Что такое SIEM-система: принцип работы, виды и примеры решений

Что такое SIEM и зачем она нужна

SIEM объединяет управление информацией безопасности (SIM, Security Information Management) и управление событиями безопасности (SEM, Security Event Management) в единую платформу. Главная задача — создать единый центр видимости всех ИБ-событий: от файрвола и серверов до систем контроля и управления доступом (СКУД). Без централизованного сбора логов каждое устройство хранит события локально — атакующий может уничтожить следы, просто почистив локальный журнал.

Проблема локального хранения событий

Локальные журналы событий — слабое место любой инфраструктуры. В Windows событие с кодом 1102 означает очистку журнала безопасности: злоумышленник с правами администратора стирает следы за несколько секунд. На Linux аналогичного результата достигают удалением файлов в /var/log/ при наличии прав root. Сетевые устройства фиксируют атаку типа ARP-спуфинга (подмену ARP-таблиц в локальной сети) прямо на коммутаторе — но событие никуда не передаётся.

Частичное решение — централизованная пересылка логов по протоколу Syslog или через Windows Event Forwarding (WEF — пересылка событий Windows). Однако при росте числа источников начинаются потери событий и пробелы в хронологии. Именно здесь и нужна SIEM-система.

Архитектура SIEM: пять ключевых компонентов

SIEM-система строится из пяти последовательных компонентов:

1. Коллектор — собирает события по протоколам Syslog, SNMP, RPC, Windows Event Forwarding и через API; одинаковые события агрегирует, чтобы не перегружать канал.
2. Нормализатор — из разнородных форматов (Syslog, Event Log, JSON, CEF) извлекает единые поля: время, IP-адрес источника, имя пользователя, тип события, результат.
3. Движок корреляции — проверяет поток нормализованных событий по правилам; при совпадении создаёт алёрт или инцидент безопасности.
4. Хранилище — сохраняет как сырые, так и нормализованные события; оба слоя нужны при расследовании инцидентов.
5. Веб-консоль (дашборд) — визуализирует статистику, алёрты и статус инцидентов в реальном времени.

Как работает SIEM: от события к алёрту

SIEM превращает разрозненные события из десятков источников в связную картину угроз. Два ключевых процесса — нормализация и корреляция — работают в режиме реального времени: задержка от появления события до генерации алёрта составляет секунды или минуты.

Нормализация и агрегация событий

Нормализация приводит события из разных форматов к единой структуре. Пример: событие службы sshd — это строка из системного журнала Syslog, из которой SIEM извлекает поля: time=19:45, user=root, src_ip=192.168.101.46, port=21379. Аналогично обрабатываются журналы событий Windows (Event Log), данные в форматах JSON и CEF (Common Event Format — общий формат событий).

Агрегация объединяет повторяющиеся одинаковые события в одну запись со счётчиком — это снижает нагрузку на хранилище и упрощает анализ. Источники событий охватывают всю инфраструктуру: серверы, сетевое оборудование, СКУД, облачные платформы AWS, Azure и GCP, бизнес-приложения.

Корреляция событий и генерация инцидентов

Движок корреляции проверяет поток событий по правилам, написанным на основе матрицы угроз MITRE ATT&CK (база тактик и техник реальных атак). Пример правила: более 10 неудачных попыток входа с одного IP-адреса за 5 минут, за которыми следует успешная аутентификация, — это HIGH-алёрт о возможной брутфорс-атаке (атаке методом перебора паролей).

Дополнительно SIEM-система интегрируется с источниками данных об угрозах — Threat Intelligence (разведка угроз): сверяет IP-адреса, хэши файлов и доменные имена с базами индикаторов компрометации (IoC) в форматах STIX/TAXII. Это позволяет выявлять известные вредоносные объекты до того, как они нанесут ущерб. Алёрты и инциденты сохраняются в базе данных; сырые события остаются доступны для расследования без потери контекста.

Виды SIEM-систем по модели развёртывания

Системы класса SIEM делятся на четыре модели в зависимости от места размещения и управления:

On-premise — выбор организаций критической информационной инфраструктуры (КИИ): требования ФСТЭК предполагают полный контроль над данными. Cloud-native решения минимизируют капитальные затраты и масштабируются автоматически. Co-managed модель позволяет передать функции центра мониторинга безопасности (SOC) аутсорсинг-провайдеру — актуально при дефиците аналитиков безопасности в штате.

Примеры SIEM-решений: open source и коммерческие

Рынок SIEM делится на три сегмента: решения с открытым исходным кодом, коммерческие международные платформы и российские продукты. Выбор зависит от масштаба инфраструктуры, требований регуляторов и бюджета.

Бесплатные SIEM: Wazuh и AlienVault OSSIM

Среди средств управления событиями информационной безопасности с открытым исходным кодом выделяются два варианта.

Wazuh (лицензия GPLv2) основан на платформе OSSEC и активно развивается сообществом. Поддерживает облачные платформы AWS, Azure и GCP, агенты для Windows, Linux и macOS. Бесплатен в базовой версии — хороший выбор для старта.

AlienVault OSSIM — open source фреймворк «всё в одном»: объединяет Snort (система обнаружения вторжений в сеть), OSSEC (хостовая система обнаружения вторжений), Nagios (мониторинг доступности) и OpenVAS (сканер уязвимостей).

Оба решения требуют опытных специалистов при настройке; коммерческая поддержка недоступна — только сообщество.

Отечественные SIEM: MaxPatrol, Kaspersky KUMA и другие

После 2022 года западные вендоры покинули российский рынок, а требования ФСТЭК для организаций КИИ ужесточились — спрос на российские SIEM-системы резко вырос.

