Слой сведения и реагирования
SIEM/SOAR — это слой сведения и реагирования поверх уже работающих у вас источников данных: он не заменяет средства защиты, а помогает увидеть их сигналы вместе и быстрее среагировать.
Собираем события безопасности из ваших систем в единую картину, выявляем инциденты по корреляции и автоматизируем типовые шаги реагирования — там, где вручную не успеть.
SIEM/SOAR + автоматизация реагирования
SIEM/SOAR — мониторинг событий безопасности и автоматизация реагирования
Собираем события безопасности из сети, серверов, рабочих станций, приложений и облачных сервисов в единую систему, коррелируем их и выявляем инциденты, которые не видны по отдельным логам; автоматизируем типовые шаги реагирования, чтобы команда тратила время на решения, а не на рутину.
Для руководителя коротко
Сведение сигналов в единую картину
Задача этой услуги — свести сигналы от разных систем защиты в единую картину и сократить время между появлением инцидента и началом реагирования на него, а не заменить сами средства защиты, которые эти сигналы формируют.
Обнаружение зависит от источников
SIEM/SOAR повышает видимость и скорость реагирования, но качество обнаружения ограничено качеством и полнотой данных от подключённых источников.
Когда актуально
Когда особенно актуально
Особенно актуально в следующих ситуациях.
События разбросаны по системам
Сеть, серверы, рабочие станции, приложения, облако — нет единой точки, где их видно вместе.
Много времени на ручной разбор
Команда тратит много времени на ручной разбор однотипных инцидентов.
Нужно сократить время реагирования
Нужно сократить время от появления инцидента до начала реагирования (time to respond).
Есть значимые объекты КИИ
Применимый состав мер предусматривает регистрацию событий безопасности и реагирование на инциденты.
Нужно показать системность
Подготовиться к аудиту или показать регулятору либо партнёру, что мониторинг и реагирование выстроены системно.
С чего начинаем
С чего начинаем, если инфраструктура ещё не готова
Отвечаем на типичные опасения перед стартом проекта.
Не знаете, что подключать первым?
Начинаем с инвентаризации источников событий — сеть, серверы, рабочие станции, средства защиты, приложения — и определяем приоритетные по критичности активов.
Опасаетесь потока ложных инцидентов?
Правила корреляции и сценарии реагирования настраиваются постепенно, начиная с наиболее приоритетных источников, а не сразу для всех систем.
Нет команды для круглосуточного разбора?
Можем передавать инциденты вашей команде в рабочие часы или подключить услугу проактивного мониторинга (SOC) — обсуждается отдельно.
Что важно учитывать
Качество обнаружения ограничено качеством и полнотой данных от подключённых источников — система не обнаружит то, что вообще не логируется исходными системами.
Соседние услуги
Как это соотносится с соседними услугами
Несколько услуг относятся к обнаружению угроз и реагированию, но решают разные задачи.
Разница по существу
SIEM/SOAR — платформа сведения событий и автоматизации реагирования; NDR, EDR и email security — источники сигналов для неё, каждый в своей области; SOC — команда и процесс постоянного мониторинга и реагирования, использующие SIEM/SOAR и другие средства обнаружения, анализа и расследования.
Из чего складывается
Из чего складывается SIEM/SOAR
Эти элементы не заменяют друг друга: сбор и нормализация дают данные, корреляция превращает их в обнаруженные инциденты, а автоматизация реагирования сокращает время между обнаружением и действием — это разные этапы одного процесса.
Важно понимать границы: качество обнаружения ограничено полнотой данных от источников; уровень автоматизации реагирования зависит от платформы и согласованного с заказчиком объёма — расширенные автоматические действия по умолчанию не включаются.
Сбор и нормализация. Получение логов и событий от подключённых источников — сеть, серверы, рабочие станции, приложения, облако, средства защиты, — приведение к единому формату.
Корреляция и обнаружение. Сопоставление событий из разных источников по правилам и сценариям для выявления инцидентов, не видных по отдельному источнику.
Приоритизация и контекст. Ранжирование инцидентов по критичности с обогащением контекстом — активы, связанные события, индикаторы компрометации.
Автоматизация (SOAR). Выполнение типовых шагов по playbook — обогащение, уведомление, а при согласованном объёме — ограниченные автоматические действия.
Хранение и отчётность. При поддержке платформой — хранение событий за согласованный период для расследования и подготовки отчётности, включая нормативную.
Форматы работы
Форматы работы
Можем выполнить полный цикл или отдельные этапы — в зависимости от того, что уже есть в инфраструктуре.
Инвентаризация и архитектура
Определение систем-источников событий, объёма и формата логов, приоритетов подключения.
