SIEM в конторе на 25 человек без выделенного безопасника, что реально потянуть?

[misha12]

Контора 25 человек, отдельного безопасника нет, всем рулит один сисадмин (я). После того как у партнёров по цеху всё пошифровали, начальство загорелось: хотим SIEM. Слово где-то услышали и теперь это панацея. Бюджет смешной, на серьёзный продукт точно не хватит. Смотрю в сторону Wazuh и ELK, параллельно запросил прайс на MaxPatrol SIEM и KUMA, от цифр поплохело. Главный вопрос даже не в продукте, а в том кто это будет читать. Я один и ночью сплю. Поделитесь, кто в похожем размере что реально внедрил и не пожалел.

[wasmnerd]

SIEM в конторе на 25 человек без человека который в него смотрит это дорогая лампочка которая мигает в пустой комнате. Сначала EDR на все рабочки и серверы, MFA везде где можно, нормальные бэкапы. Вот это закроет львиную долю того что шифрует малый бизнес. SIEM последним пунктом, когда будет кому разгребать алерты.

[k8s_master]

У нас примерно ваш размер, поставили Wazuh год назад. Плюсы: бесплатно, собирает Windows Event Log, sysmon, аудит файлов, есть готовые правила под MITRE. Минусы: из коробки оно сыпет ложняками, первые пару недель только и делаешь что тюнишь правила и исключения. Реально полезным стало когда прикрутили Sysmon с конфигом SwiftOnSecurity и завели алерты в телегу. Но честно, времени сожрало много. Если ты один и без опыта, начни с того что просто централизуй логи, чтобы при инциденте было где смотреть.

[deepsamurai]

По прайсам ты правильно прифигел. MaxPatrol SIEM и KUMA считаются по потоку событий, на вашем масштабе это сотни тысяч в год минимум плюс железо плюс внедренец. Для 25 человек дешевле взять managed SOC у Solar или BI.ZONE, отдаёшь телеметрию они мониторят. Ценник стартует где-то от 150-200 тыс в месяц, но зато не ты ночью бегаешь. Посчитай сколько стоит твой простой при шифровании, обычно выходит что аутсорс дешевле.

[matguyvr]

а вы перед SIEM вообще инвентаризацию активов сделали? а то частая история, ставят сборщик логов а половина серверов мимо. и про 152-ФЗ не забудьте, логи с перс данными тоже хранить по правилам надо

[geek_petr]

Согласен с теми кто про приоритеты. Порядок такой по опыту: 1) бэкапы offline и проверка восстановления, 2) MFA на vpn, почту и админки, 3) EDR на эндпоинты, 4) сегментация хотя бы плоскую сеть порезать, и только потом SIEM. Если денег вообще нет, Wazuh плюс Sysmon плюс антивирус с поведенческим модулем уже даст видимость. SIEM без первых четырёх пунктов это покупка сигнализации в дом без замков.

[llamaguru]

подпишусь, тоже один на всё хозяйство, утащил себе тред