PT Network Attack Discovery (PT NAD) — система поведенческого анализа сетевого трафика класса NTA/NDR. После проникновения в сеть злоумышленник маскируется: использует легитимные инструменты, шифрование, VPN-туннели и мессенджеры, и его действия почти не отличаются от работы обычных сотрудников. Сеть при этом остаётся самым полным источником знаний — в трафике видно всё.
PT NAD читает эту картину с помощью поведенческого анализа и выявляет скрытую активность, которую не находят средства защиты на конечных узлах.
Ключевые возможности
- Обнаружение перемещения внутри периметра. Разведка, удалённое выполнение команд, атаки на Active Directory и Kerberos.
- Ретроспективный анализ. При появлении новых данных об угрозах система сама проверяет исторический трафик на индикаторы компрометации.
- Выявление эксплуатации уязвимостей, включая те, которым ещё не присвоены CVE.
- Контроль регламентов ИБ. Словарные пароли, передача учётных данных в открытом виде, VPN-туннели, Tor, прокси, утилиты удалённого доступа, мессенджеры.
- Анализ зашифрованного трафика — поиск следов злоумышленника в шифрованных протоколах.
- Обнаружение ВПО по сетевой активности — важно, когда вредоносное ПО скрывается от антивирусов.
- Детект сокрытия активности. Разбор более 100 сетевых протоколов и 9 протоколов туннелирования, DNS/HTTP/SMTP/ICMP-туннелей; 35 популярных протоколов разбираются до уровня L7.
- Выявление DGA-доменов с помощью машинного обучения — распознавание доменных имён, сгенерированных алгоритмически.
- Правила от PT ESC. Команда экспертов расследует сложные атаки и создаёт правила обнаружения для продукта.
Сценарии использования
- Выявление аномалий и угроз. Профилирование узлов, анализ сессий, индикаторы компрометации, ML-модули и ретроспективный анализ.
- Сдерживание угроз. Понимание границ распространения злоумышленника.
- Расследование атак. Восстановление полной цепочки по копии трафика.
- Проактивный поиск угроз и проверка гипотез об инциденте.
- Управление сетевыми активами — понимание того, что реально работает в сети.
- Проверка регламентов ИБ на уровне трафика.
- Защита геораспределённых систем и хранение данных о трафике.
Кому подходит
- Компании без выделенного SOC (СМБ) — продукт закрывает базовый мониторинг сети.
- Крупный бизнес с распределённой инфраструктурой.
- Государственный сектор и объекты КИИ.
- Аутсорсинговые SOC-центры (MSSP).
Характеристики
| Класс решения | NTA / NDR — поведенческий анализ трафика |
|---|---|
| Тип продукта | Программный комплекс |
| Производитель | Positive Technologies |
| Страна | Россия |
| Покрытие MITRE ATT&CK | 180 техник |
| Протоколы | Более 100 сетевых, 9 протоколов туннелирования, 35 до L7 |
| Режим работы | Пассивный анализ копии трафика |
| Сертификация | ФСТЭК России; реестр российских программ № 4710 |
| Интеграции | SIEM, threat intelligence, средства реагирования |
| Лицензирование | По запросу |
Поставка и внедрение
IT Business Solutions определяет точки контроля трафика, разворачивает систему, настраивает профилирование под инфраструктуру и связывает её с SIEM. Доступны тест-драйв и сопровождение после внедрения.