2017年度的Gartner SIEM魔力象限在比往常推迟了4个月之后终于发布了。在Gartner眼中，SIEM已经是一个成熟市场。但这个市场依然十分活跃：客户需求在变化，市场格局也在变化，技术革新也在不断重塑SIEM自身。让我们先看矩阵：

对比一下2016年度的矩阵：

可以说，这是自2014年以来，变化最大的一次（可以参见我下面的历年分析文章）。我将这些变化总结为5点：

1）领头羊之争日趋激烈，去年是IBM和Splunk各执牛耳，几年则是IBM QRadar略胜一筹，颇有当年Arcsight独领风骚的气势，却不知能否保持多久。一方面得益于IBM在QRadar产品线上的持续大力投入，ML和UEBA功能组件纷纷上线，appmarket也推出来了，加上他整个套件的组件十分齐全，覆盖了Gartner所有的SIEM评估点，还有近期收购来的安全编排产品Resilient加持，；另一方面也是因为Splunk今年稍有退步。主要还是因为太贵，授权方式不合理，此外毕竟安全只是Splunk的一个分支而非全部，并没有如QRadar那样投入巨大。

2）Arcsight节节败退（参见我的博文《颠沛流离的Arcsight，辉煌不再》），历史上第一次退出了第一象限。我对Arcsight是很有感情的，毕竟是我们团队最早将其引入中国。曾经独占鳌头的光景早已消失，而被并入MicroFocus更加剧了它的不确定性。其实Arcsight近几年一直在升级他的底层技术架构，也推出了支持Hadoop的大数据版，还发布了appmarket，但也许是历史包袱太重，要想重构，任重道远，可偏偏又遇上HPE这个主儿，稳定的持续的研发投入打上了一个大问号。据我所知，MicroFocus收了HPE的软件部门后，首要的工作就是cost down（否则并购干嘛呀），前HPE软件部中国区已经开始散场，加上MicroFocus还有另一款SIEM产品NetIQ（也在SIEM MQ中混迹多年），真不知道未来会怎样。面向未来，同时做两个SIEM显然浪费，恐怕更多是要给存量客户一个交代吧。

3）UEBA厂商强势入榜，代表厂商就是Securonix和Exabeam。Gartner已经反复讲过UEBA未来只有两条路，一条是大路，即与其它产品融合，成为一个Feature，而融合首选是SIEM；另一条路就是成为剩余的少数几家独立的UEBA产品供应商。于是，Securonix和Exabeam作为UEBA领域的领先者主动求变，挺进SIEM市场。他们的特点是新，基于新的NoSQL和大数据平台架构，充分利用ML（机器学习）技术，UI也是最新的流行样式，报价体系简洁，价格比大厂更具竞争力。当然，他们存在的问题也在于新，大数据架构的引入导致相关的维护难度提升。可以说，UEBA的入榜将加剧未来SIEM市场的格局动荡，相信未来会有更多的相关并购出现。

4）中国厂商第一次入榜。对于中国客户和从业者而言，这是一个亮点。作为SIEM产品的负责人，本人有幸全程参与了这个过程。从旁观者到亲历者，体验是大大的不同，经验也是一大把，有机会另文撰述。这里只想提一句：入围Gartner SIEM魔力象限是一项十分艰苦的工作，不仅要跨越语言的障碍，还要扭转国外同行对中国厂商只能做安全硬件设备的误解。同时，SIEM产品的魔力象限考核指标是Gartner所有安全产品评估中最难、最复杂的，评价的指标项超过200个（指标之间相互关联，十分缜密）。期间，我们和分析师反复沟通，进行了十几次电话会议，数次北京的见面沟通，在美国的现场沟通，产品演示，提交各种产品资料和原理设计文档，等等等等。分析师对产品的分析十分严谨，所有能写进报告的项目都必须提供能让他信服的proven（证据）。至于技术方面，我们的SIEM覆盖了Gartner考察的大部分指标，包括流分析，ML。有机会，各位可以阅读另一个报告——《Gartner Critical Capabilities for SIEM, 2017》——一探究竟。

