MaxPatrol SIEM
SIEM-система МаксПатрол от Positive Technologies собирает события безопасности с рабочих станций, серверов, сетевого оборудования и средств защиты и показывает, что из этого потока действительно является атакой. Счёт юрлицу и документы для тендера. Экспертные правила PT ESC дополняются машинным обучением модуля MaxPatrol BAD — он входит в редакции Pro и Enterprise. Лицензия считается по числу активов — от 1 000 до 100 000.
Соберите лицензию
1.1Объём защищаемой инфраструктуры
Анкета для расчёта и пилота
По ответам подготовим коммерческое предложение: соберём состав лицензий и согласуем цену с Positive Technologies. Можно отвечать приблизительно — главное отмечено звёздочкой, остальное уточним. В конце — e-mail и ИНН организации (производитель считает цену под заказчика), телефон по желанию.
Ответы сохраняются в этом браузере.
По ссылке анкета откроется с вашими ответами на любом устройстве — сохраните её себе или отправьте коллеге, который знает остальное.
Редакции MaxPatrol SIEM: Standard, Pro и Enterprise
|
Standard
|
Pro
|
Enterprise
|
|
|---|---|---|---|
| Возможности | |||
|
PT Naira — ИИ-помощник аналитика Расшифровывает срабатывания, пишет правила нормализации по примеру события, разбирает цепочки процессов.
|
|||
|
MaxPatrol BAD и Hack Tracker BAD выявляет аномалии и хакерскую активность на узлах машинным обучением и собирает цепочки событий; Hack Tracker дополнительно оценивает опасность его срабатываний.
|
|||
| Плейбуки MaxPatrol 360 | |||
| Интеграция MaxPatrol 360 с почтой, мессенджерами и продуктами Positive Technologies | |||
|
MaxPatrol EDR Event Collection Доверенный сбор событий с конечных устройств без полной лицензии MaxPatrol EDR, централизованное управление аудитом и конфигурациями Sysmon.
|
|||
| Управление несколькими инсталляциями MaxPatrol SIEM | |||
| Стоимость | |||
| Покупка | Базовая стоимость | 120 % базовой стоимости | 135 % базовой стоимости |
| Ежегодное продление | 40 % базовой стоимости | 60 % базовой стоимости | 75 % базовой стоимости |
О MaxPatrol SIEM
MaxPatrol SIEM собирает события безопасности со всей инфраструктуры — с рабочих станций, серверов, сетевого оборудования, средств защиты и прикладных систем — и показывает, что из этого потока действительно является атакой.
Систему разворачивают и запускают мониторинг сразу: в поставку входит поддержка около 350 источников событий и более 1300 экспертных правил. Каждый месяц вендор присылает новый пакет экспертизы — правила корреляции, механизмы обогащения, табличные списки.
В редакциях Pro и Enterprise к правилам добавляются ML-модуль BAD — он оценивает достоверность каждой сработки и находит нетипичное поведение, которое сигнатуры пропускают, — и ИИ-помощник PT Naira: он помогает аналитику разбирать инциденты, работает через облако Positive Technologies без обращения к внешним языковым моделям и требует доступа в интернет.
Продукт входит в реестр российского ПО и сертифицирован ФСТЭК России и Минобороны России, поэтому подходит для аттестованных систем и для выполнения требований по 152-ФЗ, 161-ФЗ и приказов ФСТЭК № 117, 21 и 31.
Что делает MaxPatrol SIEM
Как работает MaxPatrol SIEM
-
Источники ≈350 типов
Около 350 типов источников: рабочие станции, серверы, сетевое оборудование, средства защиты и прикладные системы. На пилоте проверяют: что источники из согласованного перечня подключаются и события с них идут в систему.
-
Сбор агенты, коллекторы
Лицензия на сбор не ограничивает число коллекторов. Система следит за полнотой сбора: видит недоступный источник, задержку и аномалии в потоке событий. На пилоте проверяют: фильтрацию событий прямо на источнике и мониторинг того, что сбор не прерывается.
-
Нормализация и активы 8000+ правил
Более 8000 правил нормализации приводят события к единому виду. Карточка актива заводится сама и не дублируется при смене IP или MAC-адреса. На пилоте проверяют: что в карточке нормализованного события видно исходное событие, а активы сортируются по атрибутам.
