Security Vision SIEM: тишина в журналах опаснее тысячи алертов

Знаменитый инцидент с утечкой данных в Target в ноябре 2013 года ярко продемонстрировал критический недостаток: передовая технология сработала безупречно, но человеческие процессы оказались неэффективными. Система FireEye стоимостью 1,6 миллиона долларов успешно обнаружила вредоносное ПО на кассовых терминалах Target, генерируя многочисленные предупреждения и даже указывая на промежуточные серверы, куда уходили данные. Дежурная смена в Бангалоре своевременно получила эти сигналы и передала их в Миннеаполис. Однако дальнейших действий не последовало. Месяц спустя Target признала масштабную утечку информации, затронувшую 40 миллионов платежных карт и персональные данные 70 миллионов человек, а прямые убытки превысили 200 миллионов долларов. Выяснилось, что функция автоматического удаления вредоносного ПО была отключена вручную. Таким образом, технология выполнила свою задачу, но процесс оказался провален.

С тех пор многое изменилось, но ключевая проблема осталась прежней. По данным Vectra AI за 2026 год, средняя организация ежедневно получает 2992 предупреждения, из которых 63% остаются без рассмотрения. Отчет Microsoft и Omdia за тот же год дополняет картину: почти половина (46%) всех алертов оказываются ложными срабатываниями. В опросе SANS 2025 года 73% команд назвали ложные срабатывания главной проблемой обнаружения. При этом аналитику приходится работать в среднем с 10,9 консолями, что свидетельствует о фрагментированном и неэффективном рабочем процессе.

Отсюда вытекает простая, но важная мысль: сбор журналов событий не представляет особой сложности или дороговизны. Значительно труднее превратить эти журналы в управляемый процесс, обеспечивающий прозрачность качества данных, эффективность обнаружения угроз и полный путь расследования инцидентов.

Возможности Security Vision SIEM

Продукт Security Vision SIEM разработан на российской Low-Code/No-Code-платформе Security Vision 5. Он объединяет в себе функции сбора и нормализации событий, контроля качества данных, выявления атак, расследования и базового реагирования. Заказчики получают не просто программное обеспечение, требующее обширной настройки, а готовое экспертное решение для SOC. Система включает более 1200 правил корреляции, покрытие свыше 70% техник MITRE ATT&CK, сопоставление с методами реализации угроз из БДУ ФСТЭК и подробные рекомендации по обработке инцидентов.

Июльское обновление 2026 года расширило функционал, добавив мониторинг стабильности сбора и качества правил, контроль SLA аналитиков SOC, статистическое выявление аномального поведения, тестирование правил, возможность обмена детектами в формате Sigma и ретроспективное построение цепочек процессов в рамках инцидента. Далее мы подробно рассмотрим, как каждая из этих функций помогает специалисту в его повседневной работе.

Ключевые факторы эффективности SIEM: три критических уровня

Результативность работы SIEM-системы базируется на трех основных компонентах: полноте собираемых данных, качестве детектирования угроз и скорости реагирования на инциденты. Провал в любом из этих звеньев сводит на нет все усилия остальных.

Уровень первый: Полнота данных. SOC-центр должен быть абсолютно уверен в том, что все необходимые события действительно поступают в систему. Распространенные проблемы включают остановку агентов, изменение настроек журналирования администратором, решающим другие задачи, или тихое выпадение отдельных хостов из мониторинга, когда WEC- или syslog-агрегатор продолжает сообщать, что он активен. Если система не отслеживает подобные нюансы, отсутствие данных остается незамеченным, превращаясь в критическую «слепую зону», которая не генерирует никаких предупреждений.

Уровень второй: Качество детектирования. Правила обнаружения угроз должны быть адаптированы к реальным сценариям атак, учитывать особенности инфраструктуры и правильно связывать события во времени. Простая сигнатура редко способна выявить многоэтапную атаку, особенно когда события из разных источников поступают с задержками и вперемешку.

Уровень третий: Скорость реакции. Обнаружение инцидента — это только начало работы. Аналитику необходимо оценить критичность затронутых активов, исследовать связанные процессы, учетные записи, сетевые соединения, перемещения между хостами, подтвердить инцидент и предпринять необходимые действия. Каждое ручное переключение между различными инструментами увеличивает время, которое в итоге может привести к значительным финансовым потерям, подобным упомянутым 200 миллионам долларов.

