Как выбрать СЗИ для бизнеса: практический гид по IDM, SIEM, IRP, IDS/IPS, Firewall и EDR

Содержание

1. Краткое содержание
2. Введение: почему выбор СЗИ стал сложнее
3. Что такое СЗИ и чем они отличаются от обычного ПО
4. Российский нормативный контекст: когда нужны сертифицированные СЗИ
5. Основные классы СЗИ: что за что отвечает
6. Архитектура выбора: как собрать СЗИ в работающую систему
7. Как выбрать СЗИ по отрасли бизнеса
8. Сравнение подходов к выбору СЗИ
9. Практические примеры выбора СЗИ
10. Типичные ошибки при выборе СЗИ
11. Лучшие практики выбора и внедрения
12. Таблица преимуществ и недостатков классов СЗИ
13. Рекомендации эксперта: как выбрать СЗИ без лишних затрат
14. Методика пилота и критерии оценки поставщика
15. Чек-лист выбора и внедрения СЗИ
16. FAQ: частые вопросы о выборе СЗИ
17. Основные выводы
18. Источники и полезные материалы

Краткое содержание

Если коротко: СЗИ выбирают не по принципу «что сейчас популярно», а по рискам, данным, отраслевым требованиям и реальной способности команды сопровождать решение. Для малого бизнеса минимальный набор обычно начинается с антивирусной защиты/EPP, резервного копирования, межсетевого экрана, MFA и базового контроля доступа. Для регулируемых организаций, госсектора, финансового сектора и субъектов КИИ выбор усложняется: нужны сертифицированные СЗИ, действующие сертификаты ФСТЭК/ФСБ, корректная модель угроз, журналы событий, процедуры реагирования и подтверждённая эксплуатация.

Главная мысль: хороший комплект СЗИ — это не набор коробок, а архитектура: идентификация и доступ, защита конечных устройств, сетевой периметр, мониторинг, реагирование, контроль данных и регулярная проверка эффективности.

Минимальная логика выбора:

• сначала определить активы, данные, бизнес-процессы и регуляторные требования;
• затем выбрать классы СЗИ: IDM/PAM, NGFW, AV/EPP/EDR, SIEM, IDS/IPS, IRP/SOAR, DLP, VM и резервное копирование;
• проверить сертификацию, совместимость, условия эксплуатации и ограничения сертификата;
• провести пилот и считать не только стоимость лицензии, но и стоимость владения;
• назначить владельцев процесса: кто смотрит события, кто реагирует, кто обновляет политики.

Важное уточнение: сертифицированное СЗИ само по себе не делает систему безопасной. Оно должно быть правильно выбрано, внедрено, настроено, документировано и регулярно проверяться.

Введение: почему выбор СЗИ стал сложнее

Российский рынок информационной безопасности за последние годы сильно изменился. Уход части иностранных поставщиков, импортозамещение, рост числа кибератак, переход компаний на отечественные операционные системы и ужесточение регуляторных требований сделали выбор средств защиты информации более ответственным. Раньше многие организации рассуждали так: «Поставим антивирус, firewall и на этом успокоимся». Сегодня такой подход работает плохо.

Причина простая: атаки стали многоэтапными. Злоумышленнику уже не обязательно сразу «ломать firewall». Он может зайти через фишинг, украденные учётные данные, подрядчика, уязвимость в публичном сервисе, неправильно настроенный VPN или забытый сервер. Поэтому выбор СЗИ для бизнеса должен закрывать не отдельную точку, а цепочку атаки целиком: от получения доступа до закрепления, перемещения внутри сети, кражи данных и вымогательства.

Международные практики идут тем же путём. NIST Cybersecurity Framework 2.0 рассматривает управление киберрисками через функции Govern, Identify, Protect, Detect, Respond и Recover [1]. MITRE ATT&CK описывает тактики и техники противников в средах Windows, Linux, macOS, SaaS, IaaS, Network Devices, Containers и ESXi [4]. Это важно: современные СЗИ должны не просто «стоять», а помогать обнаруживать конкретные техники атак и реагировать на них.

В российском контексте добавляется ещё один слой — регулирование. Для ИСПДн применимы требования 152-ФЗ, постановления №1119 и приказа ФСТЭК №21. Для государственных информационных систем — приказ ФСТЭК №17. Для значимых объектов КИИ — 187-ФЗ и приказ ФСТЭК №239. Для финансового сектора — нормативные акты Банка России и ГОСТ Р 57580.1-2017. Поэтому вопрос «как выбрать СЗИ» нельзя решать только на уровне технических характеристик.

