Малый бизнес узнаёт о DLP, SIEM и EDR обычно из двух источников: письма вендора с обещанием «защитим от всего» и новости об очередной утечке, после которой хочется купить всё и сразу. Я против обоих подходов. За годы внедрений я видел компании, где SIEM за миллионы собирал логи в стол, и компании, которые спокойно жили на связке «антивирус плюс бесплатный сбор логов». В этой статье — семь инструментов, которые реально можно внедрить в небольшой компании: с ценами по рынку, сложностью внедрения и честными ограничениями.
Чем DLP, SIEM и EDR отличаются друг от друга
Сравнивать их напрямую — как сравнивать охранника, диспетчерскую и таможню: задачи разные, и «лучший» зависит от того, что вы защищаете. Зафиксируем термины, потому что вендоры сознательно стирают границы.
- EDR (Endpoint Detection and Response) — следит за конечными точками: рабочими станциями и серверами. Ловит аномальное поведение, останавливает подозрительные процессы, позволяет разобрать инцидент задним числом. Охранник на каждом рабочем месте.
- SIEM (Security Information and Event Management) — собирает логи со всей инфраструктуры, нормализует и коррелирует их, ищет цепочки действий, которые по отдельности выглядят безобидно. Диспетчерская, которая видит картину целиком.
- DLP (Data Loss Prevention) — контролирует каналы утечки: почту, мессенджеры, флешки, облачные диски. Отвечает на вопрос «кто и что выносит наружу». Таможня на выходе.
Главная путаница возникает из-за XDR-маркетинга, когда всё «объединяют в одну платформу». Для малого бизнеса это чаще всего лишние деньги: вам нужны не платформы, а ответы на три вопроса — не взломан ли компьютер, не утекают ли данные, видна ли картина в целом. Под каждый вопрос есть свой инструмент, и это нормально.
Топ-7 инструментов, которые стоит присмотреться
1. Wazuh — бесплатный SIEM для старта
Open-source SIEM с функциями XDR. Собирает логи с Windows и Linux, детектирует подозрительные процессы, проверяет файлы по хешам, интегрируется с антивирусами. Лицензия бесплатная — платите только за сервер и за время человека, который настроит корреляционные правила. В России есть интеграторы и локальная поддержка, что важно после ухода зарубежных вендоров. Честный минус: «поставил и забыл» не получится, правила надо поддерживать. И учтите: сертификата ФСТЭК у Wazuh нет, если он вам нужен — смотрите пункты 3 и 4. Официальный сайт: wazuh.com.
2. Kaspersky Endpoint Security — антивирус с EDR-модулями
Де-факто стандарт на российском рынке и первый инструмент, который я рекомендую купить. Базовый антивирус плюс модули EDR уровней Optimum и Expert. Ориентировочная цена — от 1,5 до 3 тысяч рублей за рабочее место в год, прайсы меняются, проверяйте актуальные. Для компании до 50 машин чаще всего хватает уровня Optimum: поведенческий анализ, реакция на аномалии, единая консоль управления. Если у вас уже есть только «голый антивирус» — это минимальный апгрейд, который даёт максимум эффекта.
3. MaxPatrol SIEM от Positive Technologies
Отечественный флагман SIEM-рынка, есть версии с сертификацией ФСТЭК. Для малого бизнеса это скорее «на вырост»: лицензия стоит сотни тысяч рублей, внедрение требует специалиста, а поддерживать корреляции кто-то должен постоянно. Но если вы обрабатываете большой объём персональных данных, проходите проверки или строите ИБ-процессы всерьёз — это кандидат номер один среди российских SIEM.
4. KUMA от «Кода Безопасности»
Более доступная альтернатива MaxPatrol. Есть редакция KUMA Base, которую можно использовать бесплатно с ограничением по числу событий в секунду — для небольшой компании этого обычно хватает. Разворачивается проще, документации достаточно, чтобы справиться силами одного администратора. Логика такая: начали с Base, увидели пользу, выросли — перешли на платную редакцию без смены вендора.
