SecRadar / Классы СЗИ / XDR · класс 03.02 / 03.06 / 03.07 (нет отдельного кода классификатора)
Класс 03.02 / 03.06 / 03.07 (нет отдельного кода классификатора) · Реестр российского ПО
XDR — что это такое: российские решения расширенного обнаружения
XDR — это надстройка, которая сводит сигналы от рабочих станций, сети, почты и облака в одну картину, чтобы атака была видна целиком, а не кусками. XDR (Extended Detection and Response, расширенное обнаружение и реагирование) — класс средств, которые коррелируют телеметрию из НЕСКОЛЬКИХ доменов одновременно — как минимум конечные точки (EDR-уровень) и ещё один источник (сеть/NDR, почта, облако, SIEM-логи инфраструктуры) — в единой платформе с общим механизмом реагирования и построением цепочки атаки (kill chain) между доменами.
4решений в подборке
0с действующим сертификатом ФСТЭК
Kaspersky Symphony XDRвыше всех: 79 баллов
50-79разброс оценок в классе
Проверено экспертной редакцией SecRadar · по первоисточникам ФСТЭК / ФСБ / Банка России
Простое практическое правило: если продукт видит только хосты — это EDR; если он подключает как минимум сеть/почту/облако и связывает события в междоменную цепочку — это уже XDR. Это не то же самое, что SIEM: SIEM агрегирует сырые логи из десятков разнородных источников для комплаенса и ручного расследования, а XDR работает с уже обогащённой телеметрией от небольшого числа СОБСТВЕННЫХ сенсоров вендора и автоматизирует реагирование из коробки.
И не то же самое, что SOAR: SOAR оркестрирует playbook'и поверх ЧУЖИХ разнородных систем через API-интеграции, а XDR — это преимущественно автономная экосистема детектирования на технологиях одного вендора, не зависящая от внешних систем обнаружения.
Честно о состоянии рынка: по данным обзора Anti-Malware.ru «XDR в России» (обзор, актуализируется, данные 2025), первые российские XDR-решения — Kaspersky Symphony и PT XDR — вышли на рынок в 2022 году, но отечественные разработчики «пока только нащупывают нужный вектор развития», и по-настоящему самостоятельных XDR-платформ на рынке РФ на дату проверки — единицы: по буквальному совпадению слова «XDR» в ЗАРЕГИСТРИРОВАННОМ названии в Реестре российского ПО — всего 2 разных продукта у 2 вендоров (PT XDR и F6 XDR; дублирующая устаревшая запись F.A.C.C.T.
XDR не в счёт). У остальных крупных вендоров XDR — это не отдельное зарегистрированное изделие, а МАРКЕТИНГОВЫЙ ЗОНТИК (бренд) над бандлом уже существующих сертифицированных продуктов без отдельной SKU и отдельного сертификата — например, «Kaspersky Symphony» объединяет KATA + Kaspersky EDR + KUMA + SMP, а «MaxPatrol O2» — не XDR сам по себе, а «метапродукт»-автопилот, который работает НАД XDR-слоем PT.
Часть вендоров, у которых ожидаемо можно было бы искать XDR (R-Vision, BI.ZONE), либо предлагают экосистемную платформу без явного XDR-брендинга (R-Vision ЭВО), либо оказывают управляемый сервис детектирования (BI.ZONE TDR — модель MDR/SOC-as-a-service, а не лицензируемая платформа). У UserGate и Security Vision на дату проверки нет ни зарегистрированного, ни отдельно маркетируемого XDR-продукта вообще — это честно отражено в FAQ ниже, а не домыслено.
Ниже разобрано 6 наиболее заметных российских решений класса: вендор, номер реестра, статус сертификата ФСТЭК и какой зарубежный аналог заменяют. Всё на проверяемых данных.
Редакция SecRadar · как мы проверяем факты → Обновлено 27 сентября 2026 ✓ данные из Реестра российского ПО и Госреестр СЗИ ФСТЭК
Российский аналог зарубежного XDR
Прямое сопоставление ушедших зарубежных решений с российскими из реестра. Маппинг — оценка редакции по классу задач и присутствию на рынке, не формальная сертификация «один-в-один».
заменяем Palo Alto Cortex XDR
↓
PT XDR (Positive Technologies) — прямой аналог по архитектуре и продуктовой идентичности: самостоятельный коррелирующий слой с собственным ML-движком и MITRE ATT&CK-картированием поверх сенсоров вендора (антивирус, МЭ, SIEM, облако), в продаже с апреля 2022 г., зарегистрирован в Реестре ПО отдельной записью №15328 (факт: reestr-export.xml)
заменяем Microsoft Defender XDR
↓
Kaspersky Symphony XDR (Лаборатория Касперского) — та же модель, что у Microsoft: бренд-«зонтик» над уже существующими сертифицированными продуктами вендора (KATA+Kaspersky EDR+KUMA+SMP), а не отдельное изделие с собственным SKU; крупнейший ИБ-вендор РФ (77,3 млрд ₽ выручки FY2024, TAdviser Security 100 #1, факт)
заменяем Trend Micro Vision One
↓
MaxPatrol O2 (Positive Technologies) — как и Trend Vision One с его риск-ориентированным автоматическим реагированием, MaxPatrol O2 позиционируется как автономный «автопилот»: детектирует и останавливает продвижение атакующего по инфраструктуре без участия аналитика, используя граф атаки и предсказание тактик (факт: пресс-материалы PT, Habr, 2026); честная оговорка — технически это метапродукт НАД XDR-слоем, а не сама XDR-платформа
заменяем CrowdStrike Falcon
↓
F6 XDR (АО «Будущее», бренд F6, экс-Group-IB/F.A.C.C.T.) — как и у CrowdStrike, ядро продукта — экспертиза Threat Intelligence и Threat Hunting (наследие Group-IB Threat Hunting Framework/TDS Huntbox); самая быстрорастущая выручка среди крупных российских ИБ-вендоров в подборке — рост в 2,5 раза (+166%) до 3,88 млрд ₽ за 2025 г. (факт: TAdviser/CNews)
Сравнение российских решений
4 решения · класс 03.02 / 03.06 / 03.07 (нет отдельного кода классификатора)Какие решения класса «XDR» лучшие и кто в топе рынка — ниже рейтинг 4 решений по прозрачному скору SecRadar, без пользовательских отзывов. Скор — покрытие функций, статус сертификата ФСТЭК и присутствие на рынке (оценка редакции). Реестр РПО и сертификаты ФСТЭК проверяйте по официальным реестрам — ссылки в ячейках и футере.
