Smart MonitorПроизводитель 02.10.2026 рекомендовал ориентироваться на Smart Monitor 6.1. Уточнения по репликам и резервному копированию проверены по документации 6.1; остальные основания ранее изучены по 6.0. Применимость сертификата к 6.1 отдельно не подтверждена.
Smart MonitorПроизводитель 02.10.2026 рекомендовал ориентироваться на Smart Monitor 6.1. Уточнения по репликам и резервному копированию проверены по документации 6.1; остальные основания ранее изучены по 6.0. Применимость сертификата к 6.1 отдельно не подтверждена.
Smart MonitorПроизводитель 02.10.2026 рекомендовал ориентироваться на Smart Monitor 6.1. Уточнения по репликам и резервному копированию проверены по документации 6.1; остальные основания ранее изучены по 6.0. Применимость сертификата к 6.1 отдельно не подтверждена.
Совпадений нет. Измените название или очистите поиск.
Что входит в сравнение
Проверены 17 тем для каждого из 14 решений. Короткие таблицы показывают ключевые вопросы трёх задач; ниже раскрыты также активы, поведенческий анализ, API, среда установки и документы на поставку. Проверенные версии различаются: это сопоставление доступных свидетельств, а не испытание одинаково настроенных систем.
Распределённое размещение и репликация хранилища не доказывают отсутствие потерь на всём пути события. Наличие ИИ-помощника не подтверждает UEBA. Поддержка фида не означает, что платная подписка на него входит в лицензию.
Для открытых вопросов подготовлены запросы производителям. До подтверждения они остаются неизвестными. Количество найденных документов не является оценкой качества продукта.
Версии и подробные основания
Alertix
Руководства Alertix 3.9.1; проверены 01.10.2026.
Возможности, ограничения и источники
Сбор и подключение источников✓ Документировано
Receivers принимает события через syslog, NetFlow, SNMP, JDBC и агентские источники; предусмотрены специальные сборщики. Источник ↗
Нормализация и контекст✓ Документировано
Сборщики обрабатывают входящие события; Census связывает найденные адреса и имена хостов с инвентаризационной информацией. Источник ↗
Корреляция событий✓ Документировано
Signal использует правила корреляции; есть отдельное руководство по их разработке и перенос через каталог ресурсов. Источник ↗
Готовые правила и обновления◐ Часть подтверждена
Описаны базовый пакет правил Signal и обновление каталога ресурсов. Периодичность и условия получения пакетов нужно согласовать. Источник ↗
Учёт активов✓ Документировано
Census сопоставляет события с инвентаризационными данными и поддерживает контекст объектов. Источник ↗
Индикаторы компрометации✓ Документировано
IoC Watcher работает с индикаторами из файлов и MISP; описана проверка потока и исторических событий. Источник ↗
Поведенческий анализ✓ Документировано
Документация описывает поведенческие правила и статистические профили. Это описание механизма, а не измерение качества детектирования. Источник ↗
Работа с инцидентами✓ Документировано
Рабочее пространство объединяет расследование, историю, граф связей и сведения об инциденте. Источник ↗
Распределённая установка✓ Документировано
Описаны отдельные кластеры хранения, подчинённые инсталляции и межкластерное взаимодействие. Источник ↗
Отказ и сохранность событий◐ Часть подтверждена
Документация различает реплики хранилища и размещение узлов. Три контейнера на одном сервере не защищают от отказа самого сервера; сквозные RPO/RTO требуют проверки. Источник ↗
Хранение и поиск✓ Документировано
Описано управление глубиной хранения событий и восстановление индексов из S3 для последующего поиска. Источник ↗
Резервное копирование◐ Часть подтверждена
Есть восстановление индексов OpenSearch из S3. Этого недостаточно для вывода о восстановлении всех компонентов и конфигурации. Источник ↗
Роли и разделение доступа? Требует проверки
Нужно уточнить права на события и инциденты, аудит действий и изоляцию подразделений. Проверенный материал ↗
API и автоматизация◐ Часть подтверждена
Описан доступ к API OpenSearch через Devtools. Это не подтверждает API управления инцидентами Alertix. Источник ↗
Лицензии и ограничения? Требует проверки
Нужны состав поставки, единица лицензирования и поведение при превышении лимита. Проверенный материал ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
Ankey SIEM NG
Руководства администратора, оператора и установки 5.2.3; копии от 26.09.2026.