5. Solar Dozor от «РТК-Солар»
Крупнейший российский DLP. Контролирует почту, мессенджеры, съёмные носители, облачные диски и печать. Честное предупреждение: DLP — это не коробка, а процесс. Политики надо настраивать, инциденты — разбирать, иначе получите тысячи ложных срабатываний и ненависть сотрудников. Оправдан, если у вас есть коммерческая тайна, клиентская база или NDA с ключевыми людьми. Если «секретов» нет — не тратьте деньги.
6. InfoWatch Traffic Monitor
Второй столп российского DLP-рынка. Сильная сторона — контроль каналов и интеграции с 1С, документооборотом и Active Directory. Есть варианты лицензирования по числу рабочих мест, что для малого бизнеса критично: платите за конкретные места, а не за «весь трафик». Выбор между Solar Dozor и InfoWatch — это скорее выбор между экосистемой и интеграциями: по базовым возможностям они сопоставимы, решайте на пилоте.
7. Velociraptor — бесплатный EDR и DFIR
Open-source инструмент для охоты за угрозами и разбора инцидентов. Ставится на машины, собирает артефакты, ищет индикаторы компрометации, позволяет удалённо сделать «снимок» системы для расследования. Это не замена антивирусу, а дополнение для тех, кто хочет сам копать и понимать, что происходит. Бесплатно, но с тем же условием, что и Wazuh: нужен человек с руками.
Что реально нужно малому бизнесу
Соберу всё в простую схему, по которой я сам советую клиентам:
- До 50 рабочих мест и нет регуляторных требований — достаточно антивируса с EDR (Kaspersky) плюс Wazuh для сбора логов. Бюджет — десятки тысяч рублей в год, эффект закрывает большинство типовых атак.
- Обрабатываете персональные данные по 152-ФЗ — добавьте DLP (InfoWatch или Solar Dozor) хотя бы на критичные отделы: продажи, бухгалтерию, разработку. И не забывайте: 152-ФЗ — это прежде всего организационные меры, а не софт.
- Идёте на сертификацию ФСТЭК или ждёте проверок — берите KUMA Base или MaxPatrol и параллельно готовьте документы: без них даже лучший SIEM не засчитают.
Чего делать не стоит:
- покупать enterprise-SIEM «на всякий случай» — он ляжет мёртвым грузом и будет собирать логи в стол;
- верить обещаниям «одна кнопка защитит всё» — любой инструмент требует настройки и сопровождения;
- внедрять DLP без утверждённых политик — получите хаос, ложные срабатывания и риски для трудовых споров;
- экономить на лицензии, но не выделять ответственного — инструменты без человека не работают.
Чек-лист перед покупкой
- Посчитайте количество рабочих мест и серверов — от этого зависит тип лицензирования и цена.
- Определите три-пять самых критичных типов данных: не «всё подряд», а конкретно — клиентская база, договоры, исходники.
- Проверьте, нужна ли вам сертификация ФСТЭК или ФСБ — если нет, не переплачивайте за сертифицированные версии.
- Заложите в бюджет не только лицензии, но и настройку: закладывайте 20–30% сверху на внедрение.
- Назначьте ответственного — хотя бы на полставки, но живого человека, который будет смотреть на события.
- Начните с бесплатного Wazuh, посмотрите на реальные события в вашей сети, потом докупайте платное.
- Внедряйте поэтапно и измеряйте результат: количество инцидентов и время реакции до и после.
Вывод
Правильная последовательность для малого бизнеса выглядит так: сначала антивирус с EDR, затем бесплатный сбор логов, потом — при реальной необходимости — DLP, и только в самом конце SIEM «на вырост». Не потому что так модно, а потому что каждый следующий уровень требует больше ресурсов на сопровождение, чем на покупку. Хватит бегать за волшебными кнопками: начните с того, что закрывает вашу конкретную боль, а не боль маркетолога вендора.
