Автор:

Павел Пугач

Системный аналитик «СёрчИнформ»

Опубликовано 30.07.2026

Обновлено 30.07.2026

Система мониторинга событиями информационной безопасности (SIEM-система) — сердце любого Центра управления ИБ (SOC). Она собирает события безопасности из корпоративной ИТ-инфраструктуры, выявляет инциденты и предоставляет информацию специалистам. От качества и результата этих действий зависит эффективность функционирования Центра управления ИБ — от оперативного реагирования до разработки или модернизации ИБ-политик.

Но помимо базовых функций мониторинга, современные системы управления инцидентами ИБ (SIEM) оборудованы самым разным функционалом. Давайте вернёмся к истокам и вспомним, какие из многочисленных возможностей систем действительно требуются в Центре управления ИБ и как удобство их реализации предопределяет эффективность всего подразделения.

Какие задачи решают системы мониторинга событиями в Центре управления ИБ

Система решает четыре основные задачи:

1. Собирает и нормализует события безопасности;
2. Выявляет инциденты;
3. Интегрируется в процесс расследования;
4. Передаёт данные в другие системы и средства защиты.

Остальной функционал, например выявление уязвимостей, тоже может быть полезен: он помогает закрыть нехватку других средств защиты информации (СЗИ). Но Центр управления ИБ, как правило, оборудован множеством профильных систем: системой управления процессами информационной безопасностью (SGRC), системой реагирования и управления инцидентами (IRP), системой для оркестрации, автоматизации и быстрого реагирования на инциденты ИБ (SOAR), системой управления уязвимостями (VM) и т. д. Они получают данные из системы управления инцидентами ИБ (SIEM) и используют их для решения ИБ-задач. Получается, выбор системы мониторинга событиями для Центра управления ИБ должен основываться не на количестве функций, которые к тому же пересекаются с другими СЗИ, а на качестве и удобстве реализации основного функционала системы управления ИБ. Пошагово пойдём по нему.

1.    Как собирать и стандартизировать

Система мониторинга событий в Центре управления ИБ отвечает за сбор и нормализацию событий безопасности из разных элементов ИТ-инфраструктуры: операционных систем, баз данных, средств защиты, сетевых устройств, «облаков», приложений и т. д.

Для этого система должна подключаться к множеству источников, «понимать» и забирать их логи. То есть поддерживать разные сетевые протоколы, стандарты хранения и передачи данных, а также механизмы выполнения команд на источниках. Например, протоколы для сбора логов (Syslog), безопасного управления удаленными серверами и устройствами (SSH), управления сетью (SNMP Trap), учета сетевого трафика (NetFlow) и т. д.

«СёрчИнформ Мониторинг безопасности» («СёрчИнформ SIEM») собирает и нормализует события при помощи предустановленных коннекторов. Всего их три типа. Первый — персональные коннекторы для популярного оборудования, ПО и ИБ-инструментов. Например, к антивирусу Kaspersky, 1С, АПКШ «Континент» и т. д.

Второй — универсальные коннекторы к протоколам журнала событий (EventLog), сбора логов (Syslog), безопасного управления удаленными серверами и устройствами (SSH), учета сетевого трафика (NetFlow) и другим, по которым можно получить данные от большинства других источников.

Для редких случаев, когда, например, нужно получить данные из ПО собственного написания, можно воспользоваться пользовательским коннектором на основе скриптов или вычитать данные напрямую из БД.

Все коннекторы, кроме пользовательского, подключаются в графическом интерфейсе. Это просто и быстро, а потому экономит силы и время.

2.    Как выявить скрытое

Следующая задача системы управления инцидентами ИБ (SIEM) — выявление инцидентов: вирусных эпидемий, попыток перебора паролей, компрометаций учётных записей и т. д. Для этого система должна анализировать события и позволять специалистам удобно их коррелировать.

Павел Пугач

Системный аналитик «СёрчИнформ»

Для выявления инцидентов, которые состоят из единичных событий, в «СёрчИнформ Мониторинг безопасности» есть базовый набор правил корреляции. Они покажут события, на которые стоит обратить внимание в любой инфраструктуре. Например, временное изменение параметров учётной записи, добавление нового пользователя, вход в почтовый ящик сотрудника с зарубежного сетевого адреса и т. д. Базовый набор правил можно настраивать или быстро создать новые, если не хватило «джентльменского набора».

