События есть, но их никто не смотрит
Логи собираются, но разбирать их некому: объём измеряется гигабайтами в сутки. Атака выглядит как несколько строк среди миллионов обычных записей.
Безопасность
Замечаем атаку до того, как она станет проблемой
Круглосуточный мониторинг событий безопасности, контроль уязвимостей, аудит доступов и конфигураций, реагирование на инциденты по SLA и понятная отчётность для службы ИБ и аудита.
- Сбор и корреляция событий из инфраструктуры и приложений
- Сканирование уязвимостей по расписанию
- Реагирование на инцидент — от 15 минут
- Отчёты, пригодные для внутреннего аудита и регуляторов
Не любите формы? Позвоните: +7 (962) 368-39-51
Начнём с бесплатного экспресс-разбора периметра: покажем, что видно снаружи.
Почему безопасность обнаруживается постфактум
Атаку почти никогда не замечают в момент начала. О ней узнают, когда появляются последствия — и тогда времени на спокойные решения уже нет.
Алерты тонут в шуме
Система присылает сотни уведомлений, большинство — ложные. Через неделю их перестают читать, и настоящий инцидент проходит незамеченным.
Нет ответственного за реакцию
Формально безопасность есть у всех. Фактически при обнаружении аномалии непонятно, кто останавливает сервис, кому звонить и по какому регламенту действовать.
Уязвимости известны, но не закрыты
Сканер выдаёт список, он лежит в отчёте полугодовой давности. Часть находок уже закрыта обновлениями, часть — нет, и отличить одно от другого некому.
Доступы накапливаются годами
У бывших сотрудников остаются учётные записи, у подрядчиков — избыточные права, сервисные аккаунты используют общие пароли. Это самая частая точка входа.
Раз в год — недостаточно
Ежегодный пентест даёт срез состояния на конкретную дату. Между проверками конфигурация меняется, появляются новые сервисы и новые уязвимости.
Что входит в услугу
Мониторинг безопасности — это не установка сканера. Услуга включает постоянный цикл: сбор данных, обнаружение, реакция и устранение причин.
Сбор и корреляция событий
Собираем журналы серверов, приложений, баз данных, веб-серверов и облачных сервисов в единое хранилище и связываем события между источниками.
- Логи ОС, приложений, БД и облака
- Нормализация и хранение
- Правила корреляции
- Поиск по истории событий
Обнаружение аномалий и атак
Настраиваем правила на реальные сценарии: подбор паролей, аномальные входы, эскалация прав, подозрительные запросы к базе, всплески ошибок доступа.
- Правила на типовые атаки
- Поведенческие пороги
- Приоритизация срабатываний
- Снижение ложных срабатываний
Контроль уязвимостей
Регулярно сканируем инфраструктуру и приложения, сверяем находки с обновлениями и отслеживаем, что реально закрыто, а что осталось.
- Сканирование по расписанию
- Приоритет по критичности
- Контроль закрытия находок
- Отчёт с динамикой
Аудит доступов и конфигураций
Проверяем, у кого какие права, нет ли лишних учётных записей, соблюдён ли принцип минимальных привилегий и нет ли опасных настроек по умолчанию.
- Ревизия учётных записей и ролей
- Проверка сервисных аккаунтов
- Аудит настроек по baseline
- Рекомендации по ужесточению
Реагирование на инциденты
По регламенту: локализуем, собираем доказательства, восстанавливаем работу и разбираем причину. Вы получаете понятную хронологию, а не технический лог.
- Регламент и порядок эскалации
- Локализация и изоляция
- Сбор доказательств
- Разбор причин после инцидента
Отчётность для ИБ и аудита
Регулярные отчёты в формате, пригодном для внутреннего аудита и проверок: инциденты, их статус, закрытые уязвимости, изменения в правах доступа.
- Ежемесячный отчёт по инцидентам
- Динамика уязвимостей
- Журнал изменений доступов
- Материалы для проверок
Как проходит реакция на инцидент
Регламент согласуется до начала работы: вы заранее знаете, кто принимает решения, что мы делаем сами и в какой момент спрашиваем вас. Во время инцидента выяснять это поздно.
-
Обнаружение
секундыПравило или аномалия срабатывает и создаёт инцидент с приоритетом. Дежурный инженер получает уведомление — не общий чат, а конкретный человек.
-
Первичная оценка
до 15 минутПроверяем, реальная это угроза или ложное срабатывание. Отсеиваем шум, чтобы вы не получали алерты о каждой неудачной попытке входа.
-
Уведомление вас
сразу после оценкиВы получаете сообщение с сутью: что произошло, что затронуто, что мы делаем и какие решения нужны от вас.
-
Локализация
до 2 часовИзолируем источник: блокируем доступ, отзываем сессии и ключи, при необходимости ограничиваем сетевой доступ. Остановка сервисов — только по согласованию.
-
Сбор доказательств
параллельноСохраняем журналы и снимки состояния до любых изменений. Без этого потом невозможно установить масштаб доступа к данным.
-
Разбор и закрытие
до 5 рабочих днейОпределяем вектор проникновения, закрываем точку входа и описываем, что изменить в процессе, чтобы это не повторилось.
Пакеты мониторинга
Объём зависит от числа систем и требуемого режима реакции. Точную стоимость называем после экспресс-разбора периметра.
