Каждый второй вебинар по ИБ начинается одинаково: «купите наш SIEM/DLP/EDR — и утечки прекратятся». За годы практики я видел и обратное: компания покупает лицензию на серьёзный SIEM, а через полгода он превращается в свалку неразобранных алертов, потому что правила корреляции так и не настроили. И наоборот — команда из двух инженеров собирает на Wazuh рабочий мониторинг на 300 серверов за месяц. Инструмент — это примерно треть результата. Остальное — процессы и люди, которые умеют читать то, что этот инструмент показывает.
Ниже — семь классов решений, закрывающих базовые задачи защиты информации. Для каждого: что смотреть при выборе, что берут в российском корпоративном сегменте и что реально есть в open source. Без рекламных обещаний и без «серебряных пуль».
Почему «просто купить SIEM» не работает
Логика вендорской презентации проста: любой инцидент оставляет следы в логах, значит, логи нужно собирать и коррелировать. Всё верно. Но между «собирать логи» и «видеть атаку» лежит пропасть.
Во-первых, лицензии на коммерческие SIEM считаются не «за серверы», а по EPS — events per second, то есть по потоку событий. Включите аудит на всех контроллерах домена и файловых серверах «на всякий случай» — и увидите в счёте цифры, к которым бюджет не готов. Во-вторых, любое правило нужно настраивать под вашу инфраструктуру: типовые правила дают тысячи ложных срабатываний, и первый же дежурный их отключит. В-третьих, хранение логов за 3–6 месяцев, часто необходимое для разбора инцидентов, упирается в диски и стоимость хранилища.
Вывод простой: бюджет на инструмент без бюджета на инженера и без регламента разбора инцидентов — это выброшенные деньги. С этой мыслью и смотрите список ниже.
Топ-7 классов инструментов: что смотреть и что брать
1. SIEM — сбор и корреляция событий
Что смотреть: готовые коннекторы под ваши источники, правила с привязкой к MITRE ATT&CK, цена лицензии по EPS, объём ретенции (хранения) и то, насколько быстро можно написать своё правило без помощи вендора.
- Коммерческие в РФ: MaxPatrol SIEM (Positive Technologies), KUMA (Kaspersky), R-Vision SIEM. Все три есть в реестре отечественного ПО — это заметно упрощает закупку для ГИС и объектов КИИ.
- Open source: Wazuh — форк OSSEC с агентами, контролем целостности файлов и приличным набором правил; Elastic Security — базовый тариф бесплатен, но следите за лицензионной моделью; OpenSearch + Security Analytics — форк от AWS без ограничений Elastic; Graylog — если нужен только сбор и поиск по логам.
Грабля: сырой Wazuh без вычитки правил производит больше шума, чем пользы. Заложите минимум месяц работы инженера на тюнинг до того, как ставить его на дежурство.
2. DLP — контроль утечек данных
Скажу честно: зрелого open source в этой нише практически нет. Проекты MyDLP и OpenDLP давно не развиваются, а самописные решения на их основе обычно не проходят проверку ни по полноте каналов, ни по отчётности.
Что смотреть: перекрытые каналы (почта, веб, мессенджеры, USB, печать, снимки экрана), качество распознавания (OCR, лингвистические триггеры), нагрузка на конечные точки и стабильность ложных срабатываний.
- Корпоративный рынок РФ: Solar Dozor (Ростелеком-Солар), InfoWatch Traffic Monitor, «Контур информационной безопасности» от SearchInform, DeviceLock DLP и Falcongaze SecureTower — последние два чаще берут под контроль конечных точек.
Грабля здесь не техническая, а процессная: DLP без настроенной политики и без человека, который разбирает инциденты, превращается в генератор отчётов «пользователь отправил письмо со словом пароль». Нагрузка на рабочей станции — вторая по частоте причина отката внедрения.
3. EDR — видимость на конечных точках
Что смотреть: глубина телеметрии (запуск процессов, командные строки, сетевые соединения), поведенческие правила, скорость изоляции хоста, реакция на шифровальщики.
- Коммерческие: Kaspersky Endpoint Detection and Response, PT EDR, R-Vision EDR.
- Open source и почти бесплатное: Velociraptor — мощная DFIR-платформа для сбора артефактов по парку; Sysmon плюс Sigma-правила — дешёвая связка для Windows-парка, если логи уже уходят в SIEM; агент Wazuh закрывает базовую часть; Falco — для контейнеров и Kubernetes.
Грабля: EDR без процесса реагирования — это просто красивые графики. Договоритесь заранее, кто и как изолирует хост в три часа ночи.
4. IDS/IPS — контроль сетевого периметра и внутреннего трафика
- Open source: Suricata и Snort 3 — классика сигнатурного анализа (правила Emerging Threats не забывайте дополнять своими), Zeek — для богатой сетевой телеметрии, Arkime — для ретроспективного поиска по трафику.
- Коммерческие: PT Network Attack Discovery, NGFW от UserGate и другие решения с IPS внутри.
Грабля: один инстанс Suricata не вытянет 10 Гбит/с на дефолтных настройках — считайте архитектуру (AF_PACKET, DPDK, распределение по сенсорам) и решайте, где именно вы хотите видеть трафик.
