Каждый год рынок инфозащиты выкатывает очередную порцию «революционных платформ с ИИ внутри», и каждый год половина из них оказывается обёрткой над набором правил обнаружения и красивым дашбордом. Я семь лет настраиваю инфраструктуру в компаниях от 20 до 1500 человек и за это время собрал короткий список инструментов, которые реально закрывают задачи — без шестизначных бюджетов и трёхмесячного внедрения с выездом вендора. Ниже — пять категорий, куда стоит вкладывать время и деньги в 2026 году, и то, на что я бы не потратил ни то, ни другое.
По каким критериям я отбирал
Сразу оговорюсь: это не рейтинг «лучших продуктов» по версии маркетингового отдела. Это категории инструментов, которые в моей практике дали измеримый результат. Критерии простые:
- Закрывает конкретный класс задач, а не «всё сразу» под одним логотипом.
- Разворачивается силами своей команды, без обязательного пресейла и сертифицированного интегратора.
- Работает on-prem или в изолированном контуре, если этого требует регулятор.
- Есть версия в реестре отечественного ПО — для тех, кто попадает под требования регуляторов.
- Событие можно распарсить и передать дальше, а не только посмотреть глазами в веб-морде.
Отдельно про 2026 год: массовое внедрение passkeys, требование SBOM в цепочках поставки и рост атак на CI/CD сдвинули акценты. То, что три года назад было «хорошо бы», сейчас — гигиенический минимум.
1. Менеджер паролей и нормальная MFA
Если из всего списка вы внедрите только это — уже выиграете больше, чем от покупки SIEM. Я до сих пор вижу пароли в стикерах на мониторах в компаниях, которые при этом обсуждают закупку EDR. Начинать нужно здесь.
Что ставлю первым
- KeePassXC — локальный файл
.kdbx, ноль сетевых зависимостей, идеально для инженерных команд и закрытых контуров. - Vaultwarden (self-hosted форк Bitwarden) — когда нужна шара между отделами, роли и аудит без облака.
- TOTP-генераторы: Aegis Authenticator или Ente Auth — с экспортом резервных кодов, а не «восстановлю через поддержку».
- Аппаратные ключи FIDO2 для админов и бухгалтерии: YubiKey, Рутокен, JaCarta. Фишинг устойчивый токен на руках у человека с доступом к прод-контуру стоит дешевле, чем разбор одного инцидента.
Отдельный совет: заведите себе правило «нет доступа без второго фактора» для всех, у кого есть SSH-ключи или вход в панель хостинга. Это не про паранойю, это про то, что утечка одного пароля из старой базы больше не должна ничего ломать.
2. Secret management: чтобы секреты не жили в .env и логах сборки
Утечка токена деплоя в открытый репозиторий — самый частый способ потерять инфраструктуру за последние пару лет. Проблема не в халатности разработчиков, а в том, что им никто не дал нормального инструмента.
Что работает
- HashiCorp Vault — если нужны динамические секреты для БД и короткоживущие креды. Порог входа выше, но отдача соответствующая.
- SOPS + age — минимальный набор для команд, которые не готовы к полноценному Vault. Секреты лежат в репозитории, но зашифрованы, расшифровываются ключом в CI.
- Gitleaks или TruffleHog — pre-commit хук плюс отдельный этап пайплайна. Находит то, что уже накоммитили раньше.
- Ротация по расписанию. Инструмент без политики ротации — это просто хранилище с красивым API.
Про импортозамещение здесь скажу честно: отечественные секрет-хранилища из реестра есть, но перед закупкой сравните трудозатраты на внедрение с self-hosted решением. В моей практике во втором случае команда выходила в прод быстрее, а критерии регулятора закрывались другими средствами.
3. Сканер уязвимостей, зависимостей и SBOM
Классический вопрос «какой сканер купить» в 2026-м звучит уже неправильно. У вас должно быть минимум два слоя: сканирование образов и зависимостей в пайплайне и периодическое сканирование сети извне.
Пайплайн
- Trivy — образы, файловые системы, IaC и секреты одним бинарником. Хорошо встраивается в CI и не требует агентов.
- Syft + Grype — когда нужен SBOM как артефакт (CycloneDX или SPDX) и проверка его отдельно от сборки.
- Dependency-Track — если SBOM-ов стало много и надо видеть их во времени, а не в одном отчёте на билд.
Периметр и внутренняя сеть
- Greenbone/OpenVAS — бесплатный вход в тему, если у вас ещё нет VM-решения.
