Каждый второй холодный звонок от вендора начинается одинаково: «у нас комплексное решение, которое закроет все векторы атак». В реальности в компании на 50–300 человек ИБ-бюджет измеряется не миллионами, а сотнями тысяч рублей в год, а админов — полтора человека, и у них ещё серверы, 1С и VPN. Поэтому главный вопрос не «какое решение самое мощное», а «что даст максимум эффекта на вложенный рубль и не потребует отдельного инженера».
Ниже — семь категорий инструментов, между которыми чаще всего приходится выбирать среднему бизнесу. Это не рейтинг «кто лучше», а разбор того, для чего каждый класс нужен, где он окупается и на чём обычно экономят впустую.
Как выбирать: пять критериев вместо веры маркетингу
- Покрытие риска. Инструмент должен закрывать конкретную угрозу из вашей модели, а не «быть полезным вообще».
- Стоимость владения. Лицензия — это половина. Считайте внедрение, обучение, ФОТ на администрирование, обновления железа.
- Требования к персоналу. Если продукт нельзя вести без выделенного аналитика — для компании на 100 человек это красный флаг.
- Регуляторные требования. Если вы оператор персональных данных (152-ФЗ) или субъект КИИ, смотрите на приказы ФСТЭК № 17, № 21, № 239 и наличие сертификации.
- Выход из продукта. Экспорт данных, открытые форматы, возможность забрать логи и конфигурацию — чтобы не оказаться заложником одного вендора.
1. EDR вместо «антивируса для галочки»
Классический антивирус на сигнатурах давно не основная защита: шифровальщики и «бесфайловые» атаки через скрипты он видит плохо. EDR (Endpoint Detection and Response) добавляет к антивирусу телеметрию по процессам, сетевым соединениям и реестру, а также поведенческие правила.
Что смотреть: поддержка Windows/Linux/macOS, офлайн-режим для ноутбуков, изоляция рабочей станции одной кнопкой, качество алертов. Российский рынок: Kaspersky Endpoint Security, Dr.Web Enterprise Security Suite, продукты уровня KEDR, решения от «Солара» и Positive Technologies.
Честный минус: без человека, который разбирает алерты хотя бы час в день, EDR превращается в дорогой генератор необработанных уведомлений. Если такого человека нет — часто разумнее взять хороший EPP с управляемой подпиской (MDR-сервис) у интегратора.
2. SIEM или хотя бы централизованный сбор логов
SIEM нужен не для «мониторинга всего», а чтобы отвечать на два вопроса: что у нас происходило вчера и как восстановить хронологию инцидента. Классический кейс среднего бизнеса — подозрительный вход в 1С или в веб-панель, и вместо дня поисков по пятнадцати хостам вы получаете таймлайн.
Варианты: MaxPatrol SIEM, Kaspersky KUMA, R-Vision SIEM, «Стахановец». Бюджетная альтернатива — Wazuh или OpenSearch/ELK плюс Sysmon на хостах. Open-source обвязка дешевле по лицензиям, но дороже по времени: правила придётся писать и поддерживать самим.
Ключевой момент, о котором забывают: логи нужно где-то хранить. Считайте объём заранее — несжатый сбор со 100 хостов легко даёт десятки гигабайт в сутки.
3. WAF для веб-приложений
Если у вас есть личный кабинет, интернет-магазин или API, то WAF (Web Application Firewall) — один из самых окупаемых классов решений. Инъекции, сломанный контроль доступа и SSRF годами держатся в верхушке OWASP Top 10 и бьют по вебу в первую очередь.
Выбор: облачные WAF (проще всего — включить и забыть, но трафик уходит наружу), аппликационные WAF вроде PT Application Firewall, UserGate, решения на базе ModSecurity и OWASP CRS.
Что проверить до покупки: как быстро вендор выкатывает правила под свежие CVE, умеет ли продукт работать в режиме обучения без блокировок, и главное — насколько у вас документированы легитимные сценарии. WAF с дефолтными правилами на плохо описанном сайте даёт всплеск ложных срабатываний, после которого его обычно отключают.