Возможности, ограничения и источники
Сбор и подключение источников✓ Документировано
В руководствах описаны коннекторы и SDK для разработки нормализации собственного источника; полный перечень вынесен в руководство по интеграции. Источник ↗
Нормализация и контекст✓ Документировано
Есть нормализация, геообогащение и пользовательские поля модели актива; руководство администратора, разделы 18–19. Источник ↗
Корреляция событий✓ Документировано
Описаны корреляция и повторная проверка ранее полученных событий после добавления правил. Источник ↗
Готовые правила и обновления✓ Документировано
Пакеты экспертизы имеют описание, номер версии и список изменений. Источник ↗
Учёт активов✓ Документировано
Инвентаризация собирает данные об узлах и связях; события связываются с активами. Источник ↗
Индикаторы компрометации✓ Документировано
Руководство оператора описывает фиды индикаторов и ретроспективную проверку; раздел 11.3. Источник ↗
Поведенческий анализ? Требует проверки
В проверенном материале недостаточно сведений о поведенческом анализе. Правила и ИИ-помощник сами по себе не подтверждают UEBA. Проверенный материал ↗
Работа с инцидентами✓ Документировано
Описаны карточка инцидента, состояние и результат разбора; раздел 10.4 руководства оператора. Источник ↗
Распределённая установка✓ Документировано
Руководство описывает конвейеры, коллекторы и межкластерный поиск. Источник ↗
Отказ и сохранность событий? Требует проверки
Не подтверждены условия сохранения событий при потере узла или связи: буферы, повторная доставка, RPO/RTO. Проверенный материал ↗
Хранение и поиск✓ Документировано
Описаны индексы Elasticsearch, хранилище LogSpace и межкластерный поиск. Источник ↗
Резервное копирование✓ Документировано
Раздел 10: копии Core, MC, Knowledge Base, Server, индексов и LogSpace. При восстановлении должны совпадать версии и конфигурации; создание копии останавливает службы. Источник ↗
Роли и разделение доступа✓ Документировано
Ролевая модель ограничивает операции и доступ к активам, источникам, событиям и инцидентам. Источник ↗
API и автоматизация? Требует проверки
Нужна спецификация API выбранной версии: методы, права и ограничения. Проверенный материал ↗
Лицензии и ограничения? Требует проверки
Нужны состав поставки, единица лицензирования и поведение при превышении лимита. Проверенный материал ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
BI.ZONE SIEM
Публичные руководства пользователя и установки, файлы 2024 года; номер релиза не указан.
Возможности, ограничения и источники
Сбор и подключение источников✓ Документировано
Руководство описывает сбор из файла, стандартного ввода, журнала безопасности Windows и Kafka. Источник ↗
Нормализация и контекст✓ Документировано
Collector приводит события к нормализованному виду; его конфигурация задаётся в main.yaml. Источник ↗
Корреляция событий✓ Документировано
Correlator обрабатывает события по правилам и формирует корреляционные события. Источник ↗
Готовые правила и обновления? Требует проверки
Нужно уточнить состав поставляемых правил и порядок обновления в изолированной сети. Проверенный материал ↗
Учёт активов? Требует проверки
Не установлены способ наполнения базы активов и привязка к событиям. Проверенный материал ↗
Индикаторы компрометации? Требует проверки
Нужно уточнить импорт IoC, поддерживаемые форматы и состав лицензии. Проверенный материал ↗
Поведенческий анализ? Требует проверки
В проверенном материале недостаточно сведений о поведенческом анализе. Правила и ИИ-помощник сами по себе не подтверждают UEBA. Проверенный материал ↗
Работа с инцидентами? Требует проверки
Нужен порядок назначения, смены статусов и фиксации истории инцидента. Проверенный материал ↗
Распределённая установка? Требует проверки
Нужна схема распределения компонентов и ограничения выбранной конфигурации. Проверенный материал ↗
Отказ и сохранность событий? Требует проверки
Не подтверждены условия сохранения событий при потере узла или связи: буферы, повторная доставка, RPO/RTO. Проверенный материал ↗
Хранение и поиск◐ Часть подтверждена
Хранение событий обозначено в назначении системы, но политики архива и восстановления в коротком руководстве не раскрыты. Источник ↗
Резервное копирование? Требует проверки
Не установлены состав резервной копии и порядок восстановления системы и событий. Проверенный материал ↗
Роли и разделение доступа? Требует проверки
Нужно уточнить права на события и инциденты, аудит действий и изоляцию подразделений. Проверенный материал ↗
API и автоматизация? Требует проверки
Нужна спецификация API выбранной версии: методы, права и ограничения. Проверенный материал ↗
Лицензии и ограничения? Требует проверки
Нужны состав поставки, единица лицензирования и поведение при превышении лимита. Проверенный материал ↗
Среда и обновление✓ Документировано
Есть отдельное руководство по установке компонентов и настройке сервисов. Оно относится к опубликованным файлам 2024 года; совместимость текущей поставки нужно подтвердить. Источник ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
KOMRAD Enterprise SIEM
Руководство 4.5.X; в портале также есть ветка 4.6.X. Выводы не переносятся между ними автоматически.