Почему это важно: неправильно выбранное СЗИ может пройти закупку, но не закрыть реальный риск. Например, компания покупает SIEM, но у неё нет людей, которые анализируют события. Или внедряет EDR, но не на всех серверах. Или покупает сертифицированный межсетевой экран, но сертификат действует только для определённой версии, а фактически используется другая.

Какие ошибки допускают чаще всего: ориентируются на бренд, цену или «список функций», а не на модель угроз и бизнес-процессы; забывают о сопровождении; не проверяют сертификаты; не считают стоимость внедрения и эксплуатации; не обучают персонал.

Как поступают зрелые компании: сначала описывают активы, данные, угрозы и процессы реагирования, а уже потом выбирают конкретные решения.

Что такое СЗИ и чем они отличаются от обычного ПО

Средство защиты информации (СЗИ) — это программное, программно-аппаратное или аппаратное решение, предназначенное для защиты информации от угроз: несанкционированного доступа, утечки, изменения, уничтожения, вредоносного воздействия, нарушения доступности и других событий безопасности.

В бытовом понимании СЗИ часто сводят к антивирусу или firewall. На практике это гораздо шире. К СЗИ относятся:

• средства идентификации, аутентификации и управления доступом: IDM, IAM, PAM;
• межсетевые экраны и NGFW;
• средства обнаружения и предотвращения вторжений: IDS/IPS, NDR;
• средства защиты конечных устройств: AV, EPP, EDR, XDR;
• системы мониторинга событий безопасности: SIEM;
• платформы реагирования: IRP, SOAR;
• DLP и DCAP для контроля данных;
• средства защиты виртуализации, контейнеров, веб-приложений, почты, каналов связи;
• сканеры уязвимостей, системы управления конфигурациями и резервного копирования.

В российской практике отдельно важно понятие сертифицированные СЗИ. Это средства защиты, прошедшие оценку соответствия в установленном порядке. В регулируемых средах — ГИС, ИСПДн, объектах КИИ, финансовом секторе — наличие сертификата может быть не просто плюсом, а обязательным условием применения или существенным требованием проекта.

Важно понимать: сертификация подтверждает соответствие продукта определённым требованиям и условиям применения. Она не гарантирует, что конкретная инсталляция будет безопасной. Если продукт установлен неправильно, работает не в той версии, не обновляется или не покрывает нужный контур, формальное наличие сертификата не спасёт.

Почему это важно: при проверке смотрят не только название продукта, но и версию, сертифицированное исполнение, срок действия сертификата, условия эксплуатации, формуляр, настройки и фактическое применение.

Типичная ошибка: купить «сертифицированный продукт», но не сверить, действует ли сертификат именно на используемую версию и сценарий применения.

Как избежать: перед закупкой проверять сертификат в реестре ФСТЭК и/или ФСБ, фиксировать версию в проектной документации, учитывать ограничения формуляра и заранее согласовывать схему внедрения с ответственными за ИБ и ИТ.

Российский нормативный контекст: когда нужны сертифицированные СЗИ

Выбор СЗИ в России начинается с вопроса: какие данные и системы защищаются? Разные режимы регулирования требуют разных мер и разной глубины документирования.

ИСПДн и персональные данные

Для информационных систем персональных данных применяются 152-ФЗ, постановление Правительства №1119 и приказ ФСТЭК №21. Приказ №21 содержит состав организационных и технических мер: идентификация и аутентификация, управление доступом, регистрация событий безопасности, антивирусная защита, обнаружение вторжений, контроль защищённости, защита виртуализации, реагирование на инциденты и управление конфигурацией [7]. Это уже фактически карта классов СЗИ, которые могут понадобиться оператору персональных данных.

Государственные информационные системы

Для ГИС применяется приказ ФСТЭК №17. Он закрепляет, что защита информации является частью жизненного цикла системы: создание, эксплуатация и вывод из эксплуатации [8]. Здесь важны аттестация, документирование, модель угроз, контроль состава мер и сертифицированные средства там, где они требуются.

