Сравнение SIEM-систем. Часть 2

Вторая часть публичного сравнения популярных российских и зарубежных SIEM-систем по 116 различным критериям, среди которых архитектура, возможности управления инцидентами, подключения источников, анализа данных и визуализации, отказоустойчивости, интеграции и многое другое. В сравнении участвуют FortiSIEM, AlienVault OSSIM, KOMRAD Enterprise SIEM, СёрчИнформ SIEM, NeuroDAT SIEM, Security Capsule и Платформа мониторинга ИБ Visor.

 

 

 

 

1. Введение
2. Сравнение SIEM-систем
1. 2.1. Общая информация
2. 2.2. Соответствие направлению импортозамещения
3. 2.3. Управление инцидентами, уязвимостями, активами
4. 2.4. Предустановленная функциональность
5. 2.5. Визуализация и аналитика
6. 2.6. Системная архитектура
7. 2.7. Отказоустойчивость и резервирование
8. 2.8. Защищенность системы
9. 2.9. Объекты системы — методы кастомизации и разработки
10. 2.10. Управление событиями и данными
11. 2.11. Подключение источников событий
12. 2.12. Интеграционные возможности, обогащение данными из других систем
13. 2.13. Техническая поддержка и обновления
14. 2.14. Лицензирование
15. 2.15. Дополнительные параметры (оценочные)
3. Выводы

 

 

Введение

Интерес к системам управления событиями информационной безопасности (системам класса SIEM — Security Information and Event Management) не утихает, а с ростом зрелости процессов компаний становится только глубже и обширней. Последние несколько лет спрос на них в России также активно стимулируется регуляторами.

SIEM-системы позволяют осуществлять мониторинг информационных систем и систем безопасности, анализировать события в них в режиме реального времени, например, происходящие на рабочих станциях, сетевых устройствах, средствах защиты информации и других элементах ИТ-инфраструктуры компании. Собранные и проанализированные ими данные помогают обнаружить инциденты ИБ или аномалии, оставшиеся незаметными для специализированных средств защиты.

Возникновение массового спроса и многочисленные предложения со стороны вендоров порождают у заказчиков проблемы выбора оптимальной SIEM. Для ее решения нужно время и экспертиза. Чтобы упростить задачу выбора, в 2018 году мы провели первое публичное сравнение SIEM-систем, сравнив между собой семь наиболее популярных систем. Результатом этого исследования стала публикация первой части сравнения SIEM-систем.

Оно оказалось настолько популярным, что мы стали получать множество просьб и предложений расширить список сравниваемых систем, поэтому было принято решение о подготовке второй части, куда попали дополнительно еще семь SIEM-систем.

Мы решили не менять критерии сравнения, оставив их такими же, какими они были в первой части сравнения. Таким образом, результаты двух частей сравнения являются взаимодополняемыми и по желанию читателя могут быть полностью или частично объединены между собой.

Сравнение SIEM-систем

Общая информация

 

Соответствие направлению импортозамещения

 

Управление инцидентами, уязвимостями, активами

 

Предустановленная функциональность

 

Визуализация и аналитика

 

Системная архитектура

 

Отказоустойчивость и резервирование

 

Защищенность системы

 

Объекты системы — методы кастомизации и разработки

 

Управление событиями и данными

 

Подключение источников событий

 

Интеграционные возможности, обогащение данными из других систем

 

Техническая поддержка и обновления

 

Лицензирование

 

Дополнительные параметры (оценочные)

 

Выводы

Подводя итоги второй части сравнения, отметим несколько особенностей.

Интересным моментом является подход в части совмещения ряда функций. Очевидное влияние тут оказывают регуляторные направления: набор функций, минимально закрываемый несколькими системами из коробки, напоминает копию выкладки из методических указаний ФСБ России по построению корпоративного центра ГосСОПКА и взаимодействию с НКЦКИ. Таким образом, прослеживаются как направление вектора развития, так и сдерживающие факторы (то, что не направлено на прямое соответствие, не будет иметь определяющего веса при развитии продукта).

Можно сформировать образ MVP (Minimal Viable Product) в классе SIEM-систем, ориентированных на построение корпоративных центров ГосСОПКА. Для этого выделим основные особенности по направлениям:

• Соответствие. Наличие сертификата ФСТЭК России и присутствие в реестре отечественного ПО, но при этом отсутствие готовых отчетов, направленных на соответствие.
• Функциональность. Парсинг событий и разработка коннекторов по запросу заказчика, но при этом есть полнотекстовый поиск по событиям и хранение таких событий в исходном виде.
• Удобство использования. Наличие толстых клиентов для управления решением. При этом чаще всего планируется или уже осуществлен переход на веб-консоль. Отчетность и дашборды неизменяемые, обновление установленных компонентов не бесшовное и не автоматическое.
• Интеграция. В составе нет модных AI и UEBA, но есть интеграции со средствами защиты российского производства, в частности с системами DLP и IPS. В частных случаях есть API, а значит, есть задел для дальнейшей интеграции.
• Лицензирование по количеству активов, определяемых при сканировании и/или при анализе событий от активов — это в противовес привычному EPS (Events Per Second), используемому почти во всех решениях из первой части сравнения.

Активная интеграция с возможностью управления внешними средствами не является приоритетным направлением — в этой части обзора только два игрока ориентированы на прозрачную интеграцию внутри линейки продуктов одного производителя, остальные решения позиционируются скорее как универсальные.

Основные тренды понятны и обусловлены рациональными причинами — все производители ориентируются на движущие силы своего (или важного для них) рынка и уделяют меньше времени и внимания тем функциям, которые не являются основными для предполагаемой категории заказчиков.

Мы традиционно не делали итогового ранжирования сравниваемых решений: уверены, что, ознакомившись с представленными результатами сравнения SIEM-систем, каждый читатель сможет сделать правильный для себя вывод.

Коллектив Anti-Malware.ru выражает особую благодарность за помощь в подготовке данного материала коллегам:

1. Дмитрий Купецкий, системный инженер, Fortinet

2. Дмитрий Шулинин, руководитель центра управления инцидентами ИБ, Align Technology R'n'D

3. Вадим Пучкин, менеджер по работе с партнерами, НПО «Эшелон»

4. Алексей Парфентьев, руководитель отдела аналитики «СёрчИнформ»

5. Ирина Байгушева, аналитик отдела разработки, «Инновационные Технологии в Бизнесе»

6. Виталий Тарнавский, эксперт отдела защиты информации, «Инновационные Технологии в Бизнесе»

7. Владислав Мукминов, начальник управления, «Центр безопасности информации»

8. Александр Клопков, менеджер продукта Visor, ФГУП НПП «Гамма»