Максим Степченков: Организациям со штатом в 30–50 сотрудников уже нужен SIEM

Что движет российским рынком информационной безопасности в период постлокдауна, как импортозамещение влияет на развитие отечественных производителей СЗИ и каковы возможности их продвижения за пределами нашей страны? Об этом и о многом другом нам рассказал Максим Степченков, совладелец компании — разработчика первой российской SIEM-системы.

Максим, какие тренды вы видите сейчас на рынке SIEM в России и какие факторы наиболее сильно влияют на этот рынок в данный момент?

М. С.: Начну с того, что я на SIEM-рынке достаточно давно, с 2008 года, собственным продуктом занялся с 2014 года, и могу сказать, что очень явная тенденция последних двух лет — это всё больше запросов со стороны малого бизнеса. Даже не среднего, а именно малого. Организациям со штатом в 30–50 сотрудников уже нужен SIEM.

При этом мы хорошо понимаем, что такие организации не могут себе позволить эксплуатировать подобные системы в силу ряда причин. Это могут быть ёмкость ресурса, сложность настройки, отсутствие кадров. Можно внедрить любое хорошее решение, но если его никто впоследствии не будет сопровождать, то в лучшем случае это будет очередное нечто «мигающее лампочками».

Иногда бывает так, что даже лицензию не активируют, а потом жалуются, что продукт не работает. С чем только не сталкивались.

Однако востребованность растёт. Почему? Во-первых, здесь сказывается влияние законодательства, потому что у нас под требования к КИИ (критической информационной инфраструктуре) попали все вплоть до малых предприятий: финансовые фирмы, государственные и медицинские учреждения, промышленные организации. Небольшие сети, небольшие компании начали приходить, обращаться. Востребованность есть.

Следующий вопрос — кто это будет делать, сопровождать? Вспоминая основную проблему нашего рынка информационной безопасности — кадровый голод, — мы понимаем, что делать это практически некому. Притом что продукт нужен не столько с точки зрения требований законодательства, сколько для реальной безопасности.

Кто будет сопровождать? Если обращаться ко крупным SOC — это очень дорого. У всех на слуху имена пяти-шести крупных SOC, с ценником в 20–30 миллионов рублей в год. Естественно, малому бизнесу это неинтересно, среднему бизнесу тоже не особо. За меньшую сумму вполне можно развернуть свой собственный SOC, но здесь непонятно, зачем, если у тебя нет таких потенциальных потерь.

Получается, небольшим организациям нужен SIEM, потому что есть требование законодательства и внутренняя потребность, они понимают, зачем им нужна эта система и как с её помощью повысить свою защищённость. При этом у них нет ресурсов, чтобы нанять специалистов, а SOC для них дорог. В чём же тогда для них выход?

М. С.: Здесь — два момента. Во-первых, «SIEM-as-a-Service». Мы сейчас плотно работаем с некоторыми ЦОД, чтобы предоставлять эту услугу. Второй момент — есть небольшие региональные игроки, которые предоставляют SOC по невысокой цене. Некоторые из них имеют узкую специализацию (совсем минимальная функциональность), а есть организации, которые предоставляют полный расширенный спектр.

Вообще, чем дальше от Москвы, тем условия разумнее. На рынке есть те, кто готов предоставить условия практически для любой компании, включая предприятия малого бизнеса. Их просто нужно найти. Мы, например, сейчас с одним из крупных игроков — федеральным оператором связи — построили SOC по разумным условиям.

Главное — не гнаться за брендами, а подбирать то, что подойдёт именно тебе.

Пока не ушли дальше, «SIEM как сервис» — тема весьма трендовая, даже по западным отчётам. Можно взять, например, компанию Microsoft, которая продаёт SIEM из облака. Но в России, если судить по моему общению с другими игроками рынка, эта услуга пока не так востребованна. Что вы об этом думаете?

