15 лучших решений для обнаружения и реагирования на сетевые атаки (NDR)
Решения Gartner® Magic Quadrant™ NDR
Узнайте, почему мы являемся единственным поставщиком, попавшим в квадрант Challenger...
Испытайте безопасность на основе искусственного интеллекта в действии!
Откройте для себя передовой искусственный интеллект Stellar Cyber для мгновенного обнаружения угроз...
Зачем вам нужно решение NDR?
Современные сети выглядят совсем не так, как десять лет назад: рабочие нагрузки приложений зависят от распределенной архитектуры, удаленные сотрудники в значительной степени полагаются на общедоступные и домашние сети, а быстро меняющийся ландшафт глобальных угроз — все это создает все большую нагрузку на сетевых инженеров и администраторов безопасности.
В результате брандмауэр — когда-то оплот сетевой безопасности — не обеспечивает всю необходимую широту видимости. Он фокусируется исключительно на потоках данных «север-юг»: это трафик, который проходит между устройствами во внутренней сети и общедоступным Интернетом. Именно здесь решения NDR заполняют пробел: они размещают датчики во внутренних сетях и отслеживают каждое взаимодействие между внутренними устройствами.
Эти данные встроены в модель обычного поведения сети, а также сравниваются и перекрестно ссылаются на другие части интеллекта. Модели ИИ сравнивают эти данные с исторической моделью сети и выявляют отклонения. Узнайте больше что такое NDR здесь.
Как выбрать правильный инструмент NDR
Как мы вскоре увидим, сегодня на рынке представлены десятки поставщиков и инструментов для обнаружения и восстановления после сбоев (NDR). Выбор подходящего начинается с глубокого понимания вашей конкретной сетевой архитектуры, угроз и требований к соответствию нормативным требованиям. Для этого необходимо провести анализ с участием нескольких ключевых заинтересованных сторон. К ним относятся: руководитель службы информационной безопасности (CISO), SOC Менеджеру и/или команде сетевых администраторов необходимо учитывать собственные мнения относительно существующих проблем в области безопасности и управления сетью.
Ключевым компонентом NDR является его способность интегрироваться с существующей инфраструктурой безопасности и ИТ. Начните с визуализации собственных сетей — поймите их пропускную способность, на какой платформе основаны серверы; являются ли они локальными или облачными, и способность текущих инструментов безопасности контролировать трафик Восток-Запад внутри них.
Наконец, оцените ресурсы, которые ваша организация может выделить на инструмент: решение с быстрой настройкой, автоматизированным обнаружением угроз и интуитивно понятными панелями мониторинга может стать спасательным кругом для небольших групп безопасности, в то время как высоконастраиваемые опции потребуют больше рабочей силы для работы, но могут искоренить ложные срабатывания в очень сложных сетях. Тратить время на выяснение своих потребностей жизненно важно, в противном случае вы рискуете купить продукт только из-за его трехбуквенной аббревиатуры.
Каковы основные характеристики NDR?
Хотя крайне важно сделать правильный выбор среди доступных решений NDR, стоит выделить основные функции, которые обеспечивают основные возможности.
- Глубокая проверка пакетов (DPI): DPI анализирует полное содержимое сетевых пакетов, а не только заголовки, предлагая детальное понимание потоков данных. Несмотря на свою важность, DPI имеет ограничения: он ресурсоемкий и плохо работает в средах с высокой пропускной способностью или с зашифрованным трафиком, где видимость сильно снижена.
- Анализ метаданных: Метаданные предлагают высокомасштабируемое понимание, захватывая атрибуты сеанса, такие как IP-адреса, порты, журналы DNS и детали шифрования, без погружения в полную полезную нагрузку пакета. В отличие от DPI, он остается эффективным даже в зашифрованных и распределенных сетях, что делает его идеальным для современных сред.
- Поведенческий анализ: Вместо того, чтобы полагаться только на известные сигнатуры угроз, поведенческий анализ использует машинное обучение для обнаружения аномалий. Контролируемые модели обнаруживают распространенное поведение угроз, в то время как неконтролируемые модели устанавливают базовые линии и отмечают отклонения, помогая раскрывать новые атаки.