Возможности, ограничения и источники
Сбор и подключение источников✓ Документировано
Описаны syslog, WMI, SQL, файловый, xFlow, SNMP и HTTP-коллекторы; нестандартные события разбираются выражениями RE2. Источник ↗
Нормализация и контекст✓ Документировано
Описаны CEF, RFC 5424/3164, EVTX, Elastic Common Schema и обработка в komrad-processor. Источник ↗
Корреляция событий✓ Документировано
Есть визуальный конструктор корреляции, агрегация и пользовательская обработка на Lua. Источник ↗
Готовые правила и обновления✓ Документировано
Раздел «Пакет экспертиз» содержит состав пакетов, историю версий и инструкцию импорта. Источник ↗
Учёт активов◐ Часть подтверждена
Активы связываются с инцидентом. Автоматическую инвентаризацию и внешний контекст нужно уточнить. Источник ↗
Индикаторы компрометации? Требует проверки
Нужно уточнить импорт IoC, поддерживаемые форматы и состав лицензии. Проверенный материал ↗
Поведенческий анализ? Требует проверки
В проверенном материале недостаточно сведений о поведенческом анализе. Правила и ИИ-помощник сами по себе не подтверждают UEBA. Проверенный материал ↗
Работа с инцидентами✓ Документировано
Карточка содержит активы, историю и рекомендации; предусмотрены уведомления и интеграция с ГосСОПКА. Источник ↗
Распределённая установка✓ Документировано
Описана территориально распределённая установка; в таблице лицензий она относится к Enterprise. Источник ↗
Отказ и сохранность событий? Требует проверки
Не подтверждены условия сохранения событий при потере узла или связи: буферы, повторная доставка, RPO/RTO. Проверенный материал ↗
Хранение и поиск? Требует проверки
Нужно уточнить сроки хранения, архив и поиск по историческим событиям. Проверенный материал ↗
Резервное копирование✓ Документировано
Есть инструкции резервного копирования и восстановления, включая ClickHouse и komrad-s3. Состав резервируемых данных нужно сверить с развёрнутыми компонентами. Источник ↗
Роли и разделение доступа✓ Документировано
Руководство содержит управление пользователями и доступом к системе. Источник ↗
API и автоматизация? Требует проверки
Нужна спецификация API выбранной версии: методы, права и ограничения. Проверенный материал ↗
Лицензии и ограничения✓ Документировано
Таблица лицензий различает EPS, типы и число коллекторов, срок действия и распределённую установку. Функции демолицензии отличаются от коммерческой. Источник ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
KUMA
Справка KUMA 3.4; не является заключением о возможностях всех более новых версий.
Возможности, ограничения и источники
Сбор и подключение источников✓ Документировано
Описаны syslog, WEC/WMI, HTTP, NetFlow/IPFIX, чтение файлов и однонаправленный diode-коллектор. Источник ↗
Нормализация и контекст✓ Документировано
Нормализаторы и правила обогащения являются ресурсами системы; описано DNS-обогащение. Источник ↗
Корреляция событий✓ Документировано
Есть правила корреляции, корреляционные события и переходы между событием, алертом и результатом корреляции. Источник ↗
Готовые правила и обновления✓ Документировано
Описаны обновление ресурсов, в том числе через прокси, и комплект поставляемых ресурсов. Источник ↗
Учёт активов✓ Документировано
Описаны активы и их импорт из KSC, KICS и KATA. Источник ↗
Индикаторы компрометации◐ Часть подтверждена
Описана интеграция с Kaspersky CyberTrace. Наличие и лицензирование внешнего компонента следует учитывать отдельно. Источник ↗
Поведенческий анализ? Требует проверки
В проверенном материале недостаточно сведений о поведенческом анализе. Правила и ИИ-помощник сами по себе не подтверждают UEBA. Проверенный материал ↗
Работа с инцидентами✓ Документировано
Описаны алерты, инциденты и история их обработки. Источник ↗
Распределённая установка✓ Документировано
Предусмотрено раздельное размещение Ядра, коллекторов, корреляторов и хранилища. Источник ↗
Отказ и сохранность событий◐ Часть подтверждена
Описана отказоустойчивая установка Ядра в Kubernetes с внешним TCP-балансировщиком. Сквозную сохранность событий при отказе коллектора и связи проверяют отдельно. Источник ↗
Хранение и поиск✓ Документировано
Справка описывает холодное хранение событий и его настройку. Источник ↗
Резервное копирование✓ Документировано
Копия Ядра включает алерты, активы, ресурсы и интеграции; партиции архивируются отдельно. Восстановление требует сохранения версии. Источник ↗
Роли и разделение доступа✓ Документировано
Тенанты разделяют ресурсы и данные; доступ к общим ресурсам зависит от роли пользователя. Источник ↗
API и автоматизация◐ Часть подтверждена
Справка описывает резервное копирование через REST API. Полный набор методов для внешней автоматизации нужно сверить отдельно. Источник ↗
Лицензии и ограничения✓ Документировано
Лицензирование описывает ограничения при истечении или удалении ключа. Эти условия необходимо включить в эксплуатационный план. Источник ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
MaxPatrol SIEM
Справочный портал MaxPatrol SIEM 27.6; сохранённые материалы сентября 2026.
Возможности, ограничения и источники
Сбор и подключение источников✓ Документировано
MP 10 Collector собирает события поддерживаемого оборудования и программ. Источник ↗
Нормализация и контекст✓ Документировано
Server выполняет нормализацию, агрегацию, обогащение и привязку к активам. Источник ↗
Корреляция событий✓ Документировано
Потоковая обработка дополнена отдельным PT Retro Correlator для повторной проверки исторических событий. Источник ↗
Готовые правила и обновления✓ Документировано
Пакеты экспертизы обновляются через PT UCS; для изолированных сегментов описан локальный сервер обновлений. Источник ↗
Учёт активов✓ Документировано
Описаны инвентаризация узлов и связей, значимость активов и актуальность данных. Источник ↗
Индикаторы компрометации◐ Часть подтверждена
Описаны фиды индикаторов; состав компонентов и подписки PT Feeds нужно согласовать для поставки. Источник ↗
Поведенческий анализ◐ Часть подтверждена
В документации встречается отдельный MaxPatrol BAD. Наличие поведенческого анализа в базовой лицензии SIEM не предполагается. Источник ↗
Работа с инцидентами✓ Документировано
Предусмотрены карточки инцидентов и управление их обработкой. Источник ↗
Распределённая установка✓ Документировано
Описаны распределённые компоненты и площадки. Это не само по себе гарантия отсутствия потерь при отказе. Источник ↗
Отказ и сохранность событий? Требует проверки
Не подтверждены условия сохранения событий при потере узла или связи: буферы, повторная доставка, RPO/RTO. Проверенный материал ↗
Хранение и поиск✓ Документировано
Описана настройка времени хранения индексов Elasticsearch в горячей стадии. Источник ↗
Резервное копирование✓ Документировано
Резервируются компоненты, индексы Elasticsearch и LogSpace. Восстановление зависит от совпадения версии и конфигурации. Источник ↗
Роли и разделение доступа✓ Документировано
Роли ограничивают операции, события, активы, источники, инциденты и задачи; права нескольких ролей суммируются. Источник ↗
API и автоматизация✓ Документировано
Справка разработчика описывает REST API по HTTPS с токеном доступа. Источник ↗
Лицензии и ограничения✓ Документировано
Есть EPS-лимит и льготный период; повторные превышения могут ограничить поиск, сбор и корреляцию. Число EPS не равно результату нагрузочного испытания. Источник ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
R-Vision SIEM
Руководство R-Vision SIEM 2.9.1, проверено 01.10.2026.
