🛡️ Основные цели аудита

• Обнаружение атак: выявление подозрительной активности в реальном времени
• Расследование инцидентов: восстановление хронологии событий после взлома
• Соблюдение требований: соответствие нормативным документам
• Оптимизация процессов: анализ производительности систем

📋 Нормативные требования

• ФЗ-152: хранение логов доступа к ПДн не менее 6 месяцев
• Приказ ФСТЭК №17: фиксация событий безопасности для ГИС
• Положение Банка России: требования к аудиту финансовых операций
• Приказ ФСБ: обязательное шифрование логов перед передачей

Категория событий

• Входы и выходы пользователей
• Изменение прав доступа
• Доступ к конфиденциальным данным
• Изменение критической конфигурации
• Сетевая активность (подозрительные подключения)

Минимальные параметры лога

• Дата и время события (с миллисекундами)
• Источник события (IP, хост)
• Тип события и его результат
• Идентификатор пользователя/процесса
• Целевой объект (файл, сервис, база данных)

🎯 Локальные решения (до 50 серверов)

# Пример конфигурации Rsyslog
module(load="imtcp")
input(type="imtcp" port="514")
template(name="CustomFormat" type="string"
         string="%timestamp% %hostname% %syslogtag% %msg%n")
if $programname == 'sshd' then /var/log/ssh.log
& ~
*.* @@central-logger:514;CustomFormat

Бюджет: 50–150 тыс. рублей на лицензии и настройку

🏢 Корпоративные решения (50+ серверов)

# Пример конфигурации ELK-стека
input {
  beats {
    port => 5044
    ssl => true
    ssl_certificate => "/etc/logstash/cert.pem"
    ssl_key => "/etc/logstash/key.pem"
  }
}
filter {
  if [type] == "audit" {
    grok {
      match => { "message" => "%{TIMESTAMP_ISO8601:timestamp} %{IPORHOST:source} %{DATA:event_type}" }
    }
  }
}
output {
  elasticsearch {
    hosts => ["es-node1:9200", "es-node2:9200"]
    index => "audit-logs-%{+YYYY.MM.dd}"
  }
}

Бюджет: 500 тыс. – 3 млн рублей

🎯 Автоматизированный анализ

• Корреляция событий: связывание событий из разных источников для выявления сложных атак
• Обнаружение аномалий: машинное обучение для выявления отклонений от нормального поведения
• Оповещения: мгновенное уведомление о критических событиях
• Интеграция с SIEM: автоматическое создание инцидентов в системах управления

# Пример правила корреляции в Wazuh
<rule id="100100" level="12">
  <if_sid>5716</if_sid>
  <if_matched_sid>530</if_matched_sid>
  <description>Множественные неудачные попытки входа
с последующим успешным</description>
  <group>authentication_failures,pci_dss_10.2.5,</group>
</rule>

🔍 Ручной анализ

• Ежедневный обзор: анализ критических событий за предыдущие 24 часа
• Еженедельные отчеты: трендовый анализ активности и выявление паттернов
• Расследование инцидентов: детальный анализ при подозрении на атаку
• Пентесты: проверка эффективности настроек аудита

Рекомендуемое время на анализ: 2-4 часа в день для организации с 100+ активами

📊 Стоимость внедрения

📈 Экономический эффект

• Снижение времени реагирования: с 210 дней до 14 дней — экономия 3.5 млн ₽ в год на расследованиях
• Предотвращение штрафов: избежание штрафов за нарушение ФЗ-152 (до 75 тыс. ₽ за инцидент)
• Снижение репутационных потерь: сохранение доверия клиентов (оценка: 5–10 млн ₽)
• Оптимизация ресурсов: автоматизация рутинных задач экономит 15 часов в неделю специалиста

ROI для средней компании: окупаемость за 8–14 месяцев при правильной реализации