RuSIEM на производстве: как мы выбирали, поставляли и внедряли SIEM для коммерческого предприятия

В соответствии с условиями соглашения о конфиденциальности (NDA) наименование заказчика не разглашается, однако мы готовы представить ключевые параметры и результаты проекта.

Когда производственная компания сталкивается с необходимостью контроля событий безопасности, встаёт закономерный вопрос: какое решение выбрать, чтобы оно было эффективным, масштабируемым и при этом не требовало гигантских бюджетов? Именно с этим запросом к нам, в ГК АБРИКОС, обратилось коммерческое производственное предприятие. Задача была сформулирована чётко: нужна SIEM-система, которая позволит централизованно собирать и анализировать события безопасности со всей инфраструктуры, выявлять аномалии и давать службе безопасности инструменты для быстрого реагирования. При этом предприятие не относится к объектам КИИ, что давало определённую гибкость в выборе, но не снимало требований к надёжности и функциональности..

как мы работали

Пилот: проверка на реальных данных ⤵️

Прежде чем принимать финальное решение, мы организовали пилотный проект. Это позволило заказчику увидеть систему в действии на собственной инфраструктуре, оценить удобство управления, скорость обработки событий и качество аналитики. В течение нескольких недель специалисты ГК АБРИКОС развернули тестовый контур, подключили ключевые источники событий — серверы, сетевое оборудование, рабочие станции — и провели серию сценариев, имитирующих реальные инциденты.
По итогам пилота заказчик убедился, что предлагаемое решение полностью закрывает его потребности. Мы подготовили детальный отчёт с анализом выявленных в ходе тестирования нюансов и рекомендациями по оптимальной конфигурации.

Подбор оборудования и комплексная поставка ⤵️

Подбор оборудования и комплексная поставка
На основе результатов пилотного проекта была сформирована спецификация, которая включала не только программное обеспечение, но и аппаратную платформу, обеспечивающую долгосрочное хранение событий безопасности.

Мы осуществили комплексную поставку:

сервер ДатаРу ПИ760 — высокопроизводительная платформа, оптимизированная для работы с ресурсоёмкими SIEM-решениями, с запасом вычислительной мощности для обработки потоков событий;
модуль расширения 2U/12bay с dual redundant controller, интерфейсами 12Gb SAS и 12 накопителями — для организации надёжного и масштабируемого хранилища, способного сохранять архивы событий на длительный период в соответствии с требованиями к расследованию инцидентов.

Такая конфигурация гарантирует, что система не только обрабатывает события в реальном времени, но и сохраняет полную историю сетевой активности для ретроспективного анализа.

Параллельно с оборудованием была осуществлена поставка двух лицензий, которые в совокупности обеспечивают полный цикл управления событиями безопасности:

- RuSIEM-SIEM-SA-AIN5000 — базовая лицензия на систему класса SIEM (Security Information and Event Management). Конфигурация Stand Alone, all-in-one, на 5000 событий в секунду (EPS). Это ядро системы, которое отвечает за сбор, нормализацию, корреляцию и хранение событий со всех источников.
- RuSIEM-AI-SA-5000 — лицензия на модуль RuSIEM Analytics. Это надстройка, которая дополняет основной продукт возможностями управления активами, выявления аномалий на базе машинного обучения и другими аналитическими функциями. Analytics позволяет не просто регистрировать события, а находить скрытые закономерности и отклонения, которые могут свидетельствовать о сложных угрозах.

Обе лицензии рассчитаны на производительность до 5000 событий в секунду — этого с запасом хватает для покрытия всей ИТ-инфраструктуры предприятия среднего размера.

Внедрение: от установки до передачи в эксплуатацию ⤵️

Поставка оборудования и лицензий — это лишь половина дела.

Специалисты ГК АБРИКОС выполнили полный цикл внедренческих работ:

- установили и настроили центральный сервер ДатаРу ПИ760, включая настройку параметров сбора и хранения событий;
- развернули модуль расширения для организации долгосрочного архива событий;
- подключили все ключевые источники событий: серверы, сетевое оборудование, системы безопасности, рабочие станции;
- настроили правила корреляции и политики оповещения в соответствии со спецификой производственной инфраструктуры;
- обучили локальную команду работе с системой — от базовой навигации до построения сложных запросов и расследования инцидентов;
- провели тестирование и передали систему в промышленную эксплуатацию.

Что получил заказчик

Внедрённое решение на базе RuSIEM, развёрнутое на серверной платформе ДатаРу, обеспечило предприятию:

централизованный сбор и нормализацию событий со всей инфраструктуры — теперь все логи стекаются в единую точку, что упрощает мониторинг и расследование;
корреляцию в реальном времени — система автоматически выявляет взаимосвязи между событиями и сигнализирует о подозрительной активности;
выявление аномалий на основе машинного обучения (модуль Analytics) — это позволяет находить угрозы, которые не описываются сигнатурами;
долгосрочное хранение сырых и нормализованных событий для ретроспективного анализа и выполнения требований по архивации — ёмкости модуля расширения достаточно для хранения истории событий на протяжении многих месяцев;
соответствие требованиям импортозамещения — RuSIEM включена в реестр отечественного ПО, а сервер ДатаРу — в реестр российской промышленной продукции.

Проект показал, что даже для коммерческих предприятий, не попадающих под жёсткое регулирование КИИ, внедрение SIEM-системы — это не роскошь, а необходимость. RuSIEM в сочетании с модулем Analytics и надёжной аппаратной платформой ДатаРу даёт тот самый баланс между стоимостью, функциональностью и простотой внедрения, который так важен для производственного сектора.

ГК АБРИКОС благодарит компанию RuSIEM (ООО «РуСИЕМ») за надёжный продукт, компанию «ДатаРу» за серверное оборудование и команду заказчика за конструктивное взаимодействие на всех этапах — от пилотного тестирования до ввода системы в эксплуатацию