Каждый месяц мне в почту падает очередной «революционный» пресс-релиз: ИБ-вендор обещает, что его платформа «предотвратит 99,9% атак» сразу после установки. На практике я видел компании, которые покупали SIEM за несколько миллионов, год настраивали парсеры и в итоге не закрывали даже базовый контроль — своевременное обновление или алерт на серию неудачных входов в админку. Поэтому сегодня разберём не «топ по версии аналитиков», а инструменты, которые я сам ставил на стенды, ломал, настраивал и оставлял работать. Сразу оговорюсь: волшебной кнопки нет, и это не реклама — у каждого пункта есть минусы.
Почему мониторинг важнее ещё одного защитного модуля
Защита по периметру отвечает на вопрос «пустят ли злоумышленника внутрь». Мониторинг отвечает на другой, куда более честный: «что происходит внутри прямо сейчас». В требованиях ФСТЭК по непрерывному мониторингу событий ИБ и в моделях зрелости вроде NIST CSF регистрация и анализ событий — базовая мера, а не опция. Ирония в том, что большинство организаций среднего размера узнают о компрометации не от собственных алертов, а от арендодателя, нашедшего в сети майнер, или от подрядчика, чей сканер обнаружил открытый бэкап.
Любой инструмент ниже — не про то, чтобы «заблокировать хакера одной кнопкой», а про то, чтобы дать вам восстановить картину событий. Атака без качественных логов заканчивается фразой «не знаем, как зашли и что украли».
Как я отбирал инструменты
Критерии простые: доступный вход (бесплатный или понятный по цене), работа в реальной инфраструктуре, а не только в облаке вендора, качество документации и возможность выгружать события наружу. Отдельно смотрел на российский контекст — наличие в реестре отечественного ПО и то, как инструмент помогает закрывать требования регулятора. Смотреть только на цену лицензии — классическая ошибка: полная стоимость складывается из времени на парсеры, дискового пространства под логи и зарплаты человека, который всё это будет поддерживать.
1. Wazuh — HIDS и агрегация событий
Если нужно за один вечер получить хоть какой-то мониторинг безопасности, я разворачиваю Wazuh. Это открытый форк OSSEC: агент на хосте следит за целостностью файлов, изменениями в реестре и подозрительными процессами, а серверная часть собирает события и прогоняет их через набор правил.
Что реально работает
- File Integrity Monitoring из коробки — вы узнаете об изменении sudoers или конфига sshd раньше, чем о последствиях;
- проверка соответствия CIS-бенчмаркам как готовый список задач по hardening;
- маппинг правил на MITRE ATT&CK — удобно при разборе инцидентов;
- агенты под Linux, Windows и macOS, без лицензионных платежей.
Где придётся поработать
Правила шумят: на обычном сервере легко получить тысячи ложных срабатываний после массового обновления пакетов. Тюнинг — обязательная часть внедрения, а не «доработка потом». Хранение логов на индексере OpenSearch придётся планировать по дискам заранее.
2. Zabbix — инфраструктурный мониторинг, который недооценивают для ИБ
Zabbix берут для мониторинга доступности. Но если он у вас уже есть, половина задач безопасности закрывается на нём: триггеры на всплеск ошибок авторизации, запуск неизвестного процесса, аномальный трафик, недоступность агентов защиты.
За
Огромная база готовых шаблонов, российская разработка, зрелая система оповещений (SMS, Telegram, Mattermost), понятная масштабируемость через прокси.
Против
Zabbix — не SIEM. Коррелировать разнотипные события на уровне «цепочка из пяти шагов» он не умеет, его стихия — метрики и пороговые триггеры. Не превращайте его в свалку логов.
3. Suricata — сетевой мониторинг и обнаружение атак
Suricata — открытый движок IDS/IPS с поддержкой сигнатур формата Snort и наборов правил Emerging Threats. Он даёт ответ на вопрос «что летит к нам по сети».
- сигнатурный и протокольный анализ, включая HTTP, TLS и DNS;
- пассивный (IDS) и блокирующий (IPS) режимы;
- интеграция с Elastic, чтобы алерты попадали в общий стек.
Честная оговорка: рост доли шифрованного трафика снижает ценность сигнатурного анализа. Когда большая часть трафика зашифрована, атаки «на протоколе» вы просто не увидите. Suricata хорошо работает в паре с зеркалированием периметра и анализом DNS, но это не замена мониторингу на хостах.
