Слово «топ» в заголовке — уловка, и я сразу в ней признаюсь. Десятки «лучших средств защиты информации» не бывает: DLP, SIEM и шифрование решают три разные задачи, и сравнивать их в лоб — то же самое, что выбирать между огнетушителем, сигнализацией и сейфом. Поэтому ниже не рейтинг «кто круче», а разбор десяти конкретных решений, которые я видел в пилотах и в продакшене, с честными минусами.
Оговорка по ценам: их не привожу. Стоимость зависит от числа сотрудников, объёма трафика и аппетита отдела закупок, меняется каждый квартал — через месяц после публикации любая цифра станет ложью. Смотрите на стоимость владения, а не на прайс-лист.
Как я сравнивал
Критерии простые и проверяемые, без «инновационности» и «лидерства рынка» из пресс-релизов:
- Наличие в реестре отечественного ПО и соответствие требованиям регулятора — для коммерческого контура это часто не плюс, а входной билет.
- Стоимость владения: лицензия + железо + ФОТ на администрирование. Последнее обычно дороже первых двух.
- Качество правил «из коробки»: сколько дней уходит, чтобы система начала ловить что-то кроме тестового трафика.
- Нагрузка на инфраструктуру и на конечные точки — агент, который съедает половину ядра на ноутбуке разработчика, снесут через неделю.
- Интеграции. SIEM без нормальных коннекторов — это очень дорогой архив логов.
DLP: контроль утечек по данным, а не по обещаниям
DLP смотрит на содержимое: что уходит, а не только куда. Главная болезнь класса — ложные срабатывания. Система, которая выдаёт 300 инцидентов в день, через месяц отключается вместе с отделом ИБ, поэтому в пилоте я всегда смотрю не на «поймали ли утечку», а на долю мусора в очереди.
1. Solar Dozor
Самый частый участник пилотов в крупных компаниях. Сильные стороны: зрелые правила, широкий набор каналов (почта, мессенджеры, USB, печать, агент на конечной точке), отчётность, которую принимает комплаенс. Минусы: цена и вес. Это тяжёлая платформа, требующая команды. Для компании на 50 человек она избыточна: купите лицензии, раскатаете агенты и полгода будете настраивать правила силами одного админа.
2. InfoWatch Traffic Monitor
Исторически сильна в банках и крупном enterprise, хорошая аналитика и готовые сценарии под 152-ФЗ. Требует дисциплины: без классификации и тегирования данных качество детекта падает до уровня «ловит всё, что похоже на номер карты». Внедрение дольше, чем у конкурентов, зато результат предсказуемее.
3. «Стахановец» (Атом Безопасность)
Вариант для среднего бизнеса: быстрее старт, ниже порог входа, понятная консоль. Платите за это меньшей глубиной анализа и более узким набором каналов — для небольшой компании, где реальные риски это почта и флешки, разница не критична.
SIEM: не «сбор логов», а рабочий процесс
SIEM не защищает. SIEM помогает вам успеть заметить атаку — и здесь всё решает не количество правил, а то, кто и как разбирает алерты в три часа ночи.
4. MaxPatrol SIEM
Один из самых распространённых вариантов в РФ. Сильная сторона — нормализация событий и экспертиза в правилах: PT вложились в то, чтобы «из коробки» ловились реальные техники, а не только брутфорс SSH. Минусы: стоимость и требования к железу, а также необходимость своей экспертизы для тюнинга — продукт не любит, когда его ставят «и забыли».
5. Kaspersky KUMA
Быстро разворачивается, есть бесплатная версия с ограничениями по объёму событий — удобно для пилота и для небольших контуров. Хорошо сочетается с EDR того же вендора. Минус: экосистема теснее завязана на продукты «Лаборатории», а сообщество и количество готовых парсеров меньше, чем у open-source альтернатив.
6. Wazuh
Open-source, который реально работает: агенты, контроль целостности файлов, проверка конфигураций по бенчмаркам, интеграция с MITRE ATT&CK. Идеален, когда бюджет ограничен, а руки есть. Главная иллюзия — что он бесплатный: вы платите инженерным временем, и это самая дорогая часть. Плюс шум: без нормального тюнинга и парсинга Wazuh утопит вас в алертах.