↔ таблицу можно прокрутить вбок
| Продукт | Вендор | Оценка | Ранг | Реестр РПО | Статус ФСТЭК | Заменяет |
|---|---|---|---|---|---|---|
| Kaspersky Symphony XDR | Лаборатория Касперского (АО «Лаборатория Касперского») | 79 | Крупнейший российский ИБ-вендор (77,3 млрд ₽ выручки FY2024, TAdviser Security 100 #1, факт), один из двух первых XDR-брендов на рынке РФ наряду с PT…Крупнейший российский ИБ-вендор (77,3 млрд ₽ выручки FY2024, TAdviser Security 100 #1, факт), один из двух первых XDR-брендов на рынке РФ наряду с PT XDR (запуск ~2022 г., по данным Anti-Malware.ru). Модель идентична подходу Microsoft Defender XDR (Microsoft) — бренд-«зонтик» над уже существующими сертифицированными продуктами вендора, а не отдельное изделие с собственным SKU | нет в реестре | см. пометку1 | Microsoft Defender XDR |
| BI.ZONE SOC (экс-TDR) | BI.ZONE (ООО «БИЗон») | 68 | Модель ближе к managed-сервису (аналог Falcon Complete / MDR у CrowdStrike), чем к самостоятельно разворачиваемой XDR-платформе (Cortex XDR, PT XDR) — важное отличие для…Модель ближе к managed-сервису (аналог Falcon Complete / MDR у CrowdStrike), чем к самостоятельно разворачиваемой XDR-платформе (Cortex XDR, PT XDR) — важное отличие для покупателя. BI.ZONE заявляет амбицию к 2027 г. собрать полноценный продуктовый XDR-стек (собственный NGFW/NSP + расширение EDR-ядра после покупки NANO Security в 2025 г.), т.е. сегодняшний TDR — переходный этап, не финальная архитектура (факт: BI.ZONE Days 2026, Anti-Malware.ru) | нет в реестре | см. пометку2 | CrowdStrike Falcon Complete (MDR) |
| MaxPatrol O2 | Positive Technologies (АО «Позитив Текнолоджиз») | 68 | «Автопилот для кибербезопасности»: автоматически детектирует и останавливает продвижение атакующего по инфраструктуре, используя граф атаки и предсказание тактик/техник поверх данных от сенсоров PT (факт: Habr,…«Автопилот для кибербезопасности»: автоматически детектирует и останавливает продвижение атакующего по инфраструктуре, используя граф атаки и предсказание тактик/техник поверх данных от сенсоров PT (факт: Habr, пресс-материалы PT, 2026). Технологически самый продвинутый по автономности продукт в подборке, но по определению НЕ XDR-платформа, а надстройка над ней — эта честная граница важнее маркетингового лейбла | реестр РПО | см. пометку3 | Trend Micro Vision One |
| R-Vision EVO | R-Vision (ООО «Р-Вижн») | 50 | Выручка компании (вся линейка, не только ЭВО) за 2025 г. — 2,72 млрд ₽ (+8,8%), но чистая прибыль упала на 76,8% (с 769,9 млн…Выручка компании (вся линейка, не только ЭВО) за 2025 г. — 2,72 млрд ₽ (+8,8%), но чистая прибыль упала на 76,8% (с 769,9 млн до 178,4 млн ₽) — компания разместила облигации на бирже под 18,4% годовых (факт: TAdviser/Smart-Lab, 2026). Ecosystem-подход похож на Microsoft Defender XDR (бандл уже существующих продуктов вендора под одной консолью), но заметно уже по охвату доменов (нет собственных модулей для почты/облака/identity) | реестр РПО | см. пометку4 | Microsoft Defender XDR |
Видите ошибку в строке своего продукта?
Напишите на info@secradar.ru — проверим и исправим, указав дату правки. Так уже поправлены оценки нескольких вендоров.
Оценку меняем только по проверяемому источнику: ссылка на документацию, руководство администратора или отраслевое сравнение. «У нас это есть» без источника не подойдёт — по такому утверждению читатель не сможет проверить нас так же, как проверяет вендора. Место в рейтинге не продаётся, размещение значка на оценку не влияет: как мы проверяем факты.
