Российский аналог Splunk: чем заменить в 2026 году

Splunk прекратил продажи и обслуживание в России в феврале 2019 года — не в 2022-м. 15 февраля 2019 года маркетплейс приложений SplunkBase заблокировал доступ по геолокации для российских IP-адресов. 18 февраля представитель Splunk по России Амшун Нордин публично заявил: «Splunk принял решение полностью прекратить деятельность в России, с немедленным вступлением в силу».

19 февраля на официальном блоге компании вышел пост о «смещении приоритетов глобальной стратегии», 20 февраля партнёров уведомили о расторжении контрактов. Компания остановила продажи и услуги — напрямую, через партнёров, реселлеров и дистрибьюторов, — включая расширение и продление уже действующих лицензий, при этом заявляла о готовности выполнять обязательства техподдержки по ранее поставленным лицензиям.

Официальная причина от пресс-службы — компания «постоянно решает, куда лучше инвестировать»: прямой ссылки на санкции или политику в открытых источниках 2019 года не найдено.

Это делает Splunk одним из самых ранних и наиболее явно задокументированных случаев ухода крупного зарубежного ИБ-вендора с российского рынка — на три года раньше волны 2022 года, когда одна за другой о приостановке продаж в России объявили Veeam, Fortinet и другие компании.

После 24 февраля 2022 года доступность Splunk для российских заказчиков стала невозможной ещё и по независимой линии — экспортному контролю США. С этой даты действует общий режим ограничений Бюро промышленности и безопасности Минторга США (BIS) на поставку в Россию товаров из категорий 3–9 Классификатора экспортного контроля (CCL), включая программное обеспечение с функциями шифрования и информационной безопасности (категория 5 часть 2).

Отдельного документа BIS адресно про Splunk не найдено — это общий режим для класса товаров, а не персональный запрет на конкретный продукт.

Практический вывод. Легальная покупка или продление Splunk — SaaS-биллинг, обновления, поддержка — в России невозможна с февраля 2019 года по решению самого вендора; с 2022 года добавился независимый пласт ограничений — экспортный контроль и санкции против платёжной инфраструктуры. Формулировка «Splunk ушёл из России из-за санкций 2022 года» фактически ошибочна — компания приняла коммерческое решение на три года раньше и по другой причине.

Регуляторная причина спроса на замену — не только недоступность оригинала, но и импортозамещение. Для значимых объектов КИИ и госсектора действует отдельный, более жёсткий запрет на иностранное ПО:

• Указ Президента РФ от 30.03.2022 № 166 (с изменениями Указа № 214 от 07.04.2025) — запрет на использование иностранного ПО на значимых объектах КИИ. Базовый срок перехода был 1 января 2025 года, но фактически перенесён: в ноябре 2025 года глава Минцифры Максут Шадаев назвал новую базовую дату — 1 января 2028 года; для проектов, начатых в 2025 году, срок может сдвигаться до 2031 года, для начатых в 2026–2027 годах — до 2036 года. Закрепляющее постановление Правительства на середину 2026 года ещё проходит согласование.
• Постановление Правительства РФ от 23.12.2024 № 1875 — единый национальный режим для госзакупок ПО по 44-ФЗ/223-ФЗ: для позиции 146 приложения № 1 (ОКПД2 58.29) действует полный запрет на допуск иностранного ПО, а не «второй лишний».
• С 1 сентября 2025 года (187-ФЗ и порядок категорирования) на объектах КИИ разрешено использовать только ПО из реестра отечественного ПО Минцифры.

По коду классификатора 03.02 «SIEM» в Реестре российского ПО значится 157 совпадений по ключевым словам — это сырой счётчик по коду, а не число зрелых самостоятельных SIEM-платформ. Экспертная редакция SecRadar детально оценила 11 продуктов как прямых или близких аналогов Splunk — по данным профиля SecRadar (снимок 09–10.07.2026) с прямой построчной сверкой сертификатов ФСТЭК по CSV-выгрузке reestr.fstec.ru (снимок 03.07.2026).

Номера сертификатов актуальны на дату снимка — перед закупкой проверяйте текущий статус в Госреестре СЗИ ФСТЭК.

↔ таблицу можно прокрутить вбок

Таблица выше — сжатый обзор всех 11 продуктов подборки, а не полное сравнение класса: детальный фичер-грид по всем функциям, архитектуре и позиционированию (капабилити × присутствие на рынке) — на радаре класса SIEM. Полная таксономия класса, все вендоры и функции SIEM как такового — на странице «Российские SIEM».