5）FireEye进入SIEM市场。FireEye的玩法与众不同，走的是SECaaS的路子，借助其假设在AWS上的威胁分析平台（TAP），以SaaS模式提供SIEM。其实，这里还是有很多tricky的地方，因为SIEM as a Sevice跟MSS/MDR之间的界限并不是那么地清晰。而MSS市场是不在SIEM MQ考察范围之内的。Anyway，FireEye现在已经是一个大厂，想玩SIEM，有何不可？

分析完厂商，回到SIEM市场本身。

2016年，SIEM全球销量达到了21.7亿美元，在所有细分市场中，属于很高增速的市场，在亚太新兴地区和拉美的增速尤其高，总体上呈现一片繁荣景象。在全球范围内，威胁检测与管理都已经成为主要的市场驱动力，超越了合规与监测。越来越多的客户提出了集成威胁情报、行为建模和有效分析的需求。

在市场格局上，四大厂商占据了60%的市场份额。

Gartner还持续跟踪了一种新的迹象，就是有人在利用开源的大数据分析平台（譬如ELK，Apache Metron）搭建SIEM类系统。Gartner表示，他们调研了一些这类客户，发现他们当初是为了降低购买商业化SIEM的成本而投入到开源平台的怀抱，但真正深入下去发现，成本其实并不低，改造、开发的工作量很大，并不适合大部分客户。Gartner还是建议客户根据自身的安全管理成熟度选择适合自己的SIEM部署模式：自建、购买，或者采用外包服务（这个还有多种细分模式），还有共建。对于成熟度较低的，干脆建议先别上SIEM，转而先去上LM（日志管理）。

Gartner表示，尽管依然可见不少客户部署SIEM失败的案例，但大家依然热此不疲。足见背后的需求推动力大过了部署失败的风险。

伴随着SIEM MQ的发布，Gartner还发布了SIEM的关键能力评估报告（简称CC，Critical Capabilities）。

在CC报告中，Garnter对此次入围的19个厂商从三个使用场景（基础安全监测、高级威胁检测和取证与事件响应）进行的打分和横向对比分析。Gartner预测，到2020年，75%的SIEM将采用大数据技术作为其内核，同时广泛借助ML去提升威胁检测的能力。

Gartner建议客户：

1）将包括安全、IT和网络运维、审计与合规、法务、HR等部门的利益攸关者们的调研信息做为输入，对SIEM的需求和场景用例做好文档化；

2）制定一份多年的SIEM部署路线图，确保所有需要上马的功能和伸缩性需求在SIEM技术选型的时候得到评估；

3）选择SIEM技术的时候，必须跟客户当前的或者是期望的成熟度相匹配，要适配自身的资源、专家团队、现有和将要使用的其他工具，SIEM解决方案必须能够与现有的安全监测与响应工具进行整合。

在CC中，Gartner将SIEM的关键能力分为了以下8个方面（每个方面还有很多细节划分，这里省略）：

1）实时监测；

2）事件（Incident）响应与管理；

3）高级威胁防御；

4）业务情境与安全情报；

5）用户监测 ；

6）数据与应用监测；

7）高级分析；

8）部署和支持的便捷性；

由于这次实际参与了评比，我们发现他们对这些能力进行了十分细致的划分，总共设计出了200多个指标项，来考察每个产品，基本上我们能想到的功能点他都涵盖了。所以我在《再谈SIEM和安全管理平台项目的失败因素（1）》中说，“Gartner 对 SIEM 研究时间之长、范围之广、程度之深”，令人赞叹。Gartner知识库中跟 SIEM/安管平台/SOC 有关的文章/报告/博客数量之多，我至今也没有看完过。

【参考】

Gartner：2016年SIEM（安全信息与事件管理）市场分析

Gartner：2015年SIEM（安全信息与事件管理）市场分析

Gartner：2014年SIEM（安全信息与事件管理）市场分析

Gartner：2013年SIEM市场分析（MQ）

Gartner：2012年SIEM（安全信息与事件管理）市场分析报告

Gartner发布2011年SIEM市场分析报告（幻方图）

评Gartner2010年安全信息和事件管理（SIEM）分析报告

Gartner公司对2009年安全信息和事件管理（SIEM）的分析报告