PT Network Attack Discovery — продукт для обнаружения действий злоумышленника как на периметре, так и внутри сети

Для анализа трафика создано большое количество технологий и классов решений. К ним относятся IDS/IPS, UTM и NGFW. Современные решения классов IDS/IPS, UTM, NGFW способны обрабатывать большие объемы трафика, разбирать заданный набор протоколов (вплоть до 7-го уровня модели ISO/OSI), выявлять сетевые атаки с использованием сигнатурного, поведенческого анализа, а также с помощью технологий машинного обучения и обнаружения сетевых аномалий. Решения готовы защищать периметр организации от угроз извне, а также выявлять вредоносную активность изнутри. Специально для портала Cyber Media компания Positive Technologies подготовила обзор своего продукта PT Network Attack Discovery.

Практика тестирований на проникновение Positive Technologies показывает, что в 93% случаев можно преодолеть сетевой периметр и получить доступ к ресурсам ЛВС. На проникновение в локальную сеть некоторых компаний экспертам Positive Technologies потребовалось всего 30 минут и в среднем 2 дня.

После проникновения в сеть действия злоумышленников остаются для многих систем безопасности незамеченными. Причин тому несколько:

• IDS/IPS, UTM и NGFW работают только на периметре организации;
• Хранение информации только о сработавших сигнатурах, а не обо всем проходящем трафике;
• Нет повторного сканирования ранее обработанного трафика.

Таким образом, как IDS/IPS, так и UTM, и NGFW не способны обеспечить защиту от целенаправленных атак, локализовать угрозу, точно выявить пораженные узлы и предоставить фактуру для проведения полноценного расследования. Устранить этот пробел призваны решения класса NTA. Их еще называют NDR-системами (сокращение от network detection and response).

NTA и выявление целенаправленных атак

Среди ключевых возможностей NTA отметим следующие:

• Анализ внешнего и внутреннего трафика. NTA поддерживает разбор и анализ большого числа протоколов: как «периметровых» (HTTP, DNS, SMTP), так и «инфраструктурных» (SMB, LDAP, DCERPC).
• Обнаружение подозрительной и вредоносной активности на основе комбинации технологий: поведенческий анализ, статистический анализ, машинное обучение, обнаружение аномалий, автоматический ретроспективный анализ, применение IoC и IoA для выявления ранее не обнаруженных угроз.
• Хранение сырого трафика и метаданных. Хранение подробной фактуры по уже обработанному трафику для проведения расследований, восстановления цепочки атаки, выявления и локализации пораженных узлов и оценки ущерба.

В инфраструктуре организации NTA выступает единой точкой анализа всего трафика или произвольного набора сетевых сегментов.

Рисунок 1. Схема применения PT NAD в инфраструктуре без использования сетевого брокера

Рисунок 2. Схема применения PT NAD в инфраструктуре с использованием сетевого брокера

Современный SOC (Security Operation Center) должен обладать технологическим стеком для обнаружения сложных угроз. К ним относится SIEM, EDR и NTA. Без использования NTA аналитики SOC упускают события на уровне сети, а значит дают больше шансов злоумышленникам остаться незамеченными.

PT Network Attack Discovery (PT NAD) — система поведенческого анализа сетевого трафика для обнаружения зараженных узлов, нарушения политик безопасности и инсайдеров. За счет комбинации шести технологий обнаружения угроз (поведенческая и статистическая аналитика, правила, модули глубокой аналитики, машинное обучение и ретроспективный анализ) PT NAD обнаруживает действия злоумышленника как на периметре, так и внутри сети и относится к классу NTA решений ИБ. Анализируя потоки данных, PT NAD обнаруживает угрозы даже в зашифрованном трафике, благодаря чему незаменим в расследованиях. Продукт видит передаваемые объекты между сетевыми устройствами, извлекает их, передает на анализ в PT Sandbox и получает результаты статистического и динамического анализа. Это достигается за счет тесной интеграции двух продуктов в составе решения PT Apti-APT.

В основе PT Network Attack Discovery лежат знания экспертного центра безопасности Positive Technologies PT ESC. PT ESC постоянно исследует актуальные хакерские техники, инструменты и образцы вредоносных программ и на регулярной основе передает эти знания в продукт. Получая данные о новых киберугрозах, PT NAD осуществляет ретроспективный анализ трафика, позволяя обнаружить скрытое присутствие злоумышленника внутри сети. Кроме того, продукт помогает сопоставить события с техниками и тактиками злоумышленников по матрице MITRE ATT&CK и эффективен в проактивном поиске угроз (Threat Hunting).

Преимущества PT NAD над NGFW

Cisco, Fortinet, PaloAlto предлагали рынку системы периметровой защиты — межсетевые экраны следующего поколения (NGFW). После ухода этих вендоров с рынка ИБ у заказчиков возникли проблемы с функциями защиты от сетевых атак и обновлениями устройств, включая облачные обновления самого ПО и базы знаний. Несмотря на то, что NGFW используются для активной сетевой защиты, часть модулей использовалась в режиме обнаружения.