Пометки к статусам ФСТЭК
- Kaspersky Symphony XDR — честная пометка: отдельной записи «Kaspersky Symphony XDR» в Реестре российского ПО и отдельного сертификата ФСТЭК на бандл как таковой НЕТ (выгрузка Реестра российского ПО — по истории изменений записи №9123 видно, что название «Kaspersky Symphony XDR» значится среди альтернативных наименований записи реестра с апреля 2022 г. (по editHistory), но текущее официальное название записи — иное, но текущее официальное название записи №9123 — «Kaspersky Total Security для бизнеса EDR Ready», к бандлу Symphony отношения не имеющее). При этом ВСЕ три ядровых компонента бандла сертифицированы ФСТЭК по отдельности и независимо (не через один зонтичный сертификат): Kaspersky EDR — сертификат №4597, действ. до 2027-10-14; KATA — сертификат №3854, действ. до 2030-12-27; KUMA — сертификат №4455, действ. до 2026-09-28 (валиден на дату проверки, но истекает менее чем через 3 месяца — стоит уточнять статус продления). Это сильнее, чем «модуль внутри одного зонтичного сертификата», но слабее, чем самостоятельно зарегистрированное и сертифицированное изделие «Symphony» — отсюда компромиссная, не максимальная оценка комплаенса
- BI.ZONE SOC (экс-TDR) — ПЕРЕИМЕНОВАН: в августе 2026 г. BI.ZONE TDR переименован в BI.ZONE SOC (подтверждено на сайте вендора, bi.zone/catalog/services/mdr/). важная честная оговорка: BI.ZONE TDR — это УСЛУГА (управляемый сервис детектирования и реагирования), а не лицензируемое программное изделие для самостоятельного развёртывания заказчиком — поэтому у неё, в отличие от продуктов, нет и не может быть отдельного номера в Реестре российского ПО или собственного сертификата ФСТЭК (сертификации в этом смысле подлежат программные/программно-аппаратные изделия, а не сервисная модель поставки). Сенсор, лежащий в основе сервиса — BI.ZONE EDR — сертифицирован (сертификат №5021, действ. до 2030-12-26); данных о ГОСТ/ISO-сертификации самих SOC-процессов BI.ZONE TDR не найдено (не проверялось)
- MaxPatrol O2 — реестровая запись присутствует (№17282, внесена 17.04.2023), но собственного отдельного сертификата ФСТЭК именно на MaxPatrol O2 в Госреестре СЗИ ФСТЭК на дату проверки не найдено — как и PT XDR, продукт опирается на зонтичный сертификат №4980 «MaxPatrol» (SIEM/VM/EDR) и сертифицированные сенсоры, но сам метапродукт-«автопилот» отдельно не сертифицирован
- R-Vision EVO — реестровая запись присутствует (№20054, «Программный комплекс «Р-Вижн ЭВО»», внесена 27.11.2023), но отдельного сертификата ФСТЭК именно на «ЭВО» как единое изделие в Госреестре СЗИ ФСТЭК на дату проверки не найдено. При этом отдельные компоненты платформы сертифицированы независимо: R-Vision SIEM — №4888, действ. до 2029-12-10; R-Vision TIP — №4614, действ. до 2027-11-02; R-Vision UEBA — №4758, действ. до 2028-12-27; R-Vision Threat Deception Platform — №4900, действ. до 2030-01-09 — четыре независимых действующих сертификата на модули платформы, что даёт частичное, не полное косвенное покрытие
факт проверяемый факт с источником реестр запись в госреестре, ссылка на карточку/поиск оценка редакционная оценка SecRadar
Номера сертификатов ФСТЭК меняются при перерегистрации — проверяйте актуальный статус в источнике: Госреестр СЗИ ФСТЭК. Пользовательские отзывы в скоре не используются.
Функциональность: что подтверждено документацией
Критерии в этом классе ВЗВЕШЕНЫ: критичный весит 3, важный 2, дополнительный 1, и у каждого написано, почему ему дан такой вес. Так поддержка условия внедрения не приравнивается к редкой дополнительной функции. Вес назначает редакция — это наше решение, а не заявление вендора. Ось «возможности» в рейтинге этого класса считается ПРЯМО ИЗ ЭТОЙ ТАБЛИЦЫ: доля подтверждённых признаков и есть балл, редакционной оценки здесь нет. Оценка ставится только при наличии источника: ✓ — функция описана в документации вендора, ½ — описана частично или с оговоркой, «—» — искали и не нашли, «·» — не проверяли. «Не проверяли» означает, что мы не нашли публичного описания, а не что функции нет: глубина доступных источников у вендоров разная, и это само по себе результат измерения.
Нажмите на подчёркнутую оценку в матрице, чтобы открыть её обоснование. «Уточнить эту оценку» подготовит письмо редакции — отправить его нужно в почтовой программе.
| Решение | Телеметрия из разных доменов | Собственные сенсоры | Кросс-доменная корреляция | Цепочка атаки | Приоритизация и снижение шума | Автоматическое реагирование | Киберразведка | Ретроспектива и поиск угроз | Сторонние источники | Модель поставки | Подтверждено |
|---|---|---|---|---|---|---|---|---|---|---|---|
| Kaspersky Symphony XDR страница продукта | ✓ | ✓ | ½ | ½ | ½ | ½ | ✓ | ✓ | ✓ | ½ | 7.5 из 10 |
| MaxPatrol O2 отраслевой обзор | ✓ | ✓ | ✓ | ✓ | ✓ | ½ | ½ | ½ | — | ½ | 7 из 10 |
| BI.ZONE SOC (экс-TDR) | ✓ | ½ | ½ | ½ | ½ | ½ | ✓ | ✓ | ✓ | ½ | 7 из 10 |
| R-Vision EVO страница продукта | ½ | ½ | ½ | — | — | ½ | ½ | ½ | ½ | ½ | 4 из 10 |
| F6 XDR → основная оценка в классе edr отраслевой обзор | ✓ | ✓ | ✓ | ½ | ½ | ✓ | ✓ | ✓ | · | ✓ | 8 из 9 · 1 не проверяли |
| PT XDR → основная оценка в классе edr документация | ½ | ✓ | ½ | ½ | — | ✓ | ½ | ½ | ½ | ½ | 5.5 из 10 |
✓ подтверждено½ частично— не найдено— вендор заявляет осознанный отказ· не проверяли
На чём стоит строка:документацияподтв. вендоромреестротраслевой обзорстраница продуктане оценивалось
Балл считается одинаково независимо от источника — но источники разной силы, и мы показываем какой. Руководство администратора проверяемо по разделу, отраслевой обзор пересказывает вендора, рекламная страница не обязана быть полной. «Не оценивалось» означает, что признаки у строки не проставлены ни по одному источнику: продукт в каталоге есть, а разбора ещё нет. Это наш пробел, и он виден намеренно.
