LogRhythm vs. Splunk: Die besten SIEM-Lösungen im Vergleich

Wer auf der Suche nach einer Lösung für Security Information and Event Management (SIEM) ist, findet sowohl bei LogRhythm als auch bei Splunk viel Leistung – unterstützt durch starken Rückhalt von Kunden und Branchenanalysten.

Beide Lösungen stehen auf der Liste von eSecurity Planet für führende SIEM-Produkte, und SIEM-Käufer vergleichen die beiden häufig. Im Folgenden werfen wir einen genaueren Blick auf die wichtigsten Funktionen der beiden Produkte und untersuchen ihre Stärken und Schwächen.

Bevor wir ins Detail gehen, hier die wichtigsten Erkenntnisse:

• Splunk hat bei Cloud-Anwendungsfällen sowie bei Benutzerfreundlichkeit und Bereitstellung die Nase vorn
• LogRhythm punktet bei Sicherheit, On-Premises-Anwendungsfällen sowie Service und Support

LogRhythm vs. Splunk auf einen Blick

So vergleichen sich LogRhythm und Splunk SIEM auf einen Blick:

Am besten beim Preis: LogRhythm

SIEM-Produkte sind in der Regel teuer, und das gilt auch für LogRhythm und Splunk.

Die Preise für LogRhythm beginnen typischerweise bei etwa 30.000 bis 40.000 US-Dollar. Es stehen verschiedene Preismodelle zur Verfügung, darunter unbefristete oder abonnementbasierte Softwarelizenzen, ein Tarif mit unbegrenztem Datenvolumen und ein Hochleistungstarif. Nutzer schätzen, dass Zusatzkosten weitgehend ausbleiben, berichten jedoch, dass die Preise für Unternehmenskunden erheblich steigen können.

Splunk bietet mehrere Sicherheitsoptionen: Splunk Enterprise Security, SOAR, Security Essentials und Mission Control. Das Unternehmen veröffentlicht keine Preise mehr, AWS kann jedoch einige Preisdaten bereitstellen.

Zusätzlich zu Preisen pro Entität und nach Workload bietet Splunk auch die bisherige Preisgestaltung nach Datenaufnahme an. Die Workload-Preisgestaltung wird als wertorientierteres Modell positioniert. Die Preise für die Datenaufnahme im Enterprise-Tarif begannen bei 150 US-Dollar pro Monat für 1 GB Daten pro Tag, mit Rabatten pro GB bei steigendem Volumen. Nutzer berichten, dass die Kosten schnell steigen können.

Die Kundenbasis von LogRhythm ist stärker auf kleine und mittelständische Unternehmen ausgerichtet, während Splunk ein deutlich größeres Enterprise-Geschäft hat. Kleinere Unternehmen könnten daher LogRhythm bevorzugen. Trotz hoher Anfangskosten nehmen LogRhythm-Nutzer das Preis-Leistungs-Verhältnis meist besser wahr. Splunks Bemühungen, Kostenbeschwerden zu adressieren, machen die Lösung jedoch ebenfalls prüfenswert.

Am besten bei Bereitstellung und Benutzerfreundlichkeit: Splunk

Benutzerfreundlichkeit und Bereitstellung sind normalerweise keine Begriffe, die man im Zusammenhang mit SIEM-Lösungen hört, und sowohl Splunk als auch LogRhythm haben in diesem Bereich ihre Herausforderungen.

Die Nutzerbewertungen von SIEM-Lösungen fallen aufgrund ihrer enormen Komplexität tendenziell niedriger aus als in anderen Bereichen der IT-Sicherheit. In den Bewertungen von Gartner Peer Insights gehören Splunk und LogRhythm zu den besser bewerteten Lösungen. Zwar sind ihre allgemeinen Bewertungen ähnlich – beide erhielten im vergangenen Jahr von Nutzern 4,4 Punkte –, doch haben beide jeweils eigene Stärken. Splunk liegt bei Anwendungsüberwachung, Analysen, Log-Management und Reporting vorn, während LogRhythm bei Echtzeitüberwachung und Threat Intelligence punktet.

Nutzer schätzen LogRhythm als On-Premises-Lösung, die den Einblick in die Sicherheitslage und mögliche Bedrohungen verbessert.

