Сравнение SIEM-систем. Часть 1

Первое публичное сравнение популярных российских и иностранных SIEM-систем по 116 различным критериям, среди которых архитектура, возможности управления инцидентами, подключения источников, анализа данных и визуализации, отказоустойчивости, интеграции и многое другое. В сравнении участвуют Micro Focus (HP) ArcSight, McAfee ESM, IBM QRadar, RSA NetWitness, Splunk, MaxPatrol SIEM и RuSIEM. Дополнительно в сравнении приведена краткая инструкция для проведения собственной оценки и выбора оптимальной SIEM-системы, основываясь на результатах нашего сравнения.

1. Введение
2. Методология сравнения SIEM-систем
3. Сравнение SIEM-систем
1. 3.1. Общая информация
2. 3.2. Соответствие направлению импортозамещения
3. 3.3. Управление инцидентами, уязвимостями, активами
4. 3.4. Предустановленная функциональность
5. 3.5. Визуализация и аналитика
6. 3.6. Системная архитектура
7. 3.7. Отказоустойчивость и резервирование
8. 3.8. Защищенность системы
9. 3.9. Объекты системы — методы кастомизации и разработки
10. 3.10. Управление событиями и данными
11. 3.11. Подключение источников событий
12. 3.12. Интеграционные возможности, обогащение данными из других систем
13. 3.13. Техническая поддержка и обновления
14. 3.14. Лицензирование
15. 3.15. Дополнительные параметры (оценочные)
4. Выводы

Введение

Это первая часть сравнения, куда не вошли отдельные SIEM-системы. Со второй частью можно ознакомиться здесь — "Сравнение SIEM-систем. Часть 2".

Изменение ландшафта угроз в сторону сложных многовекторных атак и усложнение комплекса средств защиты ведут к быстрому росту популярности систем класса SIEM (Security Information and Event Management) не только в России, но и в мире в целом. Ранее мы уже объясняли, что такое  SIEM и для чего она нужна, и проводили подробный обзор мирового и российского рынка SIEM.

Такие решения позволяют осуществлять мониторинг информационных систем, анализировать события безопасности в режиме реального времени, например, происходящие на рабочих станциях, сетевых устройствах, средствах защиты информации и других элементах ИТ-инфраструктуры компании. Собранные и проанализированные ими данные помогают обнаружить инциденты ИБ или аномалии, оставшиеся незаметными для специализированных средств защиты.

Практически ежедневно в новостях публикуются факты об успешных атаках (в том числе  целенаправленных и спонсируемых отдельными государствами) на организации, в которых, казалось бы, не было проблем с бюджетами на ИБ и работали грамотные специалисты.  В свою очередь рост киберрисков ведет к необходимости в проактивности в ИБ, автоматизированному и тщательному анализу событий, необходимости предвидеть атаку, предугадать ее развитие или хотя бы локализовать проблему с меньшими потерями. Многое из этого умеют делать современные  SIEM-системы.

Непосредственно в России рост внимания к SIEM-системам связан с некоторыми локальными изменениями на рынке информационной безопасности, среди которых можно выделить:

1. Вступление в силу с 1 января 2018 года Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации» от 26.07.2017 N 187-ФЗ  и связанных с ним нормативно-правовых актов (приказы ФСБ, ФСТЭК России и постановления правительства России), согласно которым в России создается  Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА), подразумевающая создание корпоративных и ведомственных центров, где могут использоваться в том числе SIEM-системы.
2. Построение корпоративных и ведомственных центров оперативного мониторинга информационной безопасности  Security Operation Center (SOC), в том числе с целью взаимодействия с НКЦКИ в рамках системы ГосСОПКА. Чаще всего платформой для  автоматизации процессов SOC являются рассматриваемые в обзоре SIEM-решения.
3. Увеличение зрелости ИБ во многих крупных компаниях, а значит, и появление потребности автоматизации большого числа процессов.

Возникновение массового спроса и предложения со стороны вендоров порождает у заказчиков проблему выбора, для решения которой нужно время и экспертиза. К сожалению, до настоящего времени в публичном пространстве практически не было актуальных сравнительных материалов, которые бы помогали потенциальным заказчикам выбрать оптимальную для себя SIEM-систему без принятия стороннего оценочного мнения. Мы решили это исправить.

