Сравнение российских SIEM-систем — 2026, часть I

Для сравнения российских систем класса «управление информацией и событиями ИБ» (Security Information and Event Management, SIEM) мы сформулировали около 250 критериев. В первой части сравнения представлены Ankey SIEM NG, KOMRAD Enterprise SIEM, KUMA, MaxPatrol SIEM, RuSIEM и Security Vision SIEM.

 

 

 

 

 

 

1. 1. Введение
2. 2. Что такое системы мониторинга ИБ (Security Information and Event Management)
3. 3. Место SIEM на рынке ИБ и в системах защиты организаций
4. 4. Методология сравнения российских SIEM-систем
5. 5. Сравнение российских систем класса SIEM, часть I
   
   1. 5.1. Общие сведения
   2. 5.2. Системная архитектура
      
      1. 5.2.1. Варианты исполнения и поставки
      2. 5.2.2. Хранение данных и передача событий
      3. 5.2.3. Производительность и масштабирование
      4. 5.2.4. Отказоустойчивость и резервирование
      5. 5.2.5. Защищённость системы
   3. 5.3. Интеграция
      
      1. 5.3.1. Подключение источников событий
      2. 5.3.2. Обогащение данными из других систем, в том числе систем ИБ
   4. 5.4. Основная функциональность
      
      1. 5.4.1. Управление событиями и данными
      2. 5.4.2. Управление активами
      3. 5.4.3. Управление инцидентами
      4. 5.4.4. Визуализация и аналитика
      5. 5.4.5. Отчёты и документы
   5. 5.5. Эксплуатация системы
      
      1. 5.5.1. Предустановленная функциональность
      2. 5.5.2. Кастомизация
      3. 5.5.3. Автоматизация
      4. 5.5.4. Интерфейс и пользовательский опыт
   6. 5.6. Техническая поддержка и обучение
   7. 5.7. Лицензирование
   8. 5.8. Прочие особенности, которые могут представлять интерес для заказчика
6. 6. Выводы

Введение

Программные системы класса Security Information and Event Management (SIEM) можно без большого преувеличения назвать одним из краеугольных камней российского рынка информационной безопасности. Исследование, проведённое Positive Technologies и аналитиками TAdviser, показало: ещё 2 года назад 97 из 100 опрошенных российских организаций пользовались какой-нибудь SIEM-системой. Это свидетельствует об интенсивной и энергичной конкуренции между вендорами: на новых клиентов в таких условиях рассчитывать трудно, приходится соревноваться за благосклонность уже имеющихся.

При этом, как отмечают в компании «Стахановец», SIEM-система — это дорогостоящий программный комплекс, проект по внедрению которого может занять несколько лет. В этом контексте важно чётко знать собственные потребности, а также учитывать особенности различных продуктов и решений, доступных на рынке. Отметим особо: по мнению экспертов, которые участвовали в эфире телепроекта AM Live «Российские SIEM 2025: выбор и внедрение», сейчас для заказчика важны не столько технические детали, сколько экспертиза вендора, доступная через его продукт. Такие нюансы не всегда представлены в даташитах (от англ. datasheet — «таблица данных», «технический паспорт»).

Команда Anti-Malware.ru взяла на себя трудоёмкую задачу по сбору и обобщению информации, которая может быть полезна при выборе SIEM-системы. Мы представляем результат нашей работы в этом сравнении, публикуемом в нескольких частях.

Что такое системы мониторинга ИБ (Security Information and Event Management)

Система класса SIEM — это в первую очередь механизм мониторинга. Она собирает данные из различных источников в инфраструктуре, сводит их воедино, после чего даёт возможность анализировать происходящее и обнаруживать в разрозненных сигналах признаки нарушений информационной безопасности. То, что при рассмотрении одиночного уведомления или единственной записи в журнале выглядит как случайность, в сочетании с другими событиями становится одним из элементов мозаики, ключом к выявлению инцидента или атаки.