Критическая информационная инфраструктура

Для субъектов КИИ действует 187-ФЗ, а для значимых объектов КИИ — приказ ФСТЭК №239 [9][10]. Закон определяет объекты КИИ как информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления субъектов КИИ [10]. Для таких объектов выбор СЗИ должен учитывать категорию значимости, модель угроз, требования к обеспечению безопасности, мониторинг, взаимодействие с ГосСОПКА и контроль состояния защищённости.

Финансовый сектор

Финансовые организации ориентируются на нормативные акты Банка России и ГОСТ Р 57580.1-2017. ГОСТ Р 57580.1-2017 определяет уровни защиты информации и базовый состав организационных и технических мер для финансовых организаций [12]. Для банков действует положение 683-П, для некредитных финансовых организаций — 684-П. Поэтому выбор СЗИ здесь часто начинается не с функции продукта, а с соответствия требованиям регулятора и внутренней модели операционного риска.

Реестр и проверка сертификатов

Сертификаты СЗИ следует проверять в актуальных реестрах ФСТЭК/ФСБ. На сайте реестров ФСТЭК размещается государственный реестр сертифицированных средств защиты информации, а также сведения об органах по сертификации и испытательных лабораториях [11]. При выборе продукта важно проверять не только факт наличия сертификата, но и срок действия, исполнение, класс, условия применения, версию ПО и совместимость с вашей средой.

Почему это важно: одно и то же средство может подходить для коммерческого контура и не подходить для ИСПДн, ГИС или КИИ.

Риски: регуляторные замечания, невозможность аттестации, необходимость срочной замены продукта, разрыв проекта из-за неподходящей версии.

Как поступают зрелые компании: сначала определяют режим регулирования, затем состав мер, затем классы СЗИ, и только после этого формируют shortlist продуктов.

Основные классы СЗИ: что за что отвечает

Ниже — практическая карта классов СЗИ. Она помогает понять, какие решения закрывают конкретные риски.

IDM, IAM и PAM: управление доступом

IDM/IAM отвечают за жизненный цикл учётных записей: создание, изменение, блокировка, согласование прав и контроль ролей. PAM защищает привилегированные учётные записи: администраторов, сервисные аккаунты, доступ к критичным системам. По логике Zero Trust, описанной NIST SP 800-207, доступ должен строиться вокруг ресурсов и контекста, а не доверия к сетевому сегменту [2]. CISA также выделяет идентичность как один из ключевых столпов модели Zero Trust [3].

Практически это означает: если в компании нет нормального управления доступом, остальные СЗИ будут постоянно бороться с последствиями. Нельзя эффективно расследовать инциденты, если неизвестно, кто имел доступ к системе и зачем.

Примеры российских решений в этом классе: Avanpost IDM, Solar inRights, Avanpost SmartPAM, Indeed PAM и другие. Avanpost IDM автоматизирует жизненный цикл учётных записей и бизнес-процессы управления доступом [23]. Solar inRights позиционируется как IDM-система для процедур управления правами и расследования инцидентов, связанных с доступом [24].

Firewall, NGFW и WAF: контроль сетевого и прикладного доступа

Межсетевой экран ограничивает сетевые взаимодействия. NGFW добавляет контроль приложений, пользователей, URL, SSL-инспекцию, IDS/IPS и иногда песочницу. WAF защищает веб-приложения от типовых атак прикладного уровня, связанных с OWASP Top 10 [5].

Для бизнеса firewall — это не «железка на входе», а основа сегментации. Если бухгалтерия, серверы 1С, веб-серверы, разработка и технологическая сеть лежат в одной плоской сети, даже дорогой EDR не спасёт от быстрого распространения атаки.

Примеры российских решений: UserGate NGFW, Континент, Ideco NGFW, InfoWatch ARMA, Positive Technologies Application Firewall, UserGate WAF. UserGate NGFW описывается как решение для защиты от сетевых атак, вредоносного ПО, удалённого доступа и контроля доступа к веб-ресурсам [18].

AV, EPP, EDR и XDR: защита конечных устройств

Антивирус и EPP закрывают базовую защиту конечных устройств от массового вредоносного ПО. EDR нужен там, где важны детектирование сложных атак, телеметрия, расследование и реагирование на хосте. XDR расширяет видимость на несколько доменов: endpoint, сеть, почта, облако, идентичности.

В реальности EDR нужен не только крупным компаниям. Даже средний бизнес сталкивается с фишингом, вредоносными вложениями, шифровальщиками и атакой через украденные пароли. Но EDR требует процесса: кто смотрит алерты, кто изолирует хост, кто разбирает таймлайн.

