SIEM и SOC: архитектура, процессы, метрики

SIEM и SOC — два связанных, но не тождественных понятия в архитектуре корпоративной кибербезопасности. SIEM — это техническая платформа агрегации и анализа событий безопасности из разнородных источников. SOC — организационная структура с людьми, процессами и инструментами, которая использует SIEM как один из основных рабочих инструментов. Зрелая программа безопасности строится на их связке: технология собирает и обогащает данные, команда интерпретирует их и реагирует на угрозы.

За последние пять лет рынок прошёл серьёзную трансформацию: классические SIEM-платформы дополнились UEBA-аналитикой, SOAR-автоматизацией, XDR-интеграцией с эндпойнтами и облачными средами. Архитектура и процессы SOC также изменились — от тиражной модели с тремя линиями реагирования к более плоским структурам с акцентом на проактивный hunt. Понимание этих изменений и сегодняшнего состояния помогает планировать собственную программу или оценивать внешние услуги MSSP.

Что такое SIEM

Security Information and Event Management — класс систем, объединяющий две исторически разные функциональности: SIM (security information management — хранение и анализ исторических данных) и SEM (security event management — корреляция и реагирование на текущие события). Современные платформы делают и то, и другое: принимают логи, нормализуют их в общий формат, хранят, коррелируют по правилам, генерируют алерты, обогащают данными threat intelligence.

Базовые функции SIEM

• Сбор логов и телеметрии из десятков и сотен источников
• Нормализация событий в единый формат (CEF, LEEF, собственные схемы)
• Корреляция событий по предопределённым и кастомным правилам
• Хранение исторических данных для расследований и compliance
• Генерация алертов с приоритизацией по критичности
• Дашборды и отчётность для разных аудиторий
• Интеграция с threat intelligence-источниками
• Поиск по индексированным данным для расследований

Источники данных

Объём данных в SIEM может быть огромным: для средней корпорации легко превышает 100 ГБ в сутки, для крупной — несколько терабайт. Стоимость хранения и обработки часто становится главным фактором при выборе SIEM-платформы.

Что такое SOC

Security Operations Center — это организационное подразделение, отвечающее за мониторинг, анализ и реагирование на угрозы безопасности в реальном времени. SOC может быть внутренним (in-house), аутсорсингованным (MSSP — Managed Security Service Provider) или гибридным.

Базовые функции SOC

1. Непрерывный мониторинг событий безопасности через SIEM и другие инструменты
2. Триаж и расследование алертов
3. Реагирование на инциденты по утверждённым процедурам
4. Threat hunting — проактивный поиск угроз в данных
5. Управление уязвимостями и патч-менеджмент
6. Threat intelligence — сбор и применение разведданных об угрозах
7. Отчётность для руководства и compliance
8. Обучение сотрудников и повышение security awareness

Архитектура классического SIEM

Современная SIEM-платформа состоит из нескольких слоёв, выполняющих разные функции.

Сбор данных

Коллекторы и forwarders разворачиваются рядом с источниками логов и передают их в централизованную систему. Это могут быть syslog-приёмники, агенты на серверах, API-интеграции для облачных сервисов. Для большого объёма используются потоковые брокеры (Kafka, Kinesis), сглаживающие пиковые нагрузки.

Нормализация и обогащение

Сырые логи приводятся к единой схеме: общие поля для пользователя, источника, действия, времени. Параллельно происходит обогащение — добавление контекста из IAM (роль пользователя), CMDB (критичность актива), threat intelligence (репутация IP-адреса), geo-IP-баз.

Хранение

SIEM хранит данные двух типов: горячие (последние недели, доступны для real-time-анализа) и холодные (исторические, для расследований и compliance). Современные платформы используют tiered storage с автоматической миграцией данных между уровнями.

Корреляция и аналитика

Сердце SIEM — движок корреляции, выявляющий подозрительные паттерны. Базовый подход — set правил: «5 неудачных входов с одного IP за 10 минут — алерт». Современные платформы добавляют поведенческую аналитику и ML-модели, выявляющие аномалии без явных правил.

Visualization и orchestration

Верхний слой — дашборды для аналитиков и руководства, рабочие места с case management, интеграции с SOAR-платформами для автоматизации реагирования.

