Пришли кп на «Managed SIEM» и «MDR» — в чем разница и что подойдет компании из 12 человек?

С технической точки зрения SIEM пляшет от данных, а MDR — от процессов и поведенческого анализа. SIEM гоняет логи из разных источников через движок корреляции. MDR же висит датчиками прямо на уровне ядра ОС и ловит подозрительные штуки вроде инъекций в память или повышения привилегий. Если строгой регуляторки по хранению логов нет, MDR закрывает вопрос намного эффективнее.

В прошлом году на команду из 18 человек решали ровно такую же задачу. За SIEM нам выкатили 2.100 долларов в месяц плюс доплата за перерасход объема логов. В итоге подписались на MDR за 1.100 долларов на 22 устройства. За первые полгода было 14 инцидентов — саппорт разрулил абсолютно все сам, даже не дергая наших ребят среди ночи.

Загляните в договор или требования к аудиту от клиента. Если там нет жесткого пункта в духе «Все системные логи обязаны храниться в SIEM не менее 1 года» даже не смотрите в ту сторону. Берите нормальный MDR и спите спокойно.

Некоторые конторы, продающие MDR, на самом деле просто сажают двух стажеров за обычную панель антивируса, и те шлют вам письма при алертах. Внимательно читайте SLA в предложении: какое время реагирования в минутах, и есть ли у них полномочия изолировать тачку от сети при угрозе, или они будут ждать вашего подтверждения?

возьмете siem — ваши разрабы через пару недель взвоют от бесконечных алертов и просто замьютят уведомления. а потом при первом же реальном инциденте никто ничего не заметит. берите mdr и отдайте это тем, кто шарит, имхо.

Примечание: пишу на основе своего опыта, у других может быть иначе.

Ваш клиент требует этот мониторинг для аудита по стандартам SOC 2 или ISO 27001? Если да, уточняли ли вы заранее, есть ли у MDR-провайдера сертификат SOC 2 Type 2, и запрашивали ли форматы ежемесячных отчетов по реагированию на инциденты для аудитора?

Рекомендуем зафиксировать время реагирования (MTTD и MTTR), указанное в соглашении об уровне услуг, отдельными пунктами договора. Разница между временем обнаружения и временем принятия мер в кризисной ситуации напрямую влияет на вашу юридическую ответственность.

а если мы берем MDR нужно ли дополнительно ставить на ноуты сотрудников классический антивирус, или эти агенты закрывают обе задачи в одиночку?

у меня та же ситуация поэтому и спрашиваю. все, кто торопиттся с управляемый SIEM и MDR спотыкаются на одном и том же.

интересно, есть ли те, кто делает иначе.

Попробую. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Проверено опытом.

Здесь нужно провести различие. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Прочитал этот ответ и выдохнул: значит, проблема не только у меня. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Интересно, есть ли те, кто делает иначе.

Давайте разделим понятия, их путают. Первые три месяца все идет хорошо проблемы всплывают на четвертом.

Исправьте если я ошибаюсь.

Я бы не торопился. Пытаться сделать это в одиночку — самый дорогой путь.

Не стесняйтесь спрашивать, молчание всегда обходится дороже. Если напишете результат здесь, это поможет и другим.

Хочу предупредить. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Расскажу, как это делается на практике. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Ошибка, сделанная на стороне управляемый SIEM и MDR, обычно исправима, но дорого. Интересно, есть ли те, кто делает иначе.

Верно.

Самое упускаемое из вида в теме управляемый SIEM и MDR: Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Пытаться сделать это в одиночку — самый дорогой путь. Надеюсь, это будет полезно.