Примеры российских решений: Kaspersky EDR/Next, MaxPatrol EDR/Endpoint Security, BI.ZONE EDR, R-Vision Endpoint. MaxPatrol Endpoint Security объединяет возможности EPP и EDR, поддерживает рабочие станции и серверы, Windows, Linux и отечественные ОС [20].

IDS/IPS и NDR: обнаружение сетевых атак

IDS обнаруживает подозрительную активность, IPS может блокировать её. NDR анализирует сетевое поведение и помогает находить скрытые атаки, lateral movement, C2-коммуникации и аномалии. Эти решения особенно полезны в больших сетях, где endpoint-телеметрия неполная или часть узлов нельзя оснастить агентами.

Примеры российских решений: С-Терра СОВ, PT NAD, Гарда NDR, ViPNet IDS, UserGate IDS/IPS. С-Терра СОВ предназначена для выявления атак на основе анализа сетевого трафика [19].

SIEM: централизованный мониторинг событий безопасности

SIEM собирает, нормализует, коррелирует и хранит события из разных источников. Это «центральная нервная система» мониторинга. Российский рынок SIEM достаточно зрелый: исследование TAdviser и Positive Technologies показывало, что 97% опрошенных российских организаций используют SIEM, а более половины уже внедрили или внедряли российские решения [13].

Примеры российских решений: MaxPatrol SIEM, Kaspersky KUMA, RuSIEM, KOMRAD Enterprise SIEM, Security Capsule SIEM, R-Vision SIEM. MaxPatrol SIEM позиционируется как решение для обнаружения актуальных угроз и работы с событиями в едином окне [14]. Kaspersky KUMA обеспечивает централизованный сбор, анализ журналов, корреляцию событий ИБ в реальном времени и готовый набор правил корреляции [15]. RuSIEM поддерживает корреляцию, управление инцидентами, длительное хранение событий и no-code конструктор правил [16].

IRP и SOAR: управление и автоматизация реагирования

IRP помогает вести карточки инцидентов, назначать задачи, хранить артефакты, фиксировать действия и обеспечивать управляемость процесса. SOAR добавляет оркестрацию и автоматизацию: обогащение индикаторов, запуск playbook, изоляция хоста, блокировка IP, создание заявки.

SOAR не заменяет аналитика, но снижает ручную нагрузку. Если SOC каждый день копирует IP-адреса из SIEM в разные интерфейсы вручную, SOAR быстро окупается.

Примеры: R-Vision SOAR, Security Vision SOAR/IRP, UDV ePlat4m SOAR. R-Vision SOAR агрегирует данные по инцидентам из множества источников, автоматизирует обогащение и реагирование, предоставляет единое рабочее пространство для команды SOC [21]. Security Vision SOAR снижает влияние человеческого фактора и повышает скорость реакции на инциденты [22].

DLP, DCAP и защита данных

DLP предотвращает утечки через почту, мессенджеры, облака, печать, съёмные носители. DCAP помогает находить чувствительные данные в файловых хранилищах и контролировать права. Эти классы важны для финансового сектора, медицины, госсектора, промышленности, HR, юристов и любых компаний, где есть персональные данные, коммерческая тайна и интеллектуальная собственность.

Сканеры уязвимостей и VM

Сканеры уязвимостей позволяют понять, где в инфраструктуре есть открытые риски. CISA поддерживает каталог Known Exploited Vulnerabilities — перечень уязвимостей, эксплуатация которых подтверждена в реальных атаках [6]. Это хороший пример приоритизации: закрывать нужно не только CVSS 10.0, но и то, что реально эксплуатируется.

Главное правило: СЗИ должны закрывать полный цикл: предотвратить, обнаружить, отреагировать, восстановить и доказать выполнение требований.

Архитектура выбора: как собрать СЗИ в работающую систему

Ниже — практическая схема, которую удобно использовать при планировании защиты.

Почему это важно: отдельное СЗИ закрывает только часть атаки. Например, firewall не увидит вредоносную активность внутри уже скомпрометированного хоста, а EDR не покажет полный контекст сетевого взаимодействия без SIEM/NDR.

Типичная ошибка: покупать несколько сильных продуктов, но не связывать их в процесс. В итоге алерты есть, а управляемого реагирования нет.