Однако современная SIEM-система — это не только массив логов и правила корреляции. Вендоры обогащают функциональность своих продуктов и решений за счёт машинного обучения и технологий искусственного интеллекта, обеспечивают возможность анализа данных с учётом контекста, ищут возможности для автоматизированного реагирования на выявленные инциденты. В эфире AM Live о SIEM нового поколения прозвучала ёмкая мысль: современное требование к SIEM — не обработать логи, а обнаружить и остановить злоумышленника.

Стоит сказать и о том, что SIEM-система — средство обеспечения комплаенса, выполнения нормативных требований. В России этому уделяется особое внимание, однако и за рубежом этот аспект внедрения ИБ-мониторинга считается значимым.

В частности, многие правовые акты и стандарты предписывают осуществлять аудит происходящего в информационных системах. Приказ ФСТЭК России № 117, утверждающий требования по защите информации в ГИС и других ИС государственных организаций, недвусмысленно требует осуществлять мониторинг ИБ, а также непрерывно взаимодействовать с системой ГосСОПКА, что тоже можно реализовать посредством SIEM.

Если говорить об устройстве SIEM-системы, то можно выделить в ней следующие фундаментальные блоки:

1. Ядро сбора и агрегации логов и событий. Информация поступает из самых разнообразных источников, начиная от конечных точек и заканчивая облачными сервисами.
2. Ядро нормализации и корреляции. События и сигналы приводятся к единообразному представлению, а затем система связывает их между собой, выстраивая целостную картину происходящего.
3. Ядро анализа и выдачи уведомлений (алертов). В последнее время именно этот функциональный блок особенно активно обогащается разного рода ИИ-функциями. Автоматика помогает находить аномалии и сообщает операторам о необходимости обратить внимание на что-либо.
4. Хранилище данных. Сведения, размещаемые в хранилище, обеспечивают ретроспективный анализ и поиск индикаторов компрометации, полезны при проведении расследований.

Широта возможностей и функций обеспечивает SIEM-системам пристальное внимание со стороны заказчиков. Не случайно этот класс — один из локомотивов рынка ИБ. Однако применять эти возможности надо с умом. SIEM — не тот продукт или решение, которое можно достать из коробки, внедрить и тут же выбросить из головы.

Место SIEM на рынке ИБ и в системах защиты организаций

SIEM — это своего рода нервный узел системы обеспечения ИБ. Система принимает информацию от «органов чувств», обрабатывает её и обеспечивает реакцию. За счёт этого ускоряется детектирование угроз, снижаются риски, а отклик на воздействие вредоносных факторов становится более чётким и адресным. Существующие процессы борьбы с угрозами ускоряются и улучшаются. Иными словами, SIEM играет роль бустера, придавая новое качество прежним возможностям и функциям.

Как следствие, SIEM-системы ассоциируются в первую очередь с деятельностью ситуационных или мониторинговых центров ИБ — Security Operations Center (SOC). Они размещаются в ядре таких центров и дают экспертам и аналитикам широкие возможности по наблюдению за инфраструктурой, выявлению подозрительных событий и аномалий, запуску процедур по принятию контрмер. Последнее обстоятельство, в свою очередь, приводит к сближению с системами оркестровки и автоматизации — Security Orchestration, Automation and Response (SOAR). На рынке ИБ наблюдаются, среди прочего, тенденции к сращиванию этих двух классов.

Как правило, говорят об использовании SIEM в собственном центре мониторинга, однако наиболее широкофункциональные и производительные системы становятся основой функционирования коммерческих SOC — центров, которые оказывают услуги по обнаружению угроз и инцидентов другим организациям. В таких сценариях требования к SIEM-системе растут, поскольку цена ошибки или отказа ощутимо выше.

Роль и назначение SIEM естественным образом, как бы сами собой, приводят к тому, что система начинает занимать в процессах обеспечения ИБ центральное положение. Она не только выступает получателем данных, но и связывает между собой прочие средства защиты, может передавать в них информацию, помогающую им работать эффективнее. С SIEM могут взаимодействовать программные комплексы таких классов, как «управление уязвимостями» (Vulnerability Management, VM), «предотвращение утечек» (Data Leak Prevention, DLP), «обнаружение и реагирование на конечных точках» (Endpoint Detection and Response / Extended Detection and Response, EDR / XDR) и др.

