เก็บ Log บนคลาวด์ ทำได้แค่ไหน — "ระบบอยู่บนคลาวด์" กับ "ดึง log จากคลาวด์" คนละเรื่องกัน
zcrLog Cloud ต่อ Entra ID, Microsoft 365, AWS CloudTrail และ SentinelOne ได้แล้ว ส่วน Google Workspace ยังไม่ได้ เริ่ม 4,000 บาท/เดือน เก็บย้อนหลัง 90 วัน
เก็บ Log บนคลาวด์ ทำได้แค่ไหน — "ระบบอยู่บนคลาวด์" กับ "ดึง log จากคลาวด์" คนละเรื่องกัน
เวลามีคนถามว่า "มีระบบเก็บ log แบบคลาวด์ไหม" คำตอบที่ตรงที่สุดคือถามกลับก่อนว่าหมายถึงแบบไหน เพราะคำนี้ใช้กันอยู่สองความหมายที่คนละเรื่องกันเลย แล้วพอตกลงกันคนละความหมายตั้งแต่ต้น สุดท้ายก็ไปเถียงกันตอนขึ้นระบบจริง
ความหมายแรกคือ ตัวระบบเก็บ log รันอยู่บนคลาวด์ องค์กรไม่ต้องซื้อเครื่อง ไม่ต้องหาที่วางใน rack จ่ายเป็นรายเดือนแล้วส่ง log ขึ้นไป
ความหมายที่สองคือ ดึง log ออกมาจากบริการคลาวด์ ที่องค์กรใช้อยู่ เช่น Microsoft 365, Google Workspace, AWS
สองอย่างนี้ไม่เกี่ยวกันเลย ระบบที่รันบนคลาวด์อาจดึง log จากคลาวด์อื่นไม่ได้เลยก็ได้ และระบบที่ติดตั้งในองค์กรเองก็อาจดึง log จากคลาวด์ได้สบาย zcrLog เองวันนี้ต่อได้หลายแหล่งแล้ว แต่ก็ยังมีบางแหล่งที่ต่อไม่ได้ — ไล่ให้ดูทีละข้อ
แบบที่ 1 — ตัวระบบอยู่บนคลาวด์
นี่คือส่วนที่ตรงไปตรงมาที่สุด zcrLog มีแบบที่รันบนคลาวด์ให้ใช้ ไม่ต้องมีฮาร์ดแวร์ของตัวเอง
| แพ็กเกจ | ราคา | ปริมาณ log ต่อวัน | EPS | จำนวนอุปกรณ์ | เก็บย้อนหลัง |
|---|
| zcrLog-Cloud1 | ฿4,000/เดือน | 1 GB | ตามปริมาณข้อมูล | ไม่จำกัด | 90 วัน |
| zcrLog-Cloud2 | ฿10,000/เดือน | 3 GB | ตามปริมาณข้อมูล | ไม่จำกัด | 90 วัน |
| zcrLog-Cloud3 | ฿14,800/เดือน | 5 GB | ตามปริมาณข้อมูล | ไม่จำกัด | 90 วัน |
| zcrLog-Cloud4 | ฿26,800/เดือน | 10 GB | ตามปริมาณข้อมูล | ไม่จำกัด | 90 วัน |
จุดที่อยากให้สังเกตคือ ฟีเจอร์ของทุกแพ็กเกจเหมือนกันหมด ต่างกันแค่ความจุ ไม่มีการล็อกฟีเจอร์สำคัญไว้ที่แพ็กเกจแพงแบบที่เจอบ่อยในตลาด องค์กรเล็กที่เริ่มจาก Cloud1 ก็ได้ MITRE ATT&CK mapping, executive summary report, การแจ้งเตือน และ multi-tenant เหมือนกับที่ Cloud4 ได้
สิ่งที่ต้องประเมินก่อนเลือกแพ็กเกจจึงไม่ใช่ฟีเจอร์ แต่เป็นปริมาณ log ต่อวันขององค์กรว่าอยู่แถว 1, 3, 5 หรือ 10 GB — ส่วน EPS และจำนวนอุปกรณ์เป็นแค่ตัวเลขอ้างอิง ไม่ใช่เพดานที่ใช้คิดราคา
เรื่องที่มักถูกมองข้ามคือตัวเลข 90 วัน ในคอลัมน์สุดท้าย มันไม่ใช่ตัวเลขที่ตั้งมาลอย ๆ แต่มาจาก พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ที่กำหนดให้ผู้ให้บริการเก็บข้อมูลจราจรทางคอมพิวเตอร์ไว้ไม่น้อยกว่า 90 วัน ใครที่กำลังเทียบราคาระบบคลาวด์หลายเจ้าอยู่ ควรดูให้ดีว่าราคาที่เห็นรวม retention 90 วันไว้แล้วหรือคิดเพิ่มทีหลัง เพราะนี่คือจุดที่ราคาบานปลายได้มากที่สุด เราเขียนเรื่องข้อกำหนดการเก็บ log ตาม พ.ร.บ. คอมฯไว้ละเอียดกว่านี้ ถ้าต้องเอาไปทำเอกสารส่งผู้ตรวจ