5. Управление уязвимостями
Класс, который окупается быстрее остальных — при условии, что процесс выпуска патчей у вас существует.
- Open source: Greenbone Community Edition (развитие OpenVAS), Trivy — для образов контейнеров и SBOM, Nuclei — для проверок по шаблонам, OpenSCAP — для оценки конфигураций по CIS и профилям ГОСТ.
- Коммерческие: MaxPatrol VM, «Сканер-ВС» от НПО «Эшелон» и другие сканеры из реестра.
Грабля: сканер без регламента «кто и в какой срок ставит патч» становится источником ежемесячного отчёта «у нас 4000 уязвимостей», который никто не читает.
6. Секрет-менеджмент: ключи, токены, пароли сервисов
Самая недооценённая категория. Утечка токена из репозитория — типовой сценарий supply chain-инцидента, и закрывается она дешевле всего.
- Open source: HashiCorp Vault — помните, что с 2023 года проект сменил лицензию на BUSL, из-за чего появился форк OpenBao под MPL-2.0; Vaultwarden (реализация API Bitwarden на Rust) — практичный вариант для командных паролей; KeePass/KeePassXC — для локального хранения.
- Облачные сервисы: секрет-хранилища и KMS в Yandex Cloud, VK Cloud и аналоги — если инфраструктура уже там.
Минимум, с которого стоит начать: вынести пароли и токены из кода и CI/CD, включить ротацию и логирование доступа к секретам.
7. MFA и управление доступом
Пароль как единственный фактор — это не защита. Но и MFA не панацея: SMS-коды уязвимы к подмене SIM, а push-подтверждения — к «усталости» пользователя. В 2022 году Uber публично разбирала инцидент, при котором злоумышленник забрасывал сотрудника MFA-запросами, пока тот не подтвердил вход.
- Open source: Keycloak — SSO и управление доступом (Apache 2.0); privacyIDEA — гибкий сервер многофакторной аутентификации; FreeOTP плюс аппаратные ключи FIDO2/WebAuthn.
- Корпоративный вариант: MFA в составе уже внедрённого стека или средствами корпоративного домена.
Что внедрять в первую очередь: WebAuthn и аппаратные ключи там, где есть админские права, и number matching вместо простого push.
Open source или решение из реестра?
Единого ответа нет, но есть несколько развилок, которые я бы прошёл до пилота.
- Регуляторный контур. Если это ГИС, ИСПДн или объект КИИ — коммерческое ПО из реестра отечественного ПО с сертификатами ФСТЭК и вендорской поддержкой закрывает вопросы аттестации и подтверждения мер по приказам №17 и №21 заметно проще.
- Зрелость команды. Open source закрывает 70–80% типовых задач за ноль рублей лицензий, но платите вы временем инженеров: настройкой, обновлениями, разбором ложных срабатываний и написанием правил.
- TCO, а не цена лицензии. Зарплата инженера, который год поддерживает самописный стек, обычно дороже годовой лицензии на аналогичный коммерческий продукт. Считайте три года, а не один месяц.
- Где open source не спасёт. DLP и полноценная отчётность для регуляторов — вот здесь самописные решения чаще всего разваливаются. Не берите свободный инструмент «чтобы галочка была».
- Гибрид. Рабочая схема для среднего бизнеса: open-source SIEM и сканер уязвимостей внутри, коммерческие DLP и EDR там, где нужна поддержка вендора и закрытие требований.
Чек-лист перед пилотом
- Определите класс системы и обязательные меры: 152-ФЗ, приказы ФСТЭК №17 и №21, отраслевые требования.
- Опишите 3–5 сценариев, которые хотите ловить (например, «выгрузка базы клиентов на внешний носитель»). Не «внедрить DLP», а именно сценарий.
- Посчитайте объём телеметрии: сколько источников, какой поток событий в секунду, сколько хранить.
- Проверьте наличие коннекторов под ваши системы: Active Directory, СУБД, облака, СЭД, инфраструктура CI/CD.
- Заложите в бюджет время инженеров на тюнинг: минимум 1–3 месяца на класс инструментов.
- Зафиксируйте регламент реагирования: кто смотрит алерты, по какому SLA, кто изолирует хост.
- Разберитесь с лицензированием: EPS, количество конечных точек, ограничения на хранение, лицензия самого проекта — BUSL у Vault не станет для вас сюрпризом?
- Запустите пилот на одном сегменте и сравните ложные срабатывания и нагрузку на хосты до масштабирования.
- Решите заранее, что делать с найденными проблемами: без процесса патчей половина находок просто останется висеть.
- Зафиксируйте метрики: время до обнаружения, доля разобранных инцидентов, количество исключений из правил.
Вывод
Защита информации — это не список логотипов вендоров на слайде, а связка «инструмент + регламент + человек». Начинайте с задач, которые бьют по вам сильнее всего: обычно это управление уязвимостями, секреты в CI/CD и MFA на административных доступах. Тяжёлые и дорогие классы — SIEM и DLP — подключайте, когда предыдущее уже работает.
И держите в голове главное: если инструмент некому смотреть и некого им ловить — неважно, стоит он миллион рублей или ноль. Результата не будет ни в том, ни в другом случае.
