Нам пытаются продать SIEM — реально ли он нужен в нашем масштабе и что он вообще даёт?

Слова продавца «для KVKK SIEM обязателен» не соответствуют действительности. Закон требует от вас принимать разумные технические меры для защиты персональных данных и иметь возможность просматривать журналы операций задним числом но он не называет конкретно SIEM. Если вы можете хранить базовые логи доступа с отметкой времени, вы уже выполняете минимальное требование. Они просто пытаются нагнать страх и подписать договор.

Мы архитектурное бюро на 55 сотрудников. Два года назад нас так же напугали, и мы вошли в такую услугу, платя 18.000 TL в месяц. Шесть месяцев нам каждую неделю присылали стандартные PDF-отчёты. Когда мы разобрались, оказалось, что система выдаёт триста ложных алертов в неделю и ни один из них не был реальной угрозой. По окончании договора мы отказались и перешли на расширенную лицензию защиты конечных точек — расходы упали втрое.

Нормальная работа движка SIEM зависит от корреляции. В вашу сеть надо по отдельности заводить события Active Directory, ключи, логи фаервола. Сколько реально значимых событий безопасности может быть в день на 40 компьютерах? Большинство алертов остаются на уровне «Ахмет три раза ввёл неверный пароль». Платить за мониторинг этого тысячи лир в месяц на сторону — бессмысленно.

нашему начальнику тоже так всё расписали а потом офисный сервер подхватил шифровальщик. потому что бухгалтер открыла пришедший фейковый счёт, и двухфакторного входа вообще не было. сказали, что с siem вы бы хотя бы вживую наблюдали, как вирус распространяется. честно по-моему сначала надо закрыть базовые дыры.

Есть ли среди ваших клиентов крупные автозаводы или иностранные партнёры, которые требуют аудита? Иногда головные промышленные компании прописывают в договоре с поставщиками обязательные стандарты безопасности или системы мониторинга в реальном времени. Если такого внешнего давления нет, предложение выглядит для вас слишком роскошно.

Прежде чем вкладывать эти деньги в SIEM, проверьте, выполнили ли вы три пункта: 1) нет ли у бухгалтерского и ERP-серверов портов, открытых напрямую в интернет, 2) хранятся ли ваши бэкапы физически отдельно от сети, 3) работает ли на всех устройствах централизованно управляемая лицензионная защита конечных точек? Если этого нет, SIEM поможет только смотреть на пожар.

Вежливо поблагодарите за предложение и увеличьте ёмкость архивации логов вашего текущего фаервола. Поставьте один внешний накопитель, направьте логи туда, делайте ежедневную проверку бэкапов — и хватит. Вместо 22.000 TL в месяц направьте эти деньги на IT-специалиста или обновление инфраструктурного железа.

В логистической фирме, где я раньше работал, такое же воодушевление привело к установке. Из-за сотен алертов в первый месяц IT-отдел отключил уведомления. На четвёртый месяц мы даже не заметили, что среди этих отключённых уведомлений был зашифрованный сервер. Всё решает не софт, а качество специалиста, который за ним следит; на бюджет малого бизнеса такого специалиста, увы, не купишь.

Примечание: пишу на основе своего опыта, у других может быть иначе.

На это стоит обратить внимание. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Исправьте, если я ошибаюсь.

Самое упускаемое из вида в теме что такое SIEM: Не полагайтесь на одну меру защиты; действуйте слоями.

Удачи.

Попробую. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

На этом всё, извините, если затянул.

Расскажу, что было у меня, вдруг пригодится. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

При принятии решений записывайте и худший сценарий, а не только лучший. Я бы пошел этим путем.

Согласен.

Согласен с этим... Если делаете впервые начните с малого масштабирование потом.

Я думаю иначе. Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

Если включена двухфакторная аутентификация, украденный пароль бесполезен. На этом всё, извините, если затянул.

Мы тоже какое-то время назад застряли на том же месте. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Надеюсь, это будет полезно.

Согласен с этим. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Буду отстаивать обратное, не обижайтесь. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения. На этом всё, извините, если затянул.