PT NAD

Система поведенческого анализа сетевого трафика для обнаружения скрытых кибератак

 PT NAD — решение класса NDR (Network Detection and Response) от Positive Technologies для обнаружения и расследования кибератак на основе анализа сетевого трафика.
Обеспечивает видимость сетевой активности внутри инфраструктуры, обнаруживает скрытое присутствие злоумышленников, боковое перемещение и командно‑управляющие каналы. Хранит копию трафика для ретроспективного анализа, строит поведенческие профили узлов и извлекает передаваемые файлы. Интегрируется с SIEM и другими инструментами SOC. Сертифицировано ФСТЭК и ФСБ. Подходит для корпоративных сетей, ЦОД и центров мониторинга безопасности.

Что выявляет PT NAD

• Сложные целевые атаки и активность продвинутых группировок. Система фиксирует действия хакеров внутри периметра: разведку, попытки эскалации привилегий, атаки на Active Directory и Kerberos, удалённое выполнение команд.
• Эксплуатацию уязвимостей. PT NAD оперативно обнаруживает попытки использования уязвимостей — в том числе тех, которым ещё не присвоены CVE, — за счёт интеграции с регулярно обновляемой базой знаний Positive Technologies.
• Активность вредоносного ПО по сетевым признакам. Даже если ВПО скрыто от антивирусов, PT NAD идентифицирует его по характерной сетевой активности, включая связь с командными серверами.
• Аномалии в зашифрованном трафике. Глубокий разбор трафика позволяет находить подозрительные паттерны и признаки компрометации даже при использовании шифрованных протоколов.
• Техники сокрытия активности. Продукт распознаёт более 100 сетевых протоколов и 9 протоколов туннелирования (DNS, HTTP, SMTP, ICMP и др.), которые злоумышленники применяют для кражи данных и маскировки действий.
• DGA‑домены. С помощью машинного обучения PT NAD выявляет автоматически сгенерированные доменные имена — это помогает обнаруживать ВПО, использующее такие домены для связи с C2‑серверами.
• Нарушения регламентов ИБ. Система отслеживает запрещённые или рискованные действия: передачу учётных данных в открытом виде, использование Tor, прокси, VPN, утилит удалённого доступа, мессенджеров, а также применение слабых (словарных) паролей.

Ключевые возможности для расследований

• Ретроспективный анализ. При появлении в базе знаний новых индикаторов угроз автоматически запускается проверка ранее сохранённого трафика — это позволяет быстро обнаружить ранее незамеченные следы атак.
• Поведенческое профилирование. PT NAD строит профили узлов и сервисов, анализирует сетевые сессии и отклонения от нормального поведения, чтобы выявлять аномалии на ранних этапах.
• Использование экспертных правил. Правила формируются на основе расследований команды PT ESC, которая изучает новые угрозы и отслеживает деятельность хакерских группировок — эти знания напрямую усиливают детектирование в PT NAD.

Сценарии использования

• Выявление аномалий и скрытых угроз в корпоративной сети. За счёт комбинации ML‑модулей, индикаторов компрометации, экспертных правил и ретроспективного анализа система обнаруживает атаки на ранних стадиях — в том числе в зашифрованном трафике.
• Поддержка работы SOC и расследований инцидентов. PT NAD предоставляет детализированный контекст по инцидентам: сетевые сессии, извлечённые объекты, цепочки действий злоумышленника — это сокращает время анализа и повышает точность выводов аналитиков.
• Контроль соблюдения политик ИБ. Решение помогает выявлять нарушения внутренних регламентов и оперативно реагировать на рискованные действия пользователей или скомпрометированных узлов.