Автор:

Павел Пугач

Системный аналитик «СёрчИнформ»

Опубликовано 19.08.2026

Обновлено 19.08.2026

Автоматизированный мониторинг и выявление инцидентов – ключевое преимущество систем управления событиями ИБ (SIEM). При этом считается, что работать с такими решениями могут только продвинутые специалисты, а сама покупка системы и владение ею – удовольствие не из дешевых. Так ли это на самом деле? И могут ли компании малого и среднего бизнеса (МСБ) позволить себе такой ИБ-инструмент? Разберемся в этой статье.

Задачи по обеспечению информационной безопасности стоят перед компаниями разного размера: у всех есть оборудование и ПО, которое может выйти из строя или подвергнуться атаке, что поставит бизнес под угрозу. ИТ-инфраструктура требует контроля, обеспечить его можно с помощью систем управления событиями ИБ (SIEM). Они в реальном времени собирают данные из всех источников в периметре, отображая их в одном окне, для оперативного устранения возникшей проблемы.

Почему именно системы управления событиями ИБ

Разберемся, чем так незаменимы эти системы. На первый взгляд, их задачи довольно просты:

• Собрать данные. Для этого системы управления событиями ИБ задействуют коннекторы к оборудованию, ПО и средствам защиты, получают по ним информацию о состоянии и событиях на источнике в реальном времени.
• Выделить события безопасности. Системы выделяют в потоке данных те, что касаются безопасности. Внутри систем это называется правилами корреляции, а по сути – это фильтры, которые помогают системе сфокусироваться на потенциальных угрозах.
• Обнаружить инциденты. Среди ИБ-событий системе нужно определить штатные и нештатные, например отличить разовую ошибку пользователя при вводе пароля от настоящей попытки взлома. Кроме того, программы должны вынести вердикт об инциденте, если разные штатные события в инфраструктуре вместе выглядят подозрительно. За это отвечает кросс-корреляция.

За всем этим стоит обработка больших массивов информации и сложная аналитика, которые требуют большой вычислительной нагрузки и тонкой настройки, вплоть до самостоятельного написания алгоритмов обработки данных. Именно эти сложности часто становятся барьером для закупки системы управления событиями ИБ (SIEM) в МСБ.

Для решения каждой задачи у системы есть доступные с виду альтернативы. Например, вычитку данных от источников доверяют лог-менеджерам. Они не приоритизируют события с точки зрения потенциальной опасности, зато сводят логи «в одно окно». С другой стороны, есть сканеры уязвимостей, которые указывают на потенциальные опасности, но фокусируются на состоянии инфраструктуры, а не на происходящем в ней, то есть не отслеживают реальную динамическую картину.

Павел Пугач

Системный аналитик «СёрчИнформ»

Что до выявления угроз, то тут просто нет универсального средства: классические решения вроде антивирусов, файрволов или систем предотвращения утечек (DLP) работают каждое на своем фронте, а специальные инструменты типа систем обнаружения целевых атак (EDR/XDR) или систем предотвращения вторжений (IPS) заточены под серьезные инциденты и пропускают зреющие проблемы. Так что одним средством не обойтись, а закупать и обслуживать все – непосильная задача для небольшой компании.

У системы управления событиями ИБ (SIEM) как класса нет полноценной альтернативы. К тому же некоторым компаниям, например субъектам КИИ (а принадлежность к КИИ зависит от отрасли и задач, а не от размера организации), регулятор прямо предписывает применять именно систему управления событиями ИБ для защиты инфраструктуры. Поэтому возникает вопрос: как и какую систему выбрать небольшой компании?

Пять критериев выбора

Рынок российских систем управления событиями ИБ достаточно зрелый, но продукты значительно отличаются друг от друга по функционалу и стоимости. Компаниям МСБ при выборе решения необходимо обращать внимание на условия внедрения и удобство эксплуатации. Вот несколько важных критериев.

Скорость внедрения

Часто именно внедрение, настройка и кастомизация системы требуют самых больших трудозатрат. Чтобы вписать систему управления событиями ИБ в инфраструктуру, нужно подключить все источники, добиться совместимости с ними, а также настроить правила вычитки событий и нормализовать их, то есть включить корреляцию. Большинство систем поставляются с готовыми коннекторами и правилами корреляции к ним, но на деле их часто нужно дописывать вручную. Порой на это уходят месяцы.