4. Менеджер паролей — не бонус, а база
Половина инцидентов в SMB начинается с переиспользованного пароля или SSH-ключа, лежащего в заметках. Корпоративный менеджер паролей стоит копейки по сравнению с последствиями компрометации, а внедряется за пару недель.
Что важно: роли и общие папки, журнал доступа, SSO, аудит выданных доступов, self-hosted вариант. Российские и локализованные варианты — Passwork, Keeper, 1Password; open-source — Vaultwarden, KeePass с синхронизацией на своём сервере.
Отдельно про секреты в коде: пароли и токены из .env и CI/CD — это уже не менеджер паролей, а секрет-менеджмент (HashiCorp Vault, managed secrets в облаке). Правило одно: секрет не должен попадать в историю git — вычистить его оттуда потом дороже, чем не допустить.
5. MFA и управление привилегированными доступами
Если бюджет ограничен, многофакторная аутентификация — самый дешёвый способ поднять уровень защиты. Она закрывает целый класс атак на украденные пароли.
Минимум: MFA для VPN, почты, админ-панелей и облачных консолей. Варианты — аппаратные токены (Rutoken, JaCarta), приложения-аутентификаторы, Keycloak как бесплатный SSO-провайдер для внутренних сервисов.
Следующий уровень для компаний побольше — PAM (Privileged Access Management): хранилище админских паролей, запись сессий, одноразовые доступы вместо постоянных. Здесь цена уже ощутимая, и внедрять PAM раньше, чем вы навели порядок в учётках, бессмысленно.
6. Резервное копирование с неизменяемыми копиями
Это единственный инструмент, который спасает, когда защита уже пробита. Формула 3-2-1-1-0: три копии, два носителя, одна вне офиса, одна неизменяемая (immutable) или офлайн, ноль ошибок при проверке восстановления.
Именно неизменяемость отличает современный бэкап от бэкапа десятилетней давности: шифровальщики целенаправленно ищут хранилища резервных копий и удаляют их до начала шифрования.
Варианты: Veeam, «Кибер Бэкап», RuBackup, vGate; для небольших контуров — restic, borgbackup, Bacula с offsite-копией. И главное: восстановление нужно тестировать так же регулярно, как вы делаете бэкапы. Непроверенный бэкап — это не бэкап.
7. Управление уязвимостями и зависимостями
Сканер уязвимостей отвечает на вопрос «что у нас не пропатчено», и это критично: эксплуатируемые уязвимости годами живут в инфраструктуре компаний, потому что «руки не дошли до обновления». Актуальный список таких дыр ведёт, например, CISA в каталоге Known Exploited Vulnerabilities.
Для инфраструктуры: MaxPatrol VM, «Сканер-ВС», RedCheck, бесплатный Greenbone. Для кода и зависимостей: Dependabot, Trivy, Dependency-Track, Snyk плюс включённый SCA в CI.
Здесь важно не утонуть: сканер на 100 хостов выдаёт тысячи находок, из которых реально критичных — десятки. Работает только связка «приоритизация по эксплуатируемости и доступности из интернета», а не «закрыть всё сразу».
Что покупать не стоит (по крайней мере, сейчас)
Универсальное наблюдение для среднего бизнеса: не покупайте класс решений, под который нет процессов. DLP без утверждённой политики обработки данных, SIEM без регламента реагирования, PAM без инвентаризации учёток — это полки с лицензиями. Сначала инвентаризация активов и учётных записей, потом инструмент.
Чек-лист на ближайший месяц
- Составьте инвентарь активов и учётных записей — без него любой инструмент бесполезен.
- Включите MFA на VPN, почте и админ-доступах.
- Внедрите менеджер паролей и уберите секреты из репозиториев.
- Настройте бэкап по схеме 3-2-1-1-0 и проведите тестовое восстановление.
- Заведите централизованный сбор логов хотя бы для критичных систем.
- Поставьте сканер уязвимостей и закройте критичное, что смотрит в интернет.
- Только после этого смотрите в сторону EDR, WAF и SIEM — уже осознанно, под конкретные риски.
Итог простой: в среднем бизнесе защита выигрывает не количеством купленных логотипов на слайде, а порядком в доступах, работающими бэкапами и хотя бы минимальным мониторингом. Всё остальное — надстройка, которую имеет смысл покупать, когда база уже налажена.
