SIEM для MSSP-провайдеров: мультиарендность и масштабирование

MSSP-провайдер обслуживает десятки клиентов на одной инфраструктуре, и обычная SIEM для этого не подходит — данные разных заказчиков должны быть строго изолированы при общей платформе мониторинга. Разбираем, как устроена мультиарендность в SIEM и какие российские решения её поддерживают.

Краткий вывод: для MSSP-модели нужна SIEM с изначально заложенной мультитенантностью на уровне архитектуры, а не просто разграничением доступа по ролям — среди российских решений это KUMA, «Пангео Радар» и R-Vision SIEM.

Что такое мультиарендность в SIEM

Мультитенантность означает возможность обслуживать множество изолированных клиентов на общей инсталляции платформы: у каждого клиента отдельное хранилище данных, отдельные правила корреляции и отдельный доступ для аналитиков, при этом инфраструктура и лицензия остаются общими для MSSP-провайдера.

Зачем мультиарендность нужна MSSP-провайдерам

• Снижение затрат на инфраструктуру за счёт обслуживания множества клиентов на единой платформе.
• Упрощённое масштабирование при добавлении новых клиентов без развёртывания отдельной инсталляции для каждого.
• Централизованное обновление правил корреляции и версий продукта сразу для всех клиентов.

Какие российские SIEM поддерживают мультиарендность

KUMA изначально спроектирована с поддержкой мультитенантности на уровне архитектуры. «Пангео Радар» заявляет мультиарендность как ключевую функцию для MSSP-провайдеров при производительности 100–500 тыс. EPS. R-Vision SIEM поддерживает изолированные «сателлиты» для отдельных клиентов или сегментов сети с локальной корреляцией данных.

На что смотреть при выборе SIEM для MSSP-модели

• Уровень изоляции данных между клиентами — на уровне хранения, а не только интерфейса доступа.
• Возможность индивидуальной настройки правил корреляции под специфику каждого клиента без влияния на других.
• Масштабируемость лицензирования при росте числа обслуживаемых клиентов.
• Соответствие требованиям ФСТЭК, если среди клиентов есть субъекты КИИ.

Особенности эксплуатации SIEM в MSSP-модели

Провайдер должен обеспечить, чтобы инцидент у одного клиента ни при каких обстоятельствах не был виден аналитикам, обслуживающим другого клиента — это требование не только технической архитектуры, но и договорных обязательств о конфиденциальности.

Часто задаваемые вопросы

Можно ли использовать обычную SIEM без мультитенантности для MSSP?

Технически можно через развёртывание отдельных инсталляций для каждого клиента, но это резко увеличивает затраты на инфраструктуру и администрирование.

Как обеспечивается изоляция данных при мультиарендности?

Обычно через логическое или физическое разделение хранилищ данных на уровне архитектуры платформы — уточняйте конкретный механизм у вендора.

Подходит ли мультиарендная SIEM для субъектов КИИ среди клиентов MSSP?

Да, при условии, что платформа имеет действующий сертификат ФСТЭК и обеспечивает необходимый уровень изоляции данных.

Сравните SIEM-платформы с поддержкой мультиарендности в каталоге platforms.su для построения MSSP-сервиса.