В 2022-м Splunk, CrowdStrike и Tenable отключили российских клиентов за одну ночь. Инфраструктура ослепла. Сейчас, три года спустя, по данным BISA, 25% субъектов КИИ уже завершили переход на отечественные СЗИ, ещё 32% обещали успеть. Но никто не отвечает на главный вопрос: а насколько новый стек реально защищает?
Три года я разворачивал российские SIEM, EDR и сканеры на Red Team проектах — запускал атаки и смотрел, что появится в консоли аналитика. Делюсь конкретными наблюдениями.
⚔️ MaxPatrol SIEM — наиболее зрелый продукт. Хорошо покрывает Discovery и Lateral Movement из MITRE ATT&CK. На одном проекте он поднял алерт, когда WMI-запросы веером пошли на десяток хостов. Но правила из коробки — лишь стартовый набор. Один заказчик потратил восемь месяцев командой из четырёх аналитиков, чтобы переписать всю логику корреляции с SPL на
PDQL. При грамотном использовании LOLBins без кастомных правил MaxPatrol пропускает существенную часть активности.🛡 KUMA от Kaspersky берёт другим: нативной интеграцией внутри экосистемы. EDR ловит подозрительный процесс, событие летит в KUMA, там обогащается данными из KSN. Бесшовно — если весь стек Kaspersky. Но на одном проекте логи с отечественного сетевого оборудования парсились криво: часть полей терялась, правила корреляции не срабатывали. Аналитик узнал об атаке из моего отчёта, а не из своей консоли.
💸 RuSIEM — бюджетный вариант с оговорками. Из коробки ловит брутфорс и очевидные сканирования. Но на одном проекте Red Team прошёл от первичного доступа до контроля домена, а RuSIEM сгенерировал единственный алерт — на начальное сканирование портов. Всё остальное утонуло в потоке.
Вот что объединяет все три продукта:
• Сертификат ФСТЭК — есть у каждого
• Правила из коробки покрывают базовые сценарии, но не продвинутые атаки
• Глубина детектирования напрямую зависит от экспертизы команды, а не от вендора
Главный вывод, который я вынес за три года: инструмент не защищает сам по себе. MaxPatrol SIEM в руках слабой команды хуже, чем RuSIEM в руках сильной. Миграция — это не замена лицензии, а переосмысление всей логики мониторинга.
❓ А какой стек у вашего SOC? Уже прошли через миграцию или только планируете? Расскажите в комментариях — интересно сравнить.
В полной статье — разбор отечественных EDR, сканеров уязвимостей и честная таблица сравнения по всем параметрам.
https://codeby.net/threads/importozameshcheniye-ib-resheniya-sravneniye-chestnyi-obzor-rossiiskikh-siem-edr-i-skanerov-glazami-pentestera.92895/