Стоимость лицензии в SIEM может зависеть, в том числе, от количества EPS – событий в секунду, которое пропускает система, и здесь важно выбрать ту SIEM, которая будет учитывать потребности именно вашего бизнеса. В SIEM Alertix лицензирование проводится на основе недельного EPS, и это во многих сценариях оказывается наилучшим решением. Афанасий Клюнков, менеджер продукта SIEM Alertix, рассказывает, почему.
SIEM может вести подсчёт EPS по суткам, неделям или месяцам. Некоторые SIEM контролирует EPS по трем периодам сразу. В SIEM Alertix от NGR Softlab используется средний «чистый» недельный EPS. Такой подход учитывает нагрузку за неделю целиком, позволяя легально использовать дневной запас мощности за счёт ночного и выходного простоя. Именно поэтому в некоторых сценариях 1000 EPS в лицензировании Alertix может быть эквивалентно до 3000 EPS в системах с другими моделями расчета. Рассмотрим несколько сценариев.
Сценарий 1: компания "8Х5"
Представьте компанию, которая работает по графику 8Х5. Днем, с 10:00 до 18:00 система генерирует 3000 EPS, а ночью и в выходные – всего 200 EPS. Если лицензирование SIEM привязано к суточным или пиковым значениям, заказчик фактически оплачивает мощность, которая большую часть времени остается невостребованной. Недельное же окно усредняет эти значения, позволяя легально использовать «дневной» запас мощности за счёт «ночного» и «выходного» простоя. Добавим, что при распределённом развёртывании Alertix лицензируется единым пулом EPS на всю иерархию, без умножения стоимости на количество площадок.
Сценарий 2: Защита от «логштормов» (Log Storms)
Резкие всплески EPS бывают не только из-за хакерских атак, но и просто из-за того, что инфраструктура живет своей жизнью, и в ней возможно всё: сбой в скрипте бэкапов, который начал писать ошибки в лог каждую миллисекунду; массовое обновление ПО или перезагрузка парка машин в воскресенье вечером; сетевые петли или сбои в работе коммутаторов. При суточном лимите один такой инцидент может «сжечь» лицензию на весь месяц. Недельный буфер позволяет безболезненно переварить этот аномальный всплеск.
Сценарий 3: компания подвергается атаке
Если система с суточным лимитом EPS в момент атаки упирается в потолок, то она начинает отбрасывать события (dropping logs). В результате компания остается «слепой» именно тогда, когда ей нужно видеть всё.
Сценарий 1: компания "8Х5"
Представьте компанию, которая работает по графику 8Х5. Днем, с 10:00 до 18:00 система генерирует 3000 EPS, а ночью и в выходные – всего 200 EPS. Если лицензирование SIEM привязано к суточным или пиковым значениям, заказчик фактически оплачивает мощность, которая большую часть времени остается невостребованной. Недельное же окно усредняет эти значения, позволяя легально использовать «дневной» запас мощности за счёт «ночного» и «выходного» простоя. Добавим, что при распределённом развёртывании Alertix лицензируется единым пулом EPS на всю иерархию, без умножения стоимости на количество площадок.
Сценарий 2: Защита от «логштормов» (Log Storms)
Резкие всплески EPS бывают не только из-за хакерских атак, но и просто из-за того, что инфраструктура живет своей жизнью, и в ней возможно всё: сбой в скрипте бэкапов, который начал писать ошибки в лог каждую миллисекунду; массовое обновление ПО или перезагрузка парка машин в воскресенье вечером; сетевые петли или сбои в работе коммутаторов. При суточном лимите один такой инцидент может «сжечь» лицензию на весь месяц. Недельный буфер позволяет безболезненно переварить этот аномальный всплеск.
Сценарий 3: компания подвергается атаке
Если система с суточным лимитом EPS в момент атаки упирается в потолок, то она начинает отбрасывать события (dropping logs). В результате компания остается «слепой» именно тогда, когда ей нужно видеть всё.
Alertix спроектирован под реальные особенности работы бизнеса и не перестанет собирать и анализировать события безопасности даже при превышении лицензионного лимита.