- Телеметрия из разных доменовкритичный — Сбор данных не из одного источника. Полный балл — если названы не менее трёх доменов (конечные точки, сеть, почта, облако, приложения); частично — два
Почему такой вес: телеметрия из разных доменов — определение класса; одна конечная точка это ещё EDR - Собственные сенсорыкритичный — Полный балл — если у вендора названы свои средства сбора не менее чем в двух доменах (EDR, NDR, песочница, почтовый шлюз); частично — один
Почему такой вес: собственные сенсоры отличают платформу от надстройки над чужими продуктами - Кросс-доменная корреляциякритичный — Связывание событий разных источников между собой. Полный балл — если описан механизм связывания, а не просто «единая консоль»
Почему такой вес: кросс-доменная корреляция — то, ради чего домены и объединяют - Цепочка атакиважный — Полный балл — если система автоматически выстраивает последовательность действий злоумышленника и показывает её аналитику; частично — только группировка алертов
Почему такой вес: восстановление цепочки атаки делает результат понятным аналитику - Приоритизация и снижение шумаважный — Полный балл — если описано, как из потока срабатываний выделяются значимые: оценка захваченных ресурсов, прогноз развития атаки, ранжирование
Почему такой вес: приоритизация и снижение шума решают проблему потока оповещений - Автоматическое реагированиеважный — Полный балл — если названы конкретные действия (изоляция узла, завершение процесса, удаление файла, блокировка учётной записи); частично — реагирование заявлено общо
Почему такой вес: автоматическое реагирование ускоряет реакцию, но включается осторожно - Киберразведкаважный — Полный балл — если названы собственные данные об угрозах или интеграция с TI-платформой и репутационные проверки
Почему такой вес: киберразведка ускоряет обнаружение известных кампаний - Ретроспектива и поиск угрозважный — Полный балл — и хранение телеметрии с ретро-поиском, и инструменты проактивного поиска (threat hunting, YARA, IOC); частично — одно
Почему такой вес: ретроспектива и поиск угроз нужны зрелой команде - Сторонние источникиважный — Открытость к чужим средствам защиты. Полный балл — если прямо заявлена работа с продуктами других вендоров; частично — только через общий приём событий
Почему такой вес: поддержка сторонних источников определяет, впишется ли платформа в существующий парк - Модель поставкидополнительный — Полный балл — если доступны и продукт для самостоятельного развёртывания, и сервисная либо облачная модель; частично — одна
Почему такой вес: модель поставки — коммерческое свойство, а не функция
Проверьте нас. Под каждой оценкой ✓ и ½ ниже указан источник — конкретная страница документации вендора или отраслевого сравнения, по которой мы её поставили. Оценка без источника в таблицу не попадает: это проверяется автоматически при сборке сайта. Место в рейтинге не продаётся, и размещение значка вендором на оценку не влияет.
Источники под каждой оценкой (55)
| Решение | Признак | Чем подтверждено |
|---|---|---|
| Kaspersky Symphony XDR | Телеметрия из разных доменов | решение объединяет защиту конечных точек, сети и почты и «защищает многочисленные точки входа потенциальной угрозы»; в состав входят EDR, KATA и KUMA как ядровые компоненты; страница решения Kaspersky Symphony XDR, kaspersky.ru/enterprise-security/symphony-xdrУточнить эту оценку ↗ |
| Kaspersky Symphony XDR | Собственные сенсоры | собственные сенсоры вендора в нескольких доменах: Kaspersky EDR на конечных точках, KATA для сетевого трафика и песочницы, KUMA как SIEM; страница решения Kaspersky Symphony XDR, kaspersky.ru/enterprise-security/symphony-xdrУточнить эту оценку ↗ |
| Kaspersky Symphony XDR | Кросс-доменная корреляция | заявлена «мощная платформа для многоуровневого обнаружения атак» и получение «более глубокого контекста о событиях безопасности»; механизм связывания событий разных доменов отдельно не описан, поэтому 0,5; страница решения Kaspersky Symphony XDR, kaspersky.ru/enterprise-security/symphony-xdrУточнить эту оценку ↗ |
| Kaspersky Symphony XDR | Цепочка атаки | заявлены расследование и мониторинг сложных инцидентов; автоматическое выстраивание цепочки действий злоумышленника прямо не описано, поэтому 0,5; страница решения Kaspersky Symphony XDR, kaspersky.ru/enterprise-security/symphony-xdrУточнить эту оценку ↗ |
| Kaspersky Symphony XDR | Приоритизация и снижение шума | решение позиционируется как ответ на рост нагрузки на ИБ-команду и выгорание аналитиков; конкретный механизм приоритизации не описан, поэтому 0,5; страница решения Kaspersky Symphony XDR, kaspersky.ru/enterprise-security/symphony-xdrУточнить эту оценку ↗ |
| Kaspersky Symphony XDR | Автоматическое реагирование | заявлено реагирование на сложные инциденты; конкретные действия (изоляция узла, завершение процесса) на странице решения не перечислены, поэтому 0,5; страница решения Kaspersky Symphony XDR, kaspersky.ru/enterprise-security/symphony-xdrУточнить эту оценку ↗ |
| Kaspersky Symphony XDR | Киберразведка | в состав экосистемы входит KATA с песочницей и данными об угрозах «Лаборатории Касперского», отдельно заявлен проактивный поиск угроз; страница решения Kaspersky Symphony XDR, kaspersky.ru/enterprise-security/symphony-xdrУточнить эту оценку ↗ |
| Kaspersky Symphony XDR | Ретроспектива и поиск угроз | «ИБ-специалисты вооружены мощной платформой для многоуровневого обнаружения атак, мониторинга, расследования, проактивного поиска угроз и реагирования»; страница решения Kaspersky Symphony XDR, kaspersky.ru/enterprise-security/symphony-xdrУточнить эту оценку ↗ |