Несмотря на сложность и, казалось бы, неподъемность задачи, мы провели первое открытое независимое сравнение популярных на российском рынке SIEM-систем. Для этого мы пригласили к участию всех желающих, создали открытую группу заинтересованных специалистов, коллегиально на протяжении 6 месяцев прорабатывали критерии сравнения и список производителей-участников, уточняли и выверяли ответы, чтобы получившееся в итоге сравнение было прозрачным. Фактически любой желающий мог высказать свое мнение по улучшению критериев сравнения или о точности приведенной в таблице информации.

Перед ознакомлением с результатами нашего сравнения имеет смысл понять, зачем вам нужна SIEM-система, какие задачи, по вашему мнению, такая система позволит решить. Вооружившись ответами на эти вопросы, можно перейти к изучению результатов сравнения. Технически рекомендуется выделить необходимые параметры и проставить для них «весовые значения» по собственному мнению, основываясь на описании значений критериев в таблице. Далее следует просуммировать значения и вывести собственного лидера среди SIEM-систем, отвечающего задачам вашей компании. Подробнее описано в главе «Методика выбора оптимальной SIEM-системы».

Методология сравнения SIEM-систем

На этапе выбора критериев сравнения в нашей рабочей группе возникали жаркие споры насчет корректности сравнения существующих решений (а рассматриваются далеко не все присутствующие на рынке) или недостаточного раскрытия ряда функциональных возможностей. И тут действительно нужно пояснить: пути развития выбранных нами для сравнения SIEM-систем имеют разные длину (в годах) и направление — поэтому оценивать нужно потенциальному заказчику, основываясь на особенностях своей организации.

Например, потребности сервисного SOC, продающего свои услуги другим компаниям, разительно отличаются от потребностей инфраструктурного внутреннего SOC. И если для первого важно подключить из коробки максимальное количество источников и иметь возможность гибкого управления данными, поступающими от них, то для второго большим приоритетом может стать удобный пользовательский интерфейс и минимальная стоимость владения решением.

И если особенности заказчика формируют потребности, то функциональность продуктов определяет их возможности. Это ориентировка на интеграцию внутри собственной экосистемы, как у Positive Technologies и IBM, или направленность на интеграцию со сторонними решениями, как у RuSIEM и Micro Focus Security. Кроме того, подходы к визуализации и навигации в консоли каждого из решений соответствуют определенной логике, которую не всегда можно оценить четкими критериями, но зато можно эмпирически принять при живой демонстрации.

Группировка критериев осуществлялась на основе базовых влияющих на компании-потребители направлений, диктуемых временем: степень автоматизации, стратегия развития (в том числе устойчивость на рынке), эластичность архитектуры. Возможность компании-потребителя  учитывать риски при таких условиях в дальнейшем определяет ее выбор.

К примеру, небольшим игрокам стоит присмотреться к комплексному моновендорному решению, а тем, кто крупнее, ориентироваться на нишевые (под нишей подразумевается отрасль) решения. Далее проводилась детализация направлений в группы (представленные ниже), которые раскладывались, в свою очередь, на подгруппы. По возможности и экспертно оцененному весу влияния критерия на оценку подгруппы разбивались оценочные параметры.

Для создания полезного инструмента выбора нами были выделены следующие группы критериев сравнения  SIEM-систем:

• Архитектура решения — форм-фактор, масштабируемость, методы управления событиями  и схема лицензирования — важный параметр для Enterprise-установок, где необходимо подсчитать конечную стоимость владения решением, учитывая трудоемкость обслуживания, возможность и эффективность реализации в распределенных сетях.
• Общая информация — будет полезна при презентации руководству или организации референс-визитов, соответствия основных показателей ИТ- и ИБ-стратегии компании. По этим показателям можно судить о зрелости решения и его положении на рынке.
• Функциональные особенности —наличие и составляющие кастомизируемых параметров, гибкость настройки позволят оценить применимость решения к принятой парадигме развития процессов обеспечения ИБ (аутсорсинг, централизованное, распределенное использование) компании. А качество и количество предустановленных из коробки элементов, а также среднее время старта дадут представление о сроках внедрения до получения первых показателей эффективности.
• Интеграционные возможности — наличие развитых встроенных и интегрируемых подсистем управления уязвимостями, инцидентами и активами позволит в начальном периоде эксплуатации ограничиться использованием одного продукта, без увеличения количества используемых администратором и аналитиком консолей. А интеграция со сторонними решениями в целях обогащения информации о событиях ИБ, сведения об API и поддерживаемых источниках событий указывают на открытую позицию компании на рынке, умение находить общий язык с другими игроками, говорит о направлениях развития продукта.
• Дополнительные критерии — параметры, которые подвержены влиянию внешней среды. Это и отчетность, удобство, это и глубина погружения при навигации в рамках интерфейса системы. Все это влияет на оперативность при обработке событий ИБ и выявлении инцидентов ИБ и позволяет примериться к существующим внутри компании KPI. Дорожные карты развития, наличие озвученных планов по разработке коннекторов-парсеров, количество внедрений и поддержка со стороны производителя, а также живость community говорит о заинтересованности в продукте как заказчиков, так и разработчиков.
• Соответствие направлению импортозамещения — позволит оценить ценность решения как компонента системы соответствия.

