Как собрать бесплатный SIEM своими руками на Open Source
Современные компании сталкиваются с огромным количеством угроз: фишинг, брутфорс, вирусы-шифровальщики, утечки данных. Системному администратору приходится отслеживать события сразу на десятках серверов, рабочих станций и сетевых устройств. Делать это вручную невозможно. Именно поэтому появился класс систем SIEM (Security Information and Event Management).
Но коммерческие SIEM стоят дорого — десятки тысяч долларов. Хорошая новость: собрать бесплатный SIEM на базе Open Source может любой администратор. В этой статье разберём пошагово, как это сделать.
Что такое SIEM и зачем он нужен
SIEM (Security Information and Event Management) — это система, которая:
- собирает логи с серверов, рабочих станций, сетевого оборудования;
- анализирует их в реальном времени;
- выявляет подозрительные события;
- сообщает администратору о потенциальных атаках;
- хранит логи для расследований.
Без SIEM администратор узнаёт об атаке, когда сервисы уже не работают. С SIEM — он получает сигнал на ранней стадии.
Популярные Open Source SIEM-решения
1. ELK Stack (Elasticsearch + Logstash + Kibana)
- мощный стек для сбора, анализа и визуализации логов;
- гибкость и масштабируемость;
- богатая экосистема плагинов.
2. Wazuh (форк OSSEC + ELK)
- готовое решение с правилами корреляции;
- агенты для Windows, Linux, macOS;
- встроенный механизм обнаружения атак (IDS).
3. Graylog
- альтернатива ELK, более простая в настройке;
- удобный интерфейс;
- подходит для малых и средних компаний.
Шаг 1. Определите цели
Прежде чем настраивать SIEM, ответьте на вопросы:
- Какие источники логов критичны? (AD, почта, файрволы, базы данных).
- Какие атаки нужно выявлять? (брутфорс, фишинг, внутренние угрозы).
- Как долго хранить логи? (обычно 90–180 дней).
Шаг 2. Установка Wazuh (лучший выбор для старта)
Установка сервера:
curl -sO https://packages.wazuh.com/4.x/wazuh-install.shbash wazuh-install.sh -a
Скрипт развернёт Wazuh + Elasticsearch + Kibana.
Установка агента:
На Linux:
curl -sO https://packages.wazuh.com/4.x/wazuh-agent.shbash wazuh-agent.sh -asystemctl enable wazuh-agentsystemctl start wazuh-agent
На Windows — скачайте MSI-установщик и укажите IP Wazuh-сервера.
Шаг 3. Сбор логов
Настройте агентов для отправки:
- Windows Event Logs — входы в систему, ошибки, администрирование.
- Linux syslog — SSH, sudo, cron.
- Firewall — блокировки, подозрительные подключения.
- Почтовые сервера — входящие/исходящие письма, заголовки.
Шаг 4. Настройка правил корреляции
SIEM не просто хранит логи, а анализирует их.
Примеры правил:
- 5 неудачных входов в систему за 1 минуту → тревога (брутфорс).
- Письмо от поддельного домена + переход по ссылке → тревога (фишинг).
- Пользователь ночью авторизуется с IP из другой страны → тревога.
Шаг 5. Уведомления и отчёты
- Настройте отправку уведомлений в Telegram, Slack, Email.
- Создайте дашборды в Kibana: нагрузка на серверы, инциденты безопасности.
- Раз в неделю выгружайте отчёты для руководства.
Итог
Бесплатный SIEM на базе Open Source реально собрать за 1–2 дня. Wazuh или ELK обеспечат централизованный сбор логов, обнаружение атак и уведомления администратора. Это решение экономит деньги и повышает уровень безопасности компании.
Если что-то не получается или нужна помощь в настройке SIEM на базе open-source продуктов — обращайтесь в itfly.by
