NTA — системы анализа сетевого трафика для защиты корпоративной инфраструктуры
Современные атаки часто развиваются внутри инфраструктуры незаметно для периметровых средств защиты. Злоумышленник может использовать легитимные учетные записи, перемещаться между узлами, обращаться к внутренним сервисам и постепенно выводить данные. Чтобы видеть такую активность, компаниям нужен постоянный мониторинг сетевого трафика и инструменты, которые способны выявлять не только известные сигнатуры, но и нетипичное поведение.
«Гладиаторы информационной безопасности» подбирают и внедряют NTA/NDR-решения с учетом архитектуры сети, объема трафика и существующих средств защиты.
«Гладиаторы информационной безопасности» подбирают и внедряют NTA/NDR-решения с учетом архитектуры сети, объема трафика и существующих средств защиты.
- Подбор NTA под вашу инфраструктуру
- Проектирование системы съема трафика
- Внедрение, интеграция и сопровождение
Что такое NTA — Network Traffic Analysis
NTA — это класс решений информационной безопасности для сбора, обработки и анализа сетевой активности.
Система получает копии сетевого трафика или метаданные о соединениях, анализирует взаимодействия между устройствами и сервисами и помогает выявлять отклонения от нормального поведения.
В зависимости от архитектуры конкретного продукта анализатор сетевого трафика может использовать:
NTA помогает получить представление о том, какие устройства взаимодействуют между собой, какие приложения и протоколы используются, какие соединения являются необычными и где может развиваться атака.
По сути, это инструмент постоянного контроля и анализа трафика, который позволяет видеть события, недоступные при мониторинге только конечных устройств или сетевого периметра.
Система получает копии сетевого трафика или метаданные о соединениях, анализирует взаимодействия между устройствами и сервисами и помогает выявлять отклонения от нормального поведения.
В зависимости от архитектуры конкретного продукта анализатор сетевого трафика может использовать:
- сигнатурный анализ;
- поведенческие модели;
- машинное обучение;
- индикаторы компрометации;
- анализ сетевых протоколов;
- статистические методы;
- ретроспективный анализ ранее собранных данных.
NTA помогает получить представление о том, какие устройства взаимодействуют между собой, какие приложения и протоколы используются, какие соединения являются необычными и где может развиваться атака.
По сути, это инструмент постоянного контроля и анализа трафика, который позволяет видеть события, недоступные при мониторинге только конечных устройств или сетевого периметра.
Зачем NTA, если уже есть NGFW, IDS/IPS, EDR и SIEM
NTA не заменяет другие средства информационной безопасности. Его задача — закрыть область, которую традиционные решения контролируют лишь частично.
Особенно важна видимость трафика, который циркулирует внутри организации (его еще называют трафик “восток-запад” (east-west).
После проникновения за периметр злоумышленник может проводить разведку, искать критичные системы, обращаться к Active Directory, использовать административные протоколы и перемещаться между узлами. При этом его действия могут выглядеть как обычная активность легитимного пользователя.
NTA анализирует такие взаимодействия и помогает обнаруживать признаки атаки даже тогда, когда на конечной точке или межсетевом экране нет очевидного события безопасности.
В связке NTA + EDR + SIEM организация получает более полную картину инцидента: сетевые взаимодействия, активность конечных устройств и события из других средств защиты можно анализировать совместно.
Решение | Основная зона контроля |
NGFW / IDS / IPS | Сетевой периметр, правила доступа, сигнатуры и известные типы атак |
EDR | Рабочие станции и серверы |
SIEM | Централизованный сбор и корреляция событий из различных источников |
NTA / NDR | Сетевые взаимодействия между устройствами, пользователями, приложениями и сегментами |
Особенно важна видимость трафика, который циркулирует внутри организации (его еще называют трафик “восток-запад” (east-west).
После проникновения за периметр злоумышленник может проводить разведку, искать критичные системы, обращаться к Active Directory, использовать административные протоколы и перемещаться между узлами. При этом его действия могут выглядеть как обычная активность легитимного пользователя.
NTA анализирует такие взаимодействия и помогает обнаруживать признаки атаки даже тогда, когда на конечной точке или межсетевом экране нет очевидного события безопасности.
В связке NTA + EDR + SIEM организация получает более полную картину инцидента: сетевые взаимодействия, активность конечных устройств и события из других средств защиты можно анализировать совместно.