| Kaspersky Symphony XDR | Сторонние источники | «Гибкая и полнофункциональная платформа позволит выстроить защиту класса XDR как на базе продуктов от «Лаборатории Касперского», так и с добавлением сторонних»; страница решения Kaspersky Symphony XDR, kaspersky.ru/enterprise-security/symphony-xdrУточнить эту оценку ↗ |
| Kaspersky Symphony XDR | Модель поставки | поставляется как набор продуктов для развёртывания у заказчика, в двух уровнях — Symphony XDR Core и Symphony XDR; сервисной или облачной модели на странице решения не заявлено, поэтому 0,5; страница решения Kaspersky Symphony XDR, kaspersky.ru/enterprise-security/symphony-xdrУточнить эту оценку ↗ |
| MaxPatrol O2 | Телеметрия из разных доменов | сенсорами выступают продукты вендора в четырёх доменах: события конечных точек (MaxPatrol EDR), сетевые угрозы (PT Network Attack Discovery), веб-приложения (PT Application Firewall), файлы (PT Sandbox), плюс данные о топологии и сетевой достижимости узлов; обзор MaxPatrol O2, anti-malware.ru/reviews/MaxPatrol-O2Уточнить эту оценку ↗ |
| MaxPatrol O2 | Собственные сенсоры | все сенсоры собственные: MaxPatrol SIEM, MaxPatrol EDR, PT Application Firewall, PT Network Attack Discovery, PT Sandbox; обзор MaxPatrol O2, anti-malware.ru/reviews/MaxPatrol-O2Уточнить эту оценку ↗ |
| MaxPatrol O2 | Кросс-доменная корреляция | «Выявление цепочек хакерской активности осуществляется с использованием „склейки“ событий» — механизм связывания срабатываний разных СЗИ описан прямо; обзор MaxPatrol O2, anti-malware.ru/reviews/MaxPatrol-O2Уточнить эту оценку ↗ |
| MaxPatrol O2 | Цепочка атаки | «сформированные MaxPatrol O2 цепочки» строят сценарий действий злоумышленника; продукт «прогнозирует возможные пути развития атаки»; обзор MaxPatrol O2, anti-malware.ru/reviews/MaxPatrol-O2Уточнить эту оценку ↗ |
| MaxPatrol O2 | Приоритизация и снижение шума | метапродукт «обнаруживает и оценивает захваченные ресурсы, прогнозирует возможные пути развития атаки и своевременно её останавливает», избавляя аналитика от ручного разбора большого потока срабатываний; обзор MaxPatrol O2, anti-malware.ru/reviews/MaxPatrol-O2Уточнить эту оценку ↗ |
| MaxPatrol O2 | Автоматическое реагирование | заявлена автоматическая остановка злоумышленника «с минимальным участием человека»; конкретный перечень действий реагирования в обзоре не приведён, поэтому 0,5; обзор MaxPatrol O2, anti-malware.ru/reviews/MaxPatrol-O2Уточнить эту оценку ↗ |
| MaxPatrol O2 | Киберразведка | данные о проверке файлов поступают от PT Sandbox; собственной TI-платформы или репутационных сервисов в обзоре не названо, поэтому 0,5; обзор MaxPatrol O2, anti-malware.ru/reviews/MaxPatrol-O2Уточнить эту оценку ↗ |
| MaxPatrol O2 | Ретроспектива и поиск угроз | построенные цепочки позволяют разобрать уже произошедшую активность; отдельных инструментов ретро-поиска и threat hunting в обзоре не описано, поэтому 0,5; обзор MaxPatrol O2, anti-malware.ru/reviews/MaxPatrol-O2Уточнить эту оценку ↗ |
| MaxPatrol O2 | Модель поставки | поставляется как метапродукт для развёртывания в инфраструктуре заказчика; сервисной модели не заявлено, поэтому 0,5; обзор MaxPatrol O2, anti-malware.ru/reviews/MaxPatrol-O2Уточнить эту оценку ↗ |
| BI.ZONE SOC (экс-TDR) | Телеметрия из разных доменов | «сбор и анализ событий от любых источников, сочетая агентские и безагентские механизмы», покрытие «всей инфраструктуры»; отдельно — телеметрия EDR с конечных точек; страница услуги BI.ZONE SOC, bi.zone/catalog/services/soc/Уточнить эту оценку ↗ |
| BI.ZONE SOC (экс-TDR) | Собственные сенсоры | собственный сенсор один — BI.ZONE EDR на конечных точках; сетевых и почтовых сенсоров собственной разработки в описании услуги не названо, поэтому 0,5; страница услуги BI.ZONE SOC, bi.zone/catalog/services/soc/Уточнить эту оценку ↗ |
| BI.ZONE SOC (экс-TDR) | Кросс-доменная корреляция | команда сервиса обрабатывает «25 млн+ сырых событий кибербезопасности в минуту» и свела за год более 620 тысяч подозрений на инциденты; механизм кросс-доменной корреляции как таковой не описан — это сервис с аналитиками, поэтому 0,5; страница услуги BI.ZONE SOC, bi.zone/catalog/services/soc/Уточнить эту оценку ↗ |
| BI.ZONE SOC (экс-TDR) | Цепочка атаки | заявлено управление киберинцидентом «на всех этапах: до, во время и после»; автоматического построения цепочки атаки не описано, поэтому 0,5; страница услуги BI.ZONE SOC, bi.zone/catalog/services/soc/Уточнить эту оценку ↗ |
| BI.ZONE SOC (экс-TDR) | Приоритизация и снижение шума | подозрения на инциденты фильтруются командой из 150+ экспертов до передачи заказчику; автоматического механизма приоритизации не описано, поэтому 0,5; страница услуги BI.ZONE SOC, bi.zone/catalog/services/soc/Уточнить эту оценку ↗ |
| BI.ZONE SOC (экс-TDR) | Автоматическое реагирование | сервис сочетает подходы SOCaaS и MDR, то есть включает реагирование; конкретные действия на конечной точке в описании услуги не перечислены, поэтому 0,5; страница услуги BI.ZONE SOC, bi.zone/catalog/services/soc/Уточнить эту оценку ↗ |
| BI.ZONE SOC (экс-TDR) | Киберразведка | у вендора собственный департамент мониторинга, реагирования и исследования киберугроз и отдельный продукт BI.ZONE Threat Intelligence, данные которого используются в сервисе; страница услуги BI.ZONE SOC, bi.zone/catalog/services/soc/Уточнить эту оценку ↗ |
| BI.ZONE SOC (экс-TDR) | Ретроспектива и поиск угроз | «Выявить прошлые атаки, неактивные в настоящем — благодаря ретроспективному анализу событий и сбору криминалистических артефактов с помощью EDR»; страница услуги BI.ZONE SOC, bi.zone/catalog/services/soc/Уточнить эту оценку ↗ |