Возможности, ограничения и источники
Сбор и подключение источников✓ Документировано
Описано подключение через коллектор, конвейер и точку входа; справочник источников опубликован отдельно. Источник ↗
Нормализация и контекст✓ Документировано
Описаны нормализаторы потоков; для каждого задаются правила обработки событий. Источник ↗
Корреляция событий✓ Документировано
Описаны правила корреляции и их построение в конструкторе. Источник ↗
Готовые правила и обновления◐ Часть подтверждена
Документация содержит работу с правилами; периодичность и состав обновляемой экспертизы следует согласовать. Источник ↗
Учёт активов? Требует проверки
Не установлены способ наполнения базы активов и привязка к событиям. Проверенный материал ↗
Индикаторы компрометации? Требует проверки
Нужно уточнить импорт IoC, поддерживаемые форматы и состав лицензии. Проверенный материал ↗
Поведенческий анализ? Требует проверки
В проверенном материале недостаточно сведений о поведенческом анализе. Правила и ИИ-помощник сами по себе не подтверждают UEBA. Проверенный материал ↗
Работа с инцидентами◐ Часть подтверждена
Оповещения создаются из корреляционных событий по правилам сегментации. Полный процесс назначения и закрытия инцидента нужно сверить с выбранной поставкой. Источник ↗
Распределённая установка✓ Документировано
Архитектура включает центральный кластер и сателлиты; последние имеют ограниченные функции и не имеют собственного интерфейса. Источник ↗
Отказ и сохранность событий◐ Часть подтверждена
Есть схема отказоустойчивой конфигурации и размещения компонентов. Доставку событий при разрыве связи и RPO/RTO нужно проверить на целевой топологии. Источник ↗
Хранение и поиск✓ Документировано
Есть настройка минимального срока хранения событий; архивирование и восстановление исторических данных описаны отдельно. Источник ↗
Резервное копирование✓ Документировано
Руководство разделяет копии PostgreSQL, ClickHouse, NATS, MinIO, Dkron и etcd, а также архив исторических событий. Источник ↗
Роли и разделение доступа✓ Документировано
Описаны роли и работа с тенантами. Конкретные границы доступа необходимо проверить для роли аналитика. Источник ↗
API и автоматизация✓ Документировано
Опубликованы описание GraphQL API, авторизация и работа с API-токенами. Источник ↗
Лицензии и ограничения✓ Документировано
Лицензия задаёт функции, ресурсные ограничения и срок; система уведомляет об истечении и превышении параметров. Источник ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
RuSIEM
Страница продукта и история релизов; опубликован релиз 5.5.0 от 11.08.2026. Руководства требуют входа.
Возможности, ограничения и источники
Сбор и подключение источников◇ Заявлено вендором
Заявлен сбор через агентов, Syslog, REST API и другие протоколы. Источник ↗
Нормализация и контекст◇ Заявлено вендором
Страница описывает хранение исходных и нормализованных событий. Источник ↗
Корреляция событий◇ Заявлено вендором
По письму производителя от 02.10.2026; точная версия уточняется. Графический конструктор поддерживает отдельные события, последовательности, счётчики и списки. Редактор правил в коде описан как будущая возможность и не включён в текущие подтверждения.
Готовые правила и обновления◇ Заявлено вендором
По письму производителя от 02.10.2026; точная версия уточняется. Заявлены более 850 правил корреляции и 3000 симптомов, обновление контента и привязка правил к тактикам и техникам MITRE ATT&CK. Порядок обновления в изолированной сети требует уточнения.
Учёт активов◇ Заявлено вендором
По письму производителя от 02.10.2026; точная версия уточняется. Учёт активов доступен с дополнительным RuSIEM Analytics: ручное наполнение, агент RuSIEM или интеграция с CMDB.
Индикаторы компрометации◇ Заявлено вендором
По письму производителя от 02.10.2026; точная версия уточняется. RuSIEM IoC обновляет списки ежедневно; внешние фиды можно загружать через API. Форматы, права и состав лицензии следует закрепить для поставки.
Поведенческий анализ◇ Заявлено вендором
По письму производителя от 02.10.2026; точная версия уточняется. Поведенческий анализ пользователей и других сущностей выполняет дополнительный RuSIEM Analytics в общем интерфейсе.