М. С.: Всё зависит от сегмента. Если ты общаешься с энтерпрайз-сегментом, то, действительно, там довольно тяжело происходит переход в облачные инфраструктуры. Малый бизнес зачастую уже давно там. Возьмём тот же самый Office 365: насколько глубоко он проник в средний и малый бизнес. Другой пример — облачные CRM-системы также находят самое широкое применение в малом и среднем бизнесе. Я могу привести очень много примеров компаний, у которых фактически кроме ноутбуков и принтеров в сети ничего нет. Есть ещё ограничивающий межсетевой экран, который фактически раздаёт выход в интернет. Всё остальное — в облаках. Таких организаций очень много и становится всё больше. Логично, что и «SIEM-as-a-Service», «Security-as-a-Service» будут расти. Очень многие организации так или иначе переезжают в ЦОД, и моя компания — один из примеров. Мне нет необходимости разворачивать свой центр: я арендую стойки и ставлю туда своё оборудование. Для другой компании я арендую виртуальные машины, и при этом получается, что я сам же арендую свой собственный SIEM.

То есть пока эта услуга у нас — скорее для малого и среднего бизнеса?

М. С.: Крупный бизнес также движется в этом направлении, но когда он туда придёт и с какими условиями, я сказать не могу. Просто я хорошо понимаю, что как малый бизнес я могу принять на себя все эти риски, а вот каким образом энтерпрайз, видя условия договоров, сможет полностью переехать в российские облака, выполняющие требования законодательства, и при этом доверять им, я пока не представляю.

«SIEM как сервис» сейчас уже тоже можно купить?

М. С.: При желании — да. С некоторыми ЦОД мы сейчас об этом договариваемся. Есть различные варианты работы с SOC. Мы, к примеру, работаем с SOC по гибридной схеме, некоторые предоставляют полноценный SOC, кто-то просто сопровождает твой SIEM, развёрнутый в их инфраструктуре или на твоей. Варианты могут быть разными.

Я удивлён, что вы не отметили импортозамещение, когда говорили о регулируемом сегменте рынка. Насколько оно влияет на SIEM-рынок и дало ли это что-то вашей компании? Насколько ощущается здесь поддержка государства и возможности, которые даёт импортозамещение?

М. С.: Импортозамещение — уже не тренд; оно работает и будет работать ещё долго. Не все готовы переходить: у некоторых только закончилось внедрение. Понятное дело, что нам как отечественному производителю импортозамещение помогает. Но я всегда говорил и говорю на всех конференциях: самое главное — чтобы импортозамещение не привело к тому, что у нас снизится конкуренция и мы перестанем расти. Я очень надеюсь, что мы будем активно расти и развиваться.

Импортозамещение — это всего-навсего наша возможность.

Нередки случаи (и это типично для государственных организаций), когда внимание обращается прежде всего на функциональность, и до сих пор очень сложно объяснять, почему нужно что-то менять. «У нас есть продукт, который уже три года не обновляется, но он работает, зачем нам его менять». Классическая история айтишников: когда работает, не трогай. Понятное дело, что в рамках новых проектов всё намного проще. А вот с точки зрения импортозамещения прогнозы строить пока, наверное, ещё рановато.

Несколько недель назад мы делали оценку российского рынка ИБ и в том числе оценили и SIEM-рынок. У нас получилась сумма около семи миллиардов рублей. Насколько вы согласны с такой оценкой и как вы сами оцениваете ёмкость этого рынка? По нашим наблюдениям, темпы роста также получаются внушительными — 15–20 процентов в год, возможно, даже больше. Как бы вы прокомментировали эту ситуацию?

М. С.: Я думаю, рынок ещё больше, ведь есть закрытые конкурсы и прочее. Моя личная оценка рынка — ближе к восьми-девяти миллиардам, а более точно я смогу сказать по окончании марта. Я сместил график, потому что хорошо понимаю, что многие проекты были перенесены из-за последнего небольшого локдауна на каникулах. Например, у меня порядка 10 проектов перешло на первый квартал следующего года. При этом я могу сказать, что для меня лично это — существенный рост, и уже даже на текущий момент это не 15–20 процентов, а намного больше.

Рынок будет расти. За счёт чего происходит прирост? Естественно, за счёт как крупных игроков, так и большого количества малых и средних организаций. При этом всё чаще поступают запросы из серии «у меня что-то произошло, в рамках расследования инцидента приехали специалисты, воспользовались SIEM-системой, всё обнаружили, всё устранили, я хочу так же». Мне это очень нравится: заказчики уже увидели эффективность работы системы и тебе нет необходимости объяснять.