| BI.ZONE SOC (экс-TDR) | Сторонние источники | «сбор и анализ событий от любых источников» — сервис не ограничен средствами защиты одного вендора; страница услуги BI.ZONE SOC, bi.zone/catalog/services/soc/Уточнить эту оценку ↗ |
| BI.ZONE SOC (экс-TDR) | Модель поставки | только сервисная модель: это управляемый сервис, а не продукт для самостоятельного развёртывания, поэтому 0,5; страница услуги BI.ZONE SOC, bi.zone/catalog/services/soc/Уточнить эту оценку ↗ |
| R-Vision EVO | Телеметрия из разных доменов | платформа объединяет продукты вендора, среди которых SIEM, UEBA, TIP и Threat Deception Platform, то есть события конечных точек, сети и приманок; сама платформа сенсоров не содержит, поэтому 0,5; страница платформы R-Vision EVO, rvision.ru/products/r-vision-evo-platformУточнить эту оценку ↗ |
| R-Vision EVO | Собственные сенсоры | собственные средства сбора есть у продуктов на платформе (SIEM, UEBA, TDP), но у самой платформы EVO их нет, поэтому 0,5; страница платформы R-Vision EVO, rvision.ru/products/r-vision-evo-platformУточнить эту оценку ↗ |
| R-Vision EVO | Кросс-доменная корреляция | «Общая технологическая база обеспечивает бесшовную интеграцию ИБ- и ИТ-продуктов», компоненты управляются централизованно через единый интерфейс; механизм корреляции событий разных доменов описывается на уровне продуктов, а не платформы, поэтому 0,5; страница платформы R-Vision EVO, rvision.ru/products/r-vision-evo-platformУточнить эту оценку ↗ |
| R-Vision EVO | Автоматическое реагирование | реагирование обеспечивает продукт R-Vision SOAR на той же платформе; собственных действий у EVO нет, поэтому 0,5; страница платформы R-Vision EVO, rvision.ru/products/r-vision-evo-platformУточнить эту оценку ↗ |
| R-Vision EVO | Киберразведка | на платформе есть продукт R-Vision TIP; у самой платформы данных об угрозах нет, поэтому 0,5; страница платформы R-Vision EVO, rvision.ru/products/r-vision-evo-platformУточнить эту оценку ↗ |
| R-Vision EVO | Ретроспектива и поиск угроз | ретроспективу и поиск обеспечивают продукты платформы (SIEM, UEBA); у EVO отдельных инструментов нет, поэтому 0,5; страница платформы R-Vision EVO, rvision.ru/products/r-vision-evo-platformУточнить эту оценку ↗ |
| R-Vision EVO | Сторонние источники | «Открытая архитектура позволяет добавлять новые модули и интегрировать их с другими компонентами в едином интерфейсе»; прямого заявления о работе со средствами защиты сторонних вендоров нет, поэтому 0,5; страница платформы R-Vision EVO, rvision.ru/products/r-vision-evo-platformУточнить эту оценку ↗ |
| R-Vision EVO | Модель поставки | платформа разворачивается в инфраструктуре заказчика, рассчитана на высокие нагрузки и отказоустойчивость; сервисной или облачной модели не заявлено, поэтому 0,5; страница платформы R-Vision EVO, rvision.ru/products/r-vision-evo-platformУточнить эту оценку ↗ |
| F6 XDR | Телеметрия из разных доменов | anti-malware.ru/practice/solutions/FACCT-Managed-XDR-against-cyber-attacks — разбор решения: три домена телеметрии — корпоративная почта, сетевой трафик и конечные точки (собирается 60+ типов системных событий)Уточнить эту оценку ↗ |
| F6 XDR | Собственные сенсоры | anti-malware.ru/practice/solutions/FACCT-Managed-XDR-against-cyber-attacks — разбор решения: собственные классификаторы на каждом уровне — NTA для сети, EDR для хостов, BEP для почтыУточнить эту оценку ↗ |
| F6 XDR | Кросс-доменная корреляция | anti-malware.ru/practice/solutions/FACCT-Managed-XDR-against-cyber-attacks — разбор решения: сигналы автоматически соотносятся между доменами в XDR-консоли; habr.com/ru/companies/F6/articles/679646 — встроенные плейбуки связывают компоненты и коррелируют событияУточнить эту оценку ↗ |
| F6 XDR | Цепочка атаки | anti-malware.ru/practice/solutions/FACCT-Managed-XDR-against-cyber-attacks — разбор решения: события сопоставляются с матрицей MITRE ATT&CK, но автоматическое выстраивание последовательности действий атакующего как отдельная функция не описано — 0,5Уточнить эту оценку ↗ |
| F6 XDR | Приоритизация и снижение шума | anti-malware.ru/practice/solutions/FACCT-Managed-XDR-against-cyber-attacks — разбор решения: приоритизация инцидентов заявлена, механизм выделения значимых из потока срабатываний не раскрыт — 0,5Уточнить эту оценку ↗ |
| F6 XDR | Автоматическое реагирование | anti-malware.ru/practice/solutions/FACCT-Managed-XDR-against-cyber-attacks — разбор решения: названы конкретные действия — сетевая изоляция хоста (менее часа), блокировка процессов и файлов, восстановление по скриптам через EDRУточнить эту оценку ↗ |
| F6 XDR | Киберразведка | anti-malware.ru/practice/solutions/FACCT-Managed-XDR-against-cyber-attacks — разбор решения: интегрирована собственная платформа Threat Intelligence вендора, обнаруженные угрозы автоматически связываются с семействами вредоносного ПО и группировкамиУточнить эту оценку ↗ |
| F6 XDR | Ретроспектива и поиск угроз | anti-malware.ru/practice/solutions/FACCT-Managed-XDR-against-cyber-attacks — разбор решения: Threat Hunting по телеметрии EDR, сетевого трафика и почты из единого Security Data Lake; в MDP заявлено ретроспективное обнаружениеУточнить эту оценку ↗ |
| F6 XDR | Модель поставки | anti-malware.ru/practice/solutions/FACCT-Managed-XDR-against-cyber-attacks — разбор решения: доступны облачное, локальное и гибридное развёртывание, продукт поставляется и как управляемый сервис (Managed XDR)Уточнить эту оценку ↗ |