Security Vision SIEM замыкает всю цепочку управления инцидентами в единый цикл: подключение источников, проверка качества данных, выявление подозрительной активности, восстановление контекста атаки и переход к мерам реагирования.

Гибкий сбор событий в распределённых инфраструктурах

События собираются как удаленно, так и с помощью агентов, предлагая несколько моделей подключения:

• Удаленный сбор по WMI, Remote PowerShell, Syslog и другим протоколам.
• Управляемые агенты, связь с которыми инициируется сервером.
• Автономные агенты, которые самостоятельно устанавливают соединение и досылают накопленные данные после восстановления доступа к корпоративной сети.
• Сбор через один или несколько промежуточных сервисов-коннекторов для изолированных и сегментированных сетевых контуров.

Автономный агент функционирует по принципу курьера в отдаленной местности: при отсутствии связи данные накапливаются, а при ее появлении — отправляются. Это гарантирует отсутствие потерь информации.

Готовые профили и задачи сбора позволяют эффективно переиспользовать настройки и оперативно подключать новые источники. Поддерживаются Windows и Linux, сетевое оборудование, средства защиты, веб-серверы, базы данных, платформы виртуализации, Kubernetes, 1С и многие другие. Всего реализовано более 150 интеграций, а встроенный конструктор дает возможность создавать новые коннекторы без необходимости классической разработки.

Установка, обновление и настройка агентов, включая параметры журналирования на конечных хостах, выполняются непосредственно из интерфейса SIEM. Это избавляет администраторов от необходимости использовать отдельные инструменты, что значительно упрощает работу.

Для оптимизации затрат на хранение данных, для разных типов событий можно устанавливать индивидуальные сроки хранения. Там, где полный архив не требуется, сохраняются только события, участвующие в корреляции. Это позволяет управлять нагрузкой на инфраструктуру и стоимостью хранения, делая их контролируемыми параметрами, а не постоянной статьей расходов на диски.

Прозрачность данных: когда отсутствие информации опаснее тревоги

Ключевая особенность продукта заключается в контроле не только поступающих данных, но и качества самого процесса их сбора.

Интерактивный граф потоков наглядно показывает, через какие узлы проходят события и какой объем передает каждый источник. Детализация достигает конечных хостов, даже если журналы централизованно поступают через инфраструктуру WEF/WEC или syslog-агрегаторы. Администратор видит не только статус агрегатора, но и состояние конкретных систем, находящихся за ним.

Для каждого источника можно настроить индивидуальный профиль мониторинга: допустимое время тишины, пороги отклонения потока от обычных значений, контроль полноты журналирования и способы уведомления ответственных. Специализированный дашборд предоставляет полную картину на одном экране, отображая активность источников, объемы событий, проблемные хосты и узлы доставки.

Падение потока, аномальный всплеск или полное отсутствие данных перестают быть скрытой проблемой и становятся наблюдаемыми событиями. Механизм мониторинга стабильности сбора, добавленный в обновление от 15 июня 2026 года, помогает быстрее выявлять неисправные агенты, измененные настройки и другие источники «слепых зон».

Важно отметить одно ограничение: никакой мониторинг сбора не может сообщить, какие события источник в принципе не умеет генерировать. Если на хосте не включен необходимый аудит, SIEM увидит стабильный поток и отобразит "зеленый" статус. Полнота журналирования зависит от человеческой настройки, и эта часть работы пока не поддается автоматизации.

Нормализация данных без программирования

Данные из различных систем поступают в разных форматах, структурах и с различными трактовками таких элементов, как "имя пользователя". До передачи в аналитику Security Vision SIEM нормализует эти события, приводя сведения о пользователях, хостах, IP-адресах, процессах и сетевых соединениях к единой модели. Обработка осуществляется на узлах сбора, что позволяет распределить нагрузку по всей инфраструктуре, а не концентрировать ее на центральном сервере.

Для популярных источников схемы нормализации доступны «из коробки». Нетиповые источники подключаются через No-Code-редактор коннекторов, который поддерживает форматы JSON, текст с разделителями, структуры «ключ-значение» и другие, а также позволяет использовать переменные, вычисления и обогащение данных в реальном времени.