Внедрение и настройка SIEM
Развёртывание платформы, подключение источников, первичная настройка правил корреляции.
Сценарии обнаружения и SOAR
Правила корреляции для типовых инцидентов, playbook'и автоматизации — параллельно с калибровкой под вашу инфраструктуру.
Автоматизация реагирования
Там, где это поддерживается решением и согласовано с заказчиком — от обогащения контекста до ограниченных автоматических действий.
Интеграция со средствами защиты
Подключение NDR, EDR, email security, межсетевых экранов и других систем как источников событий и точек реагирования.
Сопровождение
Донастройка правил и playbook'ов, разбор ложных срабатываний, обновление сценариев под новые техники атак.
Процесс
Как мы выстраиваем мониторинг
Прозрачный процесс позволяет понимать, что происходит на каждом этапе и какой результат он даёт.
Инвентаризируем источники.
Системы, объём и формат логов, приоритет подключения по критичности активов.
Разворачиваем платформу.
Настраиваем сбор и нормализацию от приоритетных источников; автоматические действия на начальном этапе не включаем.
Настраиваем корреляцию.
Правила для типовых инцидентов, применимых к вашей инфраструктуре, с постепенным расширением.
Разрабатываем playbook'и.
Типовые шаги для наиболее частых сценариев — от обогащения контекста до согласованных автоматических действий.
Тестируем и калибруем.
Разбор первых инцидентов и ложных срабатываний совместно с вашей командой.
Передаём в сопровождение.
Донастройка правил и playbook'ов, обновление сценариев под новые техники атак.
Что вы получаете
Что вы получаете
Результат проекта — работающая платформа мониторинга, а не просто поставленное ПО.
Настроенная платформа
Настроенную платформу сбора и корреляции событий безопасности из приоритетных источников.
Правила обнаружения
Правила обнаружения инцидентов, адаптированные под вашу инфраструктуру.
Playbook'и автоматизации
При внедрении SOAR или наличии функций платформы — playbook'и для согласованных сценариев реагирования.
Хранение событий
При поддержке платформой — хранение событий за согласованный период для расследования и отчётности.
Регламент реагирования
Регламент реагирования на инциденты и эскалации.
Особенности
Особенности и ограничения
Честно о границах технологии, чтобы ожидания совпадали с результатом.
- Качество обнаружения ограничено полнотой данных от источников — то, что не логируется, SIEM обнаружить не может.
- Первые недели возможны пропуски и избыточные срабатывания, пока правила не откалиброваны под вашу инфраструктуру.
- Автоматизация (SOAR) не означает полную автономность: расширенные действия включаются только в согласованном объёме.
- Глубина интеграции с конкретными средствами защиты зависит от используемой платформы и поддерживаемых коннекторов.
- SIEM/SOAR сводит и обрабатывает сигналы, но не заменяет сами средства защиты, которые их формируют.
Эскалация
Эскалация при критичном инциденте
Порядок согласуется на установочной сессии и фиксируется в договоре.
Что фиксируем заранее
Назначенных представителей заказчика и порядок их замещения, канал связи; целевое время оповещения о подтверждённом критичном инциденте; порядок автоматических действий playbook — по умолчанию согласованный заранее объём, расширение только по отдельному запросу; порядок действий, если контакт недоступен.
Границы ответственности
Мониторинг, обнаружение инцидентов, оповещение и согласованные автоматические действия входят в услугу. Расследование за пределами данных платформы и меры на системах за пределами подключённых источников выполняет команда заказчика, если иное не согласовано.
Метрики и конфиденциальность
Как измеряем результат и защищаем ваши данные
Показатели согласуем на старте, чтобы результат можно было оценивать по понятным и измеримым критериям.
- Доля источников событий, охваченных мониторингом, от общего числа приоритетных систем.
- Время от первого релевантного события до формирования оповещения (time to detect) и до начала реагирования (time to respond).
- Доля сценариев, для которых playbook успешно выполнил шаги без ошибок и внепланового ручного вмешательства.
- Доля ложных срабатываний, подтверждённых как ошибочные, и динамика её снижения после калибровки.
- Время от появления новых индикаторов компрометации или сценариев атак до их применения в правилах корреляции.
- Не используем как показатель: общее число обработанных событий само по себе — оно отражает объём источников, а не снижение риска.
- Конфиденциальность: NDA, защищённые каналы передачи данных и отчётности, ограничение доступа внутри команды и журналирование обращений к консолям управления.
- Согласованное место обработки и хранения материалов, ограниченный срок хранения с возвратом или уничтожением по окончании работ.
Регуляторный контекст
Регуляторный контекст
Ключевые нормы, применимые к регистрации и анализу событий безопасности.
