КиберЩит
NDR без маркетинга: какие угрозы раскрывает анализ сетевого трафика
📋 Кратко
NDR анализирует сетевой трафик и ищет признаки атак, которые уже развиваются внутри инфраструктуры. Система замечает сканирование, управляющие соединения, DNS-туннелирование, боковое перемещение и необычную передачу данных. При этом NDR не заменяет EDR, SIEM и проверку аналитика. Результат зависит от видимости сети, базовой линии и качества контекста.
NDR расшифровывается как Network Detection and Response. Это класс систем, который анализирует сетевой трафик и ищет признаки атак. Такой подход помогает заметить угрозу после проникновения в инфраструктуру.
Периметровые средства закрывают только часть входных сценариев. После проникновения атакующий действует внутри сети. Здесь важны связи между узлами, направления обмена и изменения привычного поведения.
NDR особенно полезен для устройств без агента. К ним относятся IoT-устройства, принтеры, сетевое оборудование, АСУ ТП и старые серверы. В статье разбираем возможности такого анализа без обещаний полной защиты.
🔍 Что именно делает NDR
NDR наблюдает за обменом данными между узлами. Система учитывает адреса, порты, время соединений и объём передачи. Она также изучает частоту запросов и направление потока.
Анализ строится вокруг поведенческих признаков. Например, один рабочий компьютер обычно обращается к ограниченному набору служб. Внезапный контакт с множеством адресов становится поводом для проверки.
Система может сопоставлять признаки с известной информацией об угрозах. Она также строит модель нормального поведения на основе реального трафика. Такая модель помогает искать отклонения внутри конкретной сети.
NDR не обязан видеть содержимое каждого пакета. Полезные признаки остаются в метаданных соединения. К ним относятся объём, частота, длительность, направления и повторяемость обмена.
Что сделать сейчас: составьте список ключевых сегментов и укажите, какие связи между ними считаются нормальными.
🧭 Чем NDR отличается от других средств
IDS обнаруживает подозрительные события и обычно формирует оповещение. IPS дополняет обнаружение блокировкой отдельных соединений. NDR смотрит шире и анализирует поведение сетевых узлов.
Разница важна при атаках внутри сети. Отдельный пакет может выглядеть обычно. Но серия соединений между новыми узлами показывает другой риск.
SIEM собирает события из разных источников. В него поступают журналы, записи аутентификации и сообщения защитных средств. NDR поставляет SIEM сетевые признаки и связи между объектами.
EDR работает на конечном устройстве. Он видит процессы, файлы, команды и действия пользователя. NDR остаётся полезным там, где агент установить нельзя или его отключили.
XDR объединяет несколько классов телеметрии. NDR в такой схеме выступает сетевым источником данных. Он не заменяет другие средства, а дополняет их.
Классический анализ событий часто отвечает на вопрос о факте соединения. NDR добавляет вопрос о контексте. Он проверяет, кто с кем общается, как часто и насколько это похоже на обычную работу.
Что сделать сейчас: закрепите за каждым средством свою роль и не считайте сетевое оповещение готовым выводом об инциденте.
🎯 Как NDR замечает разведку и первоначальный доступ
Разведка часто начинается с поиска доступных узлов и служб. В сетевых данных это выглядит как обращения одного хоста к множеству адресов и портов. Необычные запросы к службам каталога также требуют внимания.
Один такой признак не подтверждает атаку. Администратор может проводить инвентаризацию. Средство мониторинга может проверять доступность устройств. Поэтому аналитик сравнивает событие с расписанием и ролью хоста.
При попытке первоначального доступа появляются всплески неудачных аутентификаций. Подозрение усиливают входы в необычное время и обращения к нетипичным сервисам. Важен и рост обращений к RDP, SSH или VPN.
Password spraying означает перебор одной слабой комбинации для множества учётных записей. Сетевой анализ может заметить общий источник и повторяющийся ритм запросов. Затем журналы входа подтверждают или опровергают сценарий.
Сигнатура эксплойта в сетевом обмене также может стать сигналом. Однако зашифрованный трафик ограничивает такой анализ. В этом случае помогают адрес, время, частота и результат соединения.
Что сделать сейчас: задайте отдельные правила для сканирования и всплесков неудачных входов, а затем добавьте исключения для известных проверок.
📡 Как выявляется связь с управляющей инфраструктурой
После заражения устройство может регулярно связываться с центром управления. Такой ритм называют маячками. Повторяющиеся соединения через одинаковые интервалы выглядят подозрительно.
NDR учитывает частоту и объём коммуникаций. Сигнал усиливают редкий домен, новый внешний адрес и необычная длительность сессий. Отдельно проверяются нетипичные отпечатки TLS.
TLS скрывает содержимое обмена, но не все свойства соединения. Система может видеть время, направление, объём и часть параметров установления связи. Поэтому шифрование снижает видимость, но не убирает её полностью.
Легитимный сервис тоже может создавать регулярные обращения. Резервное копирование, обновление программ и синхронизация работают по расписанию. Без сведений о владельце системы частота сама по себе создаёт ложные срабатывания.