Как поступают зрелые компании: строят архитектуру как связанный контур: IDM/PAM задают права, EDR и NDR дают телеметрию, SIEM коррелирует события, IRP/SOAR управляет инцидентами, DLP и DCAP защищают данные, VM помогает закрывать уязвимости.

Как выбрать СЗИ по отрасли бизнеса

Ниже — ориентировочная матрица. Она не заменяет модель угроз, но помогает быстро понять приоритеты.

Почему это важно: одинаковый набор СЗИ для всех отраслей почти всегда приводит к переплате или пробелам.

Риск: компания покупает дорогой SIEM, но не имеет EDR и логов с ключевых серверов. Или ставит DLP, но не описывает, какие данные считать конфиденциальными.

Как избежать: выбирать инструменты под реальные сценарии: какие данные украдут, через какой путь, кто заметит и как отреагирует.

Сравнение подходов к выбору СЗИ

Оптимальный вариант обычно гибридный: требования регуляторов + модель угроз + оценка команды + пилот.

Зрелая практика: не выбирать СЗИ «навсегда». Раз в год пересматривать архитектуру: появились новые активы, новые требования, новые угрозы, истекают сертификаты, изменилась инфраструктура.

Практические примеры выбора СЗИ

Пример 1. Интернет-магазин с персональными данными

Компания обрабатывает ФИО, телефоны, адреса доставки, историю заказов и платежные статусы. Главные риски: компрометация сайта, утечка клиентской базы, фишинг сотрудников, шифровальщик.

Разумный стартовый набор:

• WAF для публичного сайта;
• EPP/EDR для рабочих станций и серверов;
• MFA для админ-панелей, CRM и почты;
• резервное копирование с тестом восстановления;
• DLP для клиентской базы и выгрузок;
• SIEM-lite или managed monitoring, если нет своего SOC.

Ошибка — начинать с тяжёлого SIEM без логов и без процесса реагирования.

Пример 2. Производственное предприятие

Есть офисная сеть, технологический сегмент, удалённый доступ подрядчиков и АСУ ТП. Главная угроза — простой производства и несанкционированный доступ к технологическим системам.

Приоритеты:

• сегментация между IT и OT;
• PAM для подрядчиков и администраторов;
• специализированные firewall/IDS для промышленного контура;
• SIEM для событий IT и ключевых событий OT;
• EDR в офисной сети;
• резервное копирование конфигураций и критичных серверов;
• регламенты удалённого доступа.

Ошибка — ставить агентские решения на технологическое оборудование без проверки совместимости.

Пример 3. Финансовая организация

Здесь важны защита операций, расследование событий, требования Банка России и контроль привилегий.

Базовый контур:

• SIEM как ядро мониторинга;
• EDR/XDR на конечных устройствах и серверах;
• PAM для администраторов;
• DLP/DCAP для клиентских данных;
• VM и пентесты;
• SOAR/IRP для управляемого реагирования;
• WAF/API security для внешних сервисов.

Ошибка — воспринимать SIEM как архив логов. В финансовом секторе он должен помогать выявлять бизнес-критичные сценарии: подозрительные действия администраторов, аномальный доступ к данным, изменение правил, обход MFA.

Пример 4. Компания без ИБ-команды

У бизнеса 100–300 сотрудников, есть 1С, сайт, облачная почта, CRM и удалённые сотрудники. Отдельного SOC нет.

Реалистичный набор:

• EPP/AV с централизованной консолью;
• NGFW или UTM;
• MFA для критичных сервисов;
• резервное копирование;
• базовый DLP или контроль выгрузок;
• outsourced SOC/MDR вместо самостоятельного SIEM;
• периодический аудит и сканирование уязвимостей.

Ошибка — купить сложную платформу, которую никто не будет обслуживать.

Типичные ошибки при выборе СЗИ

1. Покупать продукт без модели угроз. Непонятно, какие риски он закрывает.
2. Игнорировать людей и процессы. SIEM, EDR и SOAR бесполезны без ответственных за мониторинг и реагирование.
3. Не проверять сертификаты. Сертификат может истечь или не распространяться на нужную версию.
4. Дублировать функции. Три продукта собирают одни и те же события, но ни один не даёт полной картины.
5. Недооценивать интеграцию. Если СЗИ не интегрируется с AD/LDAP, SIEM, ticketing и почтой, эксплуатация усложняется.
6. Начинать с дорогого инструмента, а не с базовой гигиены. Без MFA, резервных копий, патчей и инвентаризации дорогой SOC не спасёт.
7. Не считать TCO. Лицензия — только часть стоимости. Нужны внедрение, серверы, хранение логов, обучение, поддержка.
8. Ставить всё сразу. Массовое внедрение без пилота часто заканчивается шумом, конфликтами и сопротивлением пользователей.
9. Не учитывать отечественные ОС и импортозамещение. Продукт должен работать в целевой инфраструктуре, а не только в презентации.
10. Не обновлять политики. Угрозы меняются, а правила остаются прошлогодними.

