SOC vs SIEM vs MDR vs MSSP — เปรียบเทียบให้ชัด เลือกให้ถูก

เมื่อองค์กรต้องการยกระดับการตรวจจับและตอบสนองต่อภัยคุกคามไซเบอร์ คำถามที่พบบ่อยคือ “ควรเลือก SOC, SIEM, MDR หรือ MSSP?” — ทั้ง 4 มักถูกสับสนกันเพราะมีความเกี่ยวข้องกัน แต่ ทำหน้าที่ต่างกัน อย่างสิ้นเชิง บทความนี้อธิบายนิยาม เปรียบเทียบทุกมิติ และแนะนำว่าองค์กรแบบไหนควรเลือกอะไร

นิยามแต่ละตัว

SOC (Security Operations Center) คืออะไร

SOC คือ ศูนย์ปฏิบัติการด้านความปลอดภัย — เป็น “ห้อง” (Physical หรือ Virtual) ที่มีทีม Security Analyst คอย Monitor, Detect, Analyze และ Respond ต่อ Security Event ตลอด 24/7 SOC เป็น Function/Team ไม่ใช่เครื่องมือ — ประกอบด้วยคน (Analyst L1/L2/L3), กระบวนการ (Playbook, Runbook) และเทคโนโลยี (SIEM, EDR, SOAR) [1]

SIEM (Security Information and Event Management) คืออะไร

SIEM คือ เครื่องมือ (Technology Platform) ที่ทำหน้าที่ รวบรวม Log จากทุกระบบ → Correlate → วิเคราะห์ → แจ้งเตือน เมื่อพบ Pattern ที่ผิดปกติ ตัวอย่าง SIEM ได้แก่ Splunk, Microsoft Sentinel, IBM QRadar, Elastic Security และ Wazuh [2]

SIEM ทำงาน 4 อย่างหลัก:

1. Log Collection — รวม Log จาก Firewall, Server, Endpoint, Cloud, Application
2. Event Correlation — เชื่อมโยง Event จากหลายแหล่ง เพื่อหา Pattern โจมตี
3. Alerting — แจ้งเตือนเมื่อ Rule ถูก Trigger
4. Compliance Reporting — สร้าง Report ตาม Compliance Requirement

MDR (Managed Detection and Response) คืออะไร

MDR คือ บริการ (Service) ที่ผู้ให้บริการ (Provider) ทำหน้าที่ ตรวจจับและตอบสนองต่อภัยคุกคาม แทนองค์กร โดย Provider จะ Deploy เทคโนโลยี (EDR/XDR) + มี Analyst Team + ทำ Threat Hunting เชิงรุก — เมื่อพบภัยคุกคาม จะ ดำเนินการตอบสนองทันที (Contain, Isolate, Remediate) [3]

MSSP (Managed Security Service Provider) คืออะไร

MSSP คือ ผู้ให้บริการด้าน Security แบบครอบคลุม — ดูแลทุกอย่างตั้งแต่ Firewall Management, VPN, IDS/IPS, Log Monitoring, Vulnerability Scanning, Compliance ไปจนถึง Patch Management — แต่มักเป็น Reactive (แจ้งเตือนแล้วให้ลูกค้าดำเนินการเอง) ไม่ได้ทำ Active Threat Hunting เหมือน MDR [4]

ตารางเปรียบเทียบ 10 มิติ

ความสัมพันธ์ระหว่าง SOC, SIEM, MDR และ MSSP

ทั้ง 4 ไม่ได้เป็นทางเลือกที่ต้องเลือกอย่างเดียว — แต่สามารถ ใช้ร่วมกัน ได้:

┌─────────────────────────────────────────────┐
│              SOC (People + Process)          │
│  ┌─────────┐  ┌─────────┐  ┌─────────────┐  │
│  │  SIEM   │  │   EDR   │  │    SOAR     │  │
│  │ (Tool)  │  │ (Tool)  │  │   (Tool)    │  │
│  └─────────┘  └─────────┘  └─────────────┘  │
└─────────────────────────────────────────────┘

          ↕ ถ้าไม่มี In-house SOC ↕

┌────────────────┐  ┌─────────────────────────┐
│  MDR Provider  │  │     MSSP Provider        │
│  (Detect +     │  │  (Manage + Monitor +     │
│   Respond)     │  │   Compliance)            │
└────────────────┘  └─────────────────────────┘

• SOC + SIEM = SOC ใช้ SIEM เป็นเครื่องมือหลัก
• MSSP + SIEM = MSSP จัดการ SIEM ให้ลูกค้า (Managed SIEM)
• MDR + EDR/XDR = MDR Provider Deploy เทคโนโลยี EDR/XDR + มี Analyst
• SOC + MDR = องค์กรมี SOC เอง แต่ใช้ MDR เสริมสำหรับ Endpoint