Выходит, что часть функций можно переложить на систему класса NTA, в частности на PT Network Attack Discovery. Кроме того, PT NAD решает ряд важных проблем при поиске злоумышленников в сети:

• Обнаруживает внутренние сетевые атаки и инсайдеров;
• Анализирует трафик по поведению;
• Разбирает метаданные протоколов и приложений;
• Хранит копию сетевого трафика и метаданные;
• Проводит ретроспективный анализ;
• Помогает расследовать сетевые атаки.

Таким образом PT NAD может решить проблему неработающих модулей в NGFW тех производителей, найти попытки проникнуть во внутреннюю сеть, а внутри сети найти уже закрепившегося злоумышленника.

Основное назначение и функции PT NAD

Основные функции PT NAD:

Системные требования

Минимальные требования, предъявляемые к аппаратным ресурсам серверов с PT NAD, зависят от расчетной скорости захвата трафика в организации. Количество подключаемых серверов может варьироваться в зависимости от инфраструктуры, потока обрабатываемого трафика и срока хранения сырого трафика и метаданных. Объемы жестких дисков и твердотельных накопителей в разделах ниже рассчитаны на 3 дня хранения исходной копии трафика и 7 дней хранения метаданных трафика.

До 1 Гбит/c (NAD Sensor)

NAD Sensor — это упрощенная версия PT NAD, которая используется для передачи информации о сетевых атаках в MaxPatrol SIEM. В отличие от обычной версии PT NAD в NAD Sensor: — захваченный трафик не сохраняется на диск (нет хранилища файлов PCAP); — метаданные трафика хранятся не больше одного дня; — скорость захвата трафика ограничена 1 Гбит/с. NAD Sensor устанавливается только на один физический сервер. 

Таблица 1. Минимальные требования к серверу с NAD Sensor

До 200 Мбит/с

Для захвата трафика со скоростью до 200 Мбит/с PT NAD может быть установлен на один физический сервер.

Таблица 2. Минимальные требования к серверу (до 200 Мбит/с)

До 200 Мбит/с – 1 Гбит/с

Для захвата трафика со скоростью до 200 Мбит/с PT NAD может быть установлен на один физический сервер

Таблица 3. Минимальные требования к серверу (200 Мбит/с — 1 Гбит/с)

1—5 Гбит/с

Для захвата трафика со скоростью от 1 до 5 Гбит/с PT NAD устанавливается на два физических сервера — основной и дополнительный. 

Таблица 4. Минимальные требования к основному серверу

На дополнительном сервере устанавливаются сенсор и хранилище файлов PCAP.

Таблица 5. Минимальные требования к дополнительному серверу

5—10 Гбит/с

Для захвата трафика со скоростью от 5 до 10 Гбит/с PT NAD устанавливается на три физических сервера — основной и два дополнительных. 

Таблица 6. Минимальные требования к основному серверу

Первый дополнительный сервер.

Таблица 7. Минимальные требования к первому дополнительному серверу

Второй дополнительный сервер. 

Таблица 8. Минимальные требования ко второму дополнительному серверу

Основной и первый дополнительный серверы должны быть связаны со вторым дополнительным сервером через коммутатор. При этом для основного сервера в коммутаторе должен быть выделен отдельный порт со скоростью передачи данных до 10 Гбит/с.

Лицензирование

Приобретение Network Attack Discovery предполагает необходимость приобретения первоначальных базовой лицензии и инфраструктурных лицензий в зависимости от требуемой функциональности и условий применения Network Attack Discovery. Минимальный срок действия первоначальной лицензии — один год.

Продлевать приобретенные лицензии необходимо заранее, до истечения срока их действия. Лицензии продления необходимо приобретать для каждой приобретенной базовой и инфраструктурной лицензии. По умолчанию срок действия лицензии продления составляет один год.

По окончании срока действия лицензии, указанного в бланке лицензии, лицензия становится недействительной, прекращается поставка обновлений PT NAD и оказание услуг технической поддержки. По окончании срока действия лицензии доступ к PT NAD для пользователей будет возможен, однако будет ограничена функциональность, связанная с получением обновлений баз знаний продукта.

Базовая лицензия

Наличие базовой лицензии является обязательным условием. Базовая лицензия приобретается на суммарную скорость передачи данных в анализируемом сегменте сети заказчика.

Таблица 9. Примеры базовой лицензии PT NAD

Инфраструктурная лицензия

Инфраструктурная лицензия позволяет использовать в составе Системы соответствующий инфраструктурный компонент Network Attack Discovery.

Таблица 10. Примеры и назначение инфраструктурных лицензий

В каждой системе анализа сетевого трафика и расследования инцидентов на базе Network Attack Discovery должны присутствовать как минимум один компонент SRV и один компонент CAP.

Лицензия на PT NAD All-in-One

Приобретение комплекса PT NAD All-in-One предполагает необходимость приобретения пакета лицензий.

Данный вариант поставки предназначен для территориально нераспределенных систем (одна площадка) и подходит для IT-инфраструктур с нагрузкой не более 10 Гбит/с с заведением копии сетевого трафика на один сервер, включающий компонент Sensor. Возможно использование Network Attack Discovery All-in-One в качестве одного из дочерних элементов территориально распределенного внедрения PT NAD.