| PT XDR | Телеметрия из разных доменов | частично: собственная телеметрия только с конечных устройств — продукт «предназначен для защиты конечных устройств от киберугроз»; данные из других доменов приходят через смежные продукты (MaxPatrol 10, PT Sandbox, MaxPatrol VM)[1]Уточнить эту оценку ↗ |
| PT XDR | Собственные сенсоры | собственные сенсоры — агенты на конечных устройствах: «Агент — приложение, которое устанавливается на конечное устройство для обеспечения работы модулей и связи с сервером агентов»[1]Уточнить эту оценку ↗ |
| PT XDR | Кросс-доменная корреляция | частично: на агенте работает модуль «Коррелятор» с поставляемыми правилами корреляции, но связывание событий разных источников между собой выполняется уже в MaxPatrol SIEM, куда события пересылаются нормализатором[1]Уточнить эту оценку ↗ |
| PT XDR | Цепочка атаки | частично: модуль умеет регистрировать «корреляционные» события — «слияние цепочки событий любых типов в одно результирующее»; «для регистрации корреляционного события должна произойти цепочка событий (блок параметров Последовательность) в течение указанного времени», с группировкой по переменным. То есть события связываются в одно, но выстроенной и показанной аналитику последовательности действий злоумышленника в самом XDR нет — разбор инцидента идёт в MaxPatrol SIEM — документация вендора, справочный портал help.ptsecurity.com — «PT XDR 6.1. Справка» (повторный обход 23.09.2026, 308 страниц; прежний обход обрывался на 120-й)Уточнить эту оценку ↗ |
| PT XDR | Автоматическое реагирование | перечень автоматических действий: «удалить файл; завершить один или несколько процессов; заблокировать сетевой трафик; заблокировать учётную запись; запустить проверку файлов и процессов на основе YARA-правил; отправить файл на проверку в PT Sandbox»[1]Уточнить эту оценку ↗ |
| PT XDR | Киберразведка | частично: пакеты экспертизы вендора содержат «новые правила YARA и правила корреляции» и обновляются ежечасно, но собственных данных киберразведки — фидов индикаторов — справка не описывает[1]Уточнить эту оценку ↗ |
| PT XDR | Ретроспектива и поиск угроз | частично: «системные события кэшируются в памяти агента», настраиваются параметры хранения событий в кэше агента и передача в MaxPatrol SIEM; долговременного хранения телеметрии и ретро-поиска в самом продукте нет[1]Уточнить эту оценку ↗ |
| PT XDR | Сторонние источники | частично: сервер агентов взаимодействует с внешними системами — MaxPatrol SIEM, MaxPatrol VM, PT Sandbox и syslog-сервером; приём телеметрии от чужих средств защиты не описан[1]Уточнить эту оценку ↗ |
| PT XDR | Модель поставки | частично: продукт разворачивается в инфраструктуре заказчика, сервисной или облачной модели справка не описывает. Прежняя оценка 0 была ошибкой: по критерию одна из двух моделей — это «частично», и остальные продукты класса в том же положении оценены в 0,5 — документация вендора, справочный портал help.ptsecurity.com — «PT XDR 6.1. Справка» (повторный обход 23.09.2026, 308 страниц; прежний обход обрывался на 120-й)Уточнить эту оценку ↗ |
Источники, на которые ссылаются номера в таблице
- [1] документация вендора, справочный портал help.ptsecurity.com — «PT XDR 6.1. Справка» (обход 21.09.2026, 120 страниц)
Где мы искали и не нашли (4)
Знак «—» в таблице означает, что функцию искали и не нашли. Ниже сказано, где именно искали: в каком документе, какой версии и по каким словам. Если функция есть, а мы её пропустили — напишите, поправим по первоисточнику.
| Решение | Признак | Где искали |
|---|---|---|
| MaxPatrol O2 | Сторонние источники | в качестве сенсоров применяются только продукты Positive Technologies; работа со средствами защиты сторонних вендоров в обзоре не заявлена; обзор MaxPatrol O2, anti-malware.ru/reviews/MaxPatrol-O2Уточнить эту оценку ↗ |
| R-Vision EVO | Цепочка атаки | искали на странице платформы — автоматического построения цепочки атаки не описано: EVO это технологическая база и единое окно, а не детектирующий продукт; страница платформы R-Vision EVO, rvision.ru/products/r-vision-evo-platformУточнить эту оценку ↗ |
| R-Vision EVO | Приоритизация и снижение шума | искали на странице платформы — механизма приоритизации срабатываний не описано; страница платформы R-Vision EVO, rvision.ru/products/r-vision-evo-platformУточнить эту оценку ↗ |
| PT XDR | Приоритизация и снижение шума | искали и не нашли: ранжирования срабатываний по значимости, оценки захваченных ресурсов или прогноза развития атаки справка не описывает. Приоритет от 1 до 100 в ней есть, но это порядок выполнения действий по событию, а не важность самого события; снижение шума сводится к ручной настройке — «в модулях сбора необходимо использовать фильтры и исключать события, не представляющие значимости» — документация вендора, справочный портал help.ptsecurity.com — «PT XDR 6.1. Справка» (повторный обход 23.09.2026, 308 страниц; прежний обход обрывался на 120-й)Уточнить эту оценку ↗ |
Примечания к строкам (3)
- MaxPatrol O2 — Проверено 21.09.2026: документации по продукту нет — на справочном портале вендора в списке продуктов против MaxPatrol O2 стоит «У продукта нет документации на русском языке». Оценка остаётся на обзоре рынка; при закрытии класса строка идёт в «Без оценки».
- F6 XDR — Не оцениваем: источник недоступен. Сайт вендора f6.ru отдаёт 403 на запросы (проверено 02.09.2026), карточка продукта на Anti-Malware.ru пуста. Дополнительно: предшествующий сертификат ФСТЭК №4507 на Group-IB Threat Hunting Framework приостановлен 24.05.2023 и не восстановлен, нового сертификата под брендом F6 в Госреестре нет.
