Централизованный сбор, нормализация и интеллектуальная корреляция событий безопасности. Превращаем терабайты сырых логов в прозрачную картину киберугроз для выполнения требований регуляторов и реальной защиты бизнеса.
Централизованный сбор, нормализация и интеллектуальная корреляция событий безопасности. Превращаем терабайты сырых логов в прозрачную картину киберугроз для выполнения требований регуляторов и реальной защиты бизнеса.
Вам необходимо выполнить предписания регуляторов по мониторингу инцидентов: соответствие 187-ФЗ (субъекты КИИ), требования положений Банка России и ГОСТ Р 57580, приказы ФСТЭК России (№ 17, 21, 239).
Нужна гарантия юридической чистоты: обеспечение гарантированной глубины хранения журналов аудита, интеграция с НКЦКИ / ГосСОПКА и прохождение плановых проверок без штрафов.
Инфраструктура растет, количество инцидентов увеличивается, а разрозненные средства защиты (NGFW, EDR, AD, WAF) дают сотни несвязанных алертов.
Вы стоите перед выбором, инвестировать десятки миллионов рублей в закупку серверов, лицензий и найм ночной смены аналитиков — либо отдать мониторинг на аутсорсинг в проверенный сервис SOC 24/7.
Покупка дорогостоящего программного обеспечения — это лишь 20% задачи. Практика показывает, классический проект по самостоятельной покупке SIEM часто превращается в «мертвый груз», создавая лишь иллюзию безопасности.
SIEM генерирует десятки тысяч сообщений в сутки. Без выделенной команды первой и второй линий мониторинга (L1/L2) оповещения просто оседают в базе данных до тех пор, пока об инциденте не сообщат клиенты или регуляторы.
Базовые шаблоны вендора либо генерируют лавину ложных срабатываний, парализуя работу системных администраторов, либо пропускают реальные цепочки атак (Lateral Movement, DCSync, подбор учетных данных).
Неоптимально настроенные источники забивают лимит по событиям в секунду (EPS) или гигабайтам в сутки шумовым трафиком. В результате система отбрасывает критически важные логи контроллеров домена или сетевого периметра.
При неверном сайзинге СХД дисковое пространство заканчивается за 1–2 месяца. Компания нарушает отраслевые требования по хранению событий в течение 6–12 месяцев и теряет возможность ретроспективного расследования атак.
Хакеры атакуют ночью, в выходные и праздничные дни. Чтобы система приносила пользу, требуется непрерывное дежурство минимум 5–6 сертифицированных инженеров с постоянной компенсацией отпусков, больничных и текучести кадров.
Качественное внедрение SIEM — это строгая инженерная цепочка, гарантирующая доставку каждого события без потерь, задержек и искажений.
Базовая расчетная единица большинства современных решений — EPS (Events Per Second), число событий в секунду, поступающих на обработку.
Типовой профиль инфраструктуры среднего предприятия (250–499 хостов):
Покажем реальную видимость вашей сети.
Предлагаем развернуть пилотную зону на базе вашей инфраструктуры, чтобы проверить применимость решения до подписания договора на лицензии.
Многие компании начинают с желания «купить и поставить свой SIEM». Однако расчет совокупной стоимости владения на горизонте 3 лет наглядно демонстрирует скрытые финансовые и организационные издержки.
| Статья расходов (горизонт 3 года) | Собственный SIEM (In-House) | Подключение к Сервису SOC 24/7 |
|---|---|---|
| Лицензии на ПО | Разовая закупка + ежегодная техподдержка (лицензии SIEM российских вендоров): [согласовывается при расчете] | Включены в регулярный тариф подписки, нет капитальных затрат (CAPEX) |
| Аппаратная часть (Hardware) | Покупка и амортизация серверов, быстрых дисковых массивов (NVMe/SSD) и СХД для архива 6–12 месяцев | Размещение в защищенном облаке провайдера либо оптимизированный гибридный сбор |
| Внедрение и разработка правил | Консалтинг, написание сотен правил корреляции, тюнинг нормализации под специфику сети | Быстрый старт за 2–3 недели, готовая база правил детекта, адаптированная под актуальные угрозы |
| Фонд оплаты труда (ФОТ 24/7) | Не менее 5–6 инженеров (дежурные смены L1/L2, архитектор, контент-инженер). Ежегодные затраты на зарплаты, налоги, рабочие места | Команда высококвалифицированных экспертов уже работает на вас без затрат на найм и удержание |
| Обучение и ротация кадров | Риск ухода ключевых специалистов, постоянные затраты на поиск редких экспертов по ИБ | Нулевой риск простоя мониторинга: непрерывность процессов зафиксирована в строгом SLA |
| Сроки запуска боевого мониторинга | От 6 до 12 месяцев (закупка, поставка железа, настройка) | От 14 рабочих дней |
Наши подходы к проектированию сбора данных и мониторинга полностью закрывают обязательные нормативные требования:
Выполнение требований по непрерывному мониторингу, учету инцидентов и передаче сведений в ГосСОПКА / НКЦКИ.
