データレイク内のセキュリティログが今や検索可能になった——SIEM大手企業にとってはコストの問題だ

日9月14日、Implyという小さな民間ソフトウェア会社が発表しました。今、彼らの最新製品が一般に提供されるようになりました。それは「Lumi Loglake」です。この製品を使えば、セキュリティチームはデータ湖内にある生のログを即座に検索することができます。スキーマの設定やデータの移動、インデックスの設定などは不要です。プレスリリースは少し専門的で技術的な内容です。しかし、小売投資家が注目すべき点は、そのコストに関する情報です。なぜなら、これは現在存在する最も高価なビジネスソフトウェアの価格モデルを示しているからです。

まず知っておくべきことは、Implyの株式を購入することはできないということです。2015年にオープンソースアナリティクスデータベースであるApache Druidの創始者たちによって設立されたImplyは、最近再び資金調達を行いました。2022年5月時点で、10億ドルのシリーズDラウンドで、評価額は11億ドルであった。そして2億1500万ドル近くを集めたそれは私的なものです。つまり、これ自体は投資に値する事象ではありません。実際には、そうした大規模な公開企業が争う市場の経済状況を知るための窓口に過ぎないのです。

攻撃を受けたときのコストモデル

その市場の名前はSIEMです。SIEMとは、セキュリティ情報やイベント管理のことです。SIEMは、サーバーやアプリケーション、ネットワークから取得されたログを一箇所に集め、索引化し、分析者がそれらを検索したり、攻撃を発見するための警告を出すことができるシステムです。主な競争相手はSplunkで、Ciscoが2024年に買収しました。Elasticも同様に、より低コストの競合製品を提供しています。Microsoft Sentinelも同様です。

従来のSIEMの価格設定は、利用量に基づいて行われます。Splunkは、1日あたりのギガバイトごとに150ドルという料金を請求します。少なくとも、その価格でです。テラバイト/日の展開には、年間で約80万ドルから150万ドルがかかります。単にライセンス料だけで済むわけではありません。索引作成を行う専用のコンピュータハードウェアの代金を支払う必要があります。1日あたりテラバイト単位での計算です。通常は、15から25台のインデクサーサーバーを意味します。このモデルの不都合な点は、誰かがそれを見るかどうかにかかわらず、取得した各ギガバイトに対して料金が請求されるということです。実際の導入状況に関する分析では、そのようなことが繰り返し確認されています。摂取したデータの60％から80％は、最初の30日間で決して検索されることはありません。.

単位当たりの反転

Loglakeは、異なる単位ベースのロジックに基づいて構築されています。ログをAmazon S3のような安価なオブジェクトストレージに保存し、事前にインデックスを作成することはありません。実際に検索が行われる時にのみコンピューティングを起動し、保存するデータ量ではなく、クエリに対して料金を請求します。ソフトウェアのコストを70％以上、インフラコストを40％以上削減する常に稼働しているインデックス付きシステムとは異なり、この方式では「まずクエリを行い、その後で最適化する」という考え方が採用されている。これにより、使用量に関係なく、蓄積される各ギガバイトごとに料金が増えていくという状況が変わり、実際に行う検索に応じて支払われるようになる。そして、ほとんどのログが検索されない場合、その量は維持にかかるコストが低くなる。

その算数の仕組みこそが、重要な理由です。セキュリティチームは機械から得られるデータの量に圧倒されており、AIのワークロードによって生み出されるテレメトリデータの量は、従来のモデルでは管理できないほど多いのです。安価なストレージですべてを保存し、必要な時にのみ検索するというソフトウェアは、データの増加とコストの間の直接的な関係において、既存のビジネスを打ち砕くものです。これは、他のソフトウェア分野にも当てはまる経済構造です。すべてを安価に保ち、高価なコンピューティングサービスは使用した時にのみ支払うのです。

それを、取引ではなく、シグナルとして読み取りましょう。

では、一つのイベントをどの程度重視すべきかを制限する要素について考えてみましょう。第一に、Implyはプライベート企業であり、その70％や40％という数字は、具体的な顧客や再現可能な基準値といった、独立した監査結果ではない。これらは単なるマーケティング上の資産として扱うべきです。第二に、これにより、「Splunkが衰退している」という明確な話題にならないようになります。つまり、この製品はSIEMの代わりにはならず、むしろSIEMを補完するものです。インプリー自身の資料によると、ログレイクはSplunkの検索言語やエンタープライズセキュリティアプリを通じて、またDatabricksやGrafanaを利用してログを検索しているという。つまり、現状のシステムの下で、より安価なインフラを提供することができる。また、他のツールからデータを取得することも可能だ。第三に、見出しにある「セキュリティデータ」という表現は、実際の範囲を過大に示している。インタラクティブ検索は、セキュリティ分析の最初の、そして最も安価な段階に過ぎない。検出、相関性の確認、調査といった作業プロセスは、SIEMの真の価値とメリットがあるところであり、それは別の問題である。SplunkやElasticが自社の価格設定を正当化しているのは、そこにある。データベースの検索可能性と、そのセキュリティの保証は同じではない。

一般の投資家にとって重要なのは、何か行動を取るようという指示ではなく、方向性です。GAの分析によると、非常に大規模で高コストなソフトウェア分野における圧力の方向が明らかになっています。1ギガバイトあたりの料金体系は、データプラットフォームの経済状況に左右されるものであり、蓄積されたデータに対して料金を請求する事業者は、この方法が成熟するにつれてコストの把握が難しくなるでしょう。CiscoやElasticのような、その市場に参入している企業は、実際の導入やコストデータが蓄積されるにつれて注目に値しますが、今日ではそれを投資対象とするわけにはいきません。メカニズムは明確ですが、SIEMの規模で誰が勝つかについての証拠はまだありません。