Помимо выбора критериев для сравнения перед нами стояла вторая нелегкая задача — отбор продуктов для участия в сравнении. Учитывая ограничения формата статьи на сайте и удобство восприятия, решено было отобрать для первой части сравнения не более семи SIEM-систем. При этом при отборе продуктов учитывались три основных фактора: популярность на российском рынке, реализованная функциональность и происхождение вендора. Последнее было важно для приоритета российским продуктам в рамках государственной политики импортозамещения.

Остальные продукты, не попавшие в первую семерку, было решено оставить для второй части сравнения, которую планируется сделать в будущем в случае успеха нашей инициативы.

В итоге мы остановили свой выбор на наиболее популярных на российском рынке отечественных и зарубежных SIEM-системах. В итоге было отобрано семь систем:

Хотелось бы отметить, что представители всех указанных производителей принимали непосредственное участие в финальной стадии, где нужны были некоторые пояснения и проверка  сведений в сравнительной таблице.

Важно отметить, что готовя это сравнение, мы не ставили целью назвать лучших, мы констатировали факты о продуктах в соответствии с критериями сравнения. А соответствующие выводы о выборе решения, наиболее подходящего под потребности и возможности конечного потребителя, может сделать только сам потребитель.

Сравнение SIEM-систем

Общая информация

Соответствие направлению импортозамещения

Управление инцидентами, уязвимостями, активами

Предустановленная функциональность

Визуализация и аналитика

Системная архитектура

Отказоустойчивость и резервирование

Защищенность системы

Объекты системы — методы кастомизации и разработки

Управление событиями и данными

Подключение источников событий

Интеграционные возможности, обогащение данными из других систем

Техническая поддержка и обновления

Лицензирование

Дополнительные параметры (оценочные)

Выводы

В приведенном сравнении SIEM-систем мы не делали их итогового ранжирования, надеясь, что, ознакомившись с представленными нами результатами сравнения, каждый читатель сможет самостоятельно решить, какой из рассмотренных продуктов наиболее подходит для его целей. Ведь в каждом конкретном случае заказчик сам определяет требования к функциональным возможностям SIEM-систем, а значит, сможет сделать из сравнения правильный именно для него вывод.

В дальнейшем мы планируем опубликовать памятку по импортозамещению, обзоры отдельных продуктов и ряд аналитических статей о практике использования современных SIEM-систем. Также можете ознакомиться с методикой выбора оптимального средства защиты информации.

Коллектив Anti-Malware.ru выражает особую благодарность за помощь в подготовке данного материала коллегам:

1. Александр Кузнецов, руководитель направления ИБ, НТЦ «Вулкан»
2. Виктор Гордеев, начальник отдела систем мониторинга,  «Информзащита»
3. Глеб Суходольский, эксперт отдела систем мониторинга, «Информзащита»
4. Юрий Дробышевский, инженер внедрения решений ИБ, компания SVIT IT
5. Андрей Скрипкин, эксперт по информационной безопасности
6. Сергей Кохан, ведущий специалист по внедрению систем ИБ, компания SVIT IT
7. Вячеслав Тупиков, ведущий архитектор решений направления SOC, Micro Focus Security в России
8. Артем Медведев, руководитель направления, Micro Focus Security в России
9. Игорь Бажин, коммерческий представитель, Micro Focus Security в России
10. Роман Андреев, ведущий консультант, Security Intelligence & IRP & Threat, IBM RCIS
11. Эльман Бейбутов, менеджер по продажам решений безопасности, IBM RCIS
12. Алексей Матвеев, руководитель группы инженеров, RRC Россия
13. Тимур Багиров, менеджер по продуктам Splunk, RRC Россия
14. Сергей Андросов, эксперт по продуктам Splunk, RRC Россия
15. Иван Силкин, технический специалист, «Волга-Блоб»
16. Олеся Шелестова, генеральный директор, «РУСИЕМ»
17. Владимир Бенгин, эксперт, Positive Technologies
18. Андрей Войтенко, эксперт, Positive Technologies
19. Дмитрий Новиков, технический директор, компания «Инфозащита»