Принцип No-Code не ограничивается только интеграциями. Используя визуальные конструкторы, специалисты заказчика могут самостоятельно создавать правила корреляции, карточки инцидентов, рабочие процессы, дашборды и отчеты. Это снижает зависимость от разработчиков и повышает скорость адаптации системы. Важно понимать, что конструктор не заменяет глубокого понимания того, что именно вы хотите детектировать, он лишь устраняет лишний барьер между идеей и ее реализацией.

Встроенная экспертиза и мощный корреляционный движок

Более 1200 правил корреляции обеспечивают покрытие свыше 70% техник MITRE ATT&CK. Правила систематизированы по источникам и тактикам, сопоставлены с техниками матрицы и методами реализации угроз из БДУ ФСТЭК. К создаваемым инцидентам прилагаются экспертные рекомендации по реагированию.

Стоит отдельно отметить динамичность процентов покрытия, поскольку эта цифра постоянно меняется. Например, в апреле 2026 года вышла версия ATT&CK v19, в которой корпоративная матрица расширилась до 15 тактик, 222 техник и 475 подтехник, а тактика «Defense Evasion» была разделена на «Stealth» и «Defense Impairment». Матрица обновляется дважды в год, поэтому покрытие в SIEM требует постоянного доведения до актуального состояния. Любой производитель, заявляющий о «вечных» процентах, немного лукавит.

Готовый контент позволяет начать обнаружение как распространенных, так и сложных сценариев угроз без многомесячной самостоятельной разработки. При этом пользователи могут изменять существующие правила и создавать собственные в графическом редакторе. Движок корреляции поддерживает многоуровневую вложенность фильтров и логических блоков, последовательности событий, операторы «И» и «ИЛИ», а также обязательные, опциональные и отрицающие условия. Особо поддерживаются сценарии, когда отсутствие ожидаемого события является сигналом, а также синхронизация времени с восстановлением порядка событий, если они пришли вразнобой.

Правила можно тестировать непосредственно в редакторе на подготовленном наборе событий, а затем запускать по историческим данным. Ретроспективный поиск помогает оценить изменения до реального запуска и обнаружить следы атак, которые могли быть пропущены ранее. Если появляется новая гипотеза, свежий индикатор компрометации (IOC) или сторонний детект, их можно быстро применить к архиву. Релиз от 15 июля 2026 года добавил импорт и экспорт правил в YAML-формате Sigma с автоматической проверкой кода, что значительно упростило перенос детектов из других систем или использование общедоступного контента. Тогда же появился дашборд качества правил, отображающий статистику срабатываний, долю ложных срабатываний, стабильность и эффективность детектов — незаменимый инструмент для определения, какие из сотен правил действительно работают, а какие просто генерируют информационный шум.

Выявление аномалий и интеллектуальная приоритизация

Правила корреляции остаются основой, однако не всю подозрительную активность можно описать заранее фиксированными условиями. Поэтому корреляция дополняется статистическим анализом и моделями машинного обучения.

Сервис StatAnalyser выявляет отклонения и нетипичное поведение активов: странную активность пользователя, аномальный объем трафика, редкие действия, смещения относительно нормального профиля. Инциденты, созданные статистическими правилами, помечаются отдельным маркером, чтобы аналитик сразу понимал характер срабатывания.

Далее подключаются модели, которые оценивают вероятность ложного срабатывания на основе ранее закрытых инцидентов, рассчитывают критичность с учетом масштабности, контекста алертов и значимости затронутых активов. Они также находят похожие текущие и исторические случаи, выявляют подозрительные командные строки и нетипичные цепочки родительских и дочерних процессов.

Результаты этих анализов отображаются непосредственно в карточке инцидента. Это позволяет аналитику быстрее отделять "шум" от значимых угроз, эффективно расставлять приоритеты и использовать коллективный опыт команды, вместо того чтобы полагаться исключительно на собственную память о подобных инцидентах.

Контекст активов и полная цепочка процессов

В состав продукта входит полноценный модуль управления активами. Он сканирует и идентифицирует хосты и сервисы, ведет инвентаризацию, управляет группами, ролями и критичностью, а также строит ресурсно-сервисную модель. Благодаря этому аналитик видит не безликий IP-адрес, а конкретный актив с его сегментом, ролью, связями и бизнес-значением. Маршруты достижимости, построенные на основе таблиц маршрутизации и ACL, показывают, может ли злоумышленник получить доступ к критическим системам и где лучше всего сработает точка изоляции. Разница между "сработало на 10.0.4.17" и "сработало на контроллере домена, за которым работает бухгалтерия" очевидна.