แบบที่ 2 — ดึง log จากบริการคลาวด์
ตรงนี้คือส่วนที่ต้องพูดให้ตรงที่สุด เพราะเป็นจุดที่บทความการตลาดส่วนใหญ่ชอบเขียนคลุมเครือ
แหล่ง log บนคลาวด์ที่ zcrLog รองรับแล้วและที่ยังอยู่ในคิว (ดูรายการปัจจุบันได้ที่ หน้าสินค้า zcrLog) เป็นแบบนี้
| แหล่ง log บนคลาวด์ | สถานะ | เก็บอะไรได้ |
|---|
| Microsoft Entra ID (Azure AD) | ✅ ใช้งานได้แล้ว | Sign-in Logs, Audit Logs, Directory Sync, Multi-tenant |
| Microsoft 365 (Exchange, SharePoint, Teams) | ✅ ใช้งานได้แล้ว | audit log ของ Exchange, SharePoint และ Teams ผ่าน Office 365 Management API |
| SentinelOne (EDR) | ✅ ใช้งานได้แล้ว | API Ingestion, Real-time Alerts, Threat Detection |
| AWS CloudTrail | ✅ ใช้งานได้แล้ว | event ของ CloudTrail |
| Google Cloud | ✅ ใช้งานได้แล้ว | Cloud Audit Logs |
| CrowdStrike Falcon (EDR) | ✅ ใช้งานได้แล้ว | log จาก EDR |
| Google Workspace | ⏳ เร็ว ๆ นี้ | — |
| Okta | ⏳ เร็ว ๆ นี้ | — |
สรุปสั้น ๆ คือ ฝั่ง Microsoft ต่อได้จริงแล้วทั้ง Entra ID และ Microsoft 365 ส่วน AWS CloudTrail, Google Cloud และ CrowdStrike ก็ใช้ได้แล้วเหมือนกัน ที่ยังไม่ได้คือ Google Workspace กับ Okta
ตารางข้างบนเป็นของ zcrLog ส่วน zcrSIEM ซึ่งเป็นคนละผลิตภัณฑ์ มีแคตตาล็อก integration ของตัวเองแยกต่างหาก และเก็บแหล่งเหล่านี้ได้เหมือนกัน — AWS CloudTrail (ดึง management กับ data event จาก S3 ผ่าน SQS), CrowdStrike Falcon และ Google Cloud audit log ผ่าน Pub/Sub — zcrLog กับ zcrSIEM ซื้อแยกกันได้ ไม่ต้องมีตัวหนึ่งก่อนถึงจะใช้อีกตัวได้
มีจุดที่คนสับสนบ่อย: Google Cloud ไม่ใช่ Google Workspace ฝั่ง Google Cloud ทั้ง zcrLog และ zcrSIEM เก็บ GCP Cloud Audit Logs ได้ โดย integration ของ zcrSIEM อ่านกิจกรรมของ admin, การเข้าถึงข้อมูล และการถูกปฏิเสธตาม policy ส่วน log ของ Gmail กับ Drive เป็นคนละผลิตภัณฑ์ และวันนี้ยังไม่มีทั้งสองแพลตฟอร์มเก็บให้
Entra ID ที่ต่อได้นี้ครอบคลุมมากกว่าที่หลายคนคิด เพราะมันคือชั้น identity ของ Microsoft cloud ทั้งก้อน ใครล็อกอินเข้า Microsoft 365 จากที่ไหน ผ่านหรือไม่ผ่าน MFA ใครถูกเพิ่มสิทธิ์ admin ใครสร้าง app registration ใหม่ — เหตุการณ์พวกนี้ถูกบันทึกที่ Entra ID ทั้งหมด และดึงเข้ามาดูรวมกับ log ของ firewall กับ EDR ในไทม์ไลน์เดียวได้