Также на конференциях мы постоянно доносим информацию, что SIEM — это не требование законодательства, это — ваша потребность, необходимость. SIEM реализует функции других решений. Расскажу случай из своей практики. Ко мне пришёл один заказчик и говорит: «Мы не хотим продлевать одно дорогое американское решение другого класса. Можете реализовать одну, две, три, четыре функции?» Я ему отвечаю: «Ну, в принципе, можем. За два-три месяца мы эти функции реализуем». Отработка системы — это просто тяжёлые правила корреляции, небольшая кастомизация. Он говорит: «О, хорошо. А то у нас на продление 30 миллионов заложено». Мне стало неудобно, что я заказчику предлагаю решение стоимостью на порядок ниже, говорю: «Вы мне хоть за кастомизацию доплатите?» Шутки шутками, но на самом деле многие задачи SIEM умеет решать без необходимости использования решений другого класса.

Как я понимаю, здесь очень многое решает уровень экспертизы, которую предоставляет вендор «из коробки»: как раз те самые правила корреляции, предустановленные политики. Насколько здесь ощущается развитие экспертности именно российских продуктов за последние год-два и куда это будет развиваться дальше?

М. С.: Я могу говорить о своей компании. Наша экспертиза в этом направлении очень выросла. В следующем году ожидаем колоссальный рост именно правил корреляции «из коробки». Но принципиального упора в эту сторону мы не делаем: мы придерживаемся того, что сколько правил корреляции ни пиши, всегда появится не тысячное, а тысяча первое исключение. Нужно смотреть в сторону машинного обучения: выявление аномалий, «свой-чужой» и прочее. В этом направлении мы двигаемся, и наша ставка в следующем году будет именно на это.

Машинное обучение — очень перспективная вещь. Но у неё немало и противников. Многие убеждены, что там много ошибок, что это не работает и вообще не нужно. Но я думаю, что здесь время всё расставит на свои места.

М. С.: Абсолютно точно. Я могу лишь сказать, что некоторые алгоритмы уже работают с высокой долей вероятности, некоторые техники у нас уже эксплуатируются, и заказчики довольны.

В ближайшие 10 лет, по моему мнению, машинное обучение не заменит даже банальный человеческий взгляд.

Но огромное количество запрограммированных технологий будет реализовываться в рамках SIEM с использованием технологий машинного обучения, будь то DGA (Domain Generation Algorithms, автогенерация доменных имён. — Прим. ред.), автопарсер или ещё что-то. Мы говорим о временном периоде в несколько месяцев. Это уже реальность. К чему это приведёт? Я могу сказать, к чему хочу прийти я: к тому, что я буду выявлять чужого. И как совладелец компании я могу говорить о том, что это моё требование — чтобы система выявляла чужого.

Мы сказали, что в сторону SIEM смотрят и небольшие компании. Но ведь в силу объёмов и масштабов такого рода алгоритмы начинают хорошо работать всё-таки в крупной инфраструктуре. Получит ли малый бизнес от этого какую-то выгоду или для него пока всё это работать не будет?

М. С.: Для малого бизнеса это просто начнёт работать чуть позднее. Мы в среднем рекомендуем две недели обогащения — вырабатывания моделей. Две недели — это средняя цифра. Чем крупнее компания, тем меньше цифра, чем меньше компания — тем цифра выше. Но всё равно — месяц. Что такое месяц при построении системы безопасности?

И всё же на волне импортозамещения, о котором мы говорили, в России сейчас создаётся такое впечатление, будто каждый местный производитель средств ИБ или начал разрабатывать, или уже выпустил свою собственную SIEM-систему. Вас как совладельца не беспокоит тот факт, что все стремятся откусить от этого пирога?

М. С.: В 2014 году мне при оценке того, сколько потребуется на разработку системы, назвали одну сумму. Для того чтобы система стала хорошей, качественной и продавалась на рынке, я потратил даже не в 10 раз больше. И это у меня заняло не один и не два года, это заняло пять-шесть лет. Если бы это было так просто, решений были бы десятки.

Может быть, сейчас мы к этому приближаемся, но тут я вспоминаю один из любимых анекдотов по поводу искусственного интеллекта: машинное обучение пишется на Python, а искусственный интеллект — в PowerPoint. Здесь точно так же: никто не мешает анонсировать, что вышла новая SIEM-система и её можно купить. Потом начинаешь задавать вопросы: а на какой операционной системе? А какая у вас база данных? И ответа не получаешь.