• MaxPatrol SIEM (Positive Technologies) — сертифицирован ФСТЭК; включает управление активами, поддерживает российские операционные системы, интегрируется с внешними системами через API.
• Kaspersky KUMA — сертифицирован ФСТЭК; обеспечивает высокую производительность по числу событий в секунду (EPS — events per second), интегрируется с Kaspersky Threat Intelligence Platform.
• KOMRAD Enterprise SIEM (компания «Эшелон») — ориентирован на государственный сектор и организации КИИ.
• RuSIEM — предлагает бесплатный старт; российская альтернатива с открытым исходным кодом.

SIEM и DLP: разные задачи, одна экосистема

SIEM и системы предотвращения утечек данных (DLP, Data Loss Prevention — предотвращение потери данных) часто противопоставляют. Это ошибка: это разные классы решений с разными задачами, которые работают вместе.

SIEM обнаруживает угрозы через корреляцию событий из всех источников — прежде всего внешние атаки и сложные целевые угрозы.

DLP контролирует потоки данных (электронная почта, USB-носители, веб-трафик) и предотвращает инсайдерские утечки через контентный анализ.

Ключевой тезис: DLP — источник событий для SIEM, а не конкурент. Логи DLP поступают в SIEM и коррелируются с данными сети, серверов и СКУД — это даёт полную картину инцидента.

Ограничения и сложности внедрения SIEM

SIEM — мощный инструмент, но с практическими ограничениями:

• Стоимость — лицензии коммерческих решений обходятся в миллионы рублей в год; сюда добавляются затраты на инфраструктуру и аналитиков безопасности.
• Сложность настройки — корректные правила корреляции требуют глубокого понимания инфраструктуры и актуального ландшафта угроз.
• Дефицит специалистов — квалифицированных аналитиков безопасности, умеющих работать с SIEM, на рынке мало.
• Ложные срабатывания — неверно откалиброванные правила создают информационный шум и снижают эффективность команды.

Ложные срабатывания решаются тремя путями: машинное обучение (адаптивные правила в IBM QRadar и Splunk Enterprise Security), постоянная доработка правил под специфику инфраструктуры и построение профиля нормальной активности (baseline — базовый уровень). Срок полноценного внедрения SIEM-системы — от 3 до 12 месяцев в зависимости от масштаба.

Хотите освоить востребованную IT-профессию — аналитику данных, работу с нейросетями или веб-дизайн? В рамках федерального проекта «Активные меры содействия занятости» доступно бесплатное обучение без отрыва от работы и без вложений. Смотрите каталог доступных программ.

Часто задаваемые вопросы

Что такое SIEM-система простыми словами?

SIEM — цифровая система наблюдения за безопасностью компании. Собирает логи со всех устройств и приложений, сопоставляет подозрительные события по правилам корреляции и сигнализирует об угрозах в реальном времени. Аналогия: система видеонаблюдения для цифровой инфраструктуры — только умеющая самостоятельно распознавать нарушителя по паттерну поведения.

Есть ли бесплатные SIEM-системы?

Да. Wazuh (лицензия GPLv2) — наиболее активно развиваемый вариант: бесплатен, поддерживает AWS, Azure, GCP и агенты для Windows, Linux и macOS. AlienVault OSSIM объединяет Snort, OSSEC, Nagios и OpenVAS в одном открытом фреймворке. Оба решения бесплатны в базовой версии.

Чем SIEM отличается от DLP?

SIEM анализирует события безопасности из всех источников и обнаруживает угрозы через корреляцию. DLP контролирует потоки данных и блокирует утечки. Они работают вместе: DLP передаёт логи в SIEM, где те коррелируются с данными сети и серверов. SIEM — для атак; DLP — для утечек.

Какие SIEM-системы есть в России?

MaxPatrol SIEM (Positive Technologies), Kaspersky KUMA, KOMRAD Enterprise SIEM (Эшелон), RuSIEM. Первые три имеют сертификаты ФСТЭК, обязательные для организаций критической информационной инфраструктуры. После ухода западных вендоров в 2022 году спрос на российские решения резко вырос.

Нужен ли SOC для работы с SIEM?

Формально нет, практически — да. SIEM генерирует алёрты, которые нужно обрабатывать. Малый бизнес обходится одним ИБ-аналитиком. Корпоративный уровень требует выделенного центра мониторинга безопасности (SOC) или сервиса co-managed SIEM у MDR/MSSP-провайдера. SIEM — ключевой инструмент SOC.

Почему SIEM генерирует ложные срабатывания?

Причина — неверно откалиброванные правила корреляции. Слишком мягкие создают шум; слишком строгие пропускают реальные угрозы. Решение: постоянная доработка правил под специфику инфраструктуры, функции машинного обучения в IBM QRadar и Splunk Enterprise Security, построение профиля нормальной активности (baseline).

Может ли MaxPatrol SIEM передавать информацию во внешние системы?

Да. MaxPatrol SIEM поддерживает интеграцию через API и позволяет передавать события и алёрты в платформы автоматизации реагирования (SOAR), тикет-системы Jira и OTRS, а также в мессенджеры. Это автоматизирует реагирование на инциденты в рамках единого SOC-процесса.

Как SIEM обнаруживает APT-атаки?

APT (целевые многоступенчатые атаки) — цепочки событий, каждое из которых в отдельности выглядит безобидно. SIEM коррелирует индикаторы: аномальный трафик, подозрительные процессы, изменения реестра, нетипичный доступ к данным. Только объединив их в единую временну́ю последовательность, система распознаёт паттерн целевой атаки.