แต่ก็ต้องบอกให้ชัดเหมือนกันว่า Entra ID ไม่ได้ครอบคลุมกิจกรรมในตัวแอป ของ M365 อย่าง Exchange, SharePoint หรือ Teams เพราะพวกนั้นถูกบันทึกอยู่ใน Unified Audit Log ซึ่งเป็นคนละระบบ บริหารผ่าน Microsoft Purview คนละ pipeline กัน ซึ่งฝั่งนี้ zcrLog ก็ดึงได้เหมือนกัน คือเก็บ audit log ของ Exchange, SharePoint และ Teams ผ่าน Office 365 Management API ส่วน zcrSIEM ซึ่งเป็นคนละผลิตภัณฑ์ ก็มี integration Microsoft 365 ของตัวเอง ดึง audit activity ของ Exchange, SharePoint, Teams และ DLP ผ่าน Office 365 Management API เช่นกัน — เราแยกเขียนเรื่องขอบเขตการเก็บ log ของ Entra IDไว้ต่างหาก รวมถึงเหตุผลว่าทำไมต้องดึงออกมาเก็บที่อื่นทั้งที่ Microsoft ก็เก็บให้อยู่แล้ว (คำตอบคือ Microsoft เก็บให้แค่ 7–30 วันเท่านั้น ซึ่งไม่พอตามกฎหมายไทย)
ดูราคาและความจุแต่ละแพ็กเกจ →
แล้วถ้าจำเป็นต้องใช้ Google Workspace ตอนนี้เลยล่ะ
ถ้าเป็น AWS CloudTrail ไม่ต้องรออะไร zcrLog เก็บได้อยู่แล้วตามตารางข้างบน ที่ยังติดอยู่คือ Google Workspace ซึ่งตอนนี้ทั้ง zcrLog และ zcrSIEM ยังเก็บให้ไม่ได้
zcrLog รับ log ผ่าน syslog ได้ และเป็นฟีเจอร์ที่มีอยู่ในทุกแพ็กเกจ ดังนั้นอะไรก็ตามที่องค์กรทำให้ส่งออกมาเป็น syslog ได้อยู่แล้ว ก็ส่งเข้ามาเก็บรวมกันได้ แต่ต้องบอกตรง ๆ ว่า Google Workspace ไม่ได้ส่ง syslog ออกมาตรง ๆ — มันใช้ช่องทางของตัวเอง (Admin SDK Reports API) ซึ่ง zcrLog ยังไม่รองรับในวันนี้ ถ้า Google Workspace เป็นข้อกำหนดที่ต้องมีตอนนี้เลย เราไม่แนะนำให้รอ integration ของ zcrLog
สิ่งที่ทำได้ระหว่างนี้คือจัดลำดับความสำคัญให้ชัดก่อน ปริมาณ log ที่มีผลต่อความปลอดภัยจริง ๆ มักมาจาก firewall, Active Directory และ endpoint เป็นหลัก ส่วน log จาก Google Workspace มักถูกใช้ตอนสอบสวนย้อนหลังมากกว่าใช้เฝ้าระวังแบบเรียลไทม์ ถ้าเป็นกรณีแบบนั้น การเริ่มจากสิ่งที่ต่อได้วันนี้แล้วรอ integration ที่เหลือก็เป็นทางเลือกที่สมเหตุสมผล
คลาวด์หรือติดตั้งเองดี
ไม่มีสูตรตายตัวที่ใช้ได้กับทุกองค์กร แต่มีเส้นแบ่งที่ใช้ตัดสินใจได้เร็ว
เลือกคลาวด์ถ้ายังไม่มีทีมดูแลระบบเต็มเวลา ไม่อยากลงทุนก้อนใหญ่ตั้งแต่ต้น หรือปริมาณ log ยังไม่แน่นอนและอยากปรับขึ้นลงได้
เลือกติดตั้งเองถ้ามีข้อกำหนดว่า log ต้องอยู่ในเครือข่ายองค์กรเท่านั้น ซึ่งพบบ่อยในหน่วยงานราชการและสถาบันการเงิน หรือปริมาณ log มากพอจนค่ารายเดือนแพงกว่าการซื้อขาด — zcrLog มีทั้งแบบ dedicated (ICTC1-3) และ on-premise appliance (ICT1-3) ให้เลือก โดยฟีเจอร์เหมือนกันทุกแบบ ต่างแค่ที่ตั้งกับความจุ
ถ้ายังไม่แน่ใจว่า log management กับ SIEM ต่างกันตรงไหน และองค์กรควรเริ่มจากอะไร ลองอ่านเปรียบเทียบ Log Management กับ SIEM และ SOCก่อนตัดสินใจ
ลองของจริงก่อนได้
เดโม zcrLog ไม่ต้องกรอกฟอร์มหรือติดต่อใครก่อน แค่ล็อกอินด้วยบัญชีเดโม (demo / demo) — เข้าไปดูหน้า Log Viewer แท็บ Microsoft Entra ID จะเห็น audit log กับ sign-in log ที่ดึงเข้ามา พร้อมตัวกรองช่วงเวลาแบบ 1h / 24h / 7d / 30d หรือกำหนดช่วงเองได้ และปุ่ม Sync Now สำหรับดึงข้อมูลรอบใหม่
ถ้าอยากคุยเรื่องปริมาณ log ขององค์กรว่าควรเริ่มที่แพ็กเกจไหน ทักมาได้ตามช่องทางนี้