В пакет лицензий на комплекс Positive Technologies Network Attack Discovery All-in-One входят базовая лицензия PT NAD BASE (1 шт.) и лицензии на следующие компоненты PT NAD: SRV (1 шт.) и CAP (1 шт.). Подключение дополнительных компонентов CAP к Network Attack Discovery All-in-One не предусмотрено. В зависимости от модели комплекс Network Attack Discovery All-in-One имеет следующие лицензионные ограничения на максимальную скорость сетевого трафика:

— 100 Мбит/c;

— 500 Мбит/c;

— 1000 Мбит/c;

— 2000 Мбит/c;

— 5000 Мбит/c;

— 10 000 Мбит/c.

Если сетевой трафик увеличился и превысил лицензионное ограничение или требуется завести трафик более чем на один компонент CAP, нужно приобрести специальную лицензию на расширение комплекса в соответствии с инфраструктурными лицензиями. Приобретая Positive Technologies Network Attack Discovery All-in-One, заказчик получает пакет лицензий на программное обеспечение со сроком действия один год.

По истечении этого срока необходимо приобрести лицензии продления на соответствующие модели комплекса. Для комплекса Positive Technologies Network Attack Discovery All-in-One действует единая техническая поддержка, осуществляемая компанией "Позитив Текнолоджиз".

Комбинация лицензий

Для подбора оптимального для заказчика состава лицензий допускается комбинирование базовых лицензий. Например, если суммарная скорость передачи сетевого трафика на точках его съема составляет 15 Гбит/c, можно приобрести две базовые лицензии: на 10 Гбит/c и 5 Гбит/c, а не лицензию на 20 Гбит/c.

Состав и назначение компонентов PT NAD

В состав Системы входят следующие компоненты:

SRV — главный компонент, в который поступают все данные и в котором происходит их обработка. Включает в себя интерфейс управления. В Системе должен быть как минимум один SRV.

SRV-С — компонент, предназначенный для масштабирования главного компонента. Такие компоненты требуются в системах с захватом трафика более 5 Гбит/с или в системах с распределенным хранением метаданных.

CAP — компонент, предназначенный для первичного получения и анализа сетевого трафика, выявления сетевых атак и сохранения копии исходных данных трафика. Данные, полученные и обработанные компонентом CAP, передаются в компонент SRV.

Первоначальная лицензия приобретается заказчиком при первой покупке PT NAD и состоит из:

— Базовой лицензии на сетевой трафик, который будет анализировать Система;

— Инфраструктурных лицензий на инфраструктурные компоненты, используемые в рамках Системы.

Применение PT NAD

PT Network Attack Discovery (PT NAD) — система поведенческого анализа сетевого трафика для обнаружения зараженных узлов, нарушения политик безопасности и инсайдеров. Система знает, что происходит в сети, обнаруживает активность злоумышленников даже в зашифрованном трафике и помогает в расследованиях.

Видит активность злоумышленников как на периметре, так и внутри сети

PT NAD анализирует не только внешний, но и внутренний трафик, поэтому он детектирует перемещения злоумышленников по сети, попытки эксплуатации уязвимостей, атаки на конечных пользователей в домене и на внутренние сервисы.

Выявляет даже модифицированное вредоносное ПО

Для создания собственных правил обнаружения угроз наши эксперты постоянно исследуют актуальные хакерские техники, инструменты и образцы вредоносных программ. При этом одно правило покрывает целое семейство вирусного ПО. Благодаря этому PT NAD уведомляет обо всех действительно опасных угрозах и выявляет даже модифицированные версии вредоносного ПО.

Полезен в расследованиях и Threat hunting

PT NAD хранит сырой трафик и 1200 параметров сетевых сессий. Когда происходит инцидент, это помогает понять, что именно произошло (см. пример расследования в специальном разделе на сайте CNews).

Определяет тактики и техники по модели MITRE ATT&CK ®

В карточке атаки отображаются данные об использованных тактиках и техниках из матрицы ATT&CK. Это помогает понять, на какой стадии атаки находятся злоумышленники, и быстрее определить компенсирующие меры.

Виджет в PT NAD: тепловая карта техник по модели ATT&CK

Помогает выполнить требования по защите информации

PT NAD позволяет выполнить требования по защите:
— критической информационной инфраструктуры (приказы ФСТЭК № 239 и 235),
— персональных данных (приказ ФСТЭК № 21),
— информации в ГИС, в АСУ ТП и в информационных системах общего пользования (приказы ФСТЭК № 19, 31 и 489).

Прикладные задачи, решаемые PT NAD

PT NAD обладает всеми необходимыми технологиями для обнаружения действия злоумышленника в сети. Используя поведенческий и статистический анализ, правила, модули глубокой аналитики, машинное обучение и ретроспективный анализ, PT NAD знает, где находится атакующий в сети и помогает вовремя заметить действия хакера до реализации неприемлемых для бизнеса событий. Вы можете оценить возможности PT NAD — для этого оставьте заявку на бесплатный пилот по ссылке.