Как избежать: проводить пилот, согласовывать критерии успеха, фиксировать требования в ТЗ, проверять совместимость и заранее назначать владельцев процессов.

Лучшие практики выбора и внедрения

• Начинайте с инвентаризации активов и данных.
• Описывайте бизнес-процессы: где деньги, персональные данные, коммерческая тайна, критичные сервисы.
• Разделяйте требования «для закона» и «для реальной защиты», но закрывайте оба набора.
• Используйте NIST CSF 2.0 как универсальную рамку: Govern, Identify, Protect, Detect, Respond, Recover [1].
• Для доступа применяйте принципы Zero Trust: проверка контекста, минимальные привилегии, постоянный контроль [2][3].
• Для мониторинга используйте MITRE ATT&CK: проверяйте, какие техники реально покрывают ваши SIEM/EDR/NDR [4].
• Для веб-приложений учитывайте OWASP Top 10 [5].
• Приоритизируйте уязвимости с учётом эксплуатации в реальном мире, например по CISA KEV [6].
• Проверяйте сертификаты ФСТЭК/ФСБ до закупки и перед аттестацией.
• Внедряйте поэтапно: пилот, ограниченный контур, масштабирование.
• Не запускайте СЗИ без регламентов: кто смотрит, кто реагирует, кто обновляет.

Мой практический вывод: лучше внедрить 5 классов СЗИ на 80% правильно, чем 12 классов на 20% формально.

Таблица преимуществ и недостатков классов СЗИ

Рекомендации эксперта: как выбрать СЗИ без лишних затрат

1. Не начинайте с вендора. Начните с вопроса: какой инцидент для нас недопустим?
2. Разделите требования на три группы: закон, бизнес-риски, технические риски.
3. Составьте карту текущих СЗИ. Часто в компании уже есть 30–50% нужного набора, но никто не знает, как он работает.
4. Проверьте источники событий. SIEM без логов — дорогая пустая коробка.
5. Не покупайте SOAR, если нет повторяемых сценариев реагирования. Сначала опишите playbook вручную.
6. Проверяйте endpoint coverage. EDR на 60% хостов оставляет слепые зоны.
7. Для бизнеса без SOC рассмотрите MDR/MSSP. Это может быть эффективнее, чем покупать сложный SIEM без команды.
8. Для регулируемых контуров заранее планируйте аттестацию. Выбор продукта должен совпадать с проектной документацией.
9. Пилотируйте не функции, а сценарии. Например: фишинг → запуск вредоносного файла → lateral movement → попытка выгрузки базы.
10. Считайте TCO на 3 года. Лицензии, внедрение, железо, хранение данных, обновления, обучение, поддержка.

Хороший критерий выбора: после пилота вы должны понимать, какие реальные инциденты продукт обнаружил, какие пропустил, сколько ложных срабатываний создал и кто будет всё это обслуживать.

Методика пилота и критерии оценки поставщика

Пилот СЗИ должен быть не демонстрацией интерфейса, а мини-проектом с проверяемым результатом. Перед запуском сформулируйте 5–7 сценариев, которые для вашей организации действительно важны. Например: администратор пытается подключиться к критичному серверу вне регламента; пользователь отправляет файл с персональными данными во внешний мессенджер; вредоносный файл запускается на рабочей станции; внешний адрес сканирует опубликованный веб-сервис; сотрудник пытается выгрузить базу клиентов перед увольнением.

Для каждого сценария заранее задайте ожидаемый результат. SIEM должен получить событие, нормализовать его и связать с другими событиями. EDR должен показать дерево процессов, артефакты и предложить действия реагирования. NGFW или IDS/IPS должны корректно классифицировать трафик. DLP должна отличить штатную пересылку документа от вывода чувствительной информации. PAM должен записать привилегированную сессию и не допустить прямого доступа в обход регламента.