- Интеграция разведки угроз: Связывание NDR с потоками данных об угрозах улучшает обнаружение известных IoC и шаблонов атак. Этот контекст помогает приоритизировать угрозы и улучшить реагирование на инциденты, особенно при согласовании с такими фреймворками, как MITRE ATT&CK.
- Интеграция стека безопасности: Сочетание NDR с такими инструментами, как EDR и SIEM Обеспечивает полную прозрачность работы группы безопасности. Позволяет выявлять гораздо больше атак в сети, но кроссплатформенная интеграция обеспечивает автоматическое или немедленное реагирование с момента первоначального вторжения.
15 лучших рекомендуемых решений NDR
#1. Звездный Кибер
Stellar Cyber — это открытая расширенная система обнаружения и реагирования (Open XDR) платформы. Вместо того чтобы ограничиваться только сетевой телеметрией, как другие поставщики NDR, Stellar фокусируется на комплексном сборе и анализе всех соответствующих данных безопасности. То есть, поведения сети и конечных устройств, протоколов идентификации и приложений для повышения производительности. После сбора и анализа всех данных, система также предварительно анализирует оповещения, группируя их в инциденты и отбрасывая ложные срабатывания.
- Обнаруживает и анализирует все активы в подключенных сетях.
- Нормализует и анализирует все данные посредством нескольких раундов перекрестного анализа.
- Проводит глубокую проверку незашифрованных пакетов, а также поведенческий анализ метаданных приложений и сети.
- Карты обнаруживают угрозы против конкретных методов ATT&CK, что дает четкое понимание поведения атаки, а не просто оповещения об аномалиях.
Преимущества: соответствие стандарту MITRE ATT&CK, мощные возможности поиска угроз, высокая масштабируемость и возможности интеграции. Все функции предоставляются по одной лицензии.
Минусы: Может потребоваться обучение аналитика, лучше всего работает в интеграции с уже существующим инструментом EDR.
#2. Киберкомандование «Сангфор»
- Переносит данные сетевого журнала на центральную платформу управления.
- Создает базовую модель нормального поведения активов.
- Сравнивает с индикаторами компрометации в рамках своей разведывательной информации об угрозах.
#3. Cortex от Palo Alto Networks
- Извлекает данные с сетевых серверов и любых предварительно развернутых средств безопасности в центральный механизм анализа и оповещения.
- Объединяет данные о безопасности конечных точек и сети перед выдачей оповещений.
#4. Сокол Краудстрайка
Подобно Cortex, Falcon представляет собой совместный инструментарий EDR и NDR, который собирает данные со всех конечных точек, сетей, пользователей и инструментов безопасности организации.
- Обнаружение угроз как на основе политик, так и на основе поведения.
- Предоставляет приоритетные оповещения соответствующим администраторам безопасности.
- Crowdstrike делится IoC между клиентами, предотвращая новые атаки.
Преимущества: Отличная прозрачность и ведение журналов, относительно простое развертывание и доступная панель управления.
Минусы: Ограниченные возможности настройки, функции оповещения и настройки рабочих процессов не так глубоки, как возможности анализа данных.
№5. ДаркТрейс
Darktrace — это решение NDR из Великобритании, которое фокусируется на применении поведенческого анализа к сетевой безопасности. Оно предлагает другие плагины, такие как email security, который применяет тот же анализ к коммуникационным платформам. Популярно среди организаций, у которых нет специальных групп безопасности.
- Самообучающиеся модели поведенческого анализа, развернутые на локальных машинах.
- Включает в себя чат-бот с искусственным интеллектом, который описывает оповещения на простом английском языке.
Преимущества: Бесплатная пробная версия, выделенная поддержка при установке и первоначальной настройке.
Минусы: высокая стоимость, отсутствие интеграции со сторонними инструментами безопасности; полагаться исключительно на поведенческий анализ чревато большим количеством ложных срабатываний.
#6. ExtraHop RevealX
RevealX — это платформа NDR двойного назначения, которую также можно использовать для управления производительностью сети.
- Осуществляет захват пакетов для анализа и предлагает расшифровку SSL и TLS.
- Возможно как локальное, так и облачное развертывание.