Для более сложных случаев существуют правила кросс-корреляции. Они позволяют выявлять инциденты, которые состоят из нескольких событий, несвязанных друг с другом на первый взгляд. Например, подключение флешки и старт вирусной эпидемии.

Оба типа правил настраиваются в графическом интерфейсе. Первые — выбором событий из выпадающего списка. Вторые — выбором коннекторов, событий и параметров в графическом конструкторе. Это экономит ресурсы аналитиков Центра управления ИБ на сложное программирование.

3.    Как найти причину

Расследование инцидентов в Центре управления ИБ — это выстроенный процесс. Разные линии специалистов действуют по прописанным инструкциям и шаблонам. Задача системы мониторинга событиями ИБ (SIEM) — легко интегрироваться в этот процесс и предоставить специалистам необходимые данные в простом формате. Для этого нужна понятная визуализация. Например, консоль управления с виджетами в «СёрчИнформ мониторинг безопасности» даст оперативную сводку по нужным параметрам в выбранном формате.

Также нужны инструменты анализа данных, с которыми будет удобно работать. Например, журналы сработок правил корреляции и кросс-корреляции представят отчёт по всем событиям безопасности в инфраструктуре. А фильтрация по дате и времени возникновения инцидентов, их критичности, количеству и т. д. поможет сгруппировать события по опорным признакам, выявить тенденции и выстроить хронологию развития атаки. Ещё в «СёрчИнформ мониторинг безопасности» инциденты можно отобразить на специальной карте. Это упростит поиск центров аномальной активности, проблемных узлов сети и пользователей, которые связаны с большим количеством инцидентов. Так ИБ-команда расставит приоритеты и обнаружит слабые места в инфраструктуре.

Павел Пугач

Системный аналитик «СёрчИнформ»

Ещё в системе есть инструмент менеджер задач (Тask Мanagement). Он работает как планировщик задач и помогает организовать командную работу над ИБ-инцидентами, что актуально для координации разных линий и Центра управления ИБ. Менеджер задач позволяет создавать задачи и подзадачи, контролировать сроки их исполнения, определять ответственных ИБ-специалистов и фигурантов инцидентов. Прикреплять необходимую для расследования информацию: инциденты и события, документы и описания, подзадачи и т. д.

4.    Как поделиться данными

Хорошая система управления события ИБ автоматически передаёт данные в системы управления процессами информационной безопасностью (SGRC), системы управления уязвимостями (VM), системы оркестрации инцидентов ИБ (SOAR), системы реагирования и управления инцидентами (IRP) и другие компоненты Центра управления ИБ. Для этого в системе должны быть разные инструменты экспорта: внешний программный интерфейс (API), утилиты и т. д.

«СёрчИнформ Мониторинг безопасности» поддерживает экспорт инцидентов по расписанию в формате CSV. Он хорошо подходит для обработки другими системами и позволит, например, передать данные в систему управления процессами информационной безопасностью (SGRC). Есть отправка данных в формате JSON на указанный веб-адрес при выявлении инцидента. Это позволит интегрироваться с веб-приложениями и даст гибкость в плане отправки данных.

С некоторыми системами «СёрчИнформ Мониторинг безопасности» готов взаимодействовать сразу «из коробки». В частности, система передаёт инциденты в систему реагирования и управления инцидентами (IRP) R-Vision для автоматизированного реагирования. А для лёгкого взаимодействия с регулятором через внешний программный интерфейс (API) реализована прямая интеграция с ГосСОПКА. В простом интерфейсе можно подготовить отчёт по заданным регулятором критериям, к которому автоматически подтягивается «фактура» из системы управления инцидентами ИБ (SIEM).

Наконец, доступна передача данных при помощи внешних инструментов. «СёрчИнформ Мониторинг безопасности запускает указанное ПО средствами ОС и передаёт ему на вход заданные параметры инцидента.

Заключение

Для эффективной работы Центра управления ИБ система мониторинга событиями должна работать с широким пулом источников, поддерживать разные сетевые протоколы, стандарты хранения и передачи данных. Анализировать и коррелировать разнородные события, предоставлять инструменты расследования, поддерживать автоматизированный экспорт данных в другие системы.

Если работа с системой мониторинга событиями ИБ (SIEM) устроена просто и удобно, повышается эффективность Центра управления ИБ. Это «разгружает» ИБ-специалистов и позволяет сосредоточиться на оперативных задачах. В результате возрастает скорость реагирования и расследования инцидентов, даже если «рук» не хватает.