Российские SIEM-системы: что это и как выбрать

SIEM (Security Information and Event Management) — система, которая собирает журналы событий с серверов, рабочих станций, сетевого оборудования и средств защиты, приводит их к единому виду и по правилам корреляции ищет в этом потоке признаки атаки. Выбор российской SIEM-системы обычно начинается с требований регулятора, но решают его три практических вопроса: как считается лицензия, на чём система работает и кто будет разбирать её сработки.

Ниже — по порядку, с таблицами по четырём системам, которые мы поставляем: MaxPatrol SIEM, Kaspersky KUMA, KOMRAD Enterprise SIEM и UserGate SIEM. Цены и конфигурации — на страницах продуктов.

Что такое SIEM-система и как она работает

Любая SIEM делает четыре вещи:

1. Собирает события. Агенты и коллекторы забирают журналы по syslog, из журналов Windows, баз данных, с сетевого оборудования и средств защиты.
2. Нормализует. Сотни разных форматов приводятся к одной схеме полей — иначе события нельзя сравнивать между собой.
3. Коррелирует. Правила связывают разрозненные записи в цепочку — например, серия неудачных входов, затем успешный вход и запуск администраторских утилит ночью — и заводят инцидент.
4. Хранит и ищет. События лежат месяцами: по ним расследуют инциденты и строят отчёты для проверяющих.

Главная мера нагрузки — EPS (events per second), число событий в секунду от всех источников. От неё зависят серверы под систему, а у части вендоров — и цена лицензии.

Когда SIEM нужна: требования ФСТЭК и ГосСОПКА

Приказы ФСТЭК описывают меры, а не конкретный продукт, но меры по событиям безопасности есть везде:

• Информационные системы персональных данных (приказ № 21) — группа мер РСБ «Регистрация событий безопасности»: сбор, запись и хранение событий, мониторинг и реагирование на них.
• Значимые объекты КИИ (приказ № 239) — меры аудита безопасности, в том числе АУД.4 «Регистрация событий безопасности». Кроме того, субъект КИИ сообщает о компьютерных инцидентах в НКЦКИ — подробнее в статье о законе № 187-ФЗ, а сроки и способы подключения — в статье о подключении к ГосСОПКА. Какие средства закрывают меры приказа № 239, включая регистрацию событий и мониторинг, и какой класс СЗИ нужен по категории объекта — в статье о средствах защиты КИИ.
• Государственные информационные системы — с 1 марта 2026 года действует приказ № 117, что в нём изменилось, мы разобрали отдельно.

Когда источников десятки и события нужно не только хранить, но и анализировать, эти меры на практике закрывают SIEM-системой. А если система защищает ГИС или значимый объект КИИ, от неё, как и от остальных средств защиты, потребуют подтверждённое соответствие — обычно это сертификат ФСТЭК.

Сертификаты российских SIEM-систем

В государственном реестре ФСТЭК на 26 сентября 2026 года — больше десяти SIEM с действующими сертификатами. У всех четырёх систем из нашего каталога сертификат выдан на 4-й уровень доверия по техническим условиям: отдельного профиля защиты для SIEM, как у антивирусов или межсетевых экранов, в этих записях нет. Формально сертификаты ФСТЭК равноценны — различаются сроки и дополнительные сертификаты Минобороны и ФСБ.

Сертификат выдают на конкретную версию, поэтому в договоре стоит проверить, какую сборку вам поставят: у MaxPatrol SIEM сертифицирована 27.6.40521, у KUMA — 4.0.2.13 при актуальной версии продукта 4.6. Как читать номера, уровни доверия и записи реестра — в статье «Сертификат ФСТЭК и ФСБ: реестр и классы защиты СЗИ».

Сравнение: MaxPatrol SIEM, KUMA, KOMRAD и UserGate SIEM

В таблице — только то, чем системы отличаются. Сбор, нормализация, корреляция, инциденты и отчёты есть у всех четырёх.

Как считается лицензия: активы, EPS или мощность

Это главное различие, и от него зависит, какие цифры собирать перед запросом цены.

MaxPatrol SIEM считает активы — любые устройства с ОС или прошивкой в сети: серверы, рабочие места, коммутаторы. Базовая лицензия на нужное число активов обязательна; к ней добавляются серверная лицензия и лицензия на сбор событий, где каждая ступень задаёт и число активов, и потолок потока — например, 1 000 активов и 3 000 событий в секунду, считается по большему из двух. Лицензия бывает срочной (от года) и бессрочной; у бессрочной обновления идут первый год, дальше их продлевают отдельно. Если уже куплен MaxPatrol VM, базовую лицензию повторно покупать не нужно; как устроен сам процесс управления уязвимостями по методике ФСТЭК — в отдельной статье.

Kaspersky KUMA считает поток: в лицензионном сертификате указано число событий в секунду. Лицензия срочная. Вместе с ключом KUMA приходит ключ для Kaspersky Endpoint Security, чтобы рабочие станции сами отправляли события операционной системы в SIEM.

KOMRAD Enterprise SIEM продаётся пятью редакциями по потоку — от 200 EPS до безлимитной; с редакцией растёт и число коллекторов каждого типа. Территориально-распределённая установка по филиалам начинается с редакции на 5 000 EPS.