-
Корреляция ≈900 правил
Около 900 правил корреляции покрывают 70 % техник MITRE ATT&CK; правила можно менять под свою сеть. В редакциях Pro и Enterprise модуль BAD даёт второе мнение: оценивает достоверность каждой сработки по стобалльной шкале и находит поведение, которого нет в правилах.
-
Инцидент MaxPatrol 360
Система сама заводит карточку инцидента. Разбирают инциденты в MaxPatrol 360 — базовая обработка входит во все редакции. В Pro и Enterprise помогает ИИ-помощник PT Naira: расшифровывает срабатывания и даёт рекомендации, без внешних языковых моделей. На пилоте проверяют: что карточки инцидентов создаются сами и оповещения настраиваются под ваши условия.
-
Реагирование EDR · NAD · Sandbox
Из карточки события можно проверить трафик в PT NAD, файл — в PT Sandbox и отреагировать на узле через MaxPatrol EDR. На пилоте проверяют: ручное реагирование из карточки события — если в пилоте участвует MaxPatrol EDR.
Производительность — более 540 000 событий в секунду на одном ядре с полным набором правил. Хранилище — собственная СУБД LogSpace.
Характеристики
| Производительность и экспертиза | |
| Производительность | Более 540 000 событий в секунду на одном ядре с полным набором экспертных правил |
| Поддерживаемые источники | Около 350 |
| Правила нормализации | Более 8000 «из коробки» |
| Правила корреляции | Около 900, покрытие 70% техник MITRE ATT&CK |
| Экспертные правила в поставке | Более 1300 |
| Хранилище событий | Собственная СУБД LogSpace |
| Обновление экспертизы | Ежемесячные пакеты от PT Expert Security Center |
| Лицензирование | |
| Единица лицензирования | Актив (узел инфраструктуры) |
| Полосы базовой лицензии | От 1000 до 100 000 активов |
| Срок обновлений | 12 месяцев |
| Серверная лицензия | Обязательна в любой инсталляции, в крупной сети серверов может быть несколько |
| Сбор и обработка событий | Отдельная лицензия: стандартный или расширенный режим, считается по активам или по событиям в секунду — по большему |
| Отказоустойчивость | Лицензия на кластер на тот же объём активов, что и базовая |
| Сертификаты и реестры | |
| ФСТЭК России | Сертификат соответствия № 4980 от 22.09.2025 (переоформлен 26.08.2026, действует до 22.09.2030), исполнение «MaxPatrol Security Information and Event Management»; сертифицированная версия 27.6.40521 |
| Уровень доверия | 4-й (требования ФСТЭК России, 2020) |
| Формуляр | 83128364.MP_SIEM 30 01 |
| Минобороны России | № 6653 до 26.12.2028 (версия 25.0.4691) и № 7407 до 23.04.2030 (версия 26.1.8760) |
| ГосСОПКА | Средство обнаружения в перечне средств ГосСОПКА по требованиям приказа ФСБ России № 554, заключение до 01.07.2029, версия 26.1.8760 |
| Реестр российского ПО | № 1143 |
| Республика Беларусь | № BY/112 02.01. ТР027 036.01 00168 |
| Республика Казахстан | КСС № 1452620 |
| Соответствие требованиям | |
| Персональные данные | 152-ФЗ, приказ ФСТЭК № 21 |
| Государственные системы | Приказ ФСТЭК № 117 |
| АСУ ТП | Приказ ФСТЭК № 31 |
| Национальная платёжная система | 161-ФЗ |
| Банковский сектор | СТО БР ИББС, РС БР ИББС-2.5—2014, ГОСТ Р 57580.1—2017 |
| Платёжные карты | PCI DSS |
Что входит
Как выбрать объём лицензии
Считают активы — узлы инфраструктуры, с которых система собирает события и данные инвентаризации. Полосу берут с запасом на рост сети: при росте сети докупают ещё одну базовую лицензию — полосы складываются.
