Positive Technologies представила PT Network Attack Discovery (PT NAD) 12.4 — новую версию системы поведенческого анализа сетевого трафика.
Что нового:
- Существенно расширились возможности управления иерархией: в центральной консоли введена удобная система профилей и механизм управления исключениями, правилами обнаружения атак, группами узлов и портов, а также репутационными списками.
- Для более точной настройки PT NAD 12.4 операторы центральной консоли могут выключать репутационные списки, не представляющие интереса в конкретной IT-инфраструктуре. Помимо репутационных списков Positive Technologies, в комплект поставки PT NAD теперь также входят индикаторы компрометации от ФСТЭК.
- Во вкладке управления репутационными списками появилась возможность включить их или выключить, а каждый репутационный список теперь имеет текстовое описание для оператора.
- Команда разработки PT NAD продолжает развивать возможности самообучения продукта на реальном трафике с помощью ML-технологий. Обновленная система автоматически определяет периоды высокой и низкой активности устройств в сети и снижает порог срабатывания пользовательских правил профилирования при низком уровне трафика.
- Реализован анализ отпечатков алгоритма JA4. Механизм позволяет определять особенности клиента по параметрам TLS-соединения и поведению в зашифрованных каналах, фиксировать подозрительные сессии и вредоносные инструменты.
- Начиная с версии 12.4, сигнатурный движок PT NAD совместим с синтаксисом правил Suricata 7.0.
«В ответ на запрос пользователей PT NAD экспертиза в продукте обогатилась модулями, которые отслеживают потенциальное нарушение корпоративных политик, а также следят за IT-инфраструктурой, — отмечает Кирилл Шипулин, руководитель экспертизы продукта PT NAD в Positive Technologies. — Так, PT NAD пополнился экспертными модулями для обнаружения служб, доступных из внешней сети по публичному IP-адресу. Именно доступные из интернета службы SMB[2] стали одной из причин эпидемии WannaCry[3] в 2017 году. Кроме того, система отслеживает истекающие в скором времени TLS-сертификаты и присутствие промышленных протоколов в трафике, что может свидетельствовать о недостаточной сегментации сети или ошибках конфигурации».
