MaxPatrol SIEM 8.0 против RuSIEM 6.5: сравниваем по пяти параметрам на реальной инфраструктуре

На рынке отечественных SIEM сейчас происходит что-то похожее на гонку вооружений с дедлайном. MaxPatrol SIEM выпустил 8.0 в феврале, RuSIEM ответил 6.5 в марте - оба с акцентом на КИИ, ГОСОПКА 2.0 и новые требования ФСТЭК. Мы используем оба продукта у разных заказчиков и наконец можем сравнить их на более или менее одинаковом масштабе. Не как вендорский бенчмарк, а как записки из полевых условий.

Масштаб, о котором идёт речь: от 5 000 до 15 000 EPS, смешанная среда ОТ/ИТ, объекты второй категории значимости по КИИ. Именно этот диапазон интереснее всего для сравнения - в нём оба продукта работают без очевидных аппаратных ограничений, и разница видна в архитектуре, а не в железе.

Скорость корреляции

Здесь нет сюрпризов, если знать внутреннюю архитектуру. MaxPatrol SIEM 8.0 держит движок корреляции in-memory с постраничной выгрузкой на диск - это его историческое преимущество. На пике 12 000 EPS задержка от события до срабатывания правила держится в районе нескольких секунд. Спайки трафика обрабатываются без заметной деградации - буферизация хорошо видна в метриках, очередь растёт и разгребается без потерь.

RuSIEM 6.5 заметно улучшил эту метрику относительно пятой версии. В 2025-м году задержки корреляции при пиках были их слабым местом - мы это видели на одном из заказчиков и писали в рамках аудита ФСТЭК в Q1 как системную проблему с источниками ОТ. В 6.5 архитектуру движка пересмотрели, и сейчас разрыв с MaxPatrol на нашем масштабе - не критический. Но при ровной нагрузке; при резких спайках разница всё ещё чувствуется.

Если корреляционная задержка - ваш главный KPI, MaxPatrol здесь чуть уверенней.

Out-of-box правила для КИИ

Это было самое интересное для нас в обновлениях. Оба вендора добавили паки правил под январские методрекомендации ФСТЭК 2026.

MaxPatrol SIEM 8.0 поставляется с расширенным набором PT Expert Security Center - около 1 200 активных правил в базовой поставке. Из них под КИИ второй категории - примерно треть. Качество правил для Windows/AD-среды традиционно высокое: lateral movement, credential dumping, аномалии привилегированного доступа - это проработано хорошо. Слабее - правила для промышленных протоколов. Modbus, DNP3, OPC UA есть, но базово; для реальной ОТ-среды их нужно кастомизировать.

RuSIEM 6.5 в этом выпуске сделал ставку именно на ОТ-правила - и это чувствуется. Они добавили готовые паки для нескольких распространённых российских SCADA-систем и промышленных контроллеров. Это не революция, но приятный сдвиг: часть правил, которые мы раньше писали руками под каждый проект, теперь идут из коробки. Правда, покрытие IT-части у RuSIEM по-прежнему уже - для сложных Windows-сред придётся доращивать самостоятельно.

Итог: если у вас смешанная среда с реальным ОТ - RuSIEM интереснее по out-of-box ОТ-правилам. Если центр тяжести в IT-инфраструктуре - MaxPatrol.

Интеграция с ГОСОПКА 2.0

ГОСОПКА 2.0 с новым API - тема, которую все обсуждают последние месяцы после того, как регулятор начал требовать подтверждение технической интеграции, а не просто наличие системы. Оба вендора заявляют готовность.

MaxPatrol SIEM 8.0 добавил нативный коннектор для ГОСОПКА 2.0 - он умеет автоматически формировать карточки инцидентов и отправлять обогащённые события через API. В нашей практике коннектор завёлся без особых мучений: маппинг полей настроился за день, первые автоматические уведомления пошли штатно. Вопросы возникли с тонкостями формата некоторых полей - тут была переписка с поддержкой, но разрешилась за неделю.

У RuSIEM интеграция с ГОСОПКА тоже есть, но пока ощущается как более ручная. Автоматическая отправка работает, но обогащение карточки инцидента требует дополнительной настройки workflow. Для заказчика, у которого мы это делали, потратили дня три на конфигурацию - не катастрофа, но MaxPatrol здесь быстрее в запуске.

Стоимость владения на нашем масштабе

Честный разговор о деньгах - без цифр, которые устаревают быстрее, чем выходит пост, но с наблюдениями по структуре затрат.

MaxPatrol SIEM лицензируется по EPS или по количеству активов - зависит от модели закупки. На диапазоне 5-15 тысяч EPS это не дешёвый продукт. Плюс: стоимость предсказуема, скачков при росте нагрузки нет, если вписываешься в лицензию. Минус: аппаратные требования у MaxPatrol жёстче, что добавляет к TCO стоимость железа.

RuSIEM исторически позиционировался как более доступная альтернатива, и ценник у него действительно ниже. Но часть функциональности, которая у MaxPatrol идёт в базовой поставке, у RuSIEM либо в отдельных модулях, либо требует профессиональных услуг для настройки. Считать нужно полный TCO с учётом часов инженеров на внедрение и поддержку.

На нашем масштабе разница в лицензиях частично нивелируется разницей в трудозатратах на первичное внедрение. Там, где MaxPatrol встаёт быстрее за счёт готовых правил и коннекторов, RuSIEM требует больше работы руками - но потом, когда настроено, работает стабильно.

Документация и поддержка

Это пятый параметр, о котором не принято говорить, но который реально влияет на работу.

Документация MaxPatrol - традиционно сильная сторона Positive Technologies. База знаний актуальная, версионированная, с примерами. Поддержка реагирует быстро на P1/P2, на остальное - стандартно.

У RuSIEM документация в 6.5 стала лучше - это факт. Но всё ещё встречаются разделы, где примеры устарели или отсутствуют. Поддержка работает, но иногда ощущение, что инженер ищет ответ вместе с тобой. Не всегда плохо, но не то, что хочется в инцидент.

Что мы из этого выводим

Оба продукта - рабочие инструменты, каждый со своими сильными сторонами. MaxPatrol SIEM 8.0 выигрывает по зрелости IT-правил, скорости корреляции при пиках и интеграции с ГОСОПКА. RuSIEM 6.5 интереснее там, где центр тяжести в ОТ и где бюджет требует аргументации.

Главное наблюдение: оба вендора явно реагируют на один и тот же список требований регулятора, и разрыв между продуктами по базовой функциональности сокращается. Это хорошо для рынка. Выбор теперь больше зависит от конкретного ландшафта заказчика, чем от принципиальных архитектурных различий.

Если нужна помощь с выбором и обоснованием для вашей среды - это часть аудита по ИБ, который мы делаем в том числе как предпроектное исследование.