Что такое SIEM и зачем она бизнесу: простыми словами и на цифрах

Мониторинг и SOC · 17.09.2026 · обновлено 13.10.2026 · 14 мин чтения · Команда НПП РЕКОРД

Антивирус защищает одну машину, файрвол фильтрует трафик на периметре — но кто видит всю картину целиком, когда атака собирается из разрозненных событий в десятке систем? Это работа SIEM. Разбираем на цифрах и без маркетинга: что такое SIEM, как она работает, чем отличается от SOAR и XDR, когда нужна по требованиям регуляторов и какие российские решения есть на замену западным.

Коротко. SIEM — система, которая собирает логи со всех IT-систем, сопоставляет события и сигнализирует о признаках атаки, которые по отдельности не видит ни антивирус, ни файрвол. Сама она не реагирует: для автоматизации нужен SOAR, а для круглосуточного разбора тревог — люди в SOC. SIEM обязательна для субъектов КИИ, финсектора и госинформсистем. В России больше 80% рынка у MaxPatrol SIEM и KUMA. Среднему бизнесу обычно выгоднее получать SIEM как часть услуги мониторинга, а не покупать «в коробке».

Число успешных кибератак на российские организации растёт двузначными темпами, а средний мировой ущерб от утечки данных достиг 4,44 млн долларов (IBM Cost of a Data Breach, 2025). При этом отдельные средства защиты — антивирус, файрвол, VPN — каждое видит только свой участок. Атака же обычно собирается из цепочки мелких событий в разных системах: вход по VPN ночью, отключение антивируса, создание новой учётки с правами админа, выгрузка из базы. По отдельности — ничего криминального; вместе — взлом. Увидеть эту цепочку целиком и есть задача SIEM. Разберём без маркетинга, что это, как работает и когда действительно нужно.

SIEM собирает события со всех систем в одну точку, сопоставляет их между собой и подсвечивает атаку по связке разрозненных сигналов

• 4,44 млн $ — средний ущерб от утечки в мире (IBM, 2025)
• 212 тыс. $ — экономия на инцидент при внедрении SIEM (IBM, 2025)
• 241 день — средний срок обнаружения и сдерживания (IBM, 2025)
• > 80% — рынка SIEM РФ у MaxPatrol SIEM и KUMA (Anti-Malware.ru)

Источник: IBM Cost of a Data Breach 2025, Positive Technologies 2025, Anti-Malware.ru 2024–2025

Что такое SIEM простыми словами

SIEM расшифровывается как Security Information and Event Management — «управление информацией и событиями безопасности». Если совсем просто: это система, которая собирает логи и события со всех ваших ИТ-систем в одном месте, сопоставляет их между собой и сигнализирует о признаках атаки. Она не лечит заражённую машину и не блокирует трафик — этим занимаются антивирус и файрвол. Задача SIEM другая: видеть всю картину целиком и находить атаку по связке событий, которую по отдельности не замечает ни одно средство защиты.

Хорошая аналогия — служба безопасности большого здания. Отдельные камеры, турникеты и датчики — это антивирусы и файрволы на местах. А SIEM — это пультовая, куда сходятся все сигналы разом: оператор видит, что человек прошёл турникет ночью, затем открыл серверную, затем сработал датчик движения там, где никого не должно быть. Каждое событие в отдельности — норма, вместе — инцидент.

Как работает SIEM: конвейер из семи шагов

1. Сбор событий — коннекторы и агенты забирают логи со всех источников: серверы, Active Directory, сетевое оборудование, антивирусы и EDR, файрволы, приложения, облака.
2. Нормализация — разноформатные логи приводятся к единой схеме, чтобы их можно было сравнивать между собой.
3. Корреляция — события сопоставляются по правилам: «если произошло A, а затем B в течение N минут — это инцидент».
4. Детектирование — срабатывают правила, сигнатуры и поведенческая аналитика (отклонение от нормального поведения).
5. Оповещение — аналитик получает тревогу с приоритетом.
6. Дашборды и отчёты — в том числе готовые формы для регуляторов.
7. Хранение (ретенция) — логи хранятся для расследований и комплаенса, часто 6–12 месяцев.

Важно понимать: SIEM работает на информационном уровне — она уведомляет, но сама не реагирует. Чтобы автоматически запускать сценарии реагирования (заблокировать учётку, изолировать хост), нужен отдельный класс систем — SOAR. А чтобы тревоги кто-то разбирал круглосуточно, нужны люди — то есть SOC, внутри которого SIEM и живёт.

SIEM, SOAR, XDR, IDS/IPS — чем отличаются

Вокруг SIEM много похожих аббревиатур, и их постоянно путают. Разница — в том, что каждый класс делает и где работает.