Работа с инцидентами◇ Заявлено вендором
По письму производителя от 02.10.2026; точная версия уточняется. Описаны назначение ответственных, статусы, задачи, настройка полей и работа со связанными событиями. Заявлен двусторонний обмен с ГосСОПКА без отдельной оплаты; это не подтверждение сертификата поставки.
Распределённая установка◇ Заявлено вендором
Заявлены добавление узлов и распределение микросервисов. Источник ↗
Отказ и сохранность событий◇ Заявлено вендором
По письму производителя от 02.10.2026; точная версия уточняется. Заявлены конфигурации N+1 и обработка накопленных событий после восстановления микросервиса. Границы потери данных, RPO/RTO и поведение при сетевом разделении требуют испытаний.
Хранение и поиск◇ Заявлено вендором
Описаны горячие, тёплые и холодные данные, json extract и snapshot для архива. Источник ↗
Резервное копирование◐ Часть подтверждена
На странице упомянут snapshot событий. Полное восстановление конфигурации и инцидентов публичным руководством не подтверждено. Источник ↗
Роли и разделение доступа? Требует проверки
Нужно уточнить права на события и инциденты, аудит действий и изоляцию подразделений. Проверенный материал ↗
API и автоматизация? Требует проверки
Нужна спецификация API выбранной версии: методы, права и ограничения. Проверенный материал ↗
Лицензии и ограничения◇ Заявлено вендором
Публичное описание связывает лицензию с EPS и модулями; ограничения хранения и пользователей нужно закрепить в договоре выбранной поставки. Источник ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
Security Capsule SIEM
Текущая страница продукта от 01.10.2026; номер релиза не указан.
Возможности, ограничения и источники
Сбор и подключение источников◇ Заявлено вендором
Заявлен сбор событий рабочих станций, серверов, приложений и средств защиты. Источник ↗
Нормализация и контекст◇ Заявлено вендором
Заявлены нормализация событий и обогащение контекстом. Источник ↗
Корреляция событий◇ Заявлено вендором
На странице описан механизм корреляции событий. Источник ↗
Готовые правила и обновления◇ Заявлено вендором
Вендор сообщает о готовых правилах и ежемесячном контенте CRATU. Источник ↗
Учёт активов◇ Заявлено вендором
Заявлены обнаружение активов и дополнение их сведений. Источник ↗
Индикаторы компрометации◇ Заявлено вендором
Заявлено сопоставление событий с IoC и импорт индикаторов. Источник ↗
Поведенческий анализ? Требует проверки
В проверенном материале недостаточно сведений о поведенческом анализе. Правила и ИИ-помощник сами по себе не подтверждают UEBA. Проверенный материал ↗
Работа с инцидентами◇ Заявлено вендором
Заявлены расследование инцидентов и помощь ИИ-ассистента; модель ролей и назначений нужно уточнить. Источник ↗
Распределённая установка◇ Заявлено вендором
Указаны единая и распределённая схемы размещения. Источник ↗
Отказ и сохранность событий? Требует проверки
Не подтверждены условия сохранения событий при потере узла или связи: буферы, повторная доставка, RPO/RTO. Проверенный материал ↗
Хранение и поиск◇ Заявлено вендором
Заявлены регулируемые сроки хранения, архив и ретроспективный поиск. Источник ↗
Резервное копирование◇ Заявлено вендором
Заявлено резервирование данных; инструкция и сценарий восстановления не опубликованы в проверенной странице. Источник ↗
Роли и разделение доступа◇ Заявлено вендором
Упомянут ролевой контроль доступа; детализация прав требует руководства. Источник ↗
API и автоматизация? Требует проверки
Нужна спецификация API выбранной версии: методы, права и ограничения. Проверенный материал ↗
Лицензии и ограничения? Требует проверки
Нужны состав поставки, единица лицензирования и поведение при превышении лимита. Проверенный материал ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
Security Vision SIEM
Текущая страница SIEM от 01.10.2026; точная версия не указана. SOAR, TIP и UEBA не приписаны SIEM по общему меню.
Возможности, ограничения и источники
Сбор и подключение источников◇ Заявлено вендором
Заявлены готовые коннекторы и подключение новых источников через конструктор. Источник ↗
Нормализация и контекст◇ Заявлено вендором
На странице SIEM описаны обработка событий и дополнение контекстом. Источник ↗
Заявлены готовые правила детектирования. Актуальный состав и обновление требуют документа. Источник ↗
Учёт активов◇ Заявлено вендором
Описана связь событий с активами и сервисами. Источник ↗
Индикаторы компрометации? Требует проверки
Нужно уточнить импорт IoC, поддерживаемые форматы и состав лицензии. Проверенный материал ↗
Поведенческий анализ? Требует проверки
В проверенном материале недостаточно сведений о поведенческом анализе. Правила и ИИ-помощник сами по себе не подтверждают UEBA. Проверенный материал ↗
Работа с инцидентами◇ Заявлено вендором
Заявлены настраиваемые карточки, расследование и действия реагирования. Источник ↗
Распределённая установка? Требует проверки
Нужна схема распределения компонентов и ограничения выбранной конфигурации. Проверенный материал ↗
Отказ и сохранность событий? Требует проверки
Не подтверждены условия сохранения событий при потере узла или связи: буферы, повторная доставка, RPO/RTO. Проверенный материал ↗
Хранение и поиск? Требует проверки
Нужно уточнить сроки хранения, архив и поиск по историческим событиям. Проверенный материал ↗
Резервное копирование? Требует проверки
Не установлены состав резервной копии и порядок восстановления системы и событий. Проверенный материал ↗
Роли и разделение доступа? Требует проверки
Нужно уточнить права на события и инциденты, аудит действий и изоляцию подразделений. Проверенный материал ↗
API и автоматизация? Требует проверки
Нужна спецификация API выбранной версии: методы, права и ограничения. Проверенный материал ↗
Лицензии и ограничения? Требует проверки
Нужны состав поставки, единица лицензирования и поведение при превышении лимита. Проверенный материал ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
Smart Monitor
Производитель 02.10.2026 рекомендовал ориентироваться на Smart Monitor 6.1. Уточнения по репликам и резервному копированию проверены по документации 6.1; остальные основания ранее изучены по 6.0. Применимость сертификата к 6.1 отдельно не подтверждена.
