Positive Technologies выпустила 10-ю версию системы анализа трафика PT Network Attack Discovery (PT NAD). Обновленная система определяет доменные учетные записи пользователей в сети, видит больше данных в зашифрованных SSH-сессиях и проводит автоматический ретроспективный анализ по всем спискам индикаторов компрометации. Такая функциональность пригодится специалистам для проведения расследований и проактивного поиска угроз (threat hunting).
Чтобы отследить действия злоумышленников, скомпрометировавших учетную запись, PT NAD теперь определяет учетные данные пользователя при аутентификации по протоколу Kerberos¹. Это дает возможность специалистам по информационной безопасности видеть доменную учетную запись, которая была использована в конкретной сессии. Сетевые соединения можно отфильтровать по логину пользователя и получить список тех, в которых он был использован.
Для выявления аномалий в зашифрованных соединениях PT NAD (начиная с десятой версии) проводит расширенный анализ зашифрованных сессий по протоколу SSH². Благодаря этому пользователям доступна дополнительная информация об SSH-соединениях:
- тип трафика в зашифрованном соединении,
- тип и количество неудачных попыток аутентификации,
- наличие интерактивных данных в сессии, передача файлов и создание туннелей.
Такие данные дают специалистам по ИБ возможность выявлять, например, нетипичные способы аутентификации пользователей, атаки методом перебора, а также подозрительные туннели, входящие в топ наиболее часто выявляемой в отечественных организациях подозрительной сетевой активности.
Чтобы выявлять атаки, которые произошли в прошлом, PT NAD теперь анализирует сохраненные сессии по всем индикаторам компрометации, добавленным в продукт вендором³ или пользователем. В предыдущих версиях ретроспективный анализ был доступен только тем пользователям, которые подключили отдельный компонент по сбору индикаторов компрометации. Теперь ретроспективный анализ запускается автоматически, это позволит максимально быстро обнаружить признаки скрытого присутствия злоумышленника.
Для большей прозрачности сети в новой версии продукта расширен набор определяемых протоколов: PT NAD детектирует еще 7 новых протоколов, которые встречаются в сетях крупных российских компаний (общее же их число составляет 80). Определение протоколов дает понимание, в каком объеме и какого рода сетевые соединения устанавливаются внутри корпоративной сети.
Для удобства работы с PT NAD теперь пользователи могут включить автоматическое обновление данных на дашбордах с заданной периодичностью и из любого раздела системы перейти в справочный центр, аккумулирующий полную и актуальную на любой момент времени информацию по работе с продуктом. В новой вкладке браузера вы получите подробную информацию и инструкции по работе с функцией системы.
- Kerberos – сетевой протокол, который используется в доменных сетях для аутентификации пользователей.
- SSH – сетевой протокол прикладного уровня для удаленного управления операционной системой и туннелирования TCP-соединений (соединений для передачи данных).
- Сегодня общий список индикаторов в PT NAD, загруженных вендором, почти достиг 20 000 шт., соответствующие вендорские обновления продукт получает еженедельно.