Каждое средство защиты видит только своё событие: антивирус — про файл, firewall — про соединение, WAF — про запрос. Ни одно не знает, что увидело другое. А атака проходит ровно между ними.
SIEM не занимает их место — он строит над ними единый слой наблюдаемости, детектирования и учёта. Один запрос работает по всем источникам, потому что события приведены к одной модели: одноимённое поле означает одно и то же независимо от вендора.
Поэтому поиск, правила корреляции, дашборды и отчёты не привязаны к типу источника. При появлении нового вендора правила не переписываются.
| Этап | Что выполняется |
|---|---|
| Приём | Проверка источника, буферизация на диск, контроль дубликатов и потерь |
| Обработка | Разбор, нормализация в единую модель, категоризация, обогащение контекстом |
| Детектирование | Корреляция, поведенческие профили, формирование оповещений |
| Предъявление | Инциденты, дашборды, отчёты и пересылка во внешние системы |
Событие перемещается между уровнями по возрасту, объёму уровня или доле занятого места. Сроки задаются отдельно для каждого класса источников; для событий, вошедших в инциденты, действует своя политика.
| Профиль | Hot | Warm | Cold-archive |
|---|---|---|---|
| Краткий · 30 суток | 7 суток | 23 суток | — |
| Базовый · 90 суток | 14 суток | 76 суток | по требованию политики |
| Расширенный · 180 суток | 30 суток | 150 суток | до 365 суток |
| Годовой · 365 суток | 30 суток | 180 суток | 185 суток |
| Длительный · 1825 суток | 30 суток | 180 суток | 1615 суток |
Профили приведены как примеры конфигурации. Типовой коэффициент сжатия на текстовых журналах — 6–12×.
Во всех четырёх вариантах функциональность одинакова — различаются способ поставки образов и механизм масштабирования.
| Вариант | Поставка | Масштабирование |
|---|---|---|
| Физическая среда | Пакеты RPM / DEB, ISO-образ | Добавление узлов и дисковых полок |
| Виртуализация | Образы OVA / QCOW2 / VHDX | Изменение ресурсов ВМ, клонирование |
| Частное и публичное облако | Образы ВМ, шаблоны IaC | Группы масштабирования, объектное хранилище |
| Контейнеры и гибрид | OCI-образы, Helm-чарты | Изменение числа реплик, StatefulSet |
Для инфраструктуры с несколькими площадками применяется схема «центральный узел — удалённые площадки»: на площадке Helix Collector принимает события локально, буферизует 1–72 ч и передаёт в центр по TLS 1.2/1.3.
Нет. SIEM — не средство защиты, а слой наблюдаемости и учёта над ними. Средства делают свою работу, а SIEM сводит их события вместе, связывает между собой и формирует инцидент.
В базовой поставке есть готовые правила разбора для 600+ типов источников. Для источника вне списка декодер описывается конфигурацией — код продукта не меняется и компоненты не пересобираются.
Нет. Агент применяется на конечных точках там, где он нужен; сетевое оборудование, средства защиты и облачные сервисы собираются безагентно — через Syslog, REST API, WMI, SNMP или API провайдера.
Исходная запись хранится без изменений, для каждой записи считается контрольная сумма, включаемая в цепочку хешей блока. Нарушение или удаление выявляется плановой фоновой проверкой; за период готовится отчёт о целостности.
Это зависит от объёма потока и срока хранения. Типовой коэффициент сжатия на текстовых журналах — 6–12×, а хранение разделено на три уровня: самый дорогой NVMe нужен только под hot. Точный расчёт даётся после замера вашего потока.
Определим, какие источники, какой объём и какой срок хранения нужны, — после этого дадим точное предложение по составу компонентов и объёму хранилища.