UserGate SIEM привязан к мощности: к модели программно-аппаратного комплекса (E6, E14, F25) или к числу ядер виртуальной машины, а источников-сенсоров можно подключать сколько угодно. Базовая лицензия бессрочная, первый год обновлений в ней есть; дальше продлевается подписка Security Updates, правила аналитики — модулем SIEM Expert, кластер — отдельный бессрочный модуль.

Четыре системы коротко: кому какая подходит

MaxPatrol SIEM — система Positive Technologies с упором на инвентаризацию: карточка актива ведётся автоматически и не дублируется при смене IP-адреса. Правила корреляции приходят ежемесячными пакетами экспертизы, для второго мнения по инцидентам есть ML-модуль BAD (лицензируется отдельно). Удобна, если вы знаете число узлов, уже используете MaxPatrol VM или другие продукты Positive Technologies.

Рекомендуем в статье MaxPatrol SIEM, базовая лицензия на 1 000 активов, обновления 12 месяцев

PT-MPSIEM-BASE-H1000

Цена по запросу Запросить КП

Подробнее →

Kaspersky KUMA — SIEM «Лаборатории Касперского» с микросервисной архитектурой; она же входит в платформу Kaspersky Symphony XDR. Встроенный модуль ГосСОПКА позволяет обмениваться данными об инцидентах с НКЦКИ напрямую. Логичный выбор, если рабочие места уже защищает Kaspersky Endpoint Security.

KOMRAD Enterprise SIEM — разработка НПО «Эшелон» с понятной сеткой редакций по потоку событий и длинным списком поддерживаемых отечественных ОС. События хранятся в ClickHouse, фильтрация идёт на коллекторах. Подходит небольшим и средним системам, которым важно начать с малого потока и расти редакциями.

Рекомендуем в статье KOMRAD Enterprise SIEM 4.5, сертификат ФСТЭК, лицензия

KOMRAD-ENT-REQ

Цена по запросу Запросить КП

Подробнее →

UserGate SIEM — готовое устройство или образ со своей ОС: не нужно подбирать и сопровождать операционную систему под SIEM. Реагирование в стиле IRP/SOAR встроено, телеметрию с рабочих мест собирает UserGate Client; при этом система работает и без других продуктов UserGate. Подходит тем, кому нужен быстрый запуск на готовом устройстве или образе.

Рекомендуем в статье UserGate SIEM, программно-аппаратный комплекс

UG-SIEM-PAK

Цена по запросу Запросить КП

Подробнее →

Как выбрать: шесть вопросов перед закупкой

1. Какой сертификат требует ваше техзадание. ФСТЭК есть у MaxPatrol SIEM, KOMRAD и UserGate SIEM, у KUMA срок сертификата № 4455 истёк 28.09.2026; Минобороны — у MaxPatrol SIEM, KUMA и KOMRAD; в перечне средств ГосСОПКА по требованиям приказа ФСБ № 554 — MaxPatrol SIEM и KUMA, у KUMA есть и сертификат ФСБ как средства обнаружения компьютерных атак класса Г. Сверьте сроки действия с датой поставки.
2. Что вы знаете о своей инфраструктуре. Известно число узлов — проще считать по активам. Известен поток событий, например из действующего сборщика журналов, — по EPS. Нужна железка в стойку — смотрите ПАК.
3. Какие средства защиты уже стоят. Все четыре системы принимают события сторонних продуктов, но теснее всего каждая связана со своей экосистемой: MaxPatrol SIEM — с PT NAD, PT Sandbox и MaxPatrol EDR, KUMA — с Kaspersky Endpoint Security и Symphony XDR, UserGate SIEM — с NGFW и UserGate Client.
4. Кто будет разбирать инциденты. Свой аналитик, подрядчик или никто. От ответа зависит, насколько важна готовая экспертиза вендора и её обновление.
5. Нужен ли обмен с ГосСОПКА. Субъект КИИ сообщает об инцидентах в НКЦКИ, и удобнее, когда карточки инцидентов отправляет сама SIEM. Проверьте, входит ли модуль в лицензию или покупается отдельно.
6. Пилот на своих данных. У всех четырёх вендоров есть тест-драйв, демо или пилот: подключите реальные источники, замерьте поток событий и посмотрите, сколько ложных срабатываний даст система в первые недели.

Сколько стоит SIEM и как купить организации

Цены на все четыре системы рассчитываются под проект: на них влияют число активов или поток событий, срок и тип лицензии, отказоустойчивый кластер, распределённая установка, модуль ГосСОПКА, экспертиза и уровень поддержки. Лицензии на ПО из реестра российского ПО НДС не облагаются — как это работает, в статье о НДС на программное обеспечение.

Чтобы получить коммерческое предложение, пришлите:

• число узлов и список источников событий;
• оценку потока событий или объём журналов в сутки;
• сколько хранить события и есть ли филиалы;
• требования техзадания к сертификатам и ГосСОПКА.

Подготовим спецификацию, приложим копии сертификатов и выписки из реестров, выставим счёт на юридическое лицо.

Частые вопросы