Возможности, ограничения и источники
Сбор и подключение источников✓ Документировано
Описаны агентский и безагентский сбор, прямая загрузка и модули интеграции с источниками. Источник ↗
Нормализация и контекст✓ Документировано
Ingest-pipeline и Painless преобразуют данные перед сохранением; события связываются со справочниками. Источник ↗
Корреляция событий✓ Документировано
Описаны правила корреляции и модуль MITRE ATT&CK. Источник ↗
Готовые правила и обновления◐ Часть подтверждена
Модули содержат готовый контент. В письме от 02.10.2026 производитель подтвердил систематическое обновление детектирующего контента. Периодичность и порядок обновления в изолированном контуре не уточнены. Источник ↗
Учёт активов✓ Документировано
Inventory предназначен для работы с активами; учитывайте состав модулей. Источник ↗
Индикаторы компрометации✓ Документировано
Документация содержит отдельный модуль Threat Intelligence. Источник ↗
Поведенческий анализ✓ Документировано
Описан отдельный модуль UBA; его наличие в лицензии согласуется при покупке. Источник ↗
Работа с инцидентами✓ Документировано
Incident Manager описан как отдельный модуль работы с инцидентами. Источник ↗
Распределённая установка✓ Документировано
Описаны шарды, реплики и межкластерный поиск. Источник ↗
Отказ и сохранность событий◐ Часть подтверждена
Документация 6.1 описывает первичные шарды и реплики, получение данных с другого узла и продолжение индексации при отказе узла. Репликация и восстановление из снапшота — разные сценарии. Сквозные потери при отказе источника, очереди или сети требуют испытания. Источник ↗
Хранение и поиск✓ Документировано
Для ClickHouse описаны TTL и настройка срока хранения данных. Источник ↗
Резервное копирование◐ Часть подтверждена
В документации Smart Monitor 6.1 описаны резервные копии индексов, настройка репозитория и восстановление из снапшота. Это дополнение к копированию конфигурации, но не полный проверенный план восстановления всех компонентов. Срок восстановления и допустимая потеря данных проверяются на пилоте. Источник ↗
Роли и разделение доступа? Требует проверки
Нужно уточнить права на события и инциденты, аудит действий и изоляцию подразделений. Проверенный материал ↗
API и автоматизация? Требует проверки
Нужна спецификация API выбранной версии: методы, права и ограничения. Проверенный материал ↗
Лицензии и ограничения◐ Часть подтверждена
По письму производителя от 02.10.2026 типовой SIEM включает Core, Incident Manager, Inventory, Cyber Security и MITRE ATT&CK; лицензирование зависит от объёма данных в ТБ. Публичные условия размещены на странице pricing. Состав и способ расчёта объёма закрепляются для выбранной поставки. Источник ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
Solar SIEM
White Paper 2025, файл помечен v2025.3; описание вендора, не руководство по эксплуатации.
Возможности, ограничения и источники
Сбор и подключение источников◇ Заявлено вендором
Заявлен сбор событий Windows, Linux и средств защиты. Источник ↗
Нормализация и контекст◇ Заявлено вендором
Заявлены нормализация и обогащение событий. Источник ↗
Корреляция событий◇ Заявлено вендором
Заявлены корреляция и обнаружение угроз. Источник ↗
Готовые правила и обновления? Требует проверки
Нужно уточнить состав поставляемых правил и порядок обновления в изолированной сети. Проверенный материал ↗
Учёт активов? Требует проверки
Не установлены способ наполнения базы активов и привязка к событиям. Проверенный материал ↗
Индикаторы компрометации◇ Заявлено вендором
Описана интеграция с источниками киберразведки. Источник ↗
Поведенческий анализ◇ Заявлено вендором
Заявлены поведенческий анализ и профилирование; алгоритмы и условия требуют уточнения. Источник ↗
Работа с инцидентами◇ Заявлено вендором
Описаны карточки инцидентов и автоматизация реагирования. Источник ↗
Распределённая установка◇ Заявлено вендором
Заявлена масштабируемая микросервисная архитектура. Источник ↗
Отказ и сохранность событий? Требует проверки
Не подтверждены условия сохранения событий при потере узла или связи: буферы, повторная доставка, RPO/RTO. Проверенный материал ↗
Хранение и поиск◇ Заявлено вендором
Описаны исходные, нормализованные и обогащённые события и настройка хранения. Источник ↗
Резервное копирование? Требует проверки
Не установлены состав резервной копии и порядок восстановления системы и событий. Проверенный материал ↗
Роли и разделение доступа? Требует проверки
Нужно уточнить права на события и инциденты, аудит действий и изоляцию подразделений. Проверенный материал ↗
API и автоматизация? Требует проверки
Нужна спецификация API выбранной версии: методы, права и ограничения. Проверенный материал ↗
Лицензии и ограничения? Требует проверки
Нужны состав поставки, единица лицензирования и поведение при превышении лимита. Проверенный материал ↗
Среда и обновление◇ Заявлено вендором
Указана поддержка отечественных ОС; совместимые версии нужно подтвердить для поставки. Источник ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
UserGate SIEM
Руководство администратора 7.x от 15.08.2025, страница публикации 7.2.x; не переносим выводы на 7.3.