Правила корреляции

Качество SIEM во многом определяется качеством правил корреляции. Несколько типичных категорий:

• Authentication anomalies: множественные неудачные входы, входы из необычных географических локаций, использование разных идентичностей с одного устройства
• Privilege escalation: создание новых административных учёток, добавление в привилегированные группы, sudo-команды от обычных пользователей
• Data exfiltration: большие объёмы исходящего трафика, доступ к чувствительным данным, передача файлов на внешние сервисы
• Lateral movement: подключения между серверами по нетипичным портам, использование инструментов вроде PsExec, доступ к разным системам с одной учётки
• Malware indicators: запуск подозрительных процессов, обращение к известным C2-серверам, изменение системных файлов
• Insider threats: скачивание больших объёмов данных пользователями перед увольнением, доступ к данным вне рабочей зоны ответственности

Тюнинг правил — постоянная задача SOC. Слишком общие правила дают тысячи ложных срабатываний; слишком конкретные пропускают атаки. Зрелые команды итеративно совершенствуют правила, разбирая каждое срабатывание и корректируя пороги, исключения, контекстные условия.

UEBA — поведенческая аналитика

User and Entity Behavior Analytics — отдельный класс инструментов, дополняющий классические SIEM. UEBA строит профили нормального поведения пользователей и устройств, затем выявляет отклонения через ML-модели.

Что выявляет UEBA

• Пользователь, работавший только днём, начал активно действовать ночью
• Учётка, обычно обращающаяся к 10 серверам, начала подключаться к 100
• Сотрудник, никогда не скачивавший большие объёмы данных, скачал 50 ГБ за час
• Устройство, использовавшее только локальную сеть, начало подключаться к внешним сервисам
• Учётка с одних географических координат внезапно появилась с других через час

Современные SIEM-платформы интегрируют UEBA-функциональность нативно либо предлагают её как отдельный модуль. Open source-проекты (Wazuh, ELK Security) также добавляют базовую поведенческую аналитику.

SOAR — автоматизация реагирования

Security Orchestration, Automation and Response — класс платформ, автоматизирующих рутинные операции SOC. SOAR-системы интегрируются с SIEM и другими инструментами, выполняя предопределённые playbooks при возникновении определённых событий.

Типичные сценарии автоматизации

SOAR снижает нагрузку на аналитиков и ускоряет реагирование с часов до секунд. Платформы: Splunk SOAR (бывший Phantom), Palo Alto XSOAR, IBM Resilient, открытые TheHive с Cortex.

Структура команды SOC

Классическая модель SOC использует трёхуровневую структуру с разделением обязанностей.

Tier 1 — Triage Analyst

Первая линия мониторинга. Просматривает входящие алерты, определяет их валидность и критичность, закрывает false positives, эскалирует реальные инциденты выше. Junior-роль, требующая внимательности и базовых знаний.

Tier 2 — Incident Responder

Расследование подтверждённых инцидентов. Собирает дополнительные данные, восстанавливает картину атаки, координирует первоначальное реагирование. Требует более глубоких знаний и опыта в форензике.

Tier 3 — Threat Hunter / Expert Analyst

Сложные расследования, проактивный поиск угроз, разработка новых правил детекции, анализ APT-кампаний. Senior-роль с опытом 5+ лет.

Дополнительные роли

• SOC Manager — управление командой, отчётность, развитие SOC
• Engineering — поддержка SIEM-платформы, разработка правил, интеграции
• Threat Intelligence Analyst — сбор и применение разведданных об угрозах
• Forensics Specialist — глубокий анализ инцидентов, восстановление событий

Альтернативные модели

Современные SOC всё чаще отходят от жёсткой тиражной модели в пользу плоских структур. Причины: дефицит junior-кадров, демотивация Tier 1-аналитиков от рутины, рост автоматизации. Модели вроде «split-tier SOC» или «fusion SOC» объединяют функции, давая аналитикам больше разнообразия и роста.

Процессы SOC

Зрелый SOC опирается на формализованные процессы. Базовые из них:

Monitoring 24/7

Непрерывный мониторинг алертов и событий. Требует сменной работы или MSSP-партнёра для ночных и выходных часов. Стандартные смены — 8 или 12 часов, 3 или 4 смены команд для покрытия 24/7.

