Внедрение SIEM в средней компании: KUMA или MaxPatrol SIEM

SIEM собирает события безопасности со всей инфраструктуры и помогает обнаружить инциденты на ранней стадии. Лидеры рынка в РФ — Kaspersky KUMA и Positive Technologies MaxPatrol SIEM. Выбор зависит от стека, бюджета и зрелости SOC.

Сравнение KUMA vs MaxPatrol

• KUMA: легче в развёртывании, лучше для MSP-сценариев и облака.
• MaxPatrol SIEM: глубже корреляция, мощный SDK правил, дороже.
• Лицензирование: оба считают по EPS (events per second).
• Сертификация ФСТЭК: оба продукта в реестре отечественного ПО.

Типовые источники

1. AD/Samba DC — события входа, изменения групп.
2. Firewall, NGFW — сетевой трафик, IDS-сработки.
3. EDR — события на конечных точках.
4. Веб-приложения — логи nginx, WAF, application-логи.
5. СУБД — аудит запросов и привилегий (PostgreSQL pgaudit).
6. Облачные платформы — Yandex Cloud, VK Cloud audit logs.

Корреляционные правила

Готовые правила производителя покрывают MITRE ATT&CK на 60–70%. Остальное настраивается под бизнес: подозрительные обращения к 1С, выгрузка ПДн, аномальные RDP-сессии. 1IT передаёт каталог правил с описанием срабатывания и реагирования.

SOC как сервис

Если своего SOC нет, 1IT (Первый ИТ Альянс) предлагает MSSP-сервис: 24/7 мониторинг, разбор инцидентов, ежемесячные отчёты. Стоимость — от 250 тыс. ₽/мес для базового пакета.