Что оценивать на пилоте

• Покрытие сценариев. Какие атаки или нарушения продукт увидел без доработки, а какие потребовали ручных правил.
• Качество срабатываний. Сколько ложных алертов появилось на нормальной активности.
• Контекст. Понятно ли аналитику, что произошло, кто участник события, какой актив затронут, какой риск.
• Интеграции. Подключается ли решение к AD/LDAP, почте, SIEM, IRP/SOAR, EDR, DLP, сканеру уязвимостей, системе заявок.
• Эксплуатация. Сколько времени уходит на добавление источника, создание правила, обновление политики, выгрузку отчёта.
• Ресурсы. Какие нужны серверы, хранилища, лицензии, каналы, резервирование.
• Документы. Есть ли сертификаты, формуляры, эксплуатационная документация, методики настройки, шаблоны отчётов.
• Поддержка. Насколько быстро вендор отвечает, готов ли помогать с нестандартными источниками и миграцией.

Оценочная матрица

Почему это важно: без пилотной методики сравнение превращается в спор презентаций. Один продукт выглядит сильнее на слайдах, другой лучше справляется с вашим реальным источником событий, третий дешевле в лицензии, но дороже в сопровождении.

Частая ошибка: тестировать только дефолтные функции и не подключать реальные системы компании. В результате после покупки выясняется, что нужный коннектор отсутствует, правила корреляции требуют доработки, а хранение логов обходится дороже, чем ожидалось.

Зрелый подход: оформлять результаты пилота в виде таблицы: сценарий, ожидаемый результат, фактический результат, замечания, трудозатраты, решение о пригодности. Такой документ полезен и для технической команды, и для закупки, и для руководства.

Чек-лист выбора и внедрения СЗИ

До выбора продукта

• Описаны бизнес-процессы и критичные активы.
• Определены категории данных: ПДн, коммерческая тайна, финансы, код, технологические данные.
• Понятны регуляторные режимы: ИСПДн, ГИС, КИИ, финсектор.
• Есть модель угроз или хотя бы предварительная оценка рисков.
• Описаны текущие СЗИ и пробелы.
• Понятно, кто будет эксплуатировать решения.

При выборе решения

• Проверен действующий сертификат ФСТЭК/ФСБ, если требуется.
• Проверены версии, формуляр, ограничения, совместимость.
• Есть список обязательных интеграций.
• Согласованы требования к производительности и хранению данных.
• Проверена совместимость с отечественными ОС и СУБД, если это важно.
• Понятна стоимость владения на 3 года.

На пилоте

• Подключены реальные источники данных.
• Проверены 3–5 критичных сценариев атаки.
• Замерено количество ложных срабатываний.
• Проверены отчёты для ИБ, ИТ и руководства.
• Проверена процедура реагирования.
• Получено заключение: внедрять, дорабатывать или искать альтернативу.

После внедрения

• Назначены владельцы системы и процессов.
• Описаны регламенты эксплуатации.
• Настроено обновление правил, сигнатур и политик.
• Проводятся регулярные проверки эффективности.
• Документация синхронизирована с фактической конфигурацией.

FAQ: частые вопросы о выборе СЗИ

Что важнее: сертификация или функциональность?

Для регулируемых систем нельзя выбирать одно вместо другого. Если требуется сертифицированное СЗИ, сертификат обязателен. Но функциональность и соответствие рискам не менее важны: сертифицированный продукт, который не закрывает вашу модель угроз, не решит задачу.

Можно ли малому бизнесу обойтись без SIEM?

Да, если нет регуляторного требования и нет команды для мониторинга. На старте часто разумнее использовать EPP/EDR с облачной консолью, NGFW, MFA, бэкапы и услуги MDR/MSSP.

EDR заменяет антивирус?

Не всегда. EDR отвечает за детектирование и расследование сложных атак, а EPP/AV — за базовую профилактику массовых угроз. В некоторых продуктах EPP и EDR объединены, но это нужно проверять по функционалу.

NGFW заменяет IDS/IPS?

Частично. Многие NGFW включают функции IDS/IPS, но отдельные IDS/NDR дают более глубокую видимость внутреннего трафика. Для крупных сетей и КИИ этого часто недостаточно.

Что выбрать сначала: SIEM или EDR?

