Посоветуйте EDR и SIEM для конторы на 80 человек, бюджет смешной

[gpu2000]

Ребят, нужен совет от практиков. Контора 80 человек, серверов 6 штук плюс AD, бюджет на безопасность выбили около 600 тысяч в год и то со скрипом. Сейчас вообще голяк, только дефендер и файрвол на микротике. Хочется хотя бы EDR на машины и какой-то сбор логов чтобы инциденты видеть. Что реально взять за эти деньги и не разориться на лицензиях? Импортные ушли, отечественное дорого, опенсорс надо кем-то админить а я один на все.

[delphin]

за 600к в год тебе по сути светит опенсорс плюс твои руки. Wazuh бесплатный, ставит агенты на винду и линукс, дает и сбор логов и базовый HIDS, и алерты по правилам. поднимается на одной виртуалке, 8 гигов оперативки хватит на старт под 80 хостов. да, поковыряться придется неделю, зато потом это твой SIEM по цене железа

[asynclover]

ага, Wazuh бесплатный, но опенсорс это не бесплатно, это ты платишь временем. один админ на 80 человек плюс еще и Wazuh тюнить и правила писать. через месяц забьешь и алерты будут сыпаться в игнор. иногда дешевле взять managed чем строить свой SOC из палок

[sabaza]

глянь отечественные EDR по подписке, есть варианты которые на 80 рабочих мест укладываются примерно в 250-350к в год по лицензиям. это не топ-сегмент но поведенческий детект и изоляция хоста есть, и поддержка по-русски отвечает. остаток бюджета на лог-менеджмент

[roman2026]

прежде чем покупать игрушки, ты бэкапы офлайн сделал? MFA на vpn и почту включил? админские права у юзеров отобрал? если нет то любой EDR это деньги на ветер, тебя положат через фишинг и макрос а ты будешь красивые дашборды смотреть. сначала гигиена потом тулзы

[marianna]

+1 к посту выше. на 600к больше всего пользы дадут не лицензии а наведение порядка. патчи, отзыв лишних прав, сегмент для серверов, бэкап по 3-2-1. это почти бесплатно но требует дисциплины. EDR сверху уже как вишенка

[corvet]

@marianna, если по логам, минимально собери с AD события входов и изменений групп, с микротика трафик на подозрительные порты, и с серверов системные логи. можно в тот же Wazuh или в опенсорсный OpenSearch. главное не собирать все подряд, утонешь. определи 10-15 сценариев которые хочешь ловить и под них настраивай

[Omoto]

по отечественным смотри чтобы лицензия была подписочная а не вечная с обязательным продлением саппорта, а то потом ценник на продление улетает. и проверь что агент на твои версии винды встает, у некоторых до сих пор боль с win11 24h2