NTA/NDR-системы: как анализ зеркального трафика помогает находить хакеров в облаке

Большинство дискуссий о сетевой безопасности сосредоточено вокруг систем, которые стоят непосредственно на пути трафика и должны принимать решения здесь и сейчас: NGFW, WAF, IDS. Однако существует и другой класс решений — те, что работают не с самим потоком данных, а с его зеркальной копией. Именно эта особенность даёт им запас времени, позволяющий анализировать происходящее сколь угодно долго и замечать то, что ускользает от систем реального времени.

Подробности

В своей статье эксперты Positive Technologies разбирают возможности NTA/NDR-систем (Network Traffic Analysis / Network Detection and Response), построенных на анализе зеркального трафика. Ключевое преимущество такого подхода — отсутствие необходимости выносить вердикт мгновенно. Пока NGFW, WAF и IDS обязаны реагировать в режиме реального времени, NTA/NDR-решения могут накапливать метаданные и возвращаться к ним позже, восстанавливая картину произошедшего. Именно этот запас времени позволяет решать задачи, которые плохо поддаются обнаружению «на лету». Среди примеров, приведённых в материале: - восстановление цепочки атаки шифровальщика по сохранённым метаданным трафика; - обнаружение ботнета, для которого ещё не существовало сигнатуры. Первый сценарий важен тем, что атаки программ-вымогателей часто растянуты во времени и состоят из множества этапов — от первоначального проникновения до собственно шифрования данных. Анализируя сохранённые метаданные, NTA/NDR-система способна собрать эти этапы в единую последовательность и увидеть атаку целиком, а не отдельные её фрагменты. Второй сценарий демонстрирует ценность поведенческого анализа: если сигнатуры для вредоносного трафика ещё не существует, классические средства защиты могут его пропустить. NTA/NDR-системы, работающие с зеркальной копией, могут выявлять подозрительную активность по её поведенческим признакам, не полагаясь исключительно на сигнатурные базы. Отдельно подчёркивается актуальность такого подхода именно для облачных сред, где трафик распределён, а классические точки контроля не всегда позволяют получить полную картину. Зеркалирование трафика в облаке даёт NTA/NDR-системам материал для глубокого анализа без вмешательства в сам поток данных.

Что делать

Материал носит обзорно-методологический характер, поэтому конкретных уязвимостей, версий продуктов или идентификаторов CVE в нём не приводится. Тем не менее из описанного подхода можно вывести практические рекомендации для специалистов по ИБ: - Рассмотреть NTA/NDR-решения как дополнение к уже используемым NGFW, WAF и IDS, а не как их замену: эти классы систем решают разные задачи и дополняют друг друга. - Обеспечить зеркалирование трафика в критичных сегментах инфраструктуры, включая облачные среды, чтобы у систем анализа был достаточный объём данных. - Настроить хранение метаданных трафика на срок, достаточный для ретроспективного расследования инцидентов — именно накопленные данные позволяют восстанавливать цепочки атак. - Использовать поведенческие методы обнаружения в дополнение к сигнатурным, чтобы выявлять угрозы, для которых ещё не выпущены сигнатуры, включая активность ботнетов. - Проверять, способны ли применяемые средства защиты восстанавливать полную картину многоэтапных атак, таких как цепочки распространения шифровальщиков. Итог: NTA/NDR-системы, работающие с зеркальной копией трафика, закрывают слепые зоны средств защиты реального времени — от ретроспективного анализа атак шифровальщиков до выявления угроз без готовых сигнатур. Для облачных инфраструктур такой подход становится особенно востребованным.

Источник: Positive Technologies Blog