Мы хорошо понимаем, что есть определённая болезнь, через которую многие будут проходить и которую мы, например, уже прошли — это «болезнь детства». Производительность, работа корреляции, распределённая корреляция, мультиарендность и прочее — этих пунктов даже не десятки, а сотни. И некоторые решения, с которыми я знаком, имеют неправильную архитектуру. Например, какая высокопроизводительная SIEM-система может быть на базе данных SQL? Как SIEM-система может быть на Windows? Мы всем говорим: вот когда вы столкнётесь с 10 000 событий в секунду, когда вам нужно будет расти дальше, — приходите, поговорим, насколько это просто. Понадобятся собственная шина и сотни других моментов.

Поэтому я спокоен насчёт влияния очередного SIEM-решения. Кто-то продвинется за счёт административных ресурсов, кто-то за счёт маркетинга. Но мне жаль клиентов ...

... которые будут всё это тестировать и терять время?

М. С.: Мне больше даже жаль тех инженеров, которые будут заниматься сопровождением. Я не говорю, что моя система идеальна, идеальной системы не существует, иначе все остальные просто исчезли бы с рынка. Мы уже обнаружили у себя большое количество проблем, решили их и развиваемся дальше. У нас дорожная карта. А разрабатывать систему «на хайпе» — это неправильно.

Но здесь можно то же самое сказать и по отношению к западным продуктам, только наоборот. Помните, ещё несколько лет назад представители западных вендоров с усмешкой смотрели в сторону российских производителей SIEM? Сейчас оказывается, что местные производители уже «отъели» у западных значительную долю рынка. Насколько велико на данный момент отставание российских систем, в том числе RuSIEM, от западных продуктов? Или сегодня вам уже совершенно не стыдно разговаривать с заказчиками о равном выборе между RuSIEM и двумя-тремя топовыми решениями из квадранта Gartner?

М. С.: В связи с этим я вспомню показательную историю со Splunk. Начнём с того, что Splunk — это изначально не решение класса SIEM. Очень хорошее решение, очень качественное, соревноваться с ним было тяжело. Но то, что они сделали, показывает риск от эксплуатации их продукта.

Есть и другие очень хорошие решения, например американских производителей. Стыдно? Нет, не стыдно. Но почему им проще? Такой пример. Вы себе какую машину купите? Даже если вам 10 лет будут говорить, что российский «АвтоВАЗ» стал хорошим?

Я лично помню, как одно время хотел Audi. И когда я покупал себе машину и мог купить то, что хочу, я брал Audi. Думаете, я смотрел на функциональность? Я просто хотел взять Audi.

Купить продукт того производителя, о котором ты слышал, — наверное, через это все должны пройти.

Но тут есть другой момент. Тем, кто уже попробовал и привык к одному решению, довольно сложно перейти с него на другое. У каждого свой синтаксис, свои правила работы, а у тебя появляются свои наработки и опыт.

Поэтому мы очень хорошо понимаем, что у нас есть люди, которые хотят покататься на Audi, есть те, кто покатался на BMW, привык к заднему приводу и теперь не хочет ездить на переднем. И есть те, которые ещё ни на чём не катались; там попроще, а в остальных случаях приходится объяснять. Импортозамещение помогает. Но всё равно менталитет изменить сложно, и существует установка, будто российские решения по определению хуже.

Причём эта общая установка относится к широкому спектру продуктов: и машин, и устройств.

М. С.: Я приведу ещё один пример. Я пять лет жил в Уфе, в Башкирии. Чем известна Башкирия? Правильно, мёдом. И те, кто знают, что такое башкирский мёд, правильно к нему относятся. Но я столкнулся с людьми, которые сказали: «Российский мёд? А что, в России мёд производят?» Даже если башкирский мёд будет считаться лучшим в мире, всё равно найдутся люди, которые будут считать, что ничего хорошего в России не бывает.

Сейчас ещё много говорят о том, что у нас, на рынке ИБ, слишком много дублирующихся продуктов: и SIEM-систем, и файрволов, и EDR, и так далее. Звучат вопросы о том, зачем нам так много, и предлагается на законодательном уровне принять решение о том, чтобы была одна SIEM-система, один EDR, один антивирус, а их развитие финансировалось бы из государственного бюджета в рамках своеобразной псевдоплановой экономики. Как вы относитесь к такому предложению?

