McAfee Enterprise Security Manager

McAfee Enterprise Security Manager (ESM) — это корпоративная платформа класса SIEM (Security Information and Event Management), предназначенная для сбора, агрегации, корреляции и анализа событий безопасности в информационных системах организаций. ESM позволяет выявлять подозрительные действия, нарушения политик безопасности и инциденты в реальном времени, а также обеспечивает хранение журналов аудита и построение отчетности. Продукт разработан компанией McAfee (входит в состав McAfee Corp.), одним из крупнейших мировых поставщиков решений в области кибербезопасности. ESM часто используется в крупных предприятиях, государственных учреждениях и центрах мониторинга безопасности (SOC). С 2021 года продукт развивается под брендом Trellix (McAfee Enterprise объединилась с FireEye) — полное название в настоящее время — Trellix Enterprise Security Manager (ранее McAfee ESM).

История

История McAfee ESM началась в середине 2000-х годов, когда рынок SIEM-систем стал активно формироваться. Компания McAfee, известная антивирусными продуктами, приобрела несколько компаний в сфере управления событиями безопасности, включая разработчика SIEM-решения NitroSecurity в 2011 году. Технологии NitroSecurity легли в основу McAfee Enterprise Security Manager. В последующие годы платформа развивалась, получая интеграции с другими продуктами экосистемы McAfee (например, McAfee ePolicy Orchestrator, McAfee Network Security Platform) и сторонними системами.

Ранее решение называлось McAfee Enterprise Security Manager (или McAfee SIEM). В 2021 году McAfee продала корпоративный бизнес (включая ESM) компании STG (Symphony Technology Group), которая затем объединила его с FireEye, образовав новую компанию Trellix. С этого момента продукт официально называется Trellix Enterprise Security Manager, однако в русскоязычной среде и в технической документации часто сохраняется прежнее название, особенно в контексте legacy-инсталляций.

Архитектура и компоненты

Серверная часть

ESM представляет собой трёхуровневую архитектуру:

Коллекторы (Collectors) — компоненты, отвечающие за приём событий от различных источников: серверов, сетевого оборудования, средств защиты, облачных сервисов. Они могут быть программными или аппаратными. Коллекторы обеспечивают нормализацию событий (приведение к единому формату) и передачу их на обработку.
Менеджер событий (Event Manager) — центральный сервер агрегации и корреляции. Он хранит все события в базе данных (обычно на основе СУБД Oracle или PostgreSQL) и выполняет корреляцию в реальном времени по заданным правилам. На этом уровне выявляются инциденты (alerts).
Консоль управления (Console) — веб-интерфейс (в новых версиях также Rich Client на Java). Предоставляет доступ к дашбордам, инструментам поиска, отчётам и настройкам правил корреляции.

Модули и расширения

ESM поддерживает установку дополнительных «движков»:

Application Data Monitor (ADM) — анализирует трафик на уровне приложений (например, выявляет SQL-инъекции, атаки на веб-серверы).
Enterprise Log Manager (ELM) — решение для долгосрочного хранения и поиска исходных (нескоррелированных) журналов.
Advanced Correlation Engine (ACE) — средство создания сложных корреляционных правил (анализ сценариев из нескольких шагов).
Vulnerability Manager (VM) — интеграция с системами управления уязвимостями.

Функциональные возможности

Сбор и нормализация

ESM способен принимать события в десятках форматов: Syslog, SNMP, Windows Event Log, ODBC, API-интерфейсы (для облачных сервисов). Библиотека парсеров (дешифраторов) включает сотни исходных правил для ведущих производителей: Cisco, Palo Alto, Check Point, Microsoft, Linux, VMware, AWS, Azure и др. Нормализованные события приводятся к единой схеме полей (тип события, источник, адрес, действие и т.д.).

Корреляция и выявление инцидентов

Корреляция осуществляется на основе правил, использующих такие критерии, как: количество событий за интервал времени, последовательность событий, географические данные, активность с подозрительных IP-адресов, статусы уязвимостей. ESM поддерживает создание корреляционных правил через графический редактор. Комбинирование корреляции с данными об уязвимостях (из VM) позволяет оценить реальную критичность инцидента.

Мониторинг в реальном времени

Консоль отображает активные инциденты, текущую нагрузку, статус компонентов. Доступны настраиваемые панели (дашборды) с графиками и таблицами. За 2020-2022 годы в интерфейсе были улучшены возможности визуализации: Heat Maps, географические карты, временные шкалы.

Отчётность

ESM включает более 200 встроенных отчётов, отвечающих требованиям стандартов: PCI DSS, HIPAA, SOX, ГОСТ Р (применительно к РФ). Отчёты генерируются в форматах PDF, HTML, CSV, Excel. Возможна автоматическая рассылка по расписанию.

