SIEM คืออะไร? — ระบบ Security Information and Event Management ฉบับเข้าใจง่าย
SIEM คืออะไร? ระบบ Security Information and Event Management (SIEM) — วิธีทำงาน ประโยชน์ วิธีเลือก พร้อมเปรียบเทียบ SIEM vs Log Management สำหรับองค์กรไทย
SIEM คืออะไร?
SIEM (Security Information and Event Management) คือระบบรักษาความปลอดภัยทางไซเบอร์ที่รวบรวม วิเคราะห์ และแจ้งเตือนเหตุการณ์ผิดปกติจากทุกอุปกรณ์ในองค์กรแบบ Real-time — ทำหน้าที่เป็น "ศูนย์บัญชาการ" ด้านความปลอดภัยที่รวมข้อมูลจาก Firewall, Active Directory, Cloud, Endpoint และอื่นๆ เข้ามาไว้ในที่เดียว
ง่ายๆ คือ SIEM = เก็บ Log + วิเคราะห์ภัยคุกคาม + แจ้งเตือนอัตโนมัติ ในตัวเดียว
SIEM ย่อมาจากอะไร?
SIEM เกิดจากการรวมสองเทคโนโลยีเข้าด้วยกัน:
| ส่วนประกอบ | ชื่อเต็ม | หน้าที่ |
|---|
| SIM | Security Information Management | จัดเก็บ Log, ทำ Index, สร้างรายงาน |
| SEM | Security Event Management | วิเคราะห์เหตุการณ์แบบ Real-time, แจ้งเตือน |
เมื่อรวมสองส่วนเข้าด้วยกันจึงกลายเป็น SIEM ที่ทำได้ทั้ง เก็บข้อมูลย้อนหลัง และ ตรวจจับภัยคุกคามแบบเรียลไทม์
SIEM ทำงานอย่างไร? (5 ขั้นตอน)
1. รวบรวมข้อมูล (Data Collection)
SIEM ดึง Log จากทุกอุปกรณ์ในเครือข่าย เช่น:
- Firewall — Palo Alto, Fortinet, Cisco ASA
- Active Directory — Windows Event Logs
- Cloud — Microsoft 365, AWS CloudTrail, Google Workspace
- Endpoint — CrowdStrike, SentinelOne, Windows Defender
- Network Devices — Switch, Router, Wi-Fi AP
2. ปรับรูปแบบข้อมูล (Normalization)
ข้อมูลจากแต่ละอุปกรณ์มีรูปแบบต่างกัน SIEM จะแปลงทุก Log ให้อยู่ในรูปแบบเดียวกันเพื่อให้วิเคราะห์ได้ง่าย
3. หาความสัมพันธ์ (Correlation)
เชื่อมโยงเหตุการณ์จากหลายแหล่งเข้าด้วยกัน เช่น:
- Login ผิดพลาด 10 ครั้ง + login สำเร็จจาก IP ต่างประเทศ = Brute Force Attack
- ผู้ใช้ดาวน์โหลดไฟล์จำนวนมาก + Forward mail ไปนอกองค์กร = Data Exfiltration
4. ตรวจจับและแจ้งเตือน (Detection & Alerting)
เมื่อพบเหตุการณ์ผิดปกติ SIEM จะ:
- สร้าง Alert พร้อมระดับ Severity (Critical / High / Medium / Low)
- ส่งแจ้งเตือนผ่าน Email, LINE, Microsoft Teams
- จัดกลุ่ม Alert ที่เกี่ยวข้องเป็น Incident เพื่อให้จัดการสะดวก
5. สร้างรายงาน (Reporting & Compliance)
SIEM จัดทำรายงานสำหรับ:
- การตรวจสอบ (Audit) — ใครทำอะไร เมื่อไหร่
- การปฏิบัติตามกฎหมาย — พ.ร.บ. คอมฯ 2560, PDPA, ISO 27001
- รายงานผู้บริหาร — สถิติภัยคุกคาม, แนวโน้มความเสี่ยง
🔥 ทำไมองค์กรไทยต้องมี SIEM?