Возможности систем NTA
Поведенческий анализ сетевой активности
NTA формирует представление о нормальном поведении инфраструктуры и отслеживает отклонения:
- необычные направления соединений;
- резкое изменение объема трафика;
- новые взаимодействия между сегментами;
- нетипичную активность пользователей или сервисов;
- необычное использование протоколов.
Это позволяет выявлять не только известные атаки, но и события, для которых еще нет готовой сигнатуры.
Анализ сетевых протоколов
Современные NTA/NDR-системы анализируют сетевой трафик вплоть до прикладного уровня и помогают определить, какие приложения, протоколы и сервисы используются в инфраструктуре.
Глубина анализа зависит от конкретного продукта и архитектуры внедрения.
Построение карты сетевых взаимодействий
Система позволяет увидеть:
- какие узлы присутствуют в сети;
- между какими системами идет обмен;
- какие сервисы используются;
- где возникают новые или необычные соединения.
Это особенно полезно в крупных и распределенных инфраструктурах, где ручной контроль сетевых коммуникаций практически невозможен.
Анализ зашифрованного трафика
Часть решений способна выявлять аномалии в TLS- и других зашифрованных соединениях по метаданным и поведенческим признакам без расшифровки содержимого.
Если требуется полноценный анализ содержимого, отдельно проектируется архитектура безопасной расшифровки трафика.
Ретроспективный анализ
NTA может хранить:
- сведения о сетевых сессиях;
- метаданные;
- Flow-данные;
- в отдельных решениях — копии сырого трафика PCAP.
Это позволяет возвращаться к событиям после обнаружения инцидента и восстанавливать цепочку действий злоумышленника.
Интеграция с другими средствами защиты
NTA может передавать события и контекст в:
- SIEM;
- SOAR;
- EDR;
- NGFW;
- Sandbox;
- SOC-платформы;
- системы управления инцидентами.
В результате системы мониторинга трафика становятся одним из источников данных для общей инфраструктуры обнаружения и реагирования.
Какие угрозы помогает выявлять NTA
NTA применяется для обнаружения различных типов подозрительной активности внутри корпоративной инфраструктуры.
Система может помочь выявлять:
Конкретные возможности детектирования зависят от выбранного продукта, качества сбора трафика и настроенных сценариев обнаружения.
Система может помочь выявлять:
- разведку и сканирование сети;
- нетипичные подключения между сегментами;
- lateral movement — горизонтальное перемещение злоумышленника;
- подозрительные обращения к Active Directory;
- аномальную активность LDAP, SMB, RDP, DNS и других протоколов;
- соединения с внешними командными серверами;
- взаимодействие с подозрительными или неизвестными IP-адресами;
- необычные объемы передачи информации;
- медленную эксфильтрацию данных;
- использование нехарактерных сервисов;
- активность скомпрометированных учетных записей;
- нарушения правил сетевой сегментации.
Конкретные возможности детектирования зависят от выбранного продукта, качества сбора трафика и настроенных сценариев обнаружения.
Сценарии использования NTA
Обнаружение атаки внутри корпоративной сети
Классические средства защиты хорошо контролируют периметр, однако после компрометации одного из узлов злоумышленник может начать развивать атаку уже внутри инфраструктуры.
NTA позволяет обнаруживать нетипичные взаимодействия между внутренними системами и выявлять активность, характерную для разведки, закрепления и дальнейшего перемещения.
Расследование инцидентов
Если атака уже обнаружена, данные NTA помогают понять:
- с какого узла началась подозрительная активность;
- с какими системами взаимодействовал злоумышленник;
- в какие сегменты он пытался проникнуть;
- какие протоколы и сервисы использовались;
- какие данные могли быть переданы за пределы инфраструктуры.
Чем больше глубина и срок хранения сетевых данных, тем больше контекста получает команда расследования.
Threat Hunting
NTA можно использовать не только для реакции на автоматически сформированные инциденты, но и для проактивного поиска угроз.
Аналитик может сформулировать гипотезу, например о наличии горизонтального внутреннего перемещения (lateral movement), и проверить сетевые взаимодействия:
- запросы к доменной инфраструктуре;
- использование административных протоколов;
- соединения между рабочими станциями;
- обращения к нетипичным сервисам;
- необычные DNS-запросы.
Такой подход помогает находить активность, которая еще не привела к явному срабатыванию других средств защиты.
Контроль состояния сетевой инфраструктуры
Мониторинг сетевого трафика также помогает выявлять проблемы, которые не всегда связаны с непосредственной атакой:
- неизвестные устройства;
- ошибочные сетевые взаимодействия;
- небезопасные протоколы;
- нарушения сегментации;
- несанкционированные средства удаленного доступа;
- неожиданные связи между информационными системами.
