Подрядчик предлагает внедрить SIEM-систему: что это вообще такое и нужно ли нам?

Предлагать SIEM на 18 рабочих мест — чистой воды стрельба из пушки по воробьям. Если в штате нет безопасника, который будет сидеть в логах целыми днями, SIEM превратится в дорогую утилиту для забивания жестких дисков. Аутсорс просто набивает себе стабильный ежемесячный чек, вежливо отказывайтесь.

Работал в импортной компании примерно такого же размера, повелись на похожие сказки. Платили 6 месяцев по 45.000 RUB в месяц. За все время все прилетавшие алерты были ложными, отчеты никто даже не открывал. На седьмой месяц расторгли договор и пустили эти деньги на нормальные железки для бэкапов.

Без грамотных правил корреляции от SIEM толку ноль. Ваши офисные винды и файрвол будут генерировать сотни тысяч строк логов в сутки. Чтобы это просто хранить, уже нужны приличные дисковые массивы. Скорее всего, подрядчик просто накатит какой-нибудь опенсорс и бросит его как есть.

Продавать SIEM в офис на 18 компов — это, конечно, мощный приступ коммерческой наглости. Не удивлюсь, если следующим шагом они предложат вам круглосуточный вооруженный ЧОП на входе и турникеты по отпечаткам пальцев.

да не надо оно вам вообще, деньги на ветер. настройте нормально фаервол включите всем 2fa и делайте регулярные бэкапы вот и все. siem это для банков и гигантов тема.

Перед тем как думать о SIEM, проверьте базу: 1) Торчит ли наружу прямой RDP к серверу бухгалтерии? 2) Стоит ли на каждом компе нормальный лицензионный антивирус/EDR? 3) Делаются ли оффлайн-бэкапы? Если этих трех пунктов нет, никакая SIEM вас не спасет.

Пока в таможенно-логистической сфере нет прямого законодательного требования регуляторов об обязательном использовании SIEM, для малого бизнеса подобные расходы абсолютно не оправданы с точки зрения операционной эффективности.

Консенсус очевиден: на 18 человек SIEM — пустая трата. Вместо 160.000 RUB за внедрение и 55.000 RUB ежемесячно куда надежнее вложиться в двухфакторку, качественную защиту рабочих станций и изолированные бэкапы.

Хочу задать вопрос. Если делаете впервые начните с малого масштабирование потом.

сохранил.

Сведу тему в кучу, так как ответов было несколько разных. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Оставлю как заметку, пригодится.

Я тоже об этом думал. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Проверено опытом.

Попробую.

На что обратить внимание при выполнении этого. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Не полагайтесь на одну меру защиты; действуйте слоями. Это мое мнение, не утверждаю, что оно единственно верное.

Мы тоже какое-то время назад застряли на том же месте. При принятии решений записывайте и худший сценарий, а не только лучший.

Если напишете результат здесь, это поможет и другим.

Я тоже так считаю. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному. Интересно, есть ли те, кто делает иначе.

Этот совет подойдет не всем, на мой взгляд. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Проверено опытом.

Мне тоже интересно.