Шифрование: три разных задачи под одним словом
Под «шифрованием» скрываются как минимум три сценария: юридически значимая подпись и каналы по ГОСТ, защита данных на диске и защита бэкапов/архивов. Решение из одной категории не заменяет решения из другой.
7. КриптоПро CSP
Фактический стандарт для ГОСТ-криптографии: сертифицированное СКЗИ, без которого не будет ни квалифицированной ЭП, ни TLS по ГОСТ, ни работы с большинством госинформсистем. Минус в том, что это не «зашифровать папку», а инфраструктурный компонент: нужны лицензии, ключевые носители, аккуратное управление и понимание, что сертификация накладывает ограничения на среду.
8. ViPNet (ИнфоТеКС)
Защищённые каналы и VPN по ГОСТ для распределённых сетей, часто используется в госсекторе и на промышленных объектах. Работает предсказуемо, но внедрение тяжёлое: планирование адресации, координаторы, регламент выдачи ключей. Это проект на месяцы, а не «поставил клиент».
9. VeraCrypt
Бесплатные контейнеры и полное шифрование диска, кроссплатформенность, правдоподобное отрицание. Честные минусы: не ГОСТ, нет централизованного управления политиками и восстановления доступа, а забытый пароль от контейнера означает потерянные данные — без вариантов. Для парка из сотни ноутбуков он превращается в ручную работу, которую никто не делает.
10. LUKS / dm-crypt
Родной стандарт Linux: LUKS2, шифрование корневого раздела, интеграция с TPM через systemd-cryptenroll, сетевой анлок через Tang/Clevis для серверов. Лучшее соотношение надёжности и предсказуемости на серверной стороне. Минус — всё руками и никакого GUI: документация, runbook и знание, что делать при потере ключа, обязательны.
Сводка: что с чем сравнивать
| Класс | Задача | Кому подходит | Главный риск |
|---|---|---|---|
| DLP | Остановить утечку данных | Средний и крупный бизнес с ПДн | Ложные срабатывания, отключение через месяц |
| SIEM | Заметить атаку и успеть среагировать | От 200+ узлов или при требовании регулятора | Алерты без процесса реагирования |
| Шифрование | Защитить данные при потере носителя и в канале | Все, у кого есть ноутбуки и бэкапы | Потеря ключа = потеря данных |
Что реально важно при выборе
- Сначала процесс, потом продукт. Если у вас нет регламента реагирования, SIEM только документирует вашу беспомощность.
- Пилот на своих данных. Демо на тестовом стенде вендора показывает, что продукт умеет; пилот на вашем трафике — что он будет делать у вас.
- Считайте ФОТ. Инженер на сопровождение DLP стоит дороже годовой лицензии на небольшой парк.
- Проверьте экспорт и миграцию. Через три года вы захотите уйти, и вопрос «в каком виде отдадите инциденты» станет очень острым.
- Не покупайте два продукта одного класса «на всякий случай» — получите две недонастроенные системы вместо одной рабочей.
Чек-лист перед пилотом
- Определите 3–5 конкретных сценариев, которые должны ловиться, и зафиксируйте их письменно.
- Соберите baseline ложных срабатываний за две недели до тюнинга.
- Проверьте соответствие требованиям регулятора и наличие в реестре отечественного ПО.
- Согласуйте с вендором критерии успеха пилота и метрики (время до детекта, доля FP, нагрузка на ЦП).
- Заранее решите, кто разбирает алерты в выходные. Если ответа нет — не начинайте.
Вывод
Универсального «топ-1» не существует. Если данных мало и они в файлах — вам нужен не SIEM, а нормальный контроль доступа и шифрование ноутбуков. Если есть ПДн клиентов и большой поток документов наружу — DLP, и начинать стоит с классификации данных, а не с покупки. Если требуется соответствие требованиям — смотрите на сертифицированные решения, даже когда они дороже и неудобнее.
И главное: каждое из этих средств покупается не для того, чтобы «было», а под конкретный риск. Начните со списка рисков, а не со списка вендоров — и половина позиций из этого топа вам не понадобится.