Если нет телеметрии с хостов, SIEM будет видеть только часть картины. Для компаний без развитого SOC часто разумно начинать с EDR/EPP и базовой централизации логов, а затем переходить к SIEM.

Нужно ли покупать SOAR сразу вместе с SIEM?

Нет. SOAR нужен, когда есть повторяемые сценарии реагирования, несколько систем и команда, которой нужна автоматизация. Если инциденты пока разбираются хаотично, сначала нужен процесс IRP.

Как понять, что продукт подходит?

Через пилот. Нужно проверить реальные сценарии, интеграции, нагрузку, качество детектов, отчёты, удобство для аналитика и итоговую стоимость владения.

Основные выводы

• Выбор СЗИ начинается не с каталога вендоров, а с активов, данных, угроз и требований.
• Сертифицированные СЗИ нужны не всегда, но для ИСПДн, ГИС, КИИ и финансового сектора их роль критична.
• Не существует универсального набора СЗИ для всех отраслей.
• Базовая защита для бизнеса обычно включает EPP/AV, NGFW, MFA, резервное копирование, контроль доступа и мониторинг.
• Более зрелая архитектура дополняется EDR/XDR, SIEM, DLP/DCAP, IDS/NDR, PAM, VM и IRP/SOAR.
• Важнее всего связать СЗИ в процесс: кто обнаруживает, кто реагирует, кто исправляет и кто проверяет эффективность.
• Пилот должен проверять не «красоту интерфейса», а реальные сценарии атак и эксплуатации.
• Хорошая защита — это не сумма продуктов, а управляемая система.

Практический финальный совет: если бюджет ограничен, не пытайтесь купить всё сразу. Постройте дорожную карту на 12–24 месяца: сначала закрыть критичные риски и требования закона, затем повышать зрелость мониторинга, реагирования и защиты данных.

Источники и полезные материалы

1. NIST Cybersecurity Framework 2.0 — https://www.nist.gov/publications/nist-cybersecurity-framework-csf-20
2. NIST SP 800-207 Zero Trust Architecture — https://csrc.nist.gov/pubs/sp/800/207/final
3. CISA Zero Trust Maturity Model — https://www.cisa.gov/zero-trust-maturity-model
4. MITRE ATT&CK Enterprise Matrix — https://attack.mitre.org/matrices/enterprise/
5. OWASP Top 10:2021 — https://owasp.org/Top10/2021/
6. CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog
7. Приказ ФСТЭК №21 — https://legalacts.ru/doc/prikaz-fstek-rossii-ot-18022013-n-21/
8. Приказ ФСТЭК №17 — https://legalacts.ru/doc/prikaz-fstek-rossii-ot-11022013-n-17/
9. Приказ ФСТЭК №239 — https://publication.pravo.gov.ru/Document/View/0001201803270041
10. 187-ФЗ «О безопасности критической информационной инфраструктуры РФ» — https://publication.pravo.gov.ru/Document/View/0001201707260023
11. Информация о реестрах ФСТЭК и сертификации СЗИ — https://infocenter.cntd.ru/news/read/ob-obnovlenii-dokumentov-fstek-rossii-po-sertifikacii-sredstv-z...
12. ГОСТ Р 57580.1-2017 и требования финансовых организаций — https://base.garant.ru/72031046/
13. Исследование TAdviser и Positive Technologies: рынок SIEM в России — https://ptsecurity.com/research/analytics/siem-market-in-of-russia/
14. MaxPatrol SIEM — https://ptsecurity.com/products/mpsiem/
15. Kaspersky Unified Monitoring and Analysis Platform — https://www.kaspersky.ru/enterprise-security/unified-monitoring-and-analysis-platform
16. RuSIEM — https://rusiem.com/en
17. KOMRAD Enterprise SIEM — https://www.itsec.ru/articles/siem-slozhno-i-dorogo-uzhe-net
18. UserGate NGFW — https://usergate.com/products/next-generation-firewall
19. С-Терра СОВ — https://www.s-terra.ru/products/catalog/s-terra-sov-4-3/
20. MaxPatrol Endpoint Security — https://ptsecurity.com/products/endpoint/
21. R-Vision SOAR — https://rvision.ru/products/soar
22. Security Vision SOAR — https://www.securityvision.ru/products/soar/
23. Avanpost IDM — https://www.avanpost.ru/products/avanpost-idm/
24. Solar inRights — https://rt-solar.ru/products/solar_inrights/