М. С.: Человек, который это говорит, однозначно против России. Помните, у нас были требования касающиеся государственной тайны, персональных данных, конфиденциальности, государственных систем? Приходилось выполнять очень много работы по шифрованию каналов связи. При этом использовался шифратор третьего уровня, больше не надо было. Четвёртый — это идеал, прямо потолок. И к чему мы пришли ещё года два-три назад? В России за 20–30 лет появились шифраторы четвёртого уровня. То есть мы работаем максимум на четвёртом уровне модели OSI. Где NGFW? Где WAF? Где всё то прочее, что есть на всём международном рынке? Этого нет. Почему? А у нас не было потребности, не было конкуренции. Было сказано: «Нужно вот это», — и оно было реализовано. Всего три-четыре решения, больше нам не надо. Весь рынок был поделён между этими игроками. Конкуренции, повторюсь, практически нет: в образовании у тебя один класс решений, в налоговой — другой. И при этом они ещё и несовместимы между собой.

Теперь возьмём антивирус. Я ничего не имею против Kaspersky, их экосистема растёт. А вот если взять Dr. Web, много ли у них новых продуктов появилось? Они как-то «законсервировались». Но если бы не было ФАС, которая запрещает Kaspersky захватить 100 процентов рынка, наверное, компании «Доктор Веб» было бы ещё тяжелее.

Если мы ограничим конкуренцию, мы окажемся в каменном веке, наши продукты будут всё сильнее отставать.

Я сторонник того, что те же самые гранты — господдержку и прочее — категорически не должны получать крупные игроки. У нас стартапам очень сложно получить грант на нормальную денежную сумму. Я могу сказать по себе. У меня при подаче на последний грант три или четыре человека на протяжении четырёх месяцев готовили заявку. Кто себе это может позволить? А ответственность, которая при этом прописывается? Получают грант, например, на 50 миллионов рублей. На какую сумму ты должен продать? А если не продашь, то что? Возврат денежных средств или субсидиарная ответственность? И многие ли на это пойдут?

Благо, сейчас поменялось настроение инвесторов. Коммерческие инвесторы обнаружили, что информационная безопасность — это «хайп», и начали с готовностью в неё вкладываться, при этом забирая себе долю компании. А так, чтобы без доли компании, — где найти инвестора, который придёт, тебя продвинет, поможет? Поэтому я против грантов в пользу крупных игроков.

Я за получение грантов именно маленькими игроками, но с жёстким контролем, чтобы деньги не уходили на смузи, коворкинги и прочее.

Мне кажется, во многом именно из-за этого мы сейчас имеем такую ситуацию, что российских стартапов в ИБ, в общем-то, практически и нет. Начнёшь считать — может быть, от силы пять насчитаешь. Все остальные, которые выдают себя за стартапы, — им уже лет по 10 всем.

М. С.: Мы проводили свой небольшой «акселератор» — стартап-день. Приглашали представителей стартапов, их было около 100. В результате идеи некоторых команд мы взяли и сейчас развиваем, поддерживаем и продвигаем их. Анонсировать их я буду уже в следующем году. То есть в этом году — без крупных заявлений, но в следующем они будут. С кем-то мы совместно двигаемся, чьи-то продукты мы полностью продаём через наши каналы.

Но я был больше удивлён тем, что те компании, которые я знаю уже более пяти лет, приходят ко мне как к инвестору в качестве стартапов. На отраслевых конференциях они выступают и рассказывают, какие они крутые и всемогущие, а начинаешь задавать вопросы — и понимаешь, что в действительности они ещё стартапы, у них нет реализованных проектов. Спрашиваешь: «А в чём мой интерес?» В конце концов, мы все живём по принципу «чем это мне выгодно».

Я могу сказать, что чего-то добился в сфере информационной безопасности. Если я смотрю на стартапы, я оцениваю их с двух сторон. Во-первых, с точки зрения развития экосистемы вокруг тех комплементарных продуктов, которые расширят функциональность моего решения. Во-вторых — как нечто, что позволит мне вести «пенсионный образ жизни», то есть жить на пассивный доход. А пассивный доход — это или доля, или дистрибуция, или что-то ещё подобное.