Надежный и ответственный интегратор
- Если вы работаете с нами, то мы уверены, что решение вам подходит, можем даже отговорить от покупки, если это не соответствует целям и задачам
Мы экспертно подходим к задачам обеспечения безопасности
- Это не самая простая ниша, есть много продуктов, нюансов, тонкостей интеграции, поэтому с нами вы можете положиться на наш опыт и возможности с полной уверенностью!
Мы знаем боль компаний изнутри, так как сами используем те же самые подходы и проблемы роста
- Мы понимаем, как строить защиту, что нужно защищать, а на какую боль можно не обращать внимание. Мы свои.
Мы экономим нервы и время (силы / ресурсы)
даем решение для проблемы под ключ, вам не требуется тратить время на подбор, изучение, внедрение - мы это сделаем за вас. Сэкономим 3 месяца вашей жизни!
Получи консультацию по внедрению NTA-решения
Нажимая на кнопку, вы даете согласие на обработку персональных данных и соглашаетесь c политикой конфиденциальности
Наши кейсы
Как работает NTA
Типовая архитектура NTA включает несколько компонентов.
1. Съем сетевого трафика
Копия трафика передается в систему с помощью:
- SPAN-портов;
- сетевых разветвителей (TAP);
- виртуальных зеркал для трафика (с коммутаторов, гипервизоров);
- других механизмов, доступных в инфраструктуре.
Важно выбрать точки так, чтобы система получала достаточную видимость как внешнего, так и внутреннего трафика.
2. Агрегация и распределение трафика
В крупных инфраструктурах могут использоваться пакетные брокеры (Network Packet Broker).
Он позволяет собирать трафик с нескольких источников, фильтровать его, устранять дублирование и распределять между системами анализа.
Это особенно важно, если одновременно используются NTA, IDS/IPS, системы анализа производительности и другие инструменты.
3. Сенсоры NTA
Сенсоры принимают трафик и выполняют его разбор, формируют метаданные, анализируют протоколы и передают результаты в аналитическую систему.
4. Аналитическая платформа
Центральный компонент коррелирует сетевые события, строит поведенческие модели, определяет аномалии и формирует инциденты.
5. Консоль и интеграции
Результаты отображаются специалистам ИБ и могут передаваться в SIEM, SOAR или SOC.
Таким образом, контроль и анализ трафика выполняется непрерывно, а команда безопасности получает как отдельные детекты, так и контекст сетевых взаимодействий.
Кому нужны NTA-решения
NTA наиболее востребованы в инфраструктурах, где важно видеть не только периметр, но и внутренние коммуникации.
В первую очередь это:
Средний и крупный бизнес
Особенно компании, у которых:
- большое количество серверов и рабочих станций;
- несколько филиалов;
- распределенная сеть;
- собственные ЦОД;
- сложная сегментация;
- большое количество внутренних и внешних сервисов.
Компании с гибридной инфраструктурой
Когда часть систем находится в собственном ЦОД, часть — в виртуальной среде или облаке, обеспечить единую видимость сетевой активности становится сложнее.
NTA может стать одним из инструментов централизованного мониторинга таких коммуникаций.
Организации с высоким риском внутренних угроз
Система помогает обнаруживать подозрительное поведение не только внешних злоумышленников, но и скомпрометированных или внутренних учетных записей.
Организации с повышенными требованиями к защите
NTA может использоваться как часть комплексной системы защиты в организациях, работающих с персональными данными, объектами КИИ и другими регулируемыми информационными системами.
Необходимость конкретного средства защиты определяется требованиями к информационной системе и выбранной моделью угроз.
Как выбрать NTA/NDR-систему
Выбор NTA/NDR-решения зависит не только от набора функций. Система должна соответствовать реальной архитектуре сети, объему трафика и задачам информационной безопасности.
При выборе важно учитывать:
Поэтому подбор NTA лучше начинать с обследования инфраструктуры и определения требований к мониторингу сетевого трафика, а уже затем сравнивать конкретные продукты
При выборе важно учитывать:
- Производительность — суммарный и пиковый объем трафика, количество контролируемых сегментов, нагрузку на сенсоры.
- Точки съема трафика — периметр, ЦОД, пользовательские и серверные сегменты, филиалы, виртуальная инфраструктура.
- Контроль внутреннего трафика — важно обеспечить видимость не только “вертикального” входящего/исходящего трафика (North-South), но и горизонтального трафика между внутренними системами (East-West).