Плюсы: Хорошая документация, функция расшифровки позволяет обнаруживать зашифрованные пакеты вредоносного ПО.
Минусы: Дорогостоящий, часто требует развертывания нескольких устройств, расшифровка пакетов сама по себе может представлять проблему безопасности.
#7. Vectra.ai
Vectra.AI — это проверенный инструмент NDR, который можно использовать в сетях SaaS, публичного облака и центров обработки данных организации.
- Анализирует активность сети и идентификационных данных с помощью центрального ИИ и объединяет проблемы в оповещения.
- Устанавливает приоритеты оповещений и показывает причину на панели управления.
Преимущества: Возможности Vectra по управляемому обнаружению и реагированию (MDR) позволяют использовать искусственный интеллект в сочетании с оценкой, проводимой человеком. Мощный автономный инструмент.
Минусы: Ограниченная интеграция с другими инструментами безопасности, недостаточное обучение для новых пользователей, высокая степень кастомизации и требования к знаниям, довольно сложная техническая панель управления.
#8. Мунинн
Muninn, принадлежащий Logpoint, — популярный NDR для организаций среднего размера, которые только начинают внедрять меры по обеспечению безопасности внутренних сетей.
- Ориентирован на простоту развертывания с меньшими требованиями к настройке коммутатора и брандмауэра.
- Базовые показатели для моделей нормального поведения сети.
- Возможность развертывания как в локальных, так и в изолированных сетях.
Преимущества: Четкий обзор сетевого трафика, доступная цена, возможность долговременного хранения необработанных данных для криминалистического анализа.
Минусы: Относительно лёгкий инструмент, но углублённый анализ инцидентов по-прежнему необходимо проводить вручную.
№9. Rapid7 InsightIDR
Хотя технически это облачная система управления информацией и событиями безопасности (SIEM) решение, оно предлагает надежное XDR возможности за счет интеграции с конечными устройствами и сетями.
- Обеспечивает агрегацию данных на локальном устройстве сбора данных, что может помочь соблюдать строгие нормативные требования.
- В качестве источника разведывательной информации используется фреймворк MITRE ATT&CK.
Преимущества: Доступные инструменты расследования и панель управления, быстрая интеграция с существующими инструментами безопасности.
Минусы: Ограниченные возможности настройки панели управления, доступность только в облаке, журналы хранятся только 12 месяцев.
# 10. Ариста
Arista — гигант в области сетевых технологий, и она в первую очередь фокусируется на предоставлении крупных центров обработки данных, кампусов и сред маршрутизации. Их NDR представляет собой переход от коммутаторов к инструментам безопасности. Таким образом, он хорошо настроен для обработки больших объемов сетевых данных и популярен среди сетевых администраторов.
- Ориентирован на нулевое доверие.
- Проводит глубокую проверку пакетов.
- Создан для быстрого развертывания в течение нескольких часов.
Плюсы: Предлагает достаточно детализированные функции отчетности, такие как возможность отслеживать использование сети отдельными организациями с течением времени.
Минусы: Отсутствие возможности настройки оповещений по электронной почте или SMS, а также архивирования старых данных, очень ограниченная документация.
# 11. Fortinet NDR
Другой известный игрок в области безопасности, FortiNDR — новейший продукт Fortinet и один из самых дорогих. Этот инструмент отслеживает текущие действия отдельных сетей, по сути, объединяя функциональные возможности их предыдущих инструментов FortiGate и FortiSandbox.
- Сетевые пакеты «Восток-Запад» анализируются на предмет вредоносного поведения и содержимого.
- Может развертываться в изолированных сетях.
- Предлагает пошаговые инструкции для ускорения реагирования аналитиков.
Преимущества: Мощная система обнаружения уязвимостей нулевого дня; базовые параметры автоматического устранения проблем доступны через панель управления; очень простая интеграция с инструментами Fortinet.
Минусы: Не предоставляет подробного анализа, очень простой пользовательский интерфейс, слабая интеграция с инструментами других поставщиков решений в области безопасности.
