Системы анализа
трафика (NTA)

Системы анализа сетевого трафика (NTA) обеспечивают перехват потоков данных и обнаруживают сложные целевые атаки (APT).

NTA отлично дополняют продукты класса Endpoint Detection and Response (EDR), могут служить богатым источником сведений для SIEM-систем или центров мониторинга и оперативного реагирования на инциденты информационной безопасности (SOC).

Такие решения специализируются на отслеживании трафика и коммуникаций внутри корпоративной сети. Для быстрого обнаружения и анализа угроз применяются такие техники как машинное обучение и поведенческий анализ. NTA применяется в сетях любого масштаба и любой архитектуры: локальной, облачной, гибридной.

Схема NTA-EDR-SIEM обеспечивает бесшовную корреляцию данных. В такой схеме NTA отвечает за видимость информации, передаваемой по сети, EDR поставляет соответствующие сведения от конечных точек, а SIEM агрегирует журналы событий.

В инфраструктуру многих компании зачастую можно проникнуть всего за 1 шаг.
А когда злоумышленники попадают во внутреннюю сеть, все их действия становятся незаметными для внешних средств защиты. Таким образом можно избегать обнаружения в течение достаточно длительного времени. Рекорд (или точнее антирекорд), зафиксированный специалистами по информационной безопасности, составил более 8 лет.

В этом разрезе становится очень важным отслеживание безопасности сети с помощью сигнатурного анализа трафика с помощью NTA-систем.

Основные отличия NTA от других решений, работающих с трафиком:

1. Анализ трафика и на периметре, и в инфраструктуре. Другие системы (IDS/IPS, межсетевые экраны) анализируют трафик только на периметре. Поэтому, проникший в сеть злоумышленник становится для них незаметным.
2. Большая вариативность способов выявления атак. Машинное обучение, поведенческие факторы, правила детектирования, индикаторы компрометации, ретроспективный анализ позволяют обнаруживать атаки и на ранних стадиях, и когда злоумышленник уже проник в инфраструктуру.
3. Применение NTA помогает в обнаружении и расследовании инцидентов и в threat hunting, проактивном поиске сетевых угроз, которые не обнаруживаются традиционными средствами анализа безопасности siem-систем. NTA-системы хранят информацию о сетевых взаимодействиях, а некоторые из них - еще и запись сырого трафика. Такие данные становятся полезными источниками знаний при анализе и раскрутке цепочки сетевой атаки и ее локализации, а также при проверке гипотез в рамках threat hunting.

Основные функции NTA-решений:

• анализ трафика как на периметре сети, так и внутри инфраструктуры,
• выявление атак с помощью комбинации технологий обнаружения,
• помощь в расследовании инцидентов.

Как правило, типовая архитектура NTA-решений включает:

• сетевой сенсор, который собирает трафик,
• серверы централизованного управления,
• консоль мониторинга (дашборд).

На рынке существуют решения, сочетающие возможности поиска проблем безопасности с автоматизированными задачами по реагированию на риски и минимизации последствий инцидентов. Такие решения ищут в сети подозрительные или вредоносные данные. При обнаружении проблем, NTA проводит диагностику для выявления состава угрозы безопасности. На основании этого анализа, система запускает автоматизированные задачи, чтобы помочь нейтрализовать проблему, одновременно оповещая отдел ИБ или SOC о ней.

Выявление атак — не единственный сценарий применения NTA. Такие системы помогают раскручивать всю цепочку атаки, понять хронологию ее развития, локализовать угрозу и принять компенсирующие меры. К примеру, обнаружив подозрительную попытку подключения с неавторизованного узла на контроллер домена, можно посмотреть историю сетевой активности узла и проверить, не было таких попыток ранее. Их обнаружение может говорить о целенаправленности действий.

В рамках threat hunting NTA-инструментарий применяется для проверки гипотез о компрометации сети. Например, оператор системы сформулировал гипотезу, что злоумышленники проникли в инфраструктуру и находятся на стадии горизонтального перемещения. Чтобы ее проверить, он анализирует всю сетевую активность доменной инфраструктуры, поскольку, чтобы развить атаку, преступникам нужно провести разведку в AD. Если среди подключений окажутся аномальные запросы, например по протоколу LDAP (протоколу доступа к каталогам), гипотеза будет подтверждена и потребуется детальное расследование.

Еще одна задача, с которой справляются решения класса NTA, — контроль соблюдения регламентов ИБ. В 90% организаций независимо от их размера и сферы деятельности пароли передаются в открытом виде, встречаются ошибки конфигурирования сети, используются утилиты для удаленного доступа и инструменты сокрытия активности. Все это серьезно увеличивает шансы злоумышленников на взлом и развитие атаки.

Сценарии использования NTA-систем гораздо шире по сравнению с другими системами, анализирующими трафик. Применяя NTA, подразделения ИБ могут выявить атаки не только на периметре, но и внутри сети, отследить ошибки сетевой безопасности, расследовать инциденты и охотиться за угрозами.

Это возможно благодаря:

• контролю как трафика между корпоративной сетью и интернетом, так и трафика, циркулирующего внутри организации;
• технологиям детектирования угроз, специфичных для активности злоумышленников внутри периметра;
• хранению трафика