Как лицензируется
| Базовая лицензия | Определяет, сколько активов система имеет право обслуживать. Обновления действуют 12 месяцев. |
| Серверная лицензия | Нужна в любой инсталляции. Для большой сети может потребоваться несколько компонентов MaxPatrol SIEM Server. |
| Сбор и обработка событий | Отдельная лицензия на неограниченное число коллекторов. Считается по числу активов или по событиям в секунду — по большему из двух параметров. Есть стандартный и расширенный режимы. |
| ML-модуль BAD | Входит в редакции Pro и Enterprise; к Standard докупается к лицензии на сбор событий того же объёма. Заведён у нас отдельной позицией. |
| Отказоустойчивый кластер | Лицензия на кластер оформляется на то же количество активов, что и базовая. |
| Управление инцидентами | Компонент MaxPatrol Incident Management связывает несколько инсталляций; коннекторы к НКЦКИ и «ФинЦЕРТ» можно взять и без него. |
| Совместная лицензия с MaxPatrol VM | Если в проекте есть и SIEM, и управление уязвимостями, вендор предлагает объединённую серверную лицензию — посчитаем оба варианта. |
Редакции Standard, Pro и Enterprise
| Standard | Базовая поставка: сбор и корреляция событий, карта активов и обработка инцидентов в MaxPatrol 360. |
| Pro | Для SOC, которому нужно разгрузить аналитиков и автоматизировать работу с инцидентами: добавляет ИИ-помощника PT Naira, модуль MaxPatrol BAD с Hack Tracker, плейбуки и интеграции MaxPatrol 360. |
| Enterprise | Для крупных и распределённых SOC: всё из Pro, плюс управление несколькими инсталляциями MaxPatrol SIEM и сбор событий с большого числа конечных устройств через MaxPatrol EDR Event Collection. |
| Переход на Pro или Enterprise | Действующие заказчики меняют редакцию при продлении лицензии; многолетнюю лицензию можно расширить на оставшийся срок. Расчёт под вашу инсталляцию подготовим по запросу. |
Что нового в версии 28.0
Версия 28.0 вышла в октябре 2026 года. В сертификат ФСТЭК России № 4980 входит версия 27.6.40521, сертификация 28.0 уточняется — для аттестуемых систем версию к поставке согласуем при заказе.
| Меньше нагрузки на серверы | Коррелятор переработан: по данным Positive Technologies, он расходует меньше оперативной памяти и до 40% меньше ресурсов процессора. Насколько именно — зависит от потока событий и набора правил. |
| PT Naira в редакциях Pro и Enterprise | ИИ-помощник в интерфейсе описывает события, сработавшие правила корреляции, процессы и находки MaxPatrol BAD, пишет правила нормализации и ищет ответы в документации. Работает через облако Positive Technologies, поэтому нужен доступ в интернет. |
| MaxPatrol BAD | Анализирует события Unix-систем (для этого включают обогащение событий идентификаторами процессов), находит узел, который вызывает аномалии на разных хостах, объединяет данные связанных событий; к одному анализатору поведения можно подключить несколько конвейеров. |
| Sigma-правила | Правила обнаружения в формате Sigma конвертируются в язык XP — правила сообщества можно брать за основу собственных. |
| Контекст правил в Knowledge Base | В карточках стандартных правил корреляции появился блок дополнительной информации: сценарии, которые выявляет правило, возможные ложные срабатывания, покрываемые техники MITRE ATT&CK. Состав сведений зависит от правила. |
| Ответственные за активы | В паспорте актива появились поля «Администратор безопасности», «Бизнес-владелец» и «Технический владелец», активам можно ставить метки. |
| Отдельное приложение и лицензия | SIEM выделен в самостоятельное приложение в PT MC со своей лицензией; в лицензиях MaxPatrol 10, выданных раньше, функции SIEM сохранены для обратной совместимости. |
| Astra Linux | Компоненты ставятся на Astra Linux Special Edition 1.7.8, 1.7.9, 1.7.10, 1.8.4 и 1.8.5. С версии 28.1 Positive Technologies прекращает поддержку 1.7.5–1.7.7. |
НДС и документы
| НДС не облагается | Передача прав на программы из реестра российского ПО освобождена от НДС по статье 149 Налогового кодекса. |