# 12. Аналитика защищенных сетей Cisco (StealthWatch)
Хотя технически это не NDR, Cisco StealthWatch считается опцией для сетевой видимости. Поскольку он иногда включен в корпоративное лицензирование Cisco, у существующих компаний Cisco может возникнуть соблазн использовать его как NDR. Однако поведенческий анализ StealthWatch не охватывает содержимое сетевых пакетов, а только их метаданные.
- Обеспечивает видимость и отчетность в режиме реального времени по трафику север/юг.
- Обеспечивает длительное хранение данных, облегчая проведение криминалистической экспертизы.
Преимущества: Мощный инструмент анализа сетевого трафика, полный контроль и возможность настройки, достойная поддержка клиентов, универсальность для устранения неполадок в сети.
Минусы: Требуется сложная ручная настройка, не предоставляет анализ журналов сервера или данных о состоянии сервера, не добавлены новые функции, а обновления прошивки занимают много времени.
# 13. Анализатор сетевого потока ManageEngine
Как и StealthWatch, NetFlow Analyzer от ManageEngine представляет собой более традиционный инструмент анализа сетевого трафика: он собирает и анализирует сетевой трафик в отдельных подсетях, сегментируя и анализируя использование в соответствии с приложениями, интерфейсами и устройствами.
- Применяет поведенческий анализ к трафику «Север-Юг», позволяя администраторам обнаруживать неожиданные потоки трафика и запросы.
- Отслеживает и отображает протоколы приложений.
Преимущества: Очень экономичное решение, позволяет опытным сетевым администраторам отслеживать трафик во внутренних сетях и из них.
Минусы: Это не совсем NDR (система обнаружения и регистрации сетевых событий), поскольку она не позволяет анализировать сетевой трафик между востоком и западом.
# 14. Железная защита
Относительный новичок на рынке безопасности, решение NDR от IronNet — IronDefense — представляет собой полностью готовое предложение NDR.
- Обеспечивает видимость в режиме реального времени по направлению Восток-Запад.
- Предлагает настраиваемые сценарии для выполнения полностью или частично автоматизированных ответов.
Плюсы: Команда IronNet уделяет большое внимание новым функциям и улучшениям. Развертывание и интеграция упрощены и оптимизированы.
Минусы: Может испытывать трудности с быстрой работой при развертывании в быстрорастущих сетях, не самый привлекательный интерфейс, начинающим аналитикам потребуется помощь в освоении программы.
# 15. Corelight
Учитывая количество проприетарного ПО, которое мы уже рассмотрели, Corelight нарушает тенденцию, поскольку он создан на основе программного обеспечения с открытым исходным кодом Zeek. Zeek — это хорошо зарекомендовавшая себя система мониторинга сетевого трафика, но она ограничена пассивным сбором журналов; в среде с открытым исходным кодом администраторы обычно развертывают ее с помощью Suricata. Corelight берет эту функциональность и дорабатывает ее.
- Автоматизированный анализ событий.
- Управление тикетами с помощью искусственного интеллекта позволяет ускорить рабочие процессы.
- Менеджер датчиков, называемый Fleet Manager, позволяет осуществлять комплексное управление датчиками.
Плюсы: Сильный акцент на гибкую интеграцию; по отзывам, обслуживание клиентов очень хорошее.
Минусы: Отсутствует расшифровка TLS, а менеджер автопарка может быть неудобным в использовании, поскольку отсутствует возможность непрерывной загрузки системных журналов или применения предыдущих политик к новым датчикам.
Автоматизируйте обнаружение сети и реагирование с помощью Stellar Cyber
Stellar Cyber оптимизирует сетевую безопасность как никогда раньше: система сбора обширных необработанных данных охватывает уровни от 2 до 7, извлекая каждую точку данных и анализируя ее на предмет наличия связанных эвристических алгоритмов или известных сигнатур атак. Вместо того чтобы накапливать оповещения в почтовых ящиках ваших аналитиков, Stellar объединяет отдельные оповещения в более широкие инциденты безопасности, предоставляя аналитикам преимущество. Наконец, вы можете автоматически устанавливать действия по реагированию или выполнять действия по устранению проблем одним щелчком мыши. Узнайте больше о возможностях Stellar Cyber здесь и начните делать сетевую безопасность точной и всеобъемлющей.