เมื่อไหร่ควรเลือกอะไร

เลือก In-house SOC เมื่อ:

• องค์กร ขนาดใหญ่ ที่มี Budget สำหรับ 24/7 Operation (ประมาณ 10–20+ ล้านบาท/ปี)
• ต้องการ ควบคุมเต็มที่ — Custom Playbook, Deep Integration กับ Business Process
• อยู่ในอุตสาหกรรมที่ Compliance เข้มงวด (Banking, CII)
• มีความสามารถ จ้างและรักษา Security Analyst ได้

เลือก SIEM เมื่อ:

• มี SOC Team หรือ IT Security Team อยู่แล้ว และต้องการ Centralized Log
• ต้อง Compliance Reporting (PCI DSS, ISO 27001, PDPA)
• ต้องการ Visibility ข้าม System ทั้งหมด
• มี Analyst ที่ สามารถเขียน Rule และ Triage Alert ได้

เลือก MDR เมื่อ:

• ต้องการ Detection + Response ทันที แต่ไม่มี In-house Analyst
• ต้องการ Threat Hunting เชิงรุก ไม่ใช่แค่ Alert-Based
• Budget จำกัด ไม่สามารถสร้าง SOC เอง
• ต้องการ Deploy เร็ว (สัปดาห์ ไม่ใช่เดือน)

เลือก MSSP เมื่อ:

• ต้องการ Outsource IT Security ทั้งหมด (Firewall, Endpoint, Patching, Monitoring)
• องค์กร ไม่มี IT Security Team เลย
• ต้องการ Compliance Management + Monthly Report
• ไม่ต้องการ Active Threat Hunting — แค่ Monitor + Alert ก็เพียงพอ

Pentest กับ Detection Validation — ทำไมต้องทำคู่กัน

ไม่ว่าจะเลือก SOC, SIEM, MDR หรือ MSSP — คำถามสำคัญคือ “ระบบตรวจจับจริงได้ไหม?”

Detection Validation คือการทดสอบว่าระบบ Detection สามารถตรวจจับภัยคุกคามจริงได้หรือไม่ ผ่าน:

• Tabletop Exercise — จำลองสถานการณ์โจมตีบนโต๊ะ ทดสอบ SOC Playbook
• Red Team Exercise — จำลองการโจมตีจริง ทดสอบว่า SOC/MDR ตรวจจับได้ไหม
• Purple Team — Red Team + Blue Team ทำงานร่วมกัน เพื่อปรับปรุง Detection Rule

ผลจาก Pentest/Red Team สามารถนำมา:

1. Tune SIEM Rule — เพิ่ม Detection Rule สำหรับ Attack Technique ที่ไม่ถูกตรวจจับ
2. วัดประสิทธิภาพ MDR — ดูว่า Provider ตอบสนองเร็วแค่ไหน
3. ปรับ SOC Playbook — แก้ไขขั้นตอนที่ล้มเหลวระหว่างการทดสอบ
4. ตรวจสอบ MSSP SLA — วัดว่า MSSP ทำตาม SLA ที่ตกลงไว้หรือไม่

สรุป

SOC, SIEM, MDR และ MSSP ไม่ได้เป็นคู่แข่งกัน — แต่เป็น ส่วนประกอบที่ต่างกัน ของ Security Operations:

• SIEM = เครื่องมือ
• SOC = ทีม + กระบวนการ
• MDR = บริการ Detection + Response
• MSSP = บริการ Security Management ครอบคลุม

สิ่งสำคัญคือ เลือกให้เหมาะกับ Maturity, Budget และ Risk Profile ขององค์กร — และอย่าลืมทดสอบด้วย Red Team หรือ Tabletop Exercise เพื่อให้มั่นใจว่าระบบ Detection ทำงานได้จริง

อ่านเพิ่มเติม:

• Tabletop Exercise — ซ้อมรับมือ Incident บนโต๊ะ
• Red Team Assessment Service

แหล่งอ้างอิง:

[1] NIST, “SP 800-61 Rev. 2: Computer Security Incident Handling Guide,” August 2012. https://csrc.nist.gov/pubs/sp/800/61/r2/final

[2] Gartner, “Magic Quadrant for Security Information and Event Management,” 2024. https://www.gartner.com/reviews/market/security-information-event-management

[3] SentinelOne, “MDR vs MSSP vs SIEM: Key Comparisons,” 2024. https://www.sentinelone.com/cybersecurity-101/endpoint-security/mdr-vs-mssp-vs-siem

[4] Arctic Wolf, “SIEM vs MSSP vs MDR,” 2024. https://arcticwolf.com/resources/blog/siem-vs-mssp-vs-mdr

[5] UnderDefense, “Managed SIEM vs MDR vs MSSP vs SOCaaS: Which Model Fits?” 2024. https://underdefense.com/blog/managed-siem-vs-mdr-vs-mssp