Log Management vs SIEM vs SOC — ต่างกันอย่างไร?
Log Management, SIEM และ SOC ต่างกันตรงไหน ใช้แทนกันได้ไหม ระบบไหนเก็บ Log ระบบไหนจับภัยคุกคามแบบ Real time และส่วนไหนต้องมีทีมคนเฝ้า พร้อมแนะนำตามขนาดองค์กร
Log Management vs SIEM vs SOC — ต่างกันอย่างไร?
หลายคนสับสนว่า Log Management, SIEM, และ SOC ต่างกันอย่างไร? ใช้แทนกันได้ไหม? องค์กรต้องมีทั้ง 3 อย่างหรือเปล่า? — บทความนี้จะอธิบายให้ชัดเจน
Log Management คืออะไร?
Log Management คือระบบที่ทำหน้าที่ รวบรวม จัดเก็บ และค้นหา Log จากอุปกรณ์ต่างๆ ในเครือข่าย
หน้าที่หลัก:
- ✅ เก็บ Log จาก Firewall, Server, Network
- ✅ จัดเก็บข้อมูลระยะยาว (ตั้งแต่ 90 วันขึ้นไป)
- ✅ ค้นหาย้อนหลังได้
- ✅ สร้างรายงาน Compliance
ไม่ทำ:
- ❌ วิเคราะห์ภัยคุกคามแบบ Real-time
- ❌ Correlation Rule
- ❌ Incident Response
เหมาะกับ: องค์กรที่ต้องการ เก็บ Log ตามกฎหมาย (มาตรา 26 แห่ง พ.ร.บ.คอมพิวเตอร์ฯ พ.ศ. 2550 แก้ไขเพิ่มเติม พ.ศ. 2560) เป็นหลัก
SIEM คืออะไร?
SIEM (Security Information and Event Management) คือระบบที่ทำทุกอย่างที่ Log Management ทำ บวก การวิเคราะห์ภัยคุกคามแบบ Real-time
หน้าที่หลัก:
- ✅ ทุกอย่างที่ Log Management ทำ
- ✅ Real-time Threat Detection — ตรวจจับการโจมตีทันที
- ✅ Correlation Rules — เชื่อมโยงเหตุการณ์จากหลายแหล่ง
- ✅ Alert & Notification — แจ้งเตือนผ่าน Email, LINE, Teams
- ✅ MITRE ATT&CK Mapping — จัดหมวดหมู่ภัยคุกคาม
- ✅ Incident Management — จัดการเหตุการณ์
เหมาะกับ: องค์กรที่ต้องการ ตรวจจับภัยคุกคามเชิงรุก และมีทีม IT ดูแลระบบ
📖 อ่านเพิ่มเติม: SIEM คืออะไร? ฉบับเข้าใจง่าย
SOC คืออะไร?
SOC (Security Operations Center) คือ ทีมคน ที่ทำหน้าที่เฝ้าระวังและตอบสนองต่อภัยคุกคาม — ไม่ใช่ซอฟต์แวร์
หน้าที่หลัก:
- ✅ เฝ้าระวัง 24/7 — มี SOC Analyst คอยดู Alert
- ✅ วิเคราะห์ภัยคุกคาม — ตรวจสอบ Alert ว่าเป็น False Positive หรือ Real Threat
- ✅ ตอบสนองต่อเหตุการณ์ — Contain, Eradicate, Recover
- ✅ สร้างรายงาน — สรุปเหตุการณ์ให้ผู้บริหาร
- ✅ Threat Hunting — ค้นหาภัยคุกคามที่ซ่อนอยู่
เหมาะกับ: องค์กรขนาดใหญ่ที่มีงบประมาณเพียงพอ หรือใช้ MDR (Managed Detection & Response) แทน
เปรียบเทียบ 3 ระบบ
| คุณสมบัติ | Log Management | SIEM | SOC |
|---|
| ประเภท | ซอฟต์แวร์ | ซอฟต์แวร์ | ทีมคน + ซอฟต์แวร์ |
| เก็บ Log | ✅ | ✅ | ใช้ SIEM |
| ค้นหา Log | ✅ | ✅ | ใช้ SIEM |
| Real-time Detection | ❌ | ✅ | ✅ (ใช้ SIEM) |
| Correlation | ❌ | ✅ | ✅ |
| Alert | Basic | ✅ | ✅ + วิเคราะห์ |
| Incident Response | ❌ | Basic | ✅ เต็มรูปแบบ |
| 24/7 Monitoring | ❌ | ❌ (ต้องมีคนดู) | ✅ |
| ราคา | ฿4,000–20,000/เดือน | ฿10,000–100,000/เดือน | ฿100,000+/เดือน |
แล้วองค์กรต้องมีอะไร?
