SIEM — система информационной безопасности¶

SIEM (Security Information and Event Management, «управление информацией и событиями безопасности») — класс программных систем, объединяющих сбор, корреляцию и анализ логов и событий ИТ-инфраструктуры для выявления инцидентов информационной безопасности. SIEM-системы формируют единую точку мониторинга безопасности, позволяя аналитикам SOC (Security Operations Center) обнаруживать аномалии, реагировать на атаки и выполнять требования регуляторов по журналированию.

¶История и происхождение термина

Термин «SIEM» ввела в оборот аналитическая компания Gartner в 2005 году, объединив два ранее существовавших класса решений:

• SIM (Security Information Management) — системы управления информацией безопасности, занимавшиеся долгосрочным хранением и расследованием логов;
• SEM (Security Event Management) — системы управления событиями, отвечавшие за реалтайм-мониторинг и корреляцию событий.

Первыми коммерческими продуктами этого класса считаются решения ArcSight (основана в 2000 году) и NetIQ Sentinel. В России развитие SIEM-рынка ускорилось после вступления в силу федерального закона № 152-ФЗ «О персональных данных» (2006) и требований Центрального банка РФ (Указание № 4927-У, 2013), обязывающих кредитные организации журналировать события ИТ-безопасности и хранить логи не менее 3 лет.

¶Основные функции

Ключевые возможности SIEM-систем включают:

• Сбор и нормализацию логов — агрегирование данных из серверов, сетевого оборудования, средств защиты, приложений, баз данных в едином формате (обычно CEF, LEEF или собственном).
• Корреляцию событий — сопоставление потоков логов по правилам и сценариям для выявления цепочек атак (например, брутфорс, последовавший за успешным входом с необычного IP).
• Реалтайм-мониторинг — построение дашбордов и алертов при критических событиях.
• Расследование инцидентов — поиск по историческим данным, построение таймлайнов.
• Управление уязвимостями и соответствием — проверка конфигураций, отчёты для аудиторов.
• Автоматизированный реагирование (SOAR) — запуск предопределённых сценариев: блокировка IP, изоляция рабочей станции, создание тикета.

¶Архитектура

Типичная SIEM-система состоит из нескольких компонентов:

¶Классификация

По способу развёртывания:

• On-premise — установка на инфраструктуру заказчика (MaxPatrol SIEM «Лаборатории Касперского», «Криптосистема Волконский», Splunk Enterprise Security, IBM QRadar, ArcSight ESM).
• Облачные (SaaS) — сервис подписки (Microsoft Sentinel, Google Chronicle, Splunk Cloud).
• Гибридные — комбинация локального хранения и облачной аналитики.

По целевой аудитории:

• Корпоративные — для крупных организаций с собственным SOC.
• Упрощённые / для малого бизнеса — с предустановленными правилами и меньшей стоимостью владения.
• МSSP-ориентированные — рассчитанные на использование провайдерами услуг безопасности.

¶Российские SIEM-системы

На российском рынке представлено несколько отечественных решений, включённых в реестр отечественного ПО:

• MaxPatrol SIEM («Лаборатория Касперского») — наиболее распространённая в России система, используется в госсекторе и крупном бизнесе.
• «Криптосистема Волконский» (АО «Криптосистема») — разрабатывается с 2008 года, ориентирована на государственные структуры.
• X-Windows System (XWS) (АО «РусБайТех») — применяется в финансовых организациях.
• «Рутокен SIEM» и «СёрчИнформ» — решения для среднего сегмента.

После 2022 года ряд зарубежных вендоров (IBM, Splunk, Micro Focus) прекратил прямые поставки в Россию, что ускорило переход заказчиков на отечественные аналоги.

¶Ограничения

К основным недостаткам SIEM относятся:

• высокая стоимость владения (лицензии считаются по объёму данных в сутки — Gb/day);
• сложность настройки корреляционных правил и высокий процент ложных срабатываний на старте;
• необходимость выделенного персонала (аналитики SOC) для работы с системой;
• требовательность к инфраструктуре хранения больших объёмов логов.

¶Применение

SIEM-системы обязательны для банков по требованиям ЦБ РФ, широко применяются в телекоме, промышленности, госсекторе и управляющих компаниях ИТ-услуг. Внедрение SIEM обычно является первым шагом построения центра мониторинга безопасности.

¶Отличие от смежных классов

• SOC как сервис (MDR) — внешний сервис мониторинга, часто построенный поверх SIEM заказчика или вендора.
• SOAR — платформа автоматизации реагирования, интегрируется с SIEM, но не заменяет сбор логов.
• EDR / XDR — системы защиты конечных точек и расширенного реагирования, данные которых могут подаваться в SIEM.

Источники:

• Gartner. Magic Quadrant for Security Information and Event Management (2005–2023).
• ФЗ № 152-ФЗ «О персональных данных» (2006).
• Указание ЦБ РФ № 4927-У «О минимальных требованиях к защите персональных данных при их обработке в информационных системах персональных данных» (2013).
• «Лаборатория Касперского». Документация MaxPatrol SIEM.
• Reaqta. SIEM Market Overview; Splunk, IBM, Microsoft product documentation.