1. กฎหมายบังคับ — พ.ร.บ. คอมพิวเตอร์ 2560
ตาม มาตรา 26 แห่ง พ.ร.บ.คอมพิวเตอร์ฯ (พ.ศ. 2550 แก้ไขเพิ่มเติม พ.ศ. 2560) ผู้ให้บริการต้องเก็บข้อมูลจราจรทางคอมพิวเตอร์อย่างน้อย 90 วัน ถ้าไม่ปฏิบัติตามมีโทษปรับไม่เกิน 500,000 บาท (ปรับอย่างเดียว ไม่มีโทษจำคุก)
SIEM ช่วยให้เก็บ Log ได้ครบถ้วน ปลอดภัย และค้นหาย้อนหลังได้ในวินาที
📖 อ่านเพิ่มเติม: วิธีเก็บ Log ตาม พ.ร.บ. คอมฯ 2560 ฉบับสมบูรณ์
2. ภัยคุกคามเพิ่มขึ้น
ประเทศไทยถูกโจมตีทางไซเบอร์เพิ่มขึ้นทุกปี — Ransomware, Phishing, BEC (Business Email Compromise) เป็นภัยอันดับต้นๆ ที่องค์กรไทยต้องเผชิญ
3. ขาดทีม SOC
องค์กรส่วนใหญ่ไม่มีทีม SOC เต็มรูปแบบ SIEM ที่ดีจะช่วยจัดลำดับว่าเคสไหนต้องดูก่อน และวัดออกมาเป็นตัวเลขได้ว่าทีมใช้เวลาเฉลี่ยกี่นาทีกว่าจะรับเรื่อง และกี่ชั่วโมงกว่าจะปิดเคส
💡 SIEM vs Log Management — ต่างกันอย่างไร?
หลายคนสับสนระหว่าง SIEM กับระบบเก็บ Log ธรรมดา:
| คุณสมบัติ | Log Management | SIEM |
|---|
| เก็บ Log | ✅ | ✅ |
| ค้นหาย้อนหลัง | ✅ | ✅ |
| วิเคราะห์ Real-time | ❌ | ✅ |
| Correlation Rules | ❌ | ✅ |
| แจ้งเตือนอัตโนมัติ | ❌ | ✅ |
| MITRE ATT&CK Mapping | ❌ | ✅ |
| Incident Management | ❌ | ✅ |
| ราคา | ต่ำกว่า | สูงกว่า |
ข้อแนะนำ: หากต้องการแค่เก็บ Log ตามกฎหมาย → ใช้ Log Management ก็พอ แต่หากต้องการตรวจจับภัยคุกคามและป้องกันเชิงรุก → ต้องใช้ SIEM
📖 อ่านเพิ่มเติม: เปรียบเทียบระบบเก็บ Log — SIEM vs Log Management
⭐ SIEM สำหรับองค์กรไทย — zcrLog และ zcrSIEM ทำงานคนละหน้าที่
zcr แยกงานสองส่วนในตารางด้านบนออกเป็นสองผลิตภัณฑ์ คือเก็บและค้นหา Log กับปฏิบัติการ SOC ซื้อแยกกันได้
zcrLog — เก็บและค้นหา Log หน้า Log Viewer แบ่งเป็นสามแท็บ คือ System Logs (Log จากอุปกรณ์และโครงสร้างพื้นฐาน เช่น Windows), EDR Logs และ Microsoft Entra ID สำหรับดู audit log กับ sign-in log ฝั่ง identity และ zcrLog ยังดึง audit log ของ Microsoft 365 (Exchange, SharePoint, Teams) ผ่าน Office 365 Management API ได้ด้วย — ต่อ FortiGate หรือ Palo Alto เข้ามาทาง syslog ระบบก็ตรวจจับชนิดอุปกรณ์ให้อัตโนมัติ แล้วค้นย้อนหลังได้ตาม username, Event ID, IP ปลายทาง หรือ Protocol — ราคาเริ่มที่ ฿4,000/เดือน เก็บย้อนหลัง 90 วัน ตรงกับที่มาตรา 26 กำหนด
ถ้าองค์กรของคุณต้องการแค่เก็บ Log ให้ครบ 90 วันตาม พ.ร.บ. คอมฯ zcrLog ตัวเดียวก็จบ ไม่ต้องซื้อเพิ่ม