Базовый
от 55 000 ₽/мес
- Объём:
- До 10 сервисов
- SLA:
- Реакция до 4 часов
Минимальный контур контроля: сбор событий, сканирование уязвимостей и ежемесячный отчёт для службы ИБ.
- До 10 сервисов
- Сбор и хранение логов
- Сканирование раз в месяц
- Аудит доступов раз в квартал
- Ежемесячный отчёт
- Реакция в рабочие часы
Бизнес
от 120 000 ₽/мес
- Объём:
- До 30 сервисов, 24/7
- SLA:
- Реакция до 30 минут
Постоянный контроль с круглосуточным дежурством, корреляцией событий и отслеживанием закрытия уязвимостей.
- До 30 сервисов
- Дежурство 24/7
- Правила корреляции под ваш стек
- Сканирование раз в неделю
- Контроль закрытия находок
- Разбор каждого инцидента
Критичный
от 220 000 ₽/мес
- Объём:
- Требования регуляторов, чувствительные данные
- SLA:
- Реакция до 15 минут
Для организаций с повышенными требованиями: расширенное покрытие, регламенты под проверки, работа с персональными данными.
- Объём без ограничений
- Реакция до 15 минут, 24/7
- Расширенное покрытие источников
- Регламенты под требования регуляторов
- Учения по реагированию
- Выделенный контакт для ИБ
Пентест и полноценный аудит защищённости — отдельные работы с фиксированной сметой. Мониторинг не заменяет пентест: первый отвечает на вопрос «что происходит сейчас», второй — «что возможно в принципе».
Время реакции на инциденты безопасности
Приоритет выставляется по потенциальному ущербу, а не по громкости уведомления.
| Приоритет | Когда применяется | Реакция | Восстановление |
|---|---|---|---|
| P1 — Атака или утечка Признаки активной компрометации, доступа к данным или шифрования | Признаки активной компрометации, доступа к данным или шифрования | 15 минут | локализация до 2 часов |
| P2 — Подозрительная активность Аномальные входы, эскалация прав, необычные запросы к данным | Аномальные входы, эскалация прав, необычные запросы к данным | 30 минут | разбор до 8 часов |
| P3 — Уязвимость высокой критичности Найдена уязвимость, эксплуатация которой возможна | Найдена уязвимость, эксплуатация которой возможна | 4 часа | план закрытия до 3 дней |
| P4 — Замечания и рекомендации Находки среднего и низкого риска, вопросы hardening | Находки среднего и низкого риска, вопросы hardening | 1 рабочий день | по плану работ |
При P1 одновременно с началом работ вы получаете уведомление с первичной оценкой. Решение об остановке сервиса принимается совместно по заранее согласованному регламенту — мы не выключаем продакшен без вашего согласия.
Что покрываем
- Серверы и контейнеры
- Kubernetes
- Веб-приложения и API
- Базы данных
- Облачные сервисы и IAM
- VPN и сетевой периметр
- CI/CD и репозитории
- Панели администрирования
- Персональные данные (152-ФЗ)
- Подрядчики и внешние доступы
Частые вопросы
Пентест — это разовая проверка на конкретную дату: специалист ищет, что возможно взломать в принципе. Мониторинг — постоянный процесс: он отвечает на вопрос, что происходит с системами сейчас, и реагирует на события. Одно не заменяет другое: пентест без мониторинга устаревает через месяц, а мониторинг без пентеста не покажет неизвестную уязвимость, которую никто не эксплуатирует прямо сейчас.
Для полноценного мониторинга нужен доступ к источникам событий: журналам серверов, баз данных, веб-серверов и облачных сервисов. Мы работаем по принципу минимально необходимых прав, с персональными учётными записями, двухфакторной аутентификацией и журналированием всех действий. Если предоставить прямой доступ невозможно, часть событий можно получать через агент или пересылку логов без доступа к системам.
Ориентиры: до 10 сервисов с реакцией в рабочие часы — от 55 000 ₽ в месяц; до 30 сервисов с дежурством 24/7 и реакцией до 30 минут — от 120 000 ₽; расширенное покрытие с требованиями регуляторов и реакцией до 15 минут — от 220 000 ₽. Стоимость зависит от количества источников событий, объёма логов и требуемого режима реакции. Пентест и полный аудит защищённости считаются отдельно.
Да, отчётность ведётся в формате, пригодном для внутреннего аудита и проверок: перечень инцидентов и их статус, динамика уязвимостей, журнал изменений прав доступа, применённые меры. Мы не выдаём юридических заключений и не заменяем аудитора, но предоставляем фактические данные о состоянии систем и их изменениях во времени — обычно именно этого не хватает при проверке.
Если вы подозреваете компрометацию, порядок такой: изолируйте затронутые системы, сохраните журналы и образы дисков (до любых «чисток»), затем разбирайтесь. Уничтожение следов — самая частая ошибка, из-за которой потом невозможно понять масштаб. Мы можем подключиться к разбору инцидента как отдельной работе: определить вектор проникновения, оценить, к каким данным был доступ, и составить план восстановления и закрытия точки входа.
Проверим, что видно на вашем периметре
Начнём с экспресс-разбора: покажем, какие события сейчас фиксируются, а какие проходят незамеченными.
- Ответим в течение рабочего часа
- Начнём с аудита и фиксированной сметы
- Никаких обязательств до подписания договора
Позвонить
+7 (962) 368-39-51