Splunkとは？何ができるのかと中小企業に要るかを公式情報で整理

Splunk（スプランク）⁠と⁠は⁠、ログなどのデータを集めて検索、分析、可視化、監視するデータ基盤と、セキュリティや運用監視の製品群のことです。2024年3月18日⁠にCiscoが買収を完了しました。運用できる人がいる中小企業なら選択肢になりますが、兼任の担当者だけなら監視の外注を先に比べるのが現実的です。

今日やることは、社内のログの量を確かめることです。保守会社か情シス兼任者に「主要な機器とサーバーのログは1日⁠に何GB出ていますか⁠」⁠と聞いてください。答えが出なければ、Splunkの見積もりを正しく比べる材料がまだ無いということです。

この記事は公式の情報を整理したものです。私たちがSplunkを導入や検証したわけではありません。

Splunkでは何ができるのか？

製品の中心は2つ⁠のデータ基盤と、セキュリティや監視の製品です。公式の価格ページとSplunk Enterpriseの製品ページ⁠をもとに整理すると、次のようになります。

同じ「Splunk」⁠で⁠も⁠、基盤とセキュリティ製品は別の話です。「Splunkを入れる」⁠と聞いたら、どの製品のことかを先に確かめます。ログの検索基盤が欲しいのか、SIEMが欲しいのかで、費用も運用も変わります。

SIEMとして見たときの中身

Splunk Enterprise Securityには、EssentialsとPremierの2つ⁠のエディションがあります。価格ページの表では、どちらにもSIEM、脅威インテリジェンス、Detection Studio、Exposure Analyticsが入ります。SOARとUEBA（利用者や機器の行動の分析）⁠、自動の脅威分析はPremierだけです。

エディションの差は、見積もりの額に直結しそうな点です。自社に自動対応の手順を作る人がいないなら、Premierの機能を使いきれるかを考えます。SIEMそのものの役割は、SIEMの役割と中小企業での判断⁠で説明しました。

料金はどう決まるのか？

料金の方式のページ⁠によると、方式は4つあります。

ログのセキュリティ分析に使うなら、見るのは上の3つです。ワークロード方式の単位は、Splunk Cloud PlatformがSVC（Splunk Virtual Compute）⁠で⁠す⁠。Splunk EnterpriseはvCPUで測ります。公式の説明では、SVCは主に検索の量と複雑さ、毎日の取り込み量で変わります。

どちらが得かは、使い方で変わります。公式の説明では、ワークロード方式はめったに検索しないデータを保管する場合に向きます。アクティビティ方式は、複雑で予測しにくい使い方に向くとされています。兼任の担当者が方式の違いを読み解いて試算するのは、負担が大きい作業です。

金額は公開されているのか

Enterprise Securityは、価格ページでは「Get a quote」⁠となっており、見積もりで確かめる形です。明確な金額の例はObservability Cloudの「1ホストあたり月15ドルから」⁠で⁠、これはSIEMの価格ではありません。比較サイトの数字を当てにせず、自社のログ量を伝えて見積もりを取ります。

見積もりでは、次を確かめます。

• 想定のログ量が増えたときの費用。公式は、購入した量を継続的に超えた場合に超過分を請求すると説明している
• データの保存期間と、延ばしたときの費用
• 導入と運用を誰が担うか。ライセンスの外にかかる費用はいくらか
• Cisco製品を使っている場合、対象データへの0.5倍⁠の加重取り込みが当てはまるか

無料で試せるのはどこまでか？

無料の入口は2つあります。

• Splunk Enterpriseの無料トライアル：60日間、1日500MBまで取り込める。クレジットカードは不要
• Splunk Free：期限なしで1日500MBまで取り込める

Freeは、検索やデータ取り込みの練習に向く版です。公式の説明では、警告（アラート）機能が無く、ユーザーや権限もなく、認証なしで全操作ができます。1台構成に限られ、分散構成も使えません。

警告が出ないので、Freeで監視の代わりはできません。社内のログを練習用に入れる場合も、認証がない点に注意が要ります。1日500MB⁠は月に約7GB⁠の保存量になると公式は説明しており、ログの多い会社では足りない量です。

中小企業に合うのはどんな場合か？

規模で一律には決まりません。次の条件で考えます。これは私たちの整理で、Splunkが示した基準ではありません。

合う場合

• 検索や検知の条件を作り、調整を続ける担当者か外部の運用先がある
• セキュリティだけでなく、設備やアプリのログも同じ基盤で分析したい
• 自社のデータセンターや閉じた環境で動かす必要がある。Splunk Enterpriseはエアギャップ環境への導入も示している
• すでに親会社や取引先の指定でSplunkを使っている

たとえば、複数の工場を持つ部品メーカーで、製造装置やアプリのログを社内の技術者が分析している場合です。セキュリティのログも同じ基盤に載せる話なら、検討する意味があります。分析を内製できる人がすでにいるからです。

合わない場合

• ログを見る担当者が兼任で、週に数時間しか取れない
• 守りたいのが主にパソコンとサーバーで、監視を任せたいだけ
• ログの量の見通しがなく、予算の上限が先に決まっている

オーストラリアのサイバーセキュリティ機関とCISAなどは、SIEM導入の指針⁠でSIEMを設定して終わりの道具ではないと述べています。利用料のほかに、専門の人員や教育の費用も挙げています。これはSplunkに限らず、SIEM全般の話です。

こうした会社は、MDR・SOC監視サービスの比較か、IPAのお助け隊サービスの一覧から見るほうが現実的です。警告を受けて誰が動くかは、専任なしで作るCSIRTの役割分担⁠で先に決められます。

ほかの製品とどう比べるか？

製品名から入らず、次の順で比べます。

1. 自社で運用するのか、運用まで頼むのかを決める
2. 必要なログと1日⁠の量を出す
3. 同じ条件で、複数の製品に見積もりを依頼する
4. 検知の条件を誰が作り、警告を誰が見るのかを確かめる

課金の単位は製品で違います。たとえばMicrosoft Sentinel⁠の分析用の層は、従量課金ならデータ量に基づき、90日⁠を超える保持が追加費用です。単価だけ並べても比べられないので、自社のログ量で年額に直して比べます。

候補を並べるときはSIEM製品の比較を使えます。ログの保存だけで足りそうならログ管理製品の比較を見ます。自動対応の仕組みはSOAR製品の比較にまとめています。

監視や運用の全体像は、監視・運用・社内体制のカテゴリ⁠にまとめています。