MaxPatrol SIEM

MaxPatrol SIEM — система управления событиями информационной безопасности для выявления комплексных атак. Задача SIEM отличается от всего остального в категории: она не блокирует угрозы, а собирает события со всей инфраструктуры и показывает, что разрозненные мелочи складываются в атаку.

Продукт живёт в большой линейке разработчика: рядом — MaxPatrol VM (управление уязвимостями), MaxPatrol EDR, MaxPatrol O2, PT NGFW, PT Sandbox, PT NAD и другие. Сама Positive Technologies заявляет более 20 лет практического опыта на рынке ИБ, более 25 высокотехнологичных продуктов и решений и роль в формировании стандартов: «Помогаем Росстандарту, ЦБ и ФСТЭК формировать стандарты ИБ».

Корреляция событий — ядро продукта. Разработчик перечисляет: создавать правила корреляции, в том числе через конструктор; настраивать их под особенности инфраструктуры; использовать автоматическую фильтрацию по белым спискам для исключения ложных срабатываний.

Расширенный whitelisting. Отдельный сюжет, и он честно объяснён разработчиком: белые списки гасят шум, но «без дополнительного подтверждения вердикта повышается риск пропустить реальный инцидент». Это главный компромисс любой SIEM.

Экспертиза разработчика как часть продукта. Исследовательский центр компании заявляет более 80 уязвимостей нулевого дня ежегодно, около 31 000 найденных уязвимостей в год и около 50 расследований взломов в год. Для SIEM это не маркетинг: качество системы определяется тем, насколько быстро разработчик поставляет новые правила детектирования.

Публичного прайса нет. Как и у остальных решений категории, цена считается под проект. Для SIEM ключевой параметр цены — объём событий в секунду (EPS) и число источников, а не число сотрудников. Эти цифры нужно посчитать до запроса коммерческого предложения, иначе разговор не состоится.

Сразу закладывайте в бюджет железо или виртуальные мощности под хранилище событий: глубина хранения логов часто задана регулятором, а не вашим желанием.

Сертификаты — самая сильная часть, и разработчик публикует их таблицей с номерами и сроками. По MaxPatrol SIEM:

• ФСТЭК России — сертификат соответствия № 4980, действует до 22.09.2030, техническая поддержка до 22.09.2031, сертифицированная версия 27.6.40521. Номер принадлежит не одному продукту: в таблице разработчика № 4980 стоит сразу у MaxPatrol SIEM, MaxPatrol VM, MaxPatrol EDR, MaxPatrol O2 и XSpider PRO. Сам номер сертификацию именно SIEM не подтверждает — подтверждает строка с версией, её и сверяйте (проверено 26.09.2026).
• Министерство обороны РФ — сертификаты № 6653 (версия 25.0.4691, до 26.12.2028) и № 7407 (версия 26.1.8760, до 23.04.2030).
• ФСБ России — средство ГосСОПКА (приказ ФСБ России № 196), как средство обнаружения, до 01.07.2029, версия 26.1.8760.

Статус средства ГосСОПКА — это отдельный аргумент. Если вы субъект КИИ и обязаны подключаться к ГосСОПКА, совместимость средства обнаружения с требованиями НКЦКИ решает больше, чем сравнение функций в табличке.

Смотрите на версию в сертификате, а не на факт его наличия. В таблице разработчика видно, что у разных регуляторов сертифицированы разные сборки: у ФСТЭК — 27.6.40521, у Минобороны — 25.0.4691 и 26.1.8760. Если ваша система аттестуется, вы будете обязаны работать на конкретной сертифицированной сборке и обновляться не тогда, когда вышла новая версия, а когда её сертифицируют.

Сроки действия тоже важны. В той же таблице есть продукты разработчика с истёкшими сертификатами (например, MaxPatrol 8 — истёк 08.07.2024 при поддержке до 2029 года). Не распространяйте статус одного продукта на всю линейку — проверяйте каждый отдельно.

SIEM без команды не работает. Это самая требовательная к квалификации позиция в категории. Нужны люди, которые пишут и поддерживают правила корреляции и разбирают срабатывания. Если такой команды нет, честнее смотреть в сторону аутсорсинга SOC, а не покупки лицензий.