После ухода Splunk, IBM QRadar и ArcSight с российского рынка вопрос мониторинга безопасности перестал быть техническим – он стал вопросом доступности. Лицензии не продлеваются, обновления контента детектирования прекращены, поддержка недоступна. Для госсектора и КИИ это прямой риск: приказы ФСТЭК № 17, 21 и 239 требуют выявления инцидентов и взаимодействия с ГосСОПКА, а делать это на софте без поддержки нельзя. Хорошая новость – отечественные SIEM закрывают базовые сценарии, и переход уже не эксперимент, а отработанная процедура.

Что есть на рынке и под какие задачи

К осени 2023 года в реестре российского ПО присутствуют несколько зрелых SIEM. MaxPatrol SIEM от Positive Technologies сильна экспертизой по детектированию и регулярными пакетами знаний. KUMA от «Лаборатории Касперского» хорошо встраивается в их же экосистему EDR и threat intelligence. RuSIEM и «Спектр» закрывают сегмент, где важна цена и базовый функционал корреляции. Выбор зависит не от маркетинга, а от трёх вещей: какие источники событий у вас уже есть, какой объём EPS вы реально генерируете и есть ли в команде люди, готовые писать правила.

Не покупайте SIEM ради галочки в аттестации. Без настроенной корреляции и аналитика, который разбирает срабатывания, это дорогой сборщик логов. Мы видели внедрения, где система год собирала события, но ни один инцидент не дошёл до реагирования.

Как строить внедрение

Начните со сбора и нормализации. Заведите в систему критичные источники – контроллеры домена, межсетевые экраны, прокси, СЗИ от НСД, журналы ОС на ключевых серверах. На этом этапе вскрывается главная проблема миграции: коннекторы и парсеры под зарубежные системы не переносятся, их нужно адаптировать заново под отечественную платформу.

Дальше – правила корреляции. Базовый набор обычно идёт в поставке, но реальную ценность дают сценарии под вашу инфраструктуру: подбор паролей к VPN, аномальные входы администраторов, обращения к запрещённым ресурсам. Здесь работает тот же принцип, что и в интеграции ИИ в бизнес-процессы – автоматизация снимает рутину, но решения по нетиповым инцидентам остаются за человеком.

Отдельно проработайте реагирование. SIEM без процесса обработки инцидентов бесполезен. Опишите регламент: кто получает алерт, за какое время реагирует, как эскалирует. Накопленную базу инцидентов и плейбуков удобно держать как базу знаний с поиском по контексту – аналитик быстрее находит, как разбирали похожее срабатывание раньше.

Что учесть до старта

Импортозамещение СЗИ – это не только замена продукта, но и пересмотр бюджета и сроков ИТ-проектов. Лицензирование российских SIEM часто считается по EPS или числу источников, и при росте инфраструктуры расходы меняются нелинейно. Эту экономику лучше заложить заранее, как и прочие изменения в ИТ-затратах, а не объяснять постфактум.

Второй момент – интеграция с ГосСОПКА. Для субъектов КИИ это обязательное требование, и не каждая SIEM из коробки умеет передавать данные в нужном формате. Проверьте это на этапе выбора, а не после закупки.

Вывод

Отечественные SIEM готовы заменить ушедшие зарубежные системы в большинстве сценариев – особенно для госсектора и КИИ, где соответствие ФСТЭК и работа с ГосСОПКА не обсуждаются. Успех решает не выбор продукта, а правильная архитектура сбора, осмысленная корреляция и живой процесс реагирования. Проектирование и внедрение мониторинга на российском стеке опирается на ту же практику обеспечения информационной безопасности, что и защита периметра в целом.