Возможности, ограничения и источники
Сбор и подключение источников✓ Документировано
Руководство описывает подключение источников и приём журналов. Источник ↗
Нормализация и контекст✓ Документировано
Предусмотрено преобразование событий к общей структуре; полноту обогащения для нужных источников следует проверить. Источник ↗
Корреляция событий✓ Документировано
Описаны правила срабатывания и корреляционная обработка событий. Источник ↗
Готовые правила и обновления◐ Часть подтверждена
Описаны правила срабатывания; состав и обновление вендорского контента нужно согласовать для выбранной версии. Источник ↗
Учёт активов? Требует проверки
Не установлены способ наполнения базы активов и привязка к событиям. Проверенный материал ↗
Индикаторы компрометации◐ Часть подтверждена
IRP извлекает IoC из инцидента для внешнего обогащения. Это не подтверждает сверку всего потока событий с TI-фидами. Источник ↗
Поведенческий анализ? Требует проверки
В проверенном материале недостаточно сведений о поведенческом анализе. Правила и ИИ-помощник сами по себе не подтверждают UEBA. Проверенный материал ↗
Работа с инцидентами✓ Документировано
Руководство описывает инциденты, изменения состояния и ролевые разрешения на действия. Источник ↗
Распределённая установка✓ Документировано
Предусмотрено объединение узлов в кластер конфигурации. Источник ↗
Отказ и сохранность событий◐ Часть подтверждена
Описаны кластер конфигурации и сетевой failover с виртуальным IP. Сохранность всех событий и RPO/RTO этим не подтверждаются. Источник ↗
Хранение и поиск? Требует проверки
Нужно уточнить сроки хранения, архив и поиск по историческим событиям. Проверенный материал ↗
Резервное копирование◐ Часть подтверждена
CLI содержит настройки резервного копирования устройства и экспорта настроек. Восстановление истории событий требует отдельной проверки. Источник ↗
Роли и разделение доступа✓ Документировано
Роли задают разрешения на создание, изменение и закрытие инцидентов; профили назначаются администраторам. Источник ↗
API и автоматизация? Требует проверки
Нужна спецификация API выбранной версии: методы, права и ограничения. Проверенный материал ↗
Лицензии и ограничения? Требует проверки
Нужны состав поставки, единица лицензирования и поведение при превышении лимита. Проверенный материал ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
СёрчИнформ Мониторинг безопасности
Текущее название СёрчИнформ SIEM; страница продукта и список контроллеров/правил, май 2026.
Возможности, ограничения и источники
Сбор и подключение источников◇ Заявлено вендором
Страница описывает сбор событий из различных источников. Источник ↗
Нормализация и контекст◇ Заявлено вендором
Заявлены нормализация и дополнение событий информацией. Источник ↗
Корреляция событий◇ Заявлено вендором
Заявлены корреляция событий и формирование инцидентов по правилам. Источник ↗
Готовые правила и обновления◐ Часть подтверждена
Опубликован список контроллеров и правил для Windows, AD, Linux и других источников. Регламент обновления и версия поставки требуют уточнения. Источник ↗
Учёт активов? Требует проверки
Не установлены способ наполнения базы активов и привязка к событиям. Проверенный материал ↗
Индикаторы компрометации? Требует проверки
Нужно уточнить импорт IoC, поддерживаемые форматы и состав лицензии. Проверенный материал ↗
Поведенческий анализ◐ Часть подтверждена
На странице упомянуты аномалии и интеграция с КИБ. Это не подтверждает отдельную UEBA-модель в SIEM. Источник ↗
Работа с инцидентами◇ Заявлено вендором
Заявлены уведомления ответственных и предоставление данных для расследования; назначение и история требуют руководства. Источник ↗
Распределённая установка? Требует проверки
Нужна схема распределения компонентов и ограничения выбранной конфигурации. Проверенный материал ↗
Отказ и сохранность событий? Требует проверки
Не подтверждены условия сохранения событий при потере узла или связи: буферы, повторная доставка, RPO/RTO. Проверенный материал ↗
Хранение и поиск? Требует проверки
Нужно уточнить сроки хранения, архив и поиск по историческим событиям. Проверенный материал ↗
Резервное копирование? Требует проверки
Не установлены состав резервной копии и порядок восстановления системы и событий. Проверенный материал ↗
Роли и разделение доступа? Требует проверки
Нужно уточнить права на события и инциденты, аудит действий и изоляцию подразделений. Проверенный материал ↗
API и автоматизация? Требует проверки
Нужна спецификация API выбранной версии: методы, права и ограничения. Проверенный материал ↗
Лицензии и ограничения? Требует проверки
Нужны состав поставки, единица лицензирования и поведение при превышении лимита. Проверенный материал ↗
Среда и обновление? Требует проверки
Нужны требования выбранной версии к ОС, ресурсам и обновлению без потери данных. Проверенный материал ↗
Реестры и выбранная поставка? Требует проверки
Статус записи и сертификата для выбранной версии в этом проходе не подтверждён. Проверяйте точное наименование, исполнение и срок действия; наличие коннектора ГосСОПКА не заменяет такую проверку. Проверенный материал ↗
Что проверить на пилоте
Обнаружение
Одинаковые сценарии атак, набор источников и временные метки. Проверьте качество нормализации, пропуски детектирования, ложные срабатывания и время разбора.