Источник: обобщение: Selectel, вендорская документация, 2025

Что SIEM реально ловит: типовые сценарии

Ценность SIEM — в правилах корреляции (use cases), которые описывают подозрительные цепочки. Базовый набор, который закрывает большую часть типовых атак:

• Брутфорс и подбор пароля — много неудачных попыток входа за короткое время.
• Аномальный вход — новая страна или устройство, «невозможное перемещение» между городами, вход в нерабочее время.
• Эксфильтрация данных — аномально большой исходящий трафик или массовая выгрузка из базы.
• Активность вредоноса — события с EDR в связке с сетевыми аномалиями.
• Отключение средств защиты, эскалация привилегий, создание новых учёток с админ-правами.

Зачем это среднему бизнесу и что требуют регуляторы

Помимо здравого смысла, есть прямые требования закона. Там, где они действуют, централизованный сбор и корреляция событий фактически обязательны — без них требования просто не выполнить.

• 187-ФЗ «О безопасности КИИ» (26.07.2017) — субъекты критической инфраструктуры обязаны выявлять инциденты и взаимодействовать с ГосСОПКА (НКЦКИ).
• Финсектор — 161-ФЗ и требования Банка России (ГОСТ Р 57580) по мониторингу инцидентов.
• Госинформсистемы — приказ ФСТЭК № 17; персональные данные — 152-ФЗ.

Практический вывод: если вы субъект КИИ, работаете с ГИС или под регулированием ЦБ — SIEM нужна обязательно. Если формальных требований нет, но вы уже не видите картину целиком своими антивирусами и файрволами, — SIEM превращает разрозненные логи в понятные тревоги.

Важно. SIEM — не «поставил и работает». Это дорогая лицензия (часто с тарификацией по объёму событий, EPS — events per second), долгое внедрение и потребность в экспертах, которые пишут и поддерживают правила корреляции. Плохо настроенная SIEM тонет в ложных срабатываниях. Именно поэтому средний бизнес чаще берёт SIEM не «в коробке», а как часть услуги мониторинга.

Российские SIEM: чем заменить западные

После ухода Splunk, IBM QRadar и Microsoft Sentinel с российского рынка импортозамещение в этом классе идёт быстро, а решения сертифицированы ФСТЭК и внесены в реестр отечественного ПО.

Ориентировочные доли рынка SIEM в России

• MaxPatrol SIEM + KUMA (суммарно): > 80%
• RuSIEM, Security Vision, Ankey, KOMRAD и др.: < 20%

Источник: Anti-Malware.ru / iKS-Consulting, 2024–2025 (оценка)

• MaxPatrol SIEM (Positive Technologies) — лидер рынка РФ по числу внедрений, сертификат ФСТЭК.
• KUMA (Kaspersky Unified Monitoring and Analysis) — второе место на рынке, сертификат ФСТЭК.
• RuSIEM — в реестре отечественного ПО, сертификат ФСТЭК.
• Security Vision, Ankey SIEM NG, KOMRAD Enterprise SIEM — также присутствуют в сравнениях.
• Wazuh — open-source вариант для базового сбора и детектирования, когда бюджета на коммерческую лицензию нет.

SIEM или SOC: что выбирать

Частая ошибка — думать, что достаточно купить SIEM, и безопасность «закрыта». SIEM без людей — это поток тревог, который некому разбирать в три часа ночи. SIEM раскрывается только внутри SOC — центра мониторинга, где аналитики круглосуточно разбирают инциденты и реагируют. Про то, нужен ли среднему бизнесу свой SOC или выгоднее подключить его как услугу, у нас есть отдельный разбор.

Совет. Среднему бизнесу почти никогда не выгодно покупать SIEM «в коробку» и нанимать под неё штат. Разумнее подключить мониторинг как услугу: SIEM, правила и аналитики уже на стороне провайдера, а вы платите за результат — обнаружение и реагирование по SLA.

Как это работает у нас

1. Подключаем источники — заводим в SIEM логи с ключевых систем: серверы, AD, сеть, средства защиты, приложения.
2. Настраиваем сценарии детектирования под ваши риски и требования регуляторов.
3. Ведём мониторинг 24/7 — аналитики разбирают тревоги, отсеивают шум, эскалируют реальные инциденты.
4. Отчитываемся и помогаем реагировать — фиксируем метрики, готовим отчёты, при необходимости взаимодействуем с ГосСОПКА.

SIEM не заменяет антивирус и файрвол — она собирает их сигналы в одну картину и показывает то, что по отдельности не видит никто. А ценность этой картины появляется тогда, когда на неё круглосуточно смотрят люди.

Если коротко: SIEM — это нервная система вашей безопасности, а SOC — мозг, который на её сигналы реагирует. Для среднего бизнеса оптимально получить и то, и другое как услугу — без миллионных капзатрат и найма дефицитных специалистов. Хотите понять, что творится в вашей инфраструктуре прямо сейчас, — начните с подключения мониторинга на ключевые системы.

Теги: SIEM, мониторинг, ИБ, логи, корреляция, SOC, импортозамещение