zcrSIEM — ปฏิบัติการ SOC รับ Log เข้ามาเองตามโควตาของแต่ละแพ็กเกจ ไม่ต้องมี zcrLog มาก่อน และเปลี่ยนคำถามจาก "Log อยู่ไหน" เป็น "เคสนี้ปิดทันเวลาไหม" — Dashboard วัดเวลาเฉลี่ยที่ใช้ปิดเคส (MTTR) และ SLA ของทั้งทีมในช่วงเวลาที่เลือก หน้า Detection Rules บอกได้ว่าครอบคลุมเทคนิคใน MITRE ATT&CK แล้วกี่ข้อ และ log source ตัวไหนทำให้ rule ชุดไหนทำงาน ส่วน Threat Hunting มีช่องให้พิมพ์เป็นภาษาพูดว่าอยากล่าภัยคุกคามแบบไหน แล้วระบบจะร่าง query ให้ ตรวจและแก้เองได้ก่อนสั่งรัน และรองรับหลาย tenant สำหรับ MSSP หรือองค์กรที่มีหลายสาขา
เส้นแบ่งง่ายๆ: ถ้ากฎหมายคือเหตุผลหลัก zcrLog คือคำตอบ ส่วนถ้ามีคนพร้อมตอบ alert จริงๆ ด้วย นั่นคืองานของ zcrSIEM (ลองเดโม zcrSIEM ได้เลย ล็อกอินด้วยบัญชีเดโม demo / demo)
วิธีเลือก SIEM ให้เหมาะกับองค์กร
สำหรับ SME (พนักงาน < 500 คน)
- เลือก Cloud SIEM ที่ไม่ต้องลงทุน Hardware
- ดูว่ารองรับ พ.ร.บ. คอมฯ หรือไม่
- ราคาควรอยู่ในช่วง ฿4,000–20,000/เดือน
- zcrLog SaaS ครอบคลุมการเก็บและค้นหา Log ให้กลุ่มนี้ได้ครบ
สำหรับองค์กรขนาดใหญ่
- เลือก Dedicated VM หรือ On-Premise Appliance
- ควรรองรับ EPS สูงและเก็บ Log 1–2 ปี
- zcrLog Dedicated หรือ Appliance Type 1–3 ตอบโจทย์การเก็บ Log
- zcrSIEM ใช้รับมือ alert และรองรับ Multi-tenant แยกข้อมูลของแต่ละสาขา
สำหรับ MSSP (Managed Security Service Provider)
- ต้องการ Multi-tenant รองรับลูกค้าหลายราย
- อยากได้ตัวช่วยร่าง query ตอนล่าภัยคุกคาม ไม่ใช่ให้ analyst พิมพ์เองทุกครั้ง
- zcrSIEM สลับ tenant ได้ในหน้า console เดียว ไม่ต้องเปิดหลายระบบ
สรุป
ยังตัดสินใจไม่ได้ว่าองค์กรต้องการ SIEM จริงไหม? ลองถามตัวเองคำถามเดียว: ถ้ามีคน login เข้าระบบผิดเวลาหรือผิดปกติเมื่อคืนนี้ ทีมคุณจะรู้ภายในกี่ชั่วโมง? ถ้าตอบไม่ได้ หรือคำตอบคือ "ไม่รู้จนกว่าจะมีปัญหาเกิดขึ้นแล้ว" นั่นคือสัญญาณว่าถึงเวลาต้องมี SIEM
สำหรับองค์กรไทยที่ต้องการแค่เก็บ Log และค้นย้อนหลังได้ตาม พ.ร.บ. คอมฯ → zcrLog ฿4,000/เดือน เก็บย้อนหลัง 90 วัน ถ้ามีคนต้องรับมือ alert ด้วย นั่นคืองานของ zcrSIEM ซึ่งซื้อแยกจาก zcrLog ได้
📞 ปรึกษาฟรี
มีคำถามเรื่อง SIEM หรือเก็บ Log? ทีมผู้เชี่ยวชาญของเราพร้อมให้คำปรึกษาฟรี
ผลิตภัณฑ์ที่เกี่ยวข้อง
อ่านรายละเอียด zcrLog เพื่อดูขอบเขตการใช้งานและสิ่งที่ต้องเตรียมก่อนคุยกับพาร์ทเนอร์
แหล่งอ้างอิง