| Налог на прибыль: расходы × 2 | Расходы на лицензии программ из реестра российского ПО можно учесть в налоге на прибыль с коэффициентом 2 (подп. 26 п. 1 ст. 264 НК РФ). Условие — лицензия покупается для своей работы и договор не даёт права передавать её другим. Подробнее — в статье о коэффициенте 2. Как отразить это в учёте, подскажет ваш бухгалтер. |
| Документы | Счёт, договор и закрывающие документы оформляем на юридическое лицо. |
| Обоснование закупки | По запросу приложим выписку из реестра российского ПО и сведения о сертификатах соответствия. |
Как проходит покупка
| Заявка | На сайте, по почте или в мессенджере — опишите задачу и объём инфраструктуры. |
| Расчёт и КП | Подберём состав лицензии под ваш объём и задачи и пришлём коммерческое предложение со спецификацией. |
| Демо или пилот | По желанию до покупки покажем систему в работе: демонстрация, тест-драйв на стенде производителя или пилот в вашей инфраструктуре. Формат согласуем с Positive Technologies. |
| Договор и счёт | Оформляем на юридическое лицо; для тендера приложим документы из раздела «Для госзакупок». |
| Оплата и передача | После оплаты передаём лицензию и дистрибутив вместе с закрывающими документами. |
Кто уже работает с MaxPatrol SIEM
По опубликованным историям внедрений Positive Technologies.
Для госзакупок
|
Код ОКПД2 Услуги по предоставлению лицензий на право использовать компьютерное программное обеспечение (типовой код для закупки лицензий)
|
58.29.50.000 |
|
Реестр российского ПО MaxPatrol Security Information and Event Management
|
Запись № 1143 |
| Национальный режим | Российское ПО из реестра Минцифры — запрет на иностранное ПО (ПП № 1875) не применяется |
Другие версии
Другие продукты «Positive Technologies»
Статьи по теме
Разбор и практика
Частые вопросы
Да. MaxPatrol SIEM входит в сертификат ФСТЭК России № 4980 на изделие «Средство обеспечения безопасности информационных систем MaxPatrol» — 4 уровень доверия, действует до 22.09.2030. Сертифицированная версия — 27.6.40521; для версии 28.0, вышедшей в октябре 2026 года, сертификация уточняется. Есть и сертификаты Минобороны России: № 6653 до 26.12.2028 (версия 25.0.4691) и № 7407 до 23.04.2030 (версия 26.1.8760). MaxPatrol SIEM версии 26.1.8760 включён в перечень средств ГосСОПКА как средство обнаружения по требованиям приказа ФСБ России № 554, заключение действует до 01.07.2029. Систему применяют в аттестованных системах и для требований 152-ФЗ, 161-ФЗ, приказов ФСТЭК № 117, 21 и 31 и ГОСТ Р 57580.1—2017. Копии сертификатов и выписку из реестра российского ПО № 1143 приложим к заявке или тендерной документации.
Стоимость считается под проект. Стартовая полоса — базовая лицензия на 1 000 активов (артикул PT-MPSIEM-BASE-H1000); к ней всегда добавляются серверная лицензия и лицензия на сбор и обработку событий — стандартный или расширенный режим, а при необходимости модуль BAD и кластер отказоустойчивости. Итог зависит от числа активов, потока событий и количества серверных компонентов. Выберите объём в конфигураторе и оставьте заявку — соберём спецификацию и выставим счёт на юридическое лицо, НДС не начисляется.
Актив — это узел инфраструктуры, с которого система собирает события и данные инвентаризации: сервер, рабочая станция, сетевое устройство. Базовая лицензия ограничивает их количество, поэтому полосу берут с запасом на рост сети.
Оба режима лицензируются по числу активов или по потоку событий — по большему из параметров. Расширенный режим рассчитан на более плотный поток с того же числа активов, поэтому его берут там, где события идут интенсивнее обычного.
В редакциях Pro и Enterprise BAD уже входит; к Standard он докупается к лицензии на сбор и обработку событий того же объёма. Он работает как второе мнение: оценивает достоверность сработок и находит поведенческие аномалии, которых нет в правилах корреляции.
Да, это основной способ. Выставим счёт и договор на юридическое лицо, закрывающие документы отправим после оплаты. НДС не начисляется.