Нагрузка и потеря связи
Средний и пиковый поток при работающих правилах и поиске. Отключите тестовый коллектор или узел, измерьте буфер, повторную доставку, задержку и потери.
Восстановление и стоимость
Восстановите конфигурацию и историю из копии. Проверьте права аналитика, обновление в изолированной сети, лимиты лицензии и стоимость хранения.
Как проверить интеграцию SIEM с вашим источником событий
Наличие коннектора в списке совместимости — начало проверки. Для выбранной версии источника проследите один согласованный тестовый сценарий от исходного журнала до результата работы аналитика.
Доставка. Сохраните исходные тестовые события и время отправки. Найдите их в SIEM; объясните расхождения с учётом фильтрации, агрегации и повторной доставки. Отдельно проверьте задержку и восстановление сбора после перерыва связи.
Нормализация. Сверьте пользователя, узел, действие, результат и временную метку. Нужные для правила поля должны быть заполнены корректно, а не только присутствовать внутри сырого текста. Проверьте также события с ошибочным форматом.
Корреляция. Выполните согласованный сценарий и проверьте ожидаемое срабатывание. Затем воспроизведите похожее разрешённое действие: правило не должно поднимать тот же инцидент без основания. Сохраните версию правила, настройки и результат разбора.
Пример различия этапов: в документации KUMA 3.0.1 предусмотрена отдельная проверка ошибок нормализации после установки коллектора. А метрики этой версии позволяют наблюдать ошибки вывода и потери событий. Это пример процедуры конкретной версии, не подтверждение функций остальных SIEM.
Зафиксируйте итог по каждому обязательному источнику: версия, способ сбора, проверенные поля, правило и нерешённые ограничения. Так короткий список решений опирается на нужные вам сценарии, а не на общее число коннекторов. Это план пилота; результаты испытаний продуктов редакцией не заявлены.
Как сравнить стоимость SIEM при одинаковой нагрузке
Для сравнения коммерческих предложений SIEM задайте одинаковые источники событий, нагрузку и сроки хранения. Один показатель EPS — число событий в секунду — не описывает весь объём инфраструктуры и работ.
Нагрузка. Укажите средний и пиковый EPS, средний размер события, набор парсеров и правил. Запросите порядок расчёта лицензии и поведение при превышении лимита.
Хранение и резервирование. Разделите оперативный поиск и архив; уточните стоимость дисков, реплик, резервных копий и восстановления. Для оценки исходного потока используйте EPS × средний размер события в байтах × 86 400 — это байты за сутки до сжатия, индексов и копий, а не готовый размер хранилища.
Эксплуатация. Отдельно оцените подключение нестандартных источников, перенос правил и запросов, обновление экспертизы, поддержку и работу аналитиков. Лицензия SIEM сама по себе не включает услуги SOC.
Связь аппаратных требований с потоком событий показана, например, в требованиях KUMA 3.0.1. Цифры этой версии нельзя переносить на другие SIEM или конфигурации.
Вместо общего рейтинга мы сравниваем возможности по задачам. Баллы, места и выручка вендора не определяют пригодность SIEM для конкретной инфраструктуры. Порядок решений — по названию. Для каждого вывода указаны область версии, основание и уровень подтверждения.
Что означает «Документировано»?
В руководстве или техническом документе найдено описание конкретной функции. Это не результат независимого испытания SecRadar. Статус не доказывает эффективность детектирования, отсутствие потерь или заданную производительность.
Означает ли «Требует проверки», что функция отсутствует?
Нет. Проверенных материалов недостаточно для вывода. Причиной может быть закрытая документация, неуказанная версия или неопределённый состав лицензии. Такие вопросы нужно уточнить у вендора и проверить на пилоте.
Можно ли сравнивать SIEM только по EPS?
Нет. EPS — число событий в секунду — может обозначать лицензионный лимит или результат теста. Сравнивать нагрузку можно при одинаковом размере событий, правилах корреляции, запросах, сроке хранения и конфигурации оборудования. Важны также пики, задержка обработки и потери.
На что смотреть при выборе SIEM для КИИ или ГИС?
Проверьте требования своего контура и документы на конкретную поставку: запись реестра, сертификат, версию и исполнение, совместимые ОС и ограничения эксплуатации. Интеграция с ГосСОПКА и наличие сертификата у другого продукта вендора не подтверждают пригодность выбранной поставки.
Как предложить исправление сравнения?
Пришлите ссылку на документ, версию продукта и раздел, который уточняет вывод. Мы сверим область применения и обновим основание. Закрытые документы не публикуем без разрешения владельца.