Splunk erhält gute Bewertungen für Erweiterbarkeit, Cloud-Funktionen und Anpassungsmöglichkeiten. Typische Kommentare von Splunk-Rezensenten erwähnen die Möglichkeit, eine große Bandbreite an Logs einzusehen und gezielt in bestimmte Zeiträume oder Datenquellen einzusteigen, eine verkürzte Fehlerbehebungszeit, Skalierbarkeit, den sofortigen Zugriff auf Log-Ereignisse und die Lösung von Problemen über mehrere Plattformen hinweg. Andere kritisieren jedoch die Kosten für Schulungen und Zertifizierungen sowie die Preise für die Protokollierung zahlreicher Anwendungsereignisse.

Aufgrund seines Umfangs und seiner Komplexität ist Splunk nichts für Einsteiger. Für Bereitstellung und Betrieb sind sowohl hochqualifizierte interne Ressourcen als auch Unterstützung durch den Anbieter erforderlich. Wer mit der Plattform sehr vertraut ist, wird sie einfach bedienen können. Für alle anderen ist die Lernkurve steil.

LogRhythm-Nutzer sprechen häufig von der Korrelation von Logs aus verschiedenen Quellen, der hervorragenden Arbeit des Supportteams, der guten Eignung für kleine und mittelgroße Unternehmen sowie der guten Netzwerktransparenz. Zu den von Nutzern genannten Problemen gehören Schwierigkeiten bei Bereitstellung und Konfiguration sowie eingeschränkte Cloud-Optionen.

Splunk liegt bei Bereitstellung und Benutzerfreundlichkeit insgesamt vorn, teilweise dank seiner Cloud-Implementierung. LogRhythm-Nutzer weisen darauf hin, dass guter Support bei Herausforderungen helfen kann, und sind im Allgemeinen mit der Ausrichtung und Weiterentwicklung des Produkts zufrieden.

Am besten bei der Sicherheit: LogRhythm

Beide Anbieter bieten starke Sicherheitsfunktionen. Die SIEM-Lösung von LogRhythm kombiniert Enterprise-Log-Management, Security Analytics, User Entity and Behavioral Analytics (UEBA), Network Traffic and Behavioral Analytics (NTBA) sowie Sicherheitsautomatisierung und -orchestrierung.

Das Produkt basiert auf einer Technologiegrundlage aus Machine Analytics und Data Lake, die sich leicht skalieren lässt. Eine offene Plattform ermöglicht die Integration in die Sicherheits- und IT-Infrastruktur von Unternehmen. Dieser integrierte Ansatz kann effiziente Sicherheitsprozesse ermöglichen – von der Bedrohungserkennung bis zur Reaktion auf Vorfälle.

Integrierte Module, Dashboards und Regeln ermöglichen die Überwachung von Bedrohungen, Threat Hunting, Bedrohungsuntersuchungen und Incident Response. Nutzer können Organisationsdaten schnell durchsuchen, um Antworten zu finden, IT- und Sicherheitsvorfälle zu erkennen und Probleme zu beheben. Die LogRhythm-Plattform nutzt maschinelles Lernen, um eine endlose Flut von Warnmeldungen zu vermeiden und bösartige Aktivitäten mithilfe von Inhalten für Sicherheits- und Compliance-Anwendungsfälle sowie einer Priorisierung von Bedrohungen präzise zu erkennen. Ziel ist es, anomales Nutzerverhalten zu erkennen, bevor Daten beschädigt oder abgegriffen werden, und Bedrohungen schneller zu erkennen und darauf zu reagieren.

LogRhythm veröffentlicht kontinuierlich erweiterte Funktionen und Integrationen für seine Lösungen für den Sicherheitsbetrieb. Nach dem Start der cloudnativen Sicherheitsbetriebsplattform LogRhythm Axon im Oktober 2022 führte das Unternehmen neue Visualisierungen und Analysen ein, die einen besseren Einblick in potenzielle Sicherheitsrisiken ermöglichen. Axon und diese Aktualisierungen sollen die Arbeit von Sicherheitsanalysten vereinfachen und Teams dabei unterstützen, potenzielle Bedrohungen leichter zu erkennen, zu untersuchen und darüber zu berichten.

Weitere aktuelle Erweiterungen: LogRhythm Axon bietet benutzerdefinierte und sofort einsatzbereite Analyseregeln, darunter Regeln für MITRE-ATT&CK-Erkennungen; LogRhythm SIEM verfügt nun über einen verbesserten administrativen Workflow für die Sammlung, eine kürzere Konfigurations-, Bereitstellungs- und Verwaltungszeit für Log-Quellen, die Open Collector erfordern, eine erweiterte Audit-Protokollierung und eine größere Bibliothek unterstützter Log-Quellen; LogRhythm UEBA bietet neue Erkennungsmodelle für Windows-Systeme; und LogRhythm NDR ermöglicht durch die Integration mit Microsoft EDR eine verbesserte Erkennung blinder Flecken und mehr Transparenz bei Endpunkten.

