Автор:

Павел Пугач

Системный аналитик «СёрчИнформ»

Опубликовано 06.08.2026

Обновлено 06.08.2026

Средства защиты в организации порождают большое количество событий. Разбирать их вручную нереально. Нужен инструмент, который выявит инциденты и отсеет ложные срабатывания. На примере системы мониторинга событиями информационной безопасности (SIEM) «СёрчИнформ Мониторинг безопасности» (СёрчИнформ SIEM) расскажу, как это работает.

Для чего нужна система управления событиями

Для защиты от реальных ИБ-угроз и выполнения требований регуляторов компании используют множество средств защиты информации (СЗИ). По данным Gartner, в 2023 году крупные компании использовали в среднем 43 СЗИ, а некоторые — более 100. Каждое защитное решение требует времени на работу с собственной консолью, настройку ИБ-политик и реагирование на срабатывания. Упростить работу с большим количеством СЗИ и другими элементами ИТ-инфраструктуры, сделать ее удобнее и выявить комплексные инциденты позволяет система класса «управление информацией и событиями в области безопасности» (SIEM). Программа собирает события безопасности и показывает состояние инфраструктуры в едином интерфейсе.

Позволяет отследить эффективность СЗИ и их связок между собой и с другими элементами ИТ-инфраструктуры. Соединить не связанные на первый взгляд события в комплексные инциденты и упростить работу отдела информационной безопасности.

Как система мониторинга событиями показывает результат

«СёрчИнформ Мониторинг безопасности» собирает события безопасности из разных источников и приводит их в единый формат при помощи коннекторов. Они позволяют в несколько кликов подключиться к любому элементу инфраструктуры: межсетевому экрану, системе предотвращения утечек (DLP), антивирусу, сетевому оборудованию, базе данных, ПК сотрудника и т. д. Чтобы начать получать события из межсетевого экрана «Континент 4», достаточно указать три параметра в графическом интерфейсе.

После подключения источников ИБ-специалист сможет увидеть все, что происходит в корпоративной сети, при помощи панели мониторинга с виджетами. Это настраиваемая интерактивная панель, которая показывает важную информацию о событиях в инфраструктуре. Например, количество удачных и неудачных входов в учетные записи, объем трафика с ПК сотрудников, системные ошибки и так далее.

Павел Пугач

Системный аналитик «СёрчИнформ»

Каждый виджет в панеле мониторинга можно настроить под конкретное событие, ПК, пользователя, временной промежуток и т. д. Панель мониторинга доступна и в веб-интерфейсе. Это удобно, когда нужно поделиться данными с коллегами или быстро разобраться в ситуации вне рабочего места.

Таким образом, панель мониторинга покажет ИБ-специалисту упорядоченные события безопасности со всей инфраструктуры в понятном графическом интерфейсе. Работать в таком формате удобнее, чем «бегать» по разным консолям и «вручную» сопоставлять данные.

Как система мониторинга событиями упрощает работу с ИБ-инцидентами

Сконцентрироваться на самых важных событиях безопасности помогут правила корреляции. Они отбирают наиболее важные события из общего потока. Показывают статус источника и результаты его работы. Например, перегрев сетевого оборудования или вирусную эпидемию.

Преимущество правил корреляции «СёрчИнформ Мониторинг безопасности» — работа из «коробки». Система поставляется с предустановленными правилами для всех коннекторов. Система автоматически видит инциденты, на которые стоит обратить внимание в любой инфраструктуре. Например, изменение привилегий или параметров учетной записи.

Правила корреляции структурируют работу ИБ-специалиста и упрощают ее. Показывают в одном окне критически важные события по каждому источнику. Позволяют провести ретроспективный анализ при помощи распределения критически важных событий по датам их возникновения.

Павел Пугач

Системный аналитик «СёрчИнформ»

ИБ-специалист также может использовать правила корреляции для оценки эффективности СЗИ. Например, система мониторинга событиями ИБ покажет, какое из тестируемых решений лучше. Это можно оценить по количеству срабатываний правил. Например, если программа зафиксирует, что до рабочих станций доходит много фишинговых писем, это значит, что почтовый шлюз или песочница работают неэффективно.

Как выявить комплексные ИБ-угрозы с помощью кросс-корреляции в системе управления событиями

Помимо единичных инцидентов, есть и комплексные. Их сложно или невозможно выявить в рамках одного СЗИ, потому что они состоят из несвязанных друг с другом на первый взгляд событий.

Для обнаружения комплексных инцидентов в «СёрчИнформ Мониторинг безопасности» можно использовать правила кросс-корреляции. Это связки событий безопасности, при обнаружении которых программа просигнализирует об опасности.

ИБ-специалист собирает правила кросс-корреляции в графическом интерфейсе, как конструктор. Выбирает несколько коннекторов и связанных с ними критических событий. При желании каждое из условий можно дополнительно отфильтровать по пользователю, компьютеру и т. д. Это снизит количество ложных сработок, когда система ошибочно классифицирует событие.

Вот небольшой пример готового правила кросс-корреляции. Первое событие — сотрудник авторизовался на чужом компьютере. Второе — сотрудник загрузил ПО, которое антивирус опознал как вредоносное. Если программа зафиксирует такую связку событий, система оповестит ИБ-специалиста об инциденте.

Правила кросс-корреляции также позволяют выявить угрозы по косвенным признакам и позволят превентивно локализовать инцидент. Система управления инцидентами ИБ хранит всю информацию о событиях в инфраструктуре. Благодаря этому ИБ-специалист может выявить, что предшествовало критически важным событиям, и создать правило.

Как система управления событиями помогает работать эффективнее

В «СёрчИнформ Мониторинг безопасности» встроен инструмент для командной работы — менеджер задач (Task Management). Он упрощает совместное расследование и реагирование на инциденты, по функциональности похож на инструмент управления задачами.

Павел Пугач

Системный аналитик «СёрчИнформ»

Менеджер задач (Task Management) позволяет создавать задачи и подзадачи, определять фигурантов инцидентов и ответственных ИБ-специалистов, и — что не менее важно — контролировать сроки исполнения задач. Прикреплять необходимую для расследования информацию: инциденты из баз коннекторов, документы, описание и т. д.

Также в менеджере задач (Task Management) задачам можно присваивать типы, метки и приоритеты. В несколько кликов передавать данные в систему R-Vision, создавать и отправлять отчеты в систему ГосСОПКА.

Благодаря этому большая или даже территориально распределенная команда, например, центра мониторинга (SOC), может удобно коммуницировать, вести отчетность и принимать решения в единой консоли.

Выводы

«СёрчИнформ Мониторинг безопасности» позволяет в несколько кликов в графическом интерфейсе подключиться к разным элементам инфраструктуры и узнать их статус. Собрать информацию о событиях безопасности в одном месте, структурировать их и выявить комплексные инциденты. Благодаря этому ИБ-отдел сможет видеть все, что происходит в инфраструктуре, принимать более эффективные решения и тратить меньше времени на сбор и структуризацию данных.