Статья 1. Введение

Приветствуем вас в первой статье нового курса «PT NAD Getting Started» на платформе TS University!

В этом материале мы с вами обсудим назначение и архитектуру решения PT NAD, важность использования систем анализа сетевого трафика, а также нюансы лицензирования и сертификации продукта.

PT NAD — средство защиты информации класса NTA (Network traffic analysis — анализ сетевого трафика).

В отличие от других средств защиты информации, так или иначе направленных на поиск угроз в сетевом трафике, NTA обрабатывает не только пакеты, проходящие через периметр организации, но и трафик внутри локальной сети. Это позволяет обнаружить присутствие злоумышленника в сети, даже если момент проникновения не был предотвращен и/или зарегистрирован периметровыми средствами защиты.

PT NAD получает для анализа копию сетевого трафика и не стоит «в разрыв» (т.е не ставится на пути следования рабочего трафика). Поэтому он может обнаруживать атаки благодаря глубокому анализу сетевых пакетов, но не может самостоятельно их предотвращать.

Также система хранит проанализированный трафик, что позволяет расследовать прошедшие инциденты безопасности и восстанавливать цепочки атак.

Согласно исследованию издания Gartner: NTA наравне с EDR и SIEM является одним из трех основных элементов, составляющих SOC организации. Вместе эти продукты полностью покрывают всю сеть организации и позволяют централизованно следить за её состоянием.

В первую очередь мероприятия по информационной безопасности носят превентивный, а не реактивный характер (либо стремятся к этому). И направлены они на предотвращение угроз, а не их локализацию или устранение последствий, что уже является менее желательными исходами.

Поэтому практически любая компания, которая строит систему защиты информации, начинает с периметровых решений:

• межсетевые экраны;
• прокси;
• почтовые шлюзы и т. д

По мере роста бюджета на ИБ увеличивается и этот список. Но в любом учебнике по информационной безопасности сказано, что невозможно достичь 100% уровня защиты информации. И как бы сильно периметр сети не охранялся, все равно останутся лазейки, по которым злоумышленник может внедриться во внутреннюю сеть, закрепиться там и развивать вектор атаки дальше.

Согласно отчёту Positive technologies о результатах пентеста компаний в 2021—2022 годах: удалось получить доступ во внутреннюю сеть 96% организации, а среднее время, необходимое для получения максимальных привилегий в домене, составило 5 дней и 4 часа. При этом среднее время, которое злоумышленник находился в локальной сети до его обнаружения, составило в среднем 37 дней (основываясь на данных отчёта PT об итогах расследований инцидентов в 2021—2023).
Рассчитывать исключительно на средства защиты конечных точек тоже не стоит, так как они слепы к новым атакам и атакам «нулевого дня», вследствие чего злоумышленник может их обойти.

А вот следы своего присутствия в сети скрывать значительно сложнее. Это практически невозможно. Поэтому использование средства защиты NTA, детектирующего подозрительную активность внутри сети, совершенно необходимо.

С точки зрения выполняемых функций сервера могут иметь одну из двух ролей: Core и Sensor (для невысоких нагрузок один сервер может выполнять обе роли).

Сервера Sensor принимают копию сырого трафика, записывают его в хранилище в формате pcap и обрабатывают с помощью модуля глубокой инспекции пакетов ptdpi. Данный модуль разбирает пакеты по протоколам до 7 уровня по модели OSI, собирает их в сессии, обнаруживает в них атаки согласно правилам, извлекает из сессий файлы и вложения, а также собирает другие метаданные и передает их в Core-сервер.

Сперва метаданные попадают в модуль ptdpi-broker, который детализирует и наполняет их дополнительными данными с помощью служб обогащения и передает обогащенные метаданные в базу elasticsearch. Передачей данных из elasticsearch в веб-интерфейс продукта занимается отдельный модуль nad-web-server.

Один сервер с ролью Sensor может обрабатывать не более 10 Гбит/с сырого трафика, а Core сервер рассчитан на скорость до 5 Гбит/с.
PT NAD поддерживает горизонтальное масштабирование. При нехватке вычислительных ресурсов можно внедрить в систему серверы с необходимой ролью. Причем веб-сервис будет работать только на основном Core-сервере, а все дополнительные Core-сервера будут отвечать только за хранение метаданных и обработку запросов к elasticsearch.

Существует два (на самом деле три, но об этом мы поговорим чуть дальше) типа лицензий: базовые и инфраструктурные.