Incident Response

Формализованный процесс реагирования на инциденты. Классическая модель NIST разбивает его на этапы: подготовка → обнаружение → анализ → сдерживание → искоренение → восстановление → пост-инцидентный обзор.

Threat Hunting

Проактивный поиск угроз в данных, не дожидаясь срабатывания правил. Гипотеза-ориентированный подход: «если бы атакующий хотел добиться X, мы бы увидели Y». Аналитик ищет Y в исторических данных.

Vulnerability Management

Управление известными уязвимостями: сканирование, приоритизация, координация с командами эксплуатации по патчингу, проверка устранения. Часто отдельная функция, но тесно связана с SOC.

Метрики SOC

Эффективность SOC измеряется набором стандартных метрик.

Industry benchmarks показывают, что среднее MTTD по индустрии составляет около 200 дней, а MTTR — 70 дней. Зрелые SOC достигают MTTD в часы и MTTR в часы-сутки, но это требует значительных инвестиций.

MITRE ATT&CK

Фреймворк описания тактик, техник и процедур атакующих, ставший стандартом для оценки detection coverage. Зрелый SOC использует ATT&CK для:

• Картирования правил детекции по техникам атак
• Выявления gap в покрытии
• Приоритизации новых правил по релевантным для индустрии техникам
• Threat hunting с конкретными гипотезами
• Коммуникации с руководством о реальных возможностях защиты

Инструменты вроде MITRE ATT&CK Navigator, DeTT&CT, Atomic Red Team помогают визуализировать покрытие и тестировать детекцию.

SIEM-платформы

Коммерческие решения

Open source

• Elastic Security (ELK) — самый популярный open source SIEM, основан на стеке Elasticsearch
• Wazuh — комплексное решение с эндпойнт-агентами, vulnerability detection, FIM
• Graylog — лёгкое решение для логов с базовой аналитикой
• OpenSearch Security — форк ELK от AWS
• Security Onion — преконфигурированная дистрибуция с IDS, NIDS, SIEM

In-house vs MSSP

Один из главных стратегических вопросов — строить собственный SOC или передавать функцию провайдеру управляемых услуг.

Гибридные модели

Распространены варианты: in-house с MSSP для ночных смен, или собственный Tier 2–3 + MSSP-Tier 1, или собственный SOC с консультантами для аудита и развития. Полностью одну или другую модель применяют реже.

XDR — следующее поколение

Extended Detection and Response — концепция платформы, объединяющей SIEM, EDR, NDR, cloud security в единое решение. Идея — снять с команды задачу интеграции десятков точечных продуктов, предоставив унифицированную картину защиты.

XDR-решения активно развивают крупные вендоры: Microsoft Defender XDR, Palo Alto Cortex XDR, CrowdStrike Falcon Insight XDR, Trend Micro Vision One. Open XDR-инициативы пытаются стандартизировать обмен данными между разными продуктами.

Для команд, начинающих с нуля, XDR может быть более простой стартовой точкой, чем построение собственного стека из отдельных SIEM, EDR, SOAR.

Cloud-native SIEM

Классические SIEM строились для on-premise мира с серверами и сетями. Современные cloud-native платформы (Microsoft Sentinel, Google Chronicle, Splunk SIEM в cloud) учитывают специфику облака: больше API-логов, динамические ресурсы, multi-cloud-среды, serverless-нагрузки.

Особенности cloud-native подхода:

• Pay-per-use ценообразование вместо лицензий на объёмы
• Эластичная масштабируемость без планирования железа
• Готовые коннекторы к облачным сервисам
• Интеграция с identity-провайдерами и cloud-IAM
• Поддержка multi-tenancy для MSSP

Стоимостная модель

Затраты на SOC и SIEM варьируются в широких пределах. Ориентиры для компании средних размеров (1000–5000 сотрудников):

• SIEM-лицензии: $200K–1.5M в год в зависимости от объёма данных и поставщика
• Команда SOC из 8–15 человек: $1–3M в год по зарплатам
• Дополнительные инструменты (EDR, SOAR, threat intel): $300K–1M в год
• Инфраструктура: $100K–500K в год
• Обучение и сертификации: $50K–150K в год

Альтернатива через MSSP: $200K–800K в год для аналогичного объёма мониторинга, но с меньшей кастомизацией и глубиной анализа.

SOC — это команда, процессы и культура. SIEM — это инструмент. Без зрелой команды самый дорогой SIEM остаётся источником шума, а не защитой.

Типичные ошибки

Покупка SIEM без команды

Установка SIEM без выделенной команды на мониторинг и реагирование не повышает безопасность. Получаются дорогие отчёты, которые никто не читает. Перед закупкой SIEM нужно либо нанять SOC-команду, либо договориться с MSSP.

Все логи в SIEM

Соблазн «давайте отправим всё в SIEM» приводит к огромным счетам за хранение и обработке без пользы. Лучше начать с критически важных источников и постепенно расширять покрытие на основе реальных потребностей detection.

Игнорирование тюнинга правил

Дефолтные правила вендоров производят шум. Без постоянного тюнинга команда тонет в false positives и пропускает реальные атаки. Тюнинг — это не разовая задача, а постоянная активность по нескольку часов в неделю.

Отсутствие документации

Без playbooks реагирования каждый инцидент обрабатывается заново. Без runbooks по технике каждый аналитик учится на своих ошибках. Зрелый SOC документирует процессы, правила, типовые сценарии, изученные уроки.

Часто задаваемые вопросы

Нужен ли SIEM малому бизнесу

Полноценный SIEM с командой — нет. Малому бизнесу обычно достаточно managed-сервисов EDR (типа Microsoft Defender for Business), базового логирования и подписки на MSSP-сервис мониторинга. Покупать enterprise SIEM на 50 сотрудников — пустая трата денег.

Может ли SIEM заменить пентесты

Нет. SIEM работает с известными паттернами и логами; пентест ищет неизвестные уязвимости через имитацию атаки. Это дополняющие, а не заменяющие практики. Зрелая программа использует обе.

Сколько данных хранить в SIEM

Зависит от регуляторных требований и потребностей расследований. Стандартный подход — 90 дней «горячих» данных для оперативной работы, 1 год «холодных» для расследований, дольше — для compliance (PCI DSS, GDPR, отраслевые требования). Хранение в холодном tier дешевле, но доступ медленнее.

Сколько правил корреляции нужно

Начинать стоит с 50–100 базовых правил, покрывающих основные техники MITRE ATT&CK для своей индустрии. Зрелые SIEM имеют сотни и тысячи правил, но качество важнее количества. Лучше 100 работающих правил с низким FP, чем 1000 шумных.

Как выбрать между SIEM и XDR

SIEM лучше для гетерогенных сред с множеством источников и кастомных интеграций. XDR проще для компаний, готовых сосредоточиться на стеке одного вендора. Для большинства средних компаний XDR от крупного вендора (Microsoft, Palo Alto, CrowdStrike) даёт хорошее покрытие при меньшем оверхеде.

Что важнее: предотвращение или обнаружение

Оба важны, и зрелая программа инвестирует в оба направления. Предотвращение (firewalls, EDR с блокировкой, MFA, патчинг) останавливает массу атак. Обнаружение (SIEM, threat hunting) ловит то, что прошло через предотвращение. Без обнаружения компрометация может оставаться незамеченной месяцами.

Заключение

SIEM и SOC — два связанных элемента корпоративной безопасности: технологическая платформа агрегации и анализа данных безопасности и организационная структура для их использования. Современная платформа дополняется UEBA-аналитикой, SOAR-автоматизацией, интеграцией с XDR. Структура SOC эволюционирует от классической трёхуровневой к более плоским моделям с большей автоматизацией.

Построение зрелого SOC — это многолетняя программа с миллионными бюджетами. Альтернатива через MSSP даёт быстрый старт за меньшие деньги, но с компромиссами в кастомизации и глубине анализа. Гибридные модели часто оказываются оптимальным компромиссом. Главный фактор успеха — не выбор конкретной SIEM-платформы, а зрелость команды, процессов и культуры реагирования. Технология сама по себе не делает компанию безопаснее — она лишь предоставляет инструменты команде, которая ей пользуется.