Впрочем, следует помнить, что SIEM-система не работает сама собой. Её внедрение и эксплуатация требуют решения ряда важных задач:

1. Расставить приоритеты в отношении сбора данных. Не следует собирать всё подряд, это только породит бессмысленную избыточность. Надо понять, какие источники наиболее важны и информативны.
2. Обучить людей или найти квалифицированные кадры. SIEM — это не антивирус и не файрвол, у неё весьма высокие требования к умениям и навыкам персонала, который будет её эксплуатировать. Иначе можно столкнуться с ситуацией, когда люди просто не видят угрозу, хотя все нужные для этого сведения у них вроде бы есть.
3. SIEM-система нуждается в постоянной тонкой настройке. Нужно будет регулярно заниматься «тюнингом», чтобы уменьшать количество лишней информации, отсеивать ложные срабатывания и снижать усталость от бесконечных алертов.

Поэтому, в частности, многие заказчики не берутся самостоятельно развёртывать и эксплуатировать SIEM (а тем более — строить SOC) и привлекают для этих целей внешние компетенции. Вендоры, в свою очередь, обеспечивают поддержку мультиарендности и возможность использования своих SIEM-систем по модели управляемых услуг информационной безопасности (Managed Security Service Provider, MSSP).

Из того, что мы сказали выше, уже можно вывести довольно много критериев для сравнения SIEM-систем между собой. Посмотрим теперь на полный спектр характеристик и на способы их формализации.

Методология сравнения российских SIEM-систем

К участию в сравнении были приглашены те вендоры, чьи продукты и решения, по нашей оценке, занимают заметное место на российском рынке ИБ, характеризуются существенным количеством внедрений, представлены в различных рейтингах, обзорах рынков и т. д. Сравнение опиралось на метод анкетирования; в общей сложности было получено 11 анкет.

Для сравнения был разработан набор из 247 критериев, разбитый на 8 тематических блоков. Дадим им краткую характеристику.

Блок № 1 — «Общие сведения». Здесь собрана информация, которая характеризует продукт в целом: компания-разработчик, версия системы, сертификаты и комплаенс, внедрения, целевые сегменты на рынке и т. д.

Блок № 2 — «Системная архитектура». Рассматриваются варианты исполнения и поставки программного комплекса, возможности по хранению данных, характеристики по части производительности и масштабирования, меры по обеспечению отказоустойчивости. Отдельное внимание уделено защите системы: важно, чтобы SIEM сама не стала точкой компрометации.

Блок № 3 — «Интеграция». С этой точки зрения SIEM-системы характеризуются двумя основными особенностями. С одной стороны, это подключение источников событий: откуда поступает информация для накопления и обработки. С другой стороны, это обогащение имеющихся сведений дополнительными данными из внешних систем — таких, например, как потоки данных (фиды) киберразведки.

Блок № 4 — «Основная функциональность». Во-первых, рассматриваются функции и возможности по управлению событиями и данными. Во-вторых, есть группа критериев, которые характеризуют управление активами, имеющимися в инфраструктуре. В-третьих, описываются и сравниваются механизмы управления инцидентами. Кроме того, в блоке представлены функции визуализации и отчётности, доступные в российских SIEM-системах.

Блок № 5 — «Эксплуатация системы». В этом блоке мы даём характеристику сравниваемых продуктов и решений с точки зрения повседневной работы с ними. В процессе эксплуатации важно не только то, что доступно «из коробки»: большое значение имеют возможности кастомизации, а также инструменты для выполнения операций в автоматизированном режиме, когда система помогает людям избавиться от рутины или обеспечить быстрый отклик на инцидент.

Блок № 6 — «Техническая поддержка и обучение». Здесь описываются режимы работы технической поддержки, различные дополнительные условия, каналы связи и т. д. Мы также указываем, есть ли у вендора курсы для администраторов, аналитиков и других специалистов.