- Глубину анализа — Flow, сетевые метаданные, DPI, анализ прикладных протоколов, хранение PCAP.
- Срок хранения данных — от него зависят возможности ретроспективного анализа и расследования инцидентов.
- Работу с зашифрованным трафиком — анализ метаданных или полноценная расшифровка.
- Интеграции — совместимость с SIEM, SOAR, EDR, NGFW, Sandbox и SOC.
- Архитектуру сбора трафика — при большом числе источников может потребоваться пакетный брокер (Network Packet Broker) для агрегации, фильтрации и распределения потоков.
Поэтому подбор NTA лучше начинать с обследования инфраструктуры и определения требований к мониторингу сетевого трафика, а уже затем сравнивать конкретные продукты
Краткий обзор продуктов класса Network Traffic Analysis
Решение | Производитель | Ключевые возможности |
PT Network Attack Discovery (PT NAD) | Positive Technologies (РФ) | Глубокий анализ сетевого трафика и протоколов, обнаружение атак внутри сети и на периметре, ретроспективный анализ и расследование инцидентов |
Kaspersky Anti Targeted Attack Platform (KATA) | Лаборатория Касперского (РФ) | Обнаружение сложных и целевых атак, анализ сетевой активности, поведенческие механизмы, Sandbox и Threat Intelligence |
Гарда Монитор | Гарда (РФ) | Мониторинг сетевой активности, выявление аномалий и подозрительных взаимодействий, анализ событий для расследования инцидентов |
Solar NTA | ГК «Солар» (РФ) | Анализ сетевого трафика, выявление аномального поведения и сложных угроз, интеграция со средствами мониторинга и SOC |
Cisco Secure Network Analytics | Cisco (США) | Анализ сетевой телеметрии и поведения устройств, выявление аномалий и подозрительных взаимодействий в корпоративной сети |
Vectra AI | Vectra AI (США) | Поведенческий анализ и машинное обучение для обнаружения сложных атак и нетипичной сетевой активности |
Darktrace | Darktrace (Великобритания) | Поведенческая аналитика и машинное обучение для выявления отклонений от нормальной активности инфраструктуры |
Конкретное решение выбирается с учетом архитектуры сети, производительности, глубины анализа, требований к хранению данных, интеграций и бюджета.
«Гладиаторы информационной безопасности» помогают обследовать инфраструктуру, сравнить NTA/NDR-решения, провести пилотирование и подобрать систему под реальные задачи компании.
Внедрение NTA с «Гладиаторами информационной безопасности»
Мы рассматриваем внедрение NTA не как установку отдельного программного продукта, а как создание полноценной системы сетевой видимости.
Важно не только выбрать анализатор сетевого трафика, но и обеспечить ему качественные данные, правильно определить точки контроля, рассчитать производительность и интегрировать решение с существующей инфраструктурой информационной безопасности.
1. Обследуем инфраструктуру
Анализируем:
- топологию сети;
- существующую сегментацию;
- ключевые информационные системы;
- маршруты трафика;
- используемые средства защиты;
- текущие точки зеркалирования;
- требования к расследованию и хранению данных.
2. Проектируем архитектуру съема трафика
Определяем, откуда система должна получать данные.
Прорабатываем:
- SPAN;
- TAP;
- виртуальные источники трафика;
- брокеры сетевых пакетов;
- распределение потоков между сенсорами.
Задача — обеспечить NTA необходимую видимость без критического влияния на рабочую сеть.
3. Рассчитываем производительность
Учитываем:
- средний и пиковый объем трафика;
- количество точек съема;
- глубину анализа;
- срок хранения данных;
- необходимый запас производительности.
4. Подбираем NTA/NDR-решение
Сравниваем продукты по:
- функциональности;
- производительности;
- качеству детектирования;
- интеграциям;
- требованиям к инфраструктуре;
- стоимости лицензий и эксплуатации.
При необходимости организуем пилотирование нескольких решений.
5. Выполняем пилот
Подключаем NTA к реальному трафику заказчика и проверяем:
- полноту видимости;
- качество детектов;
- количество ложных срабатываний;
- удобство расследования;
- производительность;
- возможности интеграции.
6. Разворачиваем систему
Устанавливаем и настраиваем:
- сенсоры;
- аналитические серверы;
- серверы управления;
- консоли;
- хранилище.
7. Настраиваем политики и детекты
Адаптируем систему под реальную инфраструктуру:
- настраиваем критичность событий;
- исключения;
- профили поведения;
- правила обнаружения;
- приоритеты мониторинга.