- PT XDR — Переоценено 21.09.2026 по документации вендора. Существенное наблюдение: справка PT XDR 6.1 почти дословно совпадает со справкой MaxPatrol EDR 10.1 — тот же агент, те же модули и тот же перечень действий реагирования; в конфигурации продукта компоненты названы MP.EDR.*. По документации это продукт защиты конечных устройств, а не кросс-доменный XDR.
Как считаются эти таблицы и сколько функциональности российских СЗИ вообще описано публично — в исследовании «57% функциональности не описано публично».
Смежные продукты: оцениваются в другом классе
2 продуктаПродукты ниже относятся к другому классу и оцениваются там — по его критериям. Здесь они показаны справочно, без балла: мерить их мерками этого класса значило бы сравнивать разное.
- PT XDR — Positive Technologies (АО «Позитив Текнолоджиз»): оценивается в классе /klass/edr/
- F6 XDR — F6, экс-F.A.C.C.T./Group-IB (АО «Будущее»): оценивается в классе /klass/edr/
Частые вопросы
Что такое XDR (Extended Detection and Response)?
XDR — класс средств, которые коррелируют телеметрию из нескольких доменов одновременно (как минимум конечные точки и ещё один источник — сеть, почта, облако, SIEM-логи) в единой платформе с общим механизмом реагирования и построением цепочки атаки между доменами. Простое правило: видит только хосты — это EDR; подключает как минимум сеть/почту/облако и связывает события между доменами — это уже XDR. У части российских вендоров XDR — самостоятельный продукт с отдельной записью в Реестре ПО (PT XDR, F6 XDR), у части — маркетинговый бренд-«зонтик» для бандла уже сертифицированных продуктов без отдельной SKU (Kaspersky Symphony XDR).
Чем XDR отличается от SIEM и SOAR?
SIEM агрегирует сырые логи из десятков разнородных источников (для комплаенса, ретроспективного расследования, хранения событий годами) и почти всегда требует ручной настройки правил корреляции под конкретную инфраструктуру заказчика. XDR работает с уже обогащённой телеметрией от небольшого числа СОБСТВЕННЫХ сенсоров вендора (обычно того же производителя) и предлагает автоматизированное реагирование «из коробки», без глубокой кастомизации. SOAR — оркестрация playbook'ов поверх ЧУЖИХ разнородных систем через API-интеграции (это инструмент автоматизации процесса, а не источник обнаружения); XDR — преимущественно автономная экосистема детектирования на технологиях одного вендора. На практике грани размыты: часть российских «SIEM» (BI.ZONE SIEM, R-Vision SIEM) фактически участвуют в тех же XDR-бандлах вендора.
Какие российские XDR-решения есть на рынке?
По буквальному совпадению слова «XDR» в зарегистрированном названии в Реестре российского ПО — всего 2 самостоятельных продукта: PT XDR (Positive Technologies, в продаже с 2022 г.) и F6 XDR (F6, экс-Group-IB/F.A.C.C.T., самая быстрорастущая выручка в подборке). У Kaspersky аналогичную роль играет бренд-бандл Kaspersky Symphony XDR (KATA+EDR+KUMA+SMP) — без отдельной регистрации, но с тремя независимо сертифицированными компонентами. Positive Technologies дополнительно предлагает MaxPatrol O2 — технологически продвинутый «автопилот», который честно правильнее классифицировать как метапродукт НАД XDR, а не саму XDR-платформу. BI.ZONE предлагает управляемый сервис BI.ZONE SOC (до августа 2026 г. — BI.ZONE TDR) (модель MDR/SOC-as-a-service, не лицензируемая платформа) и заявляет амбицию собрать полноценный продуктовый XDR-стек к 2027 г. R-Vision позиционирует экосистемную платформу «Р-Вижн ЭВО» (SIEM+SOAR+UEBA+TIP+Deception+Endpoint), хотя сам вендор не брендирует её как «XDR».
Есть ли у UserGate или Security Vision собственное XDR-решение?
На дату проверки (июль 2026 г.) — нет ни у одного из двух вендоров отдельного зарегистрированного или самостоятельно маркетируемого XDR-продукта. У UserGate портфель сосредоточен на NGFW/SWG/WAF/DCFW/SIEM/OS/Client — в блог-материалах компании встречается фраза о реализации «концепции XDR» через связку SIEM+Client, но отдельного продукта, SKU или сертификата ФСТЭК под названием «UserGate XDR» в Реестре ПО и Госреестре СЗИ не найдено. У Security Vision портфель — SOAR/SIEM/GRC/IRP/КИИ-модули на базе no-code платформы «Центр интеллектуального мониторинга и управления ИБ» (сертификат №4964, действ. до 2030-08-19); собственный EDR-модуль появился только в апреле 2026 г. как надстройка этой же платформы, а термин «XDR» вендор для своих продуктов не использует. Это честная пометка по прямой проверке реестров и сайтов вендоров, а не предположение.
Как проверить сертификацию ФСТЭК XDR-продукта?
Единый источник — государственный реестр сертифицированных СЗИ ФСТЭК, а факт включения в реестр отечественного ПО — reestr.digital.gov.ru. Отдельного профиля защиты для класса «XDR» в требованиях ФСТЭК нет вовсе. Как показывает эта подборка, самостоятельного сертификата на продукт под брендом «XDR» на дату проверки нет ни у одного из шести проверенных решений — вместо этого сертифицированы отдельные компоненты (сенсоры), из которых XDR-бандл собран (у Kaspersky Symphony — независимо все три ключевых компонента; у PT XDR/MaxPatrol O2 — общий зонтичный сертификат линейки MaxPatrol; у F6 XDR — действующего сертификата нет вовсе, предыдущий приостановлен в 2023 г.). Для закупки под КИИ/ГИС статус конкретного компонента нужно обязательно проверять напрямую в реестре, а не доверять названию продукта на сайте вендора.