Словом, если люди, которые на рынке уже пять-семь лет, не могут мне сказать, в чём мой интерес, то я теперь понимаю, почему за пять-семь лет их решение никто не купил.

Раз уж мы заговорили об экосистеме, хотел спросить вот о чём. RuSIEM воспринимается на рынке всё-таки как монопродуктовая компания. Планируется ли выход за рамки SIEM-рынка за счёт наращивания смежных компетенций, появления смежных продуктов, и если да, то можно ли об этом рассказать подробнее?

М. С.: Как минимум два комплементарных решения я буду анонсировать в первом квартале следующего года. Может быть, три. Больше мы не успеем. Таким образом, мы сделаем анонс двух-трёх продуктов, которые будут продаваться и как отдельные модули к нашему продукту, и в качестве независимых решений.

Это очень интересно! Но всё же, с вашей точки зрения, действительно ли SIEM-система — это по-прежнему центральный элемент системы безопасности, который для большинства компаний остаётся базовым элементом системы ИБ?

М. С.: Я это всегда называю «головным мозгом». Если это — головной мозг, нам, конечно, ещё нужны спинной и прочие органы. Головной мозг у меня есть. Спинной мозг, надеюсь, я анонсирую в первом квартале 2022 года. А до полного «тела» мы дорастём рано или поздно. Хочется верить, что раньше, а не позже.

Вероятно, в следующем году мы увидим на российском рынке весьма жёсткое обострение конкуренции. К этому есть целый ряд предпосылок. Возможно, одним из последствий этой ситуации станет укрупнение, консолидация рынка. Как вы считаете, на данном этапе это — очевидный тренд или раннее предположение?

М. С.: Скорее мы увидим ситуацию, когда в информационную безопасность будут входить крупные игроки. StaffCop был куплен недавно, «Фактор-ТС» — тоже. Я знаю ещё как минимум о трёх-четырёх других покупках и уверен, что их будет ещё больше. Люди пытаются войти в вендорский рынок, потому что в отличие от схлопывающихся он, во-первых, — перспективный, растущий. А во-вторых, пока ещё можно попробовать выйти за пределы России, постараться попасть в тренд и успеть сделать это.

Те же самые сервисные модели уже становятся не столь интересными, если иметь в виду классический сервис: работа, внедрение и заказные разработки. Народ оттуда уходит. Не говоря уже о классическом, не айтишном бизнесе, в котором маржинальность ещё ниже. Оттуда инвесторы приходят со своими деньгами к нам.

Действительно, возможно, развитие здесь пойдёт именно по этому сценарию. И напоследок — к вопросу о выходе за рубеж. Есть ли сейчас реальные перспективы для российских SIEM за рубежом или из-за геополитических сложностей окно возможностей прикрылось?

М. С.: Окно прикрылось фактически только в США и Европе. Мы говорим о небольшом количестве стран НАТО, а остальное всё открыто: Юго-Восточная Азия, Ближний Восток, Африка, Южная Америка. Я не скажу, что именно нас там ждут, — нас они ждут так же, как всех остальных. В то же время такие страны, как Венесуэла, Сирия, Иран и прочие, ждут нас однозначно.

И здесь для вашей компании тоже есть определённые перспективы?

М. С.: Не только для моей, вообще для российских компаний. Взять для примера ту же Африку. Африка сейчас — это зона влияния российских и китайских организаций. Впереди всех идёт «Росатом», затем «Ростех» и другие: иди вместе с ними, пользуйся их каналом. В странах Южной Африки Россия сейчас делает большие инвестиционные проекты. Рынки, возможно, не такие большие, как Индия, Китай или Америка, но всё же они довольно существенны.

Мы же по-прежнему ищем стартапы с предложениями о сотрудничестве. Искали и постоянно ищем.

В общем, если есть перспективные идеи для стартапов в области ИБ, то это к вам?

М. С.: Да, у нас даже специальная страничка для этого есть. Ждём. Принимаем. Обеими руками «за». Поможем, продвинем. И полигонные площадки предоставим, и найдём заказчиков, и, может быть, глубоко интегрируемся. Возможны любые варианты, потому что нам это интересно — причём и на уровне идеи, а не только уже реализованного продукта. Идеи есть — приходите, проверим их на реализуемость.

На этой позитивной ноте позвольте поблагодарить за насыщенную беседу. Желаю успехов!