- MaxPatrol VM и аналоги из реестра — вариант, когда нужен отчёт в формате, понятном проверяющему, а не выгрузка NVD в Excel.
Главный совет по триажу: не пытайтесь закрыть всё. В типичном внутреннем сервисе с сотней зависимостей от 30 до 60% находок — уязвимости в коде, который не вызывается, или в компонентах без сетевого доступа. Смотрите на эксплуатируемость, а не на счётчик критичных CVE в отчёте.
4. Защита конечных точек: EDR, а не «антивирус и точка»
Классический антивирус на сигнатурах окончательно уступил место решениям с поведенческим анализом и телеметрией процессов. Для российского рынка вариантов немного и они понятные: Kaspersky Next EDR Optimum, Dr.Web Enterprise Security Suite и другие продукты из реестра. Если требований по реестру нет — работают CrowdStrike, SentinelOne, Microsoft Defender for Endpoint.
Но здесь есть важная оговорка, которую редко пишут в презентациях. EDR — это не кнопка «защитить». Это поток из десятков тысяч событий в сутки, который кто-то должен разбирать и по которому должны быть написаны правила. Если у вас нет человека, готового тратить хотя бы пару часов в неделю на разбор алертов, вы купите себе генератор уведомлений, который через месяц все начнут игнорировать.
Бюджетный путь для тех, кто пока не готов: связка Wazuh (HIDS) плюс Sysmon/auditd плюс нормально настроенный сбор событий уже даёт половину пользы EDR. Не заменяет, но даёт фору при разборе.
5. SIEM или хотя бы централизованные логи
SRC/IR-команда без логов работает по интуиции. Самая частая проблема, которую я видел на реальных инцидентах: логи есть, но за 30 минут их не собрать, потому что часть сервисов пишет в файл на диске, часть — в stdout контейнера, а сервер аутентификации вообще хранит события за два дня.
Варианты по бюджету
- Wazuh или Elastic/OpenSearch Security — открытый вход, но потребуется человек, который это обслуживает.
- KUMA, MaxPatrol SIEM, R-Vision SIEM — промышленные решения с нормальными парсерами и правилами под типовые сценарии.
И честное предупреждение: SIEM — самая дорогая строка в бюджете ИБ, и он бесполезен без use-case’ов. Начинайте не с покупки лицензии, а с описания десяти сценариев, которые вы хотите видеть: «вход в 3 часа ночи из новой страны», «новый аккаунт с правами администратора», «массовое скачивание из файлового хранилища». Только потом выбирайте платформу.
Что я бы не покупал в 2026 году
- «ИИ-платформы», которые на проверку оказываются LLM-обёрткой над поиском по логам. Спросите у вендора, где именно модель принимает решение и как вы это проверите.
- DLP «на всякий случай», без понимания, какие данные вообще надо защищать и кто их куда передаёт.
- WAF в режиме «включили и забыли». Через полгода он либо ловит только ботов, либо ломает легитимный трафик, и его выключают.
- Второй антивирус в дополнение к EDR. Конфликты драйверов, ложные срабатывания, спор о том, кто первый заблокировал файл.
Чек-лист: что реально сделать за 30 дней
- Включить MFA везде, где есть внешний вход, и выдать аппаратные ключи всем администраторам.
- Развернуть менеджер паролей и перенести в него доступы хотя бы к прод-контуру.
- Добавить Gitleaks в pre-commit и в CI, отозвать всё, что уже утекло.
- Собрать SBOM и подключить сканер образов в пайплайн на блокирующий режим.
- Настроить централизованный сбор логов с серверов аутентификации, VPN и облачных админок.
- Проверить восстановление из бэкапов руками. Не «бэкап есть», а «мы из него поднялись за час».
Вывод
Информационная защита — это не про покупку одного волшебного продукта, а про порядок: пароли, второй фактор, секреты, зависимости, логи. Пять категорий выше закрывают 90% того, с чем сталкивается малая и средняя компания в реальных инцидентах.
И отдельно: если вы субъект 152-ФЗ, объект КИИ или работаете с госконтрактами — набор меняется, там нужны решения из реестра отечественного ПО и соответствие требованиям ФСТЭК. Начните с этих пяти категорий, а сертифицированные аналоги подберёте внутри каждой из них.
Цены, версии и состав редакций меняются — перед закупкой проверяйте актуальные условия на сайтах вендоров или через дистрибьютора.