Это позволяет снизить уровень информационного шума и сосредоточить внимание ИБ-команды на значимых событиях.
8. Интегрируем NTA с другими средствами защиты
Настраиваем обмен данными с SIEM, SOAR, EDR, NGFW и другими решениями.
Как правило также организуем передачу событий в SOC.
9. Обучаем специалистов
Показываем команде заказчика (и пишем playbook-и):
- как работать с инцидентами;
- как проводить ретроспективный анализ;
- как искать сетевые взаимодействия;
- как использовать NTA для threat hunting.
10. Сопровождаем систему
После внедрения помогаем:
- актуализировать настройки;
- подключать новые сегменты;
- адаптировать детекты;
- обновлять архитектуру;
- решать проблемы производительности;
- развивать сценарии мониторинга.
Интеграция NTA с другими средствами ИБ
Максимальную эффективность NTA показывает как часть комплексной системы защиты.
NTA + SIEM
NTA передает в SIEM сведения о подозрительной сетевой активности, а SIEM сопоставляет их с событиями из других систем.
NTA + EDR
EDR показывает, что происходило на конкретном устройстве, а NTA — с какими системами оно взаимодействовало по сети.
Совместный анализ помогает быстрее восстанавливать цепочку атаки.
NTA + SOAR
События высокой критичности могут запускать автоматизированные сценарии реагирования.
NTA + NGFW
NTA может выявить подозрительное соединение, после чего информация передается в другие средства защиты для блокировки или дополнительной проверки.
Такая архитектура позволяет связать мониторинг сетевого трафика, обнаружение угроз и реагирование в единый процесс.
FAQ
Термины тесно связаны. NTA традиционно обозначает анализ сетевого трафика и выявление аномалий, а NDR — более широкий подход, включающий обнаружение угроз, расследование и поддержку реагирования.
На практике современные продукты часто сочетают функции обоих классов.
На практике современные продукты часто сочетают функции обоих классов.
Нет. NTA является источником сетевых данных и детектов, а SIEM агрегирует и коррелирует события из большого количества источников.
Эти решения дополняют друг друга.
Эти решения дополняют друг друга.
Да, если требуется видеть сетевые взаимодействия между устройствами.
EDR анализирует активность конечной точки, а NTA показывает, как этот узел взаимодействует с остальной инфраструктурой.
EDR анализирует активность конечной точки, а NTA показывает, как этот узел взаимодействует с остальной инфраструктурой.
Да. Часть NTA-систем анализирует метаданные зашифрованных соединений без расшифровки.
Для более глубокого анализа может потребоваться отдельная инфраструктура для работы с шифрованным трафиком (TLS Inspection).
Для более глубокого анализа может потребоваться отдельная инфраструктура для работы с шифрованным трафиком (TLS Inspection).
Не всегда.
Для части задач достаточно метаданных или Flow. Полное хранение PCAP повышает возможности расследования, но значительно увеличивает требования к дисковой инфраструктуре.
Для части задач достаточно метаданных или Flow. Полное хранение PCAP повышает возможности расследования, но значительно увеличивает требования к дисковой инфраструктуре.
Да. Для этого проектируется архитектура с несколькими сенсорами и централизованным управлением.
Точное количество компонентов зависит от количества площадок, сегментов и объема трафика.
Точное количество компонентов зависит от количества площадок, сегментов и объема трафика.
Внедрим NTA под вашу инфраструктуру
«Гладиаторы информационной безопасности» помогут определить, какие участки сети необходимо контролировать, выбрать подходящее NTA/NDR-решение, спроектировать систему сбора трафика и интегрировать ее с существующими средствами защиты.
Не продаем NTA ради самого NTA. Сначала определяем, какую видимость необходимо получить и какие угрозы должна обнаруживать система, а затем проектируем решение под реальные условия эксплуатации.
Оставьте заявку — проведем первичную оценку инфраструктуры и предложим архитектуру NTA для вашей сети.
Не продаем NTA ради самого NTA. Сначала определяем, какую видимость необходимо получить и какие угрозы должна обнаруживать система, а затем проектируем решение под реальные условия эксплуатации.
Оставьте заявку — проведем первичную оценку инфраструктуры и предложим архитектуру NTA для вашей сети.
Вам также могут быть интересны услуги
Вендоры, с которыми работаем
Отзывы
Читайте по теме
Связаться с нами
Заполните поля и мы свяжемся с вами любым удобным способом
Спасибо