Меры РСБ и приказ №117
Регистрация и анализ событий безопасности предусмотрены группой мер «Регистрация событий безопасности» (РСБ) ФСТЭК России. Для ГИС и связанных с ними систем действует приказ №117 от 11.04.2025, вступивший в силу 1 марта 2026 года взамен приказа №17.
Приказы №21 и №239
Для информационных систем персональных данных — приказ ФСТЭК №21, для значимых объектов КИИ — приказ №239. Конкретный состав и усиление мер РСБ зависит от нормативного режима, класса защищённости или категории значимости.
SIEM/SOAR и меры РСБ — не тождественны
Внедрение SIEM/SOAR-платформы помогает реализовать часть мер по регистрации событий и реагированию, но соответствие требованиям определяется настройкой системы, охватом источников и полнотой функций, а не самим фактом использования платформы.
ГосСОПКА и сроки по 152-ФЗ
Для субъектов КИИ со значимыми объектами 187-ФЗ предусматривает взаимодействие с ГосСОПКА через НКЦКИ. При утечке персональных данных — сроки 24 часа для первичного уведомления и 72 часа для результатов расследования (152-ФЗ, ч. 3.1 ст. 21).
Материалы работ могут использоваться как документы, подтверждающие принятые меры защиты. Подтверждением полного соответствия нормативным требованиям сам по себе факт использования SIEM/SOAR не является.
Порядок работы
Порядок работы, сроки, стоимость и приёмка
Прозрачный процесс от первичной оценки до передачи в сопровождение.
Как начинается работа
Бесплатная первичная оценка (до 30 минут, без подключения к инфраструктуре) → определение задачи и перечня источников → договор и NDA → развёртывание платформы и подключение приоритетных источников → настройка корреляции и playbook'ов → тестирование и калибровка → передача в сопровождение.
Объём и сроки
Объём определяется числом и разнообразием источников, объёмом событий, интеграцией со средствами защиты и глубиной автоматизации. Ориентировочно: инвентаризация и развёртывание — от 2 до 4 недель; настройка корреляции и калибровка — от 3 до 6 недель.
Стоимость и приёмка
Стоимость зависит от числа источников и объёма событий, платформы, глубины автоматизации и сопровождения — фиксируется до начала работ. В договоре — состав работ, критерии приёмки и порядок эскалации.
Почему IST
Почему IST
Подключаем источники по приоритету критичности, а не пытаемся охватить всё сразу без калибровки.
С 2011 года
В сфере информационной безопасности с 2011 года.
Более 80 специалистов
Офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве.
Лицензии ФСТЭК и ФСБ
Работаем в рамках требований регуляторов на основании действующих лицензий.
Playbook'и вместе с командой
Настраиваем playbook'и реагирования вместе с вашей командой — автоматизация только в согласованном объёме.
Приоритет, а не хаос
Подключаем источники по приоритету критичности, а не пытаемся охватить всё сразу без калибровки.
Полный цикл
От источников сигналов (NDR, EDR, email security) до сведения, корреляции, автоматизации и проактивного мониторинга (SOC).
FAQ
Частые вопросы
Ответы на главные вопросы заказчиков.
- Чем SIEM отличается от SOAR? — SIEM собирает, нормализует и коррелирует события, выявляя инциденты. SOAR — надстройка, которая автоматизирует шаги реагирования по playbook'ам. На практике их часто внедряют вместе, но это разные по назначению компоненты.
- Может ли SIEM обнаружить то, что не видно исходным системам? — SIEM может выявить инцидент путём корреляции нескольких внешне разрозненных событий — в этом ценность корреляции. Но это работает только на данных, поступивших от подключённых источников.
- SIEM/SOAR заменяет NDR, EDR или email security? — Нет. NDR, EDR и email security обнаруживают угрозы в своей области и формируют события; SIEM/SOAR сводит эти события вместе, коррелирует и автоматизирует реагирование.
- Будет ли SOAR сразу всё блокировать автоматически? — Нет, если это отдельно не согласовано. Расширенные действия — блокировка, изоляция — включаются только в согласованном объёме; по умолчанию playbook начинается с оповещения и обогащения контекста.
- Сколько источников нужно подключить для пользы? — Пользу даёт уже подключение нескольких наиболее критичных источников — не обязательно охватывать всю инфраструктуру сразу. Расширение источников постепенно повышает полноту картины.
Обсудить мониторинг и реагирование
Оценим инфраструктуру и предложим план внедрения
Расскажите, какие системы и средства защиты уже используются, есть ли централизованный сбор логов и какие инциденты для вас наиболее критичны. Первичная оценка — бесплатно, до 30 минут, без подключения к инфраструктуре.