Auch die Splunk-Plattform ist umfassend. Sie ermöglicht die Suche, Überwachung und Analyse großer Mengen von IT-Daten, um Datenmuster zu erkennen, Kennzahlen bereitzustellen, Probleme zu diagnostizieren und Geschäfts- sowie IT-Entscheidungen zu unterstützen.

Um den Umfang von Splunk zu verdeutlichen: Die Plattform umfasst SIEM ebenso wie Application Performance Monitoring (APM), Log-Management, Compliance, Automatisierung, Orchestrierung, Forensik und sogar IT-Service-Management (ITSM) sowie IT-Operations-Management (ITOM). Die große Bandbreite an Produkten und Funktionen von Splunk ist in der übergreifenden Splunk-Plattform gebündelt. Diese besteht aus zwei Elementen, die separat bereitgestellt werden können: Enterprise Security (einschließlich SIEM) und Observability.

Splunk Enterprise Security kann Daten analysieren, aufnehmen und zur späteren Verwendung speichern. Zudem lassen sich damit Probleme erkennen, die Kunden beeinträchtigen, sowie Visualisierungen und Analysen in Echtzeit durchführen. Die Lösung liefert ein klares visuelles Bild der Sicherheitslage einer Organisation und ermöglicht es, Ansichten anzupassen und bei Bedarf bis zu den Rohereignissen vorzudringen. Sie eignet sich sowohl für die kontinuierliche Überwachung als auch für die Behebung von Sicherheitsvorfällen und trägt dazu bei, Erkennungs- und Untersuchungsprozesse zu optimieren.

Splunk bietet ein Dashboard, vorkonfigurierte Berichte, benutzerdefinierte Visualisierungen und eine adaptive Reaktionsfunktion. Diese nutzt maschinelles Lernen, um zu bestimmen, ob die Lösung einen bestimmten Vorfall selbstständig bewältigen kann oder menschliche Unterstützung benötigt. Über den App-Store Splunkbase sind rund 2.500 Apps und Add-ons verfügbar.

Diese Kategorie ist knapp, doch LogRhythm erhält den Zuschlag – unter anderem wegen der Echtzeitüberwachung und der Threat-Intelligence-Funktionen.

Am besten für Cloud-Anwendungsfälle: Splunk

Splunk bietet keine On-Premises-Appliances an. Das Unternehmen stellt zwar Software für die Bereitstellung vor Ort bereit, diese muss jedoch in die bevorzugte Hardware oder Appliance integriert werden. Die meisten Nutzer stellen Splunk ohnehin in der Cloud bereit. Die Installation kann direkt über die Cloud in einer öffentlichen, privaten oder hybriden Cloud-Umgebung erfolgen. Günstig ist die Lösung allerdings nicht: Mit jedem zusätzlichen Modul steigt auch der Preis.

LogRhythm ist vor allem für On-Premises-Bereitstellungen konzipiert, bietet aber auch Cloud-Optionen, die das Unternehmen kontinuierlich erweitert. Das SIEM von LogRhythm ist als Appliance oder Software erhältlich und kann On-Premises, in der Cloud oder in hybriden Umgebungen bereitgestellt werden. Drittanbieter bieten zudem vollständig gehostete und verwaltete Lösungen an. Nach Aussage einiger Nutzer kann die Bereitstellung gelegentlich die Unterstützung durch Berater und Anrufe beim technischen Support erfordern.

Splunk gewinnt in der Cloud-Kategorie aufgrund seiner Cloud-Herkunft und der Bereitstellungsoptionen. Die Software kann On-Premises, in einer Infrastructure-as-a-Service-Umgebung (IaaS), als Hybridmodell sowie über die von Splunk gehostete Software-as-a-Service-Lösung (SaaS) Splunk Cloud betrieben werden. Die anfängliche Bereitstellung lässt sich über die Cloud problemlos durchführen.

Bei Cloud-Anwendungsfällen mag Splunk gewinnen, bei On-Premises-Bereitstellungen liegt jedoch LogRhythm vorn.