🏢 SME (< 100 คน):
→ Log Management มักเพียงพอ — ใช้เก็บ Log ตามมาตรา 26 ได้ ถ้าเข้าข่ายเป็นผู้ให้บริการ (ประเมินก่อนว่าเข้าข่ายหรือไม่)
→ แนะนำ: zcrLog SaaS เริ่ม ฿4,000/เดือน
🏢 องค์กรขนาดกลาง (100–500 คน):
→ SIEM — เก็บ Log + ตรวจจับภัยคุกคาม
→ แนะนำ: zcrSIEM — รับ Log เข้ามาเองตามโควตาของแต่ละแพ็กเกจ ใช้ได้ไม่ว่าตอนนี้คุณเก็บ Log ด้วย zcrLog อยู่แล้ว หรือเก็บไว้ที่อื่น
🏢 องค์กรขนาดใหญ่ หรือ MSSP:
→ SOC + SIEM — เฝ้าระวัง 24/7 + ตอบสนอง
→ แนะนำ: zcrSIEM เป็นเครื่องมือให้ทีม SOC ของคุณใช้ทำงาน
⭐ zcrLog กับ zcrSIEM ทำงานคนละหน้าที่
zcr เองก็แบ่งผลิตภัณฑ์ตามเส้นเดียวกับในตารางด้านบน
zcrLog ทำหน้าที่เก็บ Log และค้นย้อนหลัง หน้า Log Viewer แยกเป็น System Logs, EDR Logs และ Microsoft Entra ID กรองย้อนหลังได้จาก Source IP, Hostname, Username, Event ID และ Protocol ส่วนตารางผลลัพธ์มีให้ดูรวม 20 คอลัมน์
ฝั่งรับ Log ตั้งค่ารับ Syslog จาก FortiGate หรือ Palo Alto ได้เลย ส่วน audit log ของ Microsoft 365 (Exchange, SharePoint, Teams) ก็ดึงเข้ามาผ่าน Office 365 Management API ได้ ถ้าโจทย์คือเก็บ Log ให้ครบ 90 วันตาม พ.ร.บ. คอมฯ แล้วค้นเจอตอนถูกขอหลักฐาน แค่ zcrLog ก็จบ ไม่ต้องซื้ออะไรเพิ่ม
zcrSIEM ทำหน้าที่ปฏิบัติการ SOC จะเริ่มคุ้มค่าก็ต่อเมื่อมีคนคอยรับผิดชอบ Alert อยู่จริง หน้า Dashboard วัด Mean time to acknowledge, Mean time to resolve และ SLA compliance เป็นตัวเลข
แท็บ Coverage ใน Detection Rules ไล่ให้เห็นว่า Log source แต่ละตัวที่ส่งเข้ามา เปิดใช้ Rule ได้กี่ข้อ และชุด Rule ที่ได้ครอบคลุมเทคนิคของ MITRE ATT&CK ไปถึงไหนแล้ว ส่วนหน้า Threat Hunting ให้พิมพ์สิ่งที่อยากหาลงในช่อง "Describe in plain English" แล้ว AI แปลงเป็น query ให้ตรวจแก้ก่อนกดรัน และถ้าคุณเป็น MSSP ที่ดูแลหลายลูกค้าพร้อมกัน ก็สลับ Tenant ได้ในหน้าเดียว
ยังไม่มีคนดู Alert เต็มเวลา zcrLog อย่างเดียวก็ตอบโจทย์เรื่องเก็บ Log ตามกฎหมายได้ครบ ส่วน zcrSIEM จะคุ้มค่าที่สุดตอนมีทีมรับผิดชอบ Alert จริงๆ — และซื้อแยกจาก zcrLog ได้เลย เพราะ zcrSIEM รับ Log เข้าตามโควตาของตัวเอง ไม่ว่าก่อนหน้านี้จะเก็บ Log อยู่ที่ไหนมาก็ตาม เป็นเครื่องมือให้ทีม SOC ใช้ ไม่ได้มาเฝ้าจอแทนคุณ — ตามนิยามข้างบน SOC ยังต้องมีคนอยู่ดี
🎯 ดูรายละเอียด zcrLog →
ส่วน zcrSIEM ลองเดโมได้ที่ zcrSIEM demo → (ล็อกอินด้วยบัญชีเดโม demo / demo) หรือดู ราคา
📞 ปรึกษาฟรี
แหล่งที่มา
บทความที่เกี่ยวข้อง
อ่านต่อเพื่อเปรียบเทียบแนวทางและลงรายละเอียดที่เกี่ยวข้อง: