«СёрчИнформ SIEM» помог выявить атаки на сетевые шлюзы

Иркутская компания ООО по защите информации «Секрет-Сервис» внедрила «СерчИнформ SIEM». Система собирает события с узлов корпоративной сети и помогает отделу ИБ выявлять признаки сетевых атак. Решение развернули в начале 2026 года после тестирования систем управления событиями ИБ (SIEM) нескольких производителей.

«Выбор остановили на "СерчИнформ", потому что нас устроило, что в "СерчИнформ SIEM" есть все необходимые функции «из коробки» и большое количество предустановленных коннекторов. Установка системы заняла час. Уже на старте эксплуатации мы зафиксировали несколько инцидентов: попытки подключиться к шлюзам компании с вредоносных адресов и подозрительную активность в одном из сегментов сети. Подозрительные моменты были локализованы и исследованы с положительным результатом», — рассказывает Александр Горбылев, специалист ООО по защите информации «Секрет-Сервис».

Заказчик подчеркнул, что в «СерчИнформ SIEM» удобно работать с различными источниками событий. Правила для каждого источника учитывают опыт и задачи компаний из всех областей бизнеса. В системе более 500 готовых правил корреляции и можно создавать собственные. Для этого не нужно знать языки программирования. В «СерчИнформ SIEM» эта задача автоматизирована — в графическом интерфейсе, где правило собирается как в конструкторе в пару кликов.

По словам специалистов ООО по защите информации «Секрет-Сервис», на старте, со стандартным набором источников, система дала первые результаты. Она помогла провести аудит сетевой активности на ключевых узлах корпоративной инфраструктуры. Помимо стандартных источников, заказчик подключил собственный.

«Многие вендоры предлагают сотни коннекторов и правил к ним в своих системах. На практике это разнообразие нужно не всегда. Оптимально выбрать решение, которое поддерживает нужную базу. "СерчИнформ SIEM" поставляется с персонализированными коннекторами к типовому оборудованию и ПО. Если их не хватит, есть универсальные коннекторы под сетевые протоколы и стандарты — по ним можно подключить большинство других источников. А для самых сложных случаев, например, самописного ПО или выборочной вычитки данных, есть возможность создать кастомное подключение по шаблону на PowerShell или собрать данные напрямую из БД источника. Таким образом, заказчик получает все инструменты, чтобы укомплектовать систему под себя, и не платит за то, чем не будет пользоваться», — комментирует Павел Пугач, системный аналитик «СерчИнформ».

«СерчИнформ» продолжает расширять возможности продуктов. За последний год в «СерчИнформ SIEM» появились контроллеры для сбора событий из ключевых отечественных решений, включая межсетевые экраны нового поколения PT Application Firewall (в том числе версии Pro) и «Континент 4», рабочие станции под управлением РЕД ОС, систему централизованного управления РЕД АДМ, службу каталогов ALD Pro для Astra Linux и корпоративный почтовый сервер RuPost.