Die besten SIEM-Alternativen zu Splunk und LogRhythm

Die SIEM-Tools von Splunk und LogRhythm sind möglicherweise nicht für jeden geeignet, insbesondere nicht für preisbewusste Käufer. Für Benutzerfreundlichkeit und gutes Preis-Leistungs-Verhältnis lohnen sich Exabeam, Trellix, Sumo Logic und Securonix. IBM QRadar, NetWitness, Fortinet und ArcSight sind bei den Sicherheitsfunktionen starke Wettbewerber.

Unsere vollständige Liste der besten SIEM-Tools und -Software

So haben wir Splunk und LogRhythm SIEM bewertet

Für unsere Analyse haben wir die SIEM-Funktionsumfang, Produktbreite, Leistungs- und Sicherheitstestdaten, Anbieterangaben, Preisdaten von Wiederverkäufern, Anwendungsfälle, Nutzerbewertungen, Analystenbewertungen sowie die allgemeine Stärke und Vision der Anbieter untersucht. Die Leistung in der Praxis kann natürlich von Produkt- und Laborspezifikationen abweichen.

Fazit: Splunk vs. LogRhythm SIEM

Splunk und LogRhythm bieten beide sehr gute SIEM-Lösungen, mit denen sich in jeder Organisation ein solides zentrales Sicherheitsmanagement umsetzen lässt.

Ihre Stärken unterscheiden sich jedoch. LogRhythm eignet sich gut für kleine und mittelständische Unternehmen, die leistungsfähige On-Premises-, Host- und Netzwerküberwachungsfunktionen benötigen. Der breite Funktionsumfang des Produkts könnte aber auch größere Organisationen überzeugen.

Splunk punktet bei Cloud-Anwendungsfällen sowie bei Benutzerfreundlichkeit und Bereitstellung – wobei jedes SIEM-System eine Lernkurve erfordert.

In seinem jüngsten SIEM-Magic-Quadrant stellte Gartner fest, dass die Kundenbasis von LogRhythm darauf hindeutet, dass die Lösung eher für mittelgroße Unternehmen und kleinere Organisationen als für Großunternehmen geeignet ist. Das Unternehmen verfügt in jeder Region über ein starkes Wiederverkäufernetzwerk sowie über zahlreiche Managed-Service-Provider. Gartner bewertete LogRhythm außerdem sehr positiv für „ausgereifte und ausgefeilte Funktionen zur Untersuchung und Fallverwaltung, die Kontext zusammenführen und es Nutzern ermöglichen, eine Beweisgrundlage für die Fallentscheidung zu schaffen“.

Ein weiterer Pluspunkt ist das Team von LogRhythm Labs. Es analysiert aufkommende Bedrohungen aus allen Bereichen des Webs und entwickelt Regeln, Dashboards, Berichte und Compliance-Module, mit denen sich Ihre Organisation einen Vorteil verschaffen kann.

Splunk bietet eine vollständige Suite von Lösungen für das Management von Sicherheitsereignissen, mit denen Nutzer die Plattform im Laufe der Zeit ausbauen können. Der App-Store von Splunk nutzt das umfangreiche Partnerökosystem des Unternehmens, um eine große Bandbreite an Integrationen und Splunk-spezifischen Inhalten bereitzustellen. Eine große Stärke und ein wichtiges Differenzierungsmerkmal von Splunk ist die Fähigkeit, Datenströme aus einer enormen Zahl von Quellen zu integrieren. Einige Nutzer nehmen täglich mehrere Petabyte (PB) auf. Die Plattform unterstützt zahlreiche Datenformate wie.xml-, .csv- und .json-Dateien.

Splunk analysiert die enorme Zahl von Log-Dateien, die von Unternehmenssystemen erzeugt werden, sehr gut. Dadurch muss die IT nicht stundenlang alle Logs durchsuchen, um die Nadel im Heuhaufen der IT-Sicherheit oder -Leistung zu finden. Außerdem nutzt Splunk eine Suchverarbeitungssprache, um in Log-Dateien vorhandene Begriffe zu finden. Eine Vielzahl von Funktionen für Visualisierung und Analyse in Echtzeit steht zur Verfügung.

Insgesamt wäre jede der beiden Lösungen eine gute SIEM-Plattform für jede Organisation. Wie die obige Bewertung zeigt, hängt die Wahl jedoch von der Größe und Struktur der Organisation, dem Anwendungsmix, der Präferenz für Cloud oder On-Premises und weiteren Faktoren ab.

Die besten XDR- und SOAR-Lösungen ansehen