Признаки C2 нужно проверять вместе. Сочетание редкого направления, постоянного ритма и необычного профиля TLS весит больше одного индикатора. Дополнительную уверенность дают данные EDR и журналы DNS.
Что сделать сейчас: сохраните базовые профили внешних соединений серверов и рабочих станций, включая расписания обновлений.
🧪 DNS-туннелирование и скрытые каналы
DNS нужен для поиска адресов, но через него могут передаваться дополнительные данные. Подозрение вызывают очень длинные или частые запросы. Важны также необычные домены и большой объём ответов.
DNS-туннелирование меняет обычный профиль разрешения имён. Запросы могут идти сериями и содержать повторяющиеся фрагменты. NDR видит частоту, длину и объём такой активности.
Скрытые каналы используют не только DNS. Анализ также учитывает ICMP-туннели и DNS over HTTPS. Легитимные облачные сервисы могут выступать внешним направлением, поэтому один адрес редко даёт точный вывод.
Ложные срабатывания создают системы телеметрии и крупные распределённые приложения. Они обращаются к множеству доменов и используют длинные имена. Аналитик проверяет процесс, устройство и назначение сервиса.
Полезно разделять рабочие и служебные запросы. Серверу резервного копирования нужна одна модель поведения. Рабочей станции пользователя нужна другая модель.
Что сделать сейчас: начните с трёх признаков DNS: длина запроса, частота обращений и объём обмена за короткий период.
🛡️ Боковое перемещение внутри сети
Боковое перемещение означает переход атакующего с одного узла на другой. В сетевых данных появляются новые связи между хостами. Особенно важны обращения к службам, которыми устройство раньше не пользовалось.
NDR может заметить подозрительные запросы Kerberos и NTLM. Отдельный интерес вызывают RDP-переходы, SMB-обращения, WMI и DCOM. Такой набор показывает изменение маршрута действий внутри инфраструктуры.
Pass-the-Hash и Pass-the-Ticket используют уже полученные данные аутентификации. Сетевой анализ не всегда определяет сам способ кражи. Но он может увидеть необычное использование учётной записи.
Атаки на домен также оставляют сетевые признаки. Репликация Active Directory с недоменного хоста выглядит нетипично. Аномальные билеты Kerberos требуют проверки владельца и роли устройства.
Резкий рост SMB-обращений к файловым серверам может предшествовать шифрованию ресурсов. Перебор сетевых папок усиливает подозрение. Перед этим часто видны разведка и другие признаки перемещения.
Что сделать сейчас: зафиксируйте разрешённые связи между сегментами и отдельно контролируйте новые обращения к доменным и файловым службам.
💾 Передача данных и внутренние угрозы
Крупная исходящая передача не всегда означает утечку. Пользователь может отправлять архив партнёру. Сервер может выполнять резервное копирование. NDR показывает отклонение, а не окончательный мотив.
Для анализа важны направление, время и объём. Подозрение усиливает отправка данных в новое внешнее место. Дополнительный сигнал даёт работа за пределами обычного расписания.
Данные могут уходить через HTTP(S), FTP, облачные сервисы, мессенджеры или DNS. В зашифрованном соединении содержимое недоступно. Но объём и ритм передачи остаются полезными признаками.
Внутренняя угроза может проявляться через копирование данных или использование чужой учётной записи. Система сравнивает поведение пользователя и хоста с прежними действиями. Резкое отклонение требует проверки прав и цели операции.
Нельзя считать любое облако опасным. Организация может использовать несколько разрешённых площадок. Поэтому список допустимых сервисов должен быть частью базовой линии.
Что сделать сейчас: определите допустимые внешние направления и установите пороги для необычных объёмов исходящего трафика.
⚠️ Где анализ трафика ошибается
Главное ограничение NDR — неполная видимость. Сенсор может не получать трафик отдельного сегмента. Тогда система не видит часть маршрута и теряет контекст.
NAT скрывает связь между внутренним устройством и внешним адресом. Один публичный адрес может обслуживать много пользователей. Без журналов трансляции аналитик не всегда определяет исходный узел.
Облачные сервисы быстро меняют адреса и инфраструктуру. Один и тот же сервис может обслуживать разные организации. Репутация адреса без контекста даёт слабый сигнал.
Шифрование уменьшает доступный набор признаков. NDR видит метаданные, но не всегда видит содержимое. Инспекция шифрованного трафика требует отдельной оценки рисков, производительности и приватности.
Система также зависит от базовой линии. Если сеть постоянно меняется, нормальная модель быстро устаревает. Если данных мало, редкие события трудно отличить от случайного шума.
Ложные срабатывания возникают из-за обновлений, резервных копий, сканеров и служебных задач. Пропуски появляются при отсутствии сенсора или при изменении поведения противника. Поэтому NDR нельзя считать автономным доказательством.
Что сделать сейчас: отметьте слепые зоны, NAT, облачные направления и участки с шифрованием до настройки порогов обнаружения.
📊 Что подтверждает сетевой сигнал
Аналитик начинает с самого события. Он проверяет источник, назначение, время, объём и частоту соединений. Затем сопоставляет их с ролью устройства.