Блок № 7 — «Лицензирование». Эта группа критериев охватывает разнообразные факторы и условия, определяющие стоимость SIEM-системы. Показано, в частности, какова минимальная поставка в каждом случае, что является объектами лицензирования, как оплачивается расширение параметров лицензии, какие дополнительные модули можно докупить и т. д.

Блок № 8 — «Прочие особенности». В этом блоке содержится небольшая группа разнородных критериев, которые не имеют прямого отношения к функциональности SIEM, однако могут быть интересны заказчикам по той или иной причине.

С целью повысить репрезентативность сравнения было принято решение представить его в нескольких частях. В первую часть включены SIEM-системы Ankey SIEM NG («Газинформсервис»), KOMRAD Enterprise SIEM (ГК «Эшелон»), KUMA («Лаборатория Касперского»), MaxPatrol SIEM (Positive Technologies), RuSIEM от одноимённой компании и SIEM на платформе Security Vision («Интеллектуальная безопасность»).

Сравнение российских систем класса SIEM, часть I

Общие сведения

 

Системная архитектура

Варианты исполнения и поставки

 

Хранение данных и передача событий

 

Производительность и масштабирование

 

Отказоустойчивость и резервирование

 

Защищённость системы

 

Интеграция

Подключение источников событий

 

Обогащение данными из других систем, в том числе систем ИБ

 

Основная функциональность

Управление событиями и данными

 

Управление активами

 

Управление инцидентами

 

Визуализация и аналитика

 

Отчёты и документы

 

Эксплуатация системы

Предустановленная функциональность

 

Кастомизация

 

Автоматизация

 

Интерфейс и пользовательский опыт

 

Техническая поддержка и обучение

 

Лицензирование

 

Прочие особенности, которые могут представлять интерес для заказчика

 

Выводы

Российские заказчики предъявляют к отечественным SIEM-системам ряд требований. Большое значение для них имеют производительность, отказоустойчивость, возможности расширения и масштабирования. Заметную роль играет экспертиза, предоставляемая вендором. Есть, в частности, спрос на готовые наборы правил и другого контента «из коробки». Важно и удобство эксплуатации наряду с возможностями автоматизации рутинных задач.

В целом требований много, и они разнообразны. Не пытаясь осуществить ранжирование сравниваемых продуктов и решений, мы, однако, надеемся, что собранные и представленные нами здесь данные послужат ориентиром и навигатором при составлении перечней необходимых и приоритетных функций, равно как и при последующем выборе и внедрении SIEM-системы.

Редакция Anti-Malware.ru благодарит коллег и экспертов, принимавших деятельное участие в подготовке сравнения российских SIEM-систем. Нам помогали:

Александр Лимарев, начальник отдела систем мониторинга компании «Газинформсервис».

Сергей Максименко-Литвак, руководитель группы управления событиями ИБ компании «Газинформсервис».

Павел Пугач, системный аналитик «СёрчИнформ».

Александр Ненахов, менеджер продукта Solar SIEM, ГК «Солар».

Николай Лишке, директор Центра кибербезопасности АО «Эшелон Технологии».

Дмитрий Дронов, старший менеджер предпродажной поддержки SIEM / XDR, «Лаборатория Касперского».

Олег Акишев, руководитель отдела разработки NGR Softlab.

Алексей Дашков, директор центра развития продуктов NGR Softlab.

Илья Одинцов, менеджер по продукту SIEM Alertix, NGR Softlab.

Ксения Моисеева, лидер продуктового развития SIEM, BAD и IM, Positive Technologies.

Виктор Никуличев, руководитель продукта R-Vision SIEM.

Даниил Вылегжанин, руководитель отдела предпродажной подготовки, RuSIEM.

Александр Афонин, руководитель отдела внедрения, RuSIEM.

Дмитрий Фоминых, специалист, Security Vision.

Ольга Григорова, специалист, Security Vision.

Илья Мельников, эксперт по мониторингу в области кибербезопасности, VolgaBlob.

Михаил Кондрашин, архитектор решений, TrendAI.