Орта компанияға арналған SIEM: уақыты қашан келеді және ол шын мәнінде қанша тұрады

Қысқаша: SIEM (Security Information and Event Management) — бүкіл инфрақұрылымнан (серверлер, желілік жабдық, антивирус, NGFW, DLP) қауіпсіздік оқиғаларын жинайтын, оларды өзара салыстыратын және журналдардағы мыңдаған шашыраңқы жазбаны шабуылдар туралы нақты ескертулерге айналдыратын жүйе. Өскемендік ақпараттық қауіпсіздік интеграторы Genius Systems SIEM-ді бүкіл Қазақстан бойынша — Астана, Алматы, Қарағанды, Павлодарда — компаниялар үшін енгізеді. Бұл мақалада екі сұраққа ашық жауап береміз: SIEM-нің уақыты шынымен қашан келеді және оның нақты бағасы неден құралады.

SIEM-нің уақыты шынымен қашан келеді

Компанияның SIEM-ге дейін өсіп жеткенінің белгілері:

• Оқиға дереккөздері оннан көп. Домен контроллері, пошта сервері, NGFW, антивирус, DLP, дерекқорды басқару жүйесі (ДҚБЖ), 1С — олардың журналдарын қолмен салыстыру енді мүмкін емес.
• Инцидентті талдауға бірнеше күн кетеді. Егер күдікті кіруден кейін әкімші әртүрлі жүйелерден логтарды екі күн жинаса — SIEM мұны сағаттарға дейін қысқартады.
• Реттеуші талаптар бар. «Ақпараттандыру туралы» ҚР Заңы және аса маңызды объектілер мен ақпараттық жүйелердің иелеріне арналған ақпаратты қорғау жөніндегі заңға тәуелді талаптар іс жүзінде ақпараттық қауіпсіздік оқиғаларын орталықтандырылған мониторингтеуді көздейді. «Дербес деректер және оларды қорғау туралы» ҚР Заңы дербес деректерге қол жеткізуді тіркеуді талап етеді — ол үшін журналдарды бір жерде жинап, сақтау керек.
• Аудитке немесе тендерге дайындалып жатырсыз, онда тапсырыс беруші ақпараттық қауіпсіздік мониторингі мен инциденттерге әрекет ету уақыты туралы сұрайды.

SIEM әлі ерте болатын жағдай: егер компанияда бөлінген ақпараттық қауіпсіздік маманы болмаса және ескертулерді ешкім талдамайтын болса, жүйе қымбат логтар мұрағатына айналады. Бұл жағдайда журналдау қосылған NGFW-ден, орталықтандырылған syslog-серверден және алдымен нені қорғау керектігін көрсететін қауіпсіздік аудитінен бастаған дұрысырақ.

Бұл қанша тұрады: шығыстардың үш бабы

SIEM бағасы — тек лицензия ғана емес. Үш құрамдасты есептеңіз:

Бап	Неден құралады	100–300 қызметкері бар компания үшін сандардың реті
Лицензиялар	Әдетте EPS (секундына оқиға саны) немесе тәуліктік дерек көлемі бойынша. Орта компания 500–3000 EPS, күніне 10–50 ГБ лог генерациялайды	коммерциялық шешімдер үшін жылына 6–8 млн теңгеден бастап; Wazuh — тегін, бірақ үшінші жолды қараңыз
Енгізу	Зерттеп-қарау, дереккөздерді қосу, парсерлер, корреляциялық ережелер, дашбордтар, оқыту	лицензиялар құнының 30–60%-ы, бір рет
Пайдалану	Ескертулерді күн сайын талдап, ережелерді жетілдіретін маман; 6–12 айлық логтарға арналған серверлер мен сақтау қоймасы	АҚ талдаушысының 0,5 ставкасынан бастап + инфрақұрылым

Сандар шамамен берілген — қорытынды дереккөздер саны мен сақтау мерзімдеріне байланысты, нақты сметаны зерттеп-қарау береді. Бірақ арақатынас тұрақты: 3 жыл ішінде пайдалану лицензиялардан қымбатқа түседі, және бюджетке енгізуді ең жиі ұмытатыны да — дәл осы.

Біз жұмыс істейтін шешімдерден: Energy Logserver — лицензиялануы EPS-ке қатаң байланбаған SIEM, бұл өсу кезінде ыңғайлы; Kaspersky KUMA — егер инфрақұрылым Kaspersky негізінде құрылып қойған болса; Rapid7 InsightIDR — пайдаланушылар мінез-құлқының дайын аналитикасы бар бұлттық нұсқа; Wazuh — шектеулі бюджетпен бастауға арналған open-source.

Енгізу жобасы қалай көрінеді

1. Зерттеп-қарау — 1–2 апта. Дереккөздерді түгендеу, EPS-ті бағалау, архитектураны таңдау.
2. Пилоттық жоба — 2–4 апта. 5–7 негізгі дереккөзді қосамыз: домен контроллері, NGFW, антивирус, пошта. Пилоттық жобаның өзінде нақты оқиғалар көрінеді — құпиясөздерді іріктеу әрекеттері, жұмыстан тыс уақыттағы оғаш кірулер.
3. Өрістету — 4–8 апта. Қалған дереккөздер, сіздің тәуекелдеріңізге сай корреляциялық ережелер, осалдықтарды басқарумен интеграция, әрекет ету регламенті.
4. Тәжірибелік пайдалану — 2–3 ай. Жалған дабылдарды сүзіп тастау: бастапқыда олар 80–90%-ға дейін жетеді, мақсат — әр ескерту назар аударуға тұрарлық деңгейге жеткізу.

Әдеттегі үш қате

• Бәрін бірден қосу. Ережелері бапталмаған 50 дереккөз — нақты шабуылдар батып кететін шу. 5–7 аса маңыздысынан бастаңыз.
• Сатып алып, адам бөлмеу. SIEM талдаушысыз жұмыс істемейді. Егер өз маманыңыз болмаса — сыртқы мониторингі бар сервистік модельді қарастырыңыз.
• Логтарды 30 күн сақтау. Шабуылдар көбінесе айлар өткен соң анықталады. Тергеу мен реттеуші талаптары үшін сақтау мерзімін 6 айдан бастап белгілеңіз.

Әрі қарай не істеу керек

Егер сізге уақыты келді ме деп күмәндансаңыз — тегін бағалаудан бастаңыз: оқиға дереккөздері бойынша сауалнама жібереміз, шамамен EPS-ті есептейміз және SIEM сізге қазір қажет пе, әлде алдымен базалық нәрселерді жабу дұрысырақ па — тура айтамыз. Тәсіл туралы толығырақ — SIEM шешімдері бетінде, ал инфрақұрылымыңызды байланыс арқылы талқылауға болады.