Сроки зависят от масштаба ИТ-ландшафта и глубины кастомизации:
Поведение зависит от конкретной архитектуры российского вендора SIEM:
Как мы это решаем: на этапе предпроектного обследования мы настраиваем фильтрацию шума непосредственно на коллекторах. Логи, не несущие ценности для ИБ (например, рутинные отладочные сообщения сетевых интерфейсов), отсекаются до поступления в расчетное ядро SIEM, экономя до 30–40% лицензионного объема EPS.
Приоритизация строится по принципу максимального покрытия векторов атак:
SIEM — это фундаментальный технический компонент, но сам по себе он не делает инфраструктуру комплаентной. Для полного закрытия требований регуляторов необходимы:
Мы проектируем внедрение с учетом формы отчетности для проверок ФСТЭК и Банка России, а при выборе сервисного SOC берем взаимодействие с регуляторами и передачу карточек инцидентов на себя.
Да. Мы работаем по гибридной модели (Co-managed SIEM):
Покупка SIEM — это приобретение программного инструмента. Вы получаете софт, требующий серверов, постоянного администрирования, тюнинга и штата специалистов, которые будут непрерывно смотреть в консоль.
Подключение к сервису SOC 24/7 — это покупка измеримого результата безопасности. Вы получаете круглосуточный мониторинг, квалифицированное расследование каждого критичного алерта и помощь в локализации инцидентов с юридически зафиксированным временем реакции (SLA).
При подключении к внешнему сервису исходные базы данных и конфиденциальная коммерческая информация остаются внутри вашего периметра:
Вам необходимо выполнить предписания регуляторов по мониторингу инцидентов: соответствие 187-ФЗ (субъекты КИИ), требования положений Банка России и ГОСТ Р 57580, приказы ФСТЭК России (№ 17, 21, 239).
Нужна гарантия юридической чистоты: обеспечение гарантированной глубины хранения журналов аудита, интеграция с НКЦКИ / ГосСОПКА и прохождение плановых проверок без штрафов.
Инфраструктура растет, количество инцидентов увеличивается, а разрозненные средства защиты (NGFW, EDR, AD, WAF) дают сотни несвязанных алертов.
Вы стоите перед выбором, инвестировать десятки миллионов рублей в закупку серверов, лицензий и найм ночной смены аналитиков — либо отдать мониторинг на аутсорсинг в проверенный сервис SOC 24/7.
SIEM генерирует десятки тысяч сообщений в сутки. Без выделенной команды первой и второй линий мониторинга (L1/L2) оповещения просто оседают в базе данных до тех пор, пока об инциденте не сообщат клиенты или регуляторы.
Базовые шаблоны вендора либо генерируют лавину ложных срабатываний, парализуя работу системных администраторов, либо пропускают реальные цепочки атак (Lateral Movement, DCSync, подбор учетных данных).
Неоптимально настроенные источники забивают лимит по событиям в секунду (EPS) или гигабайтам в сутки шумовым трафиком. В результате система отбрасывает критически важные логи контроллеров домена или сетевого периметра.
При неверном сайзинге СХД дисковое пространство заканчивается за 1–2 месяца. Компания нарушает отраслевые требования по хранению событий в течение 6–12 месяцев и теряет возможность ретроспективного расследования атак.
Хакеры атакуют ночью, в выходные и праздничные дни. Чтобы система приносила пользу, требуется непрерывное дежурство минимум 5–6 сертифицированных инженеров с постоянной компенсацией отпусков, больничных и текучести кадров.
SIEM генерирует десятки тысяч сообщений в сутки. Без выделенной команды первой и второй линий мониторинга (L1/L2) оповещения просто оседают в базе данных до тех пор, пока об инциденте не сообщат клиенты или регуляторы.
Официальный отчет «Что видно и что не видно в инфраструктуре»:
Официальный отчет «Что видно и что не видно в инфраструктуре»:
Реализация мер по мониторингу и анализу инцидентов безопасности в финансовых организациях (уровни защиты: стандартный, усиленный, максимальный).
Соблюдение регламентов сбора, архивирования и анализа событий в ГИС, ИСПДн и на объектах КИИ.
Выполнение требований по непрерывному мониторингу, учету инцидентов и передаче сведений в ГосСОПКА / НКЦКИ.
Соблюдение регламентов сбора, архивирования и анализа событий в ГИС, ИСПДн и на объектах КИИ.