В условиях нехватки специалистов МСБ лучше подойдут преднастроенные системы. Например, в «СёрчИнформ Мониторинг безопасности» (СёрчИнформ SIEM) всю нормализацию и предварительную обработку событий мы реализовали на этапе написания коннекторов. Поэтому их запуск сводится к вводу адресов для обмена данными на источнике и в системе. К каждому коннектору есть набор правил корреляции, которые включаются автоматически: они фокусируются на событиях, базово актуальных в любой инфраструктуре. В итоге весь процесс внедрения может уместиться в рабочий день, без остановки бизнес-процессов и конфликтов с ИТ-инфраструктурой.

Размер «коробки»

Многие вендоры предлагают едва ли не сотни коннекторов и правил к ним в своих системах. На практике это разнообразие нужно не всегда, особенно небольшим компаниям, но такая экспертиза вендора стоит денег. Оптимально выбрать решение, которое поддерживает нужную «базу»: ОС, оборудование, бизнес- и защитное ПО, которые реально используются в компании.

Павел Пугач

Системный аналитик «СёрчИнформ»

«СёрчИнформ Мониторинг безопасности» поставляется с персонализированными коннекторами к типовому оборудованию и ПО, наиболее популярному у среднего заказчика. Если их не хватит, есть универсальные коннекторы под сетевые протоколы и стандарты – по ним можно подключить большинство других источников. А для самых сложных случаев, например самописного ПО или выборочной вычитки данных, есть возможность создать кастомный коннектор по шаблону на PowerShell или подключить систему прямо к БД источника. Таким образом, заказчик получает все инструменты, чтобы укомплектовать систему под себя, и не платит за то, чем не будет пользоваться.

Стоимость владения и лицензирование

Система управления событиями ИБ должна обладать понятной системой лицензирования, чтобы заказчики могли оптимизировать бюджеты на защиту инфраструктуры. «СёрчИнформ Мониторинг безопасности» лицензируется по хостам, поэтому сразу будет понятно, в какую сумму обойдется внедрение решения. Это безопаснее, чем высчитывать EPS (пиковые объемы трафика), а потом потерять данные или «попасть» на серьезную доплату, если лимит будет превышен.

Дополнительно стоит обратить внимание на архитектуру решения и требуемые под него оборудование и ПО. Компактная система не потребует большого количества серверов и СХД – разве что широкий сетевой канал. А если вдобавок она работает на серверных ОС и СУБД с открытым исходным кодом, то это снизит сопутствующие расходы. «СёрчИнформ Мониторинг безопасности» для этого адаптирована: при желании ее можно развернуть на бесплатных Ubuntu и PostgreSQL.

Простота эксплуатации

Вряд ли все нужные правила поиска инцидентов удастся настроить с первого включения. Особенно это касается кросс-корреляции: часто взаимосвязи событий из разных источников вскрываются по следам расследования и добавляются в правила, чтобы впредь заметить угрозу на подходе. Поэтому стоит оценить, как устроен процесс доработки правил: придется ли писать алгоритмы вручную, запрашивать их у вендора или интегратора. В идеале это должно быть реализовано просто, чтобы оператор системы управления событиями ИБ справился быстро и без посторонней помощи. Например, в «СёрчИнформ Мониторинг безопасности» правила кросс-корреляции задаются в графическом конструкторе, где все необходимые параметры сопоставления можно выбрать из меню.

Дополнительные возможности

Почти все системы управления событиями ИБ сегодня шагнули за рамки прямых задач своего класса и, помимо мониторинга событий ИБ, предлагают глубокое расследование, прогнозирование, реагирование на инциденты. Но как альтернативы не заменяют системы управления событиями ИБ, так и они не справится с «не своими» задачами лучше профильных продуктов. Поэтому не стоит ожидать, что система управления событиями ИБ с функциями условной системы реагирования и управления инцидентами (IRP) позволит компании получить два полноценных ИБ-инструмента в одном. Зато обойдется дороже.

Павел Пугач

Системный аналитик «СёрчИнформ»

Впрочем, система управления событиями ИБ может качественно выполнять некоторые задачи смежных классов, когда это вписывается в логику ее работы. Например, сканер сети в «СёрчИнформ Мониторинг безопасности» во время мониторинга инфраструктуры заодно проверяет хосты на уязвимости по девяти БДУ. Такое совмещение удобно, но не требует дополнительных затрат ни от вендора (на разработку нетипичного функционала), ни от заказчика при внедрении.

Вывод

Качественная защита от ИБ-угроз может быть доступна не только крупным корпорациям, но и небольшим компаниям. Внедрение «СёрчИнформ Мониторинг безопасности» способно закрыть сразу несколько «болей» заказчиков в МСБ: автоматизировать контроль безопасности, выполнить требования регуляторов и сэкономить бюджет на ИБ. При этом у нее невысокие аппаратные требования и понятное лицензирование, она быстро внедряется и проста в эксплуатации.