damit begonnen, gehostete Versionen ihrer Produkte anzubieten.

Log Analytics und SIEM sind nur ein Teil des kontinuierlichen Sicherheitspuzzles. Um die Ausfallsicherheit von Unternehmen zu erreichen, bietet UpGuard Unternehmen die Möglichkeit, zu überprüfen, ob alle IT-Assets in ihren Umgebungen optimal konfiguriert und frei von Schwachstellen sind - zum Beispiel, dass Splunk-Agenten auf allen Servern, die verwaltet werden sollen, korrekt installiert sind. Unsere Plattform lässt sich sofort in Splunk integrieren, um erkannte Änderungen an Konfigurationselementen mit Ereignissen zu korrelieren, was zu genaueren Einblicken und zeitnaher Reaktion/Behebung führt.