4. Российские SIEM: Kaspersky KUMA и MaxPatrol SIEM
Когда нужны класс ГосСОПКА, запись в реестре отечественного ПО и поддержка на русском, приходится смотреть на отечественные платформы. Два самых распространённых варианта — Kaspersky KUMA и MaxPatrol SIEM.
Что важно понимать до покупки
- обучение и нормализация источников займут недели и месяцы — вендор даёт инструменты, а не готовый сценарий под вашу сеть;
- нужны люди: SIEM без аналитика превращается в дорогой генератор дашбордов;
- лицензирование обычно привязано к объёму событий в сутки — считайте нагрузку до подписания, а не после.
Не верю обещаниям «коробочных» правил, которые «показывают атаку сразу». Вендоры поставляют наборы корреляций, но под вашу специфику их всё равно придётся адаптировать. Это достойные платформы, но они не отменяют базовой гигиены: патчей, учёта привилегированных учёток и проверяемых бэкапов.
5. Prometheus + Grafana — метрики и алертинг по-инженерному
Связка Prometheus + Alertmanager + Grafana давно вышла за пределы DevOps. Для ИБ она полезна там, где важны временные ряды: аномалии по числу запросов, рост отказов авторизации, неожиданный скачок исходящего трафика с сервера.
- PromQL позволяет строить алерты на отклонения от базовой линии, а не только на жёсткий порог;
- интеграции с chatOps дают оповещение туда, где дежурит команда;
- Grafana строит дашборды поверх любых источников, включая SIEM.
Минус: Prometheus — не хранилище логов и не место для долгосрочной ретенции событий безопасности. Запихнуть в него весь syslog не получится без боли.
6. OpenSearch / ELK — централизованные логи
Без централизованного хранения логов ни один пункт выше не даёт полной картины. OpenSearch плюс Filebeat и Logstash — базовый стек для сбора, нормализации и поиска событий.
Практическое правило из опыта: сначала считайте объём и стоимость дисков, потом проектируйте индексы и срок хранения. Раздутое хранение логов — самая частая причина, по которой «мониторинг заглох» через полгода после запуска.
7. Trivy и Vuls — сканеры уязвимостей и supply chain
Уязвимости в зависимостях — место, где защита проваливается чаще всего. Показательный случай — CVE-2021-44228 (Log4Shell) в библиотеке, о которой часть команд узнала из новостей. Сканеры помогают не пропустить такое в контейнерах и на хостах.
- Trivy — быстрый сканер образов, файловых систем, зависимостей и IaC-конфигураций, хорошо встраивается в CI/CD;
- Vuls — агентный и безагентный сканер хостов с опорой на базы CVE дистрибутивов.
Оговорка та же: сканер не заменяет патч-менеджмент. Без процесса обновления инструмент будет аккуратно вести список того, что вы не исправили.
Чек-лист: с чего начать завтра
- Инвентаризация. Пока вы не знаете, сколько у вас хостов и сервисов, любой мониторинг врёт. Начните с актуального реестра активов.
- Определите три-пять сценариев, которые реально важны: вход в админку, изменение конфигов, новые учётные записи, исходящий трафик, уязвимости в образах.
- Поставьте Wazuh на критичные хосты и Zabbix для метрик — это дешёвый быстрый старт.
- Настройте централизованный сбор логов и посчитайте диски на 30 и 90 дней хранения.
- Добавьте сканер уязвимостей в пайплайн сборки, а не только в ежемесячный отчёт.
- Определите, кто и в какие часы читает алерты. Мониторинг без дежурного — это просто логи.
- Раз в квартал пересматривайте правила и удаляйте мёртвые алерты — шум убивает доверие к системе.
Вывод
Ни один из семи инструментов не «защитит» вас сам по себе. Wazuh покажет изменение файла, Zabbix — падение сервиса, Suricata — подозрительный трафик, но связать это в историю инцидента и принять решение придётся человеку. Начинайте с бесплатного и открытого — Wazuh, Zabbix и Trivy закрывают большую часть базовых задач за стоимость времени, а не лицензий. Отечественные SIEM подключайте тогда, когда есть люди и понимание, какие события вы реально хотите коррелировать, а не потому что «так требует мода на импортозамещение». И да — сначала подсчитайте стоимость хранения логов. Это отрезвляет лучше любого маркетингового вебинара.