Единственный найденный легальный бесплатный российский вариант — RvSIEM Free. Вендор РуСИЕМ (коммерческий продукт RuSIEM — № 8 в таблице выше) распространяет RvSIEM Free — бесплатную версию с ограниченным функционалом, ближе к log-management, чем к полноценному SIEM. Ограничения по времени использования, числу источников и объёму хранения не заявлены, но нет white-label и официальной лицензии на обновления; использование разрешено для собственных нужд и ознакомления, без передачи данных третьим лицам.

Перед внедрением лицензионные условия стоит проверить отдельно — на сайте вендора.

У остальных десяти продуктов подборки только коммерческие лицензии, иногда с демо- или триал-доступом, но без бесплатного использования «из коробки» на постоянной основе.

В мире существуют зарубежные open-source SIEM-инструменты — Wazuh, OSSIM/AlienVault, стек OpenSearch — Wazuh, например, используют тысячи организаций по всему миру. Но выдавать их за российские аналоги было бы нечестно: они не входят в Реестр российского ПО Минцифры, не имеют сертификата ФСТЭК и не годятся для КИИ и госзакупок по 44-ФЗ/223-ФЗ.

Если такой инструмент рассматривается как техническое решение вне периметра КИИ и госзакупок, стоит явно понимать: это замена по функциональности, а не по регуляторному статусу.

Развёрнутый гайд с полным чек-листом критериев — на странице «Как выбрать SIEM». Здесь — пять пунктов, которые сильнее всего сужают выбор именно при переходе со Splunk:

• Compliance — запись в Реестре российского ПО (обязательна для 44-ФЗ/223-ФЗ) и действующий сертификат ФСТЭК (для КИИ и госсектора). Из 11 продуктов подборки действующий сертификат подтверждён у 9, истёк без продления — у Ankey SIEM NG и СёрчИнформ SIEM.
• Объём событий (EPS) и модель лицензии — у Splunk лицензия по объёму индексируемых данных в день; у большинства российских SIEM модель похожая, у RuSIEM есть гибкая бесплатная опция для входа.
• Покрытие функций Splunk Enterprise Security — корреляция, UEBA, Threat Intelligence, готовые правила детекта, дашборды, аналог SPL. Не у всех российских продуктов эти компоненты одинаково зрелые — самая длинная линейка развития и экосистема сегодня у KUMA и MaxPatrol SIEM.
• Экосистема вендора — когда один поставщик закрывает SIEM+SOAR+VM+TI (Kaspersky, Positive, R-Vision, BI.ZONE), это снижает интеграционные издержки при миграции.
• Миграция контента детекта — перенос правил корреляции и коннекторов источников с SPL на язык целевой платформы не автоматический процесс, он требует переписывания правил, а не только импорта конфигурации.

Реестр российского ПО (Минцифры) — обязательное условие допуска к закупкам по 44-ФЗ/223-ФЗ (позиция 146 приложения № 1 к ПП № 1875, полный запрет на иностранное ПО, а не «второй лишний»). Реестровую запись подтверждают все 11 продуктов подборки. Подробнее — реестр российского ПО.

Госреестр сертифицированных СЗИ ФСТЭК критичен для значимых объектов КИИ, ГИС и ИСПДн высоких уровней защищённости. Из 11 продуктов подборки действующий сертификат на дату проверки — у 9: истёк без подтверждённого продления у Ankey SIEM NG (18.01.2026) и СёрчИнформ SIEM (28.06.2026). У KUMA сертификат № 4455 истекает 28.09.2026 — короткий запас среди верхних позиций рейтинга, статус стоит перепроверить напрямую на reestr.fstec.ru/reg3 перед закупкой.

Указ № 166 делает Splunk юридически неприменимым на значимых объектах КИИ независимо от технической доступности продукта — фактический перенос базового срока перехода (2028 год, для отдельных проектов 2031–2036 годы) сдвигает крайний срок исполнения, но не снимает сам запрет на использование иностранного ПО. Как связаны категорирование объекта КИИ и обязанность уведомлять НКЦКИ об инцидентах через ГосСОПКА — в разделе «ГосСОПКА», общий обзор требований — в «Комплаенс КИИ».

ГОСТ Р 57580 (защита информации в кредитно-финансовой сфере) отдельно требует регистрации событий ИБ у операторов и участников платёжной инфраструктуры — SIEM закрывает часть этих требований по мониторингу. Подробности — на странице «ГОСТ Р 57580».