Управление уязвимостями

Модуль Vulnerability Manager (ранее McAfee Vulnerability Manager) активный сканер и пассивный анализатор, который сканирует сетевые сегменты и приложения по расписанию или в ответ на инциденты. Результаты сканирования обогащают данные ESM: если атака на систему, имеющую высокую уязвимость, она помечается как критическая.

Развёртывание и масштабирование

ESM развёртывается на физических или виртуальных серверах. В больших средах возможна многоуровневая архитектура с несколькими коллекторами, распределёнными по филиалам, и центральной консолью. Поддерживается кластеризация для отказоустойчивости (Active-Passive). Для обеспечения производительности требуется оборудование с достаточным объёмом оперативной памяти (от 32 ГБ на сервер среднего масштаба) и скоростными дисками (SSD). Система линейно масштабируется при добавлении узлов обработки.

Интеграции

ESM интегрируется с основными продуктами экосистемы McAfee/Trellix:

McAfee ePolicy Orchestrator (ePO) — получение данных об установленных обновлениях и политиках безопасности.
McAfee Network Security Platform (NSP) — события от NIDS/NIPS.
McAfee Web Gateway / Email Gateway — события веб- и почтового трафика.
Trellix Data Loss Prevention (DLP) — события утечек данных.

Также поддерживаются REST API и Syslog для интеграции со сторонними SIEM (например, с российской системой MaxPatrol SIEM) и системами управления инцидентами.

Версии и лицензирование

На 2024 год последняя стабильная версия — 11.x. Различают редакции:

ESM Enterprise — полный функционал, включая корреляцию, хранение до 10 ТБ событий в сутки.
ESM Express — облегчённая версия для малых и средних организаций с ограниченным объёмом событий (до 5000 событий/с).
ESM Government — для государственных нужд с расширенной Crypto и FIPS поддержкой.

Лицензирование осуществляется на основе количества событий в секунду (EPS) или объёма хранимых данных (GB в день). Стоимость варьируется от $25 000 для малого развёртывания до сотен тысяч долларов для крупных корпораций.

Критика и ограничения

SIEM-решения, включая McAfee ESM, подвергаются критике из-за высокой сложности настройки корреляционных правил, необходимости в квалифицированных специалистах SOC и больших эксплуатационных затратах. В отзывах пользователей отмечают:

Высокий порог входа — для эффективного использования требуется глубокое понимание сетевой безопасности и логики продукта.
Недостаточно эффективный поиск в больших архивах (по сравнению с Elasticsearch-решениями).
Устаревший (до версии 11) веб-интерфейс.
В российских условиях — ограниченная поддержка кириллицы и ГОСТ-шифрования (в версиях до 2022 года). После ухода McAfee из РФ в 2022 году официальные обновления и поддержка ESM для организаций в России прекратились, что привело к переходу на альтернативы: MaxPatrol SIEM (Positive Technologies), R-Siem (R-Vision), или на импортные решения в параллельном использовании.

Правовой статус и ограничения

Компания McAfee Corp. не входит в санкционные списки и не является экстремистской или террористической организацией на территории РФ. Однако с 2022 года, в связи с санкциями и ограничениями на экспорт технологий, McAfee приостановила деятельность в России. Поставщики и пользователи программного обеспечения McAfee в РФ столкнулись с невозможностью продления лицензий и обновлений. Ряд государственных и корпоративных заказчиков перешёл на российские SIEM-системы.

Сравнение с аналогами

Сравним McAfee ESM/SIEM с основными конкурентами (по состоянию на 2024 год):

Продукт	Основной разработчик	Особенности	Применимость в РФ
Splunk Enterprise Security	Splunk Inc.	Мощный поиск, поддержка машинного обучения, высокая стоимость лицензий	Ограничена (санкции)
IBM QRadar	IBM	Богатая корреляция, интеграция с другими системами IBM	Ограничена, но поддержка остаётся
Trellix ESM (McAfee ESM)	Trellix	Поддержка ADM, VM, высокая производительность на масштабах	Новая поддержка прекращена
MaxPatrol SIEM	Positive Technologies	Встроенное соответствие ФСТЭК, поддержка отечественной криптографии	Широко применяется в РФ
R-Siem	R-Vision	Поддержка ГОСТ, облачная/гибридная архитектура	Активно внедряется

Источники

Trellix Enterprise Security Manager Documentation (Product Guide, v11.x). Trellix Corp. 2023.
McAfee Enterprise Security Manager 11.5.0. Administrator Guide. McAfee, 2020.
Обзор рынка SIEM-систем: текущее состояние и перспективы. – Информационный портал «CNews», 2023.
Статья «McAfee ESM: обзор возможностей и архитектуры». – Журнал «Системы безопасности», №4, 2021.
Аналитический отчёт IDC: «Worldwide Siem Market 2022–2026 Forecast», IDC, 2022.
Официальный сайт Trellix: страница продукта Trellix Enterprise Security Manager. – trellix.com, 2024.

BFOmetr — база данных и аналитика по компаниям России.

На главную BFOmetr →