Журналы DNS помогают понять имя и результат разрешения. События аутентификации показывают пользователя и факт входа. Данные EDR раскрывают процесс, который создал соединение.
SIEM объединяет записи из разных систем. Корреляция повышает точность расследования. Например, новый внешний адрес становится важнее, если рядом видны неудачные входы и запуск неизвестного процесса.
Threat Intelligence помогает проверить домены, адреса и признаки вредоносной активности. Но совпадение с внешним индикатором также требует контекста. Адрес мог перейти к другому владельцу или использоваться общим сервисом.
MITRE ATT&CK помогает описывать цепочку действий единым языком. В сетевом мониторинге это полезно для разведки, управления, перемещения и вывода данных. Такая привязка упрощает выбор дополнительных проверок.
После подтверждения SOC определяет действие. Это может быть изоляция хоста, блокировка направления или сброс учётных данных. Автоматическая реакция требует заранее проверенных правил.
Что сделать сейчас: для каждого сетевого правила укажите источники подтверждения и ответственного аналитика.
🚀 Как встроить NDR в работу SOC
Сначала выберите участки, где потеря видимости особенно опасна. Это границы сегментов, серверные зоны, доменные службы и выход в интернет. Для устройств без агента приоритет выше.
Сенсор получает копию трафика и извлекает метаданные. Анализатор собирает сведения с сенсоров и показывает связи. На небольшой сети эти функции могут находиться в одном компоненте.
Важно заранее решить, какой трафик попадает на сенсор. Отсутствие копии делает правило бесполезным. Избыточная копия перегружает сенсор и усложняет обработку.
Затем определите приоритетные сценарии. Начните со сканирования, C2, DNS-туннелирования, бокового перемещения и аномального вывода данных. После этого добавьте события вокруг доменных служб и SMB.
Срок хранения выбирают с учётом времени расследования. Слишком короткий период удаляет историю. Слишком длинный период увеличивает стоимость и объём шума.
Правило эскалации должно содержать условия. Например, новый внешний адрес сам по себе требует проверки. Новый адрес вместе с регулярными маячками и необычным процессом получает высокий приоритет.
Что сделать сейчас: опишите цепочку «обнаружение — обогащение — проверка — корреляция — реакция — контроль результата».
✅ Чек-лист качества обнаружения
Проверяйте не число оповещений, а их полезность. Высокий поток тревог без подтверждения перегружает SOC. Низкий поток может означать слепые зоны.
- Определены сенсоры на границах ключевых сегментов.
- Понятно, какие потоки система видит полностью.
- Для NAT доступны сведения о внутренних источниках.
- DNS-запросы связаны с устройствами и временем.
- Внешние направления разделены на разрешённые и неизвестные.
- Для серверов и рабочих станций заданы разные базовые линии.
- Сетевые события поступают в SIEM.
- Для важных узлов доступны данные EDR или журналы.
- У каждой тревоги есть правило приоритета.
- После реакции проверяется, исчез ли подозрительный признак.
Полезные метрики показывают работу процесса. К ним относятся доля подтверждённых событий, время до проверки и число повторных тревог. Также учитывайте пропуски из-за отсутствия трафика.
Правила нужно пересматривать после изменений сети. Новые облачные сервисы меняют нормальную картину. Сегментация, миграция и новые устройства требуют обновления базовой линии.
NDR приносит пользу не сам по себе. Система работает лучше, когда её сигналы связаны с пользователем, устройством и журналами. Тогда сетевой след становится частью расследования.
Что сделать сейчас: проведите проверку десяти последних тревог и отметьте причину каждого ложного срабатывания.
🔐 Итог: сильная сторона NDR
NDR видит то, что происходит между устройствами. Он помогает находить разведку, управляющие соединения, скрытые каналы и боковое перемещение. Система также показывает необычную передачу данных и активность скомпрометированных учётных записей.
Сетевой анализ особенно ценен после проникновения. Атакующий может отключить EDR или очистить локальные журналы. Но ему всё равно нужно передавать данные по сети.
При этом NDR не заменяет проверку аналитика. Шифрование, NAT, облака и неполная видимость снижают точность. Базовая линия помогает, но сама не устраняет ошибки.
Рабочая схема объединяет NDR, SIEM, EDR, журналы DNS и данные аутентификации. SOC проверяет сигнал, связывает события и контролирует результат реакции. Такой процесс сокращает время поиска, но не обещает обнаружить каждую атаку.
Что сделать сейчас: выберите один сценарий, например боковое перемещение, и пройдите его от сетевого сигнала до подтверждённого результата.
📚 Читайте также
- Кибератаки под видом ИИ-сервисов на малый бизнес: рост в 5 раз в 2026
- Recon с ИИ: как находить странности, а не очевидные уязвимости
- Как провайдеры обрубают инфраструктуру трояна: меры защиты
- Подозрительный исходящий трафик: первичная проверка за десять минут
- DNS-туннелирование: как злоумышленники прячут трафик в DNS-запросах и как это выявить
📖 Термины
EDR · SIEM · Threat Hunting · XDR · Сетевой трафик