При расследовании сложной атаки специалист обычно вручную выискивает связанные процессы, сессии, учетные записи и перемещения между хостами. Июньское обновление 2026 года принесло в карточку инцидента отдельный раздел для построения цепочки процессов. Система делает дополнительные запросы к хранилищу и ретроспективно восстанавливает родительские процессы, пользовательские и сетевые сессии, а также переходы с других хостов. Это позволяет отследить путь от обнаруженного последствия к предшествующим действиям и связанным узлам: откуда возникла сессия, какие команды выполнялись, как происходило горизонтальное перемещение, и кого еще затронула атака.

Единый центр расследований без переключений

Карточка инцидента объединяет в одном месте всю необходимую информацию: исходные алерты и события, затронутые активы и найденные артефакты, маппинг на MITRE ATT&CK и БДУ ФСТЭК, рекомендации по реагированию, оценки моделей и похожие инциденты, сроки обработки, коммуникации и задачи. Основная цель — значительно сократить количество консолей, с которыми приходится работать аналитику (те самые 10,9).

Из карточки доступны более 100 готовых действий над хостами, учетными записями и артефактами: сбор дополнительной информации, выполнение команд, инициация изоляции узла — всё это можно сделать, не покидая SIEM. Для совместной работы предусмотрены чат, электронная почта, уведомления в мессенджерах и двусторонняя интеграция с ITSM-системами. Июньский релиз добавил дашборд контроля SLA расследования, где руководитель SOC видит сводную картину и может детализировать ее до показателей каждого аналитика. Этот инструмент, хоть и требовательный, переводит обсуждение скорости реакции из области ощущений в измеримые метрики.

Базовые действия по реагированию выполняются непосредственно в SIEM. Для организаций, которым требуется расширенная автоматизация, продукт интегрируется с Security Vision SOAR и NG SOAR. Обе системы функционируют на единой платформе, что позволяет автоматически передавать обнаруженные инциденты для обогащения, маршрутизации и реагирования по сценариям NIST или SANS.

Унифицированная платформа для комплексного SOC

Security Vision SIEM подходит для организаций различного масштаба и может быть внедрена как в централизованную, так и в распределенную инфраструктуру. Платформа Security Vision 5 предоставляет команде ИБ возможность самостоятельно развивать интеграции, правила, интерфейсы, отчеты и процессы, адаптируясь к изменяющимся угрозам и внутренним требованиям.

Конструктор визуализаций позволяет создавать собственные дашборды и отчеты с графиками, диаграммами, тепловыми картами, таблицами и показателями KPI, с возможностью автоматической выгрузки и рассылки. Технические метрики SIEM и операционные показатели SOC наконец-то отображаются на одном экране, устраняя необходимость в различных презентациях для разных совещаний.

С формальной точки зрения продукт включен в реестр российского программного обеспечения и имеет сертификат соответствия ФСТЭК России по 4 уровню доверия, заключение 8 Центра ФСБ России, сертификат Министерства обороны РФ по 2 уровню доверия (НДВ-2) и сертификат ОАЦ при Президенте Республики Беларусь.

Ключевые преимущества Security Vision SIEM

Итак, Security Vision SIEM обеспечивает полный цикл работы с событиями и инцидентами в рамках одного продукта. Это включает быстрое подключение источников с готовой нормализацией, прозрачный контроль полноты и стабильности поступления данных, более 1200 правил и широкое покрытие MITRE ATT&CK, No-Code-инструменты для интеграций, правил и аналитики, статистические и ML-модели для выявления аномалий и приоритизации, а также контекст активов, цепочки процессов и связанных сессий. Расследование, базовое реагирование и контроль SLA объединены в одной рабочей зоне, с возможностью расширения функционала продуктами Security Vision SOAR и NG SOAR.

Основное отличие эффективно управляемого SOC от простого хранилища событий кроется в практичности: управляемый SOC дает уверенность в том, что данные поступают, детекторы работают, а весь путь инцидента — от первого сигнала до реакции — полностью прослеживается. У команды Target в 2013 году были сотни специалистов по безопасности, круглосуточная смена и дорогостоящая система, которая вовремя обнаружила угрозу. Недоставало лишь одного звена: способности преобразовать сигнал в конкретное действие.