15 найкращих рішень для виявлення та реагування на мережеві несправності (NDR)
Рішення Gartner® Magic Quadrant™ NDR
Дізнайтеся, чому ми єдиний постачальник, який знаходиться в квадранті «Челленджер»...
Відчуйте безпеку на базі штучного інтелекту в дії!
Відкрийте для себе передовий штучний інтелект Stellar Cyber для миттєвого виявлення загроз...
Навіщо вам потрібне рішення для NDR?
Сучасні мережі виглядають разюче інакше, ніж ті, що були десять років тому: робочі навантаження додатків залежать від розподіленої архітектури, віддалені співробітники значною мірою покладаються на публічні та домашні мережі, а швидкозмінний глобальний ландшафт загроз – все це створює зростаючий тиск як на мережевих інженерів, так і на адміністраторів безпеки.
В результаті, брандмауер – колись бастіон мережевої безпеки – не забезпечує повного спектру необхідної видимості. Він зосереджений виключно на потоках даних «Північ-Південь»: це трафік, який проходить між пристроями у внутрішній мережі та публічному Інтернеті. Саме тут рішення NDR заповнюють прогалину: вони розгортають датчики у внутрішніх мережах та контролюють кожну взаємодію між внутрішніми пристроями.
Ці дані вбудовані в модель нормальної поведінки мережі, а також порівнюються та зіставляються з іншими аналітичними даними. Моделі штучного інтелекту порівнюють ці дані з історичною моделлю мережі та виявляють відхилення. Дізнайтеся про що тут таке NDR.
Як вибрати правильний інструмент для розгляду NDR
Як ми незабаром розглянемо, сьогодні на ринку існують десятки постачальників та інструментів для NDR. Вибір правильного починається з глибокого розуміння вашої конкретної мережевої архітектури, ландшафту загроз та потреб у дотриманні вимог. Для цього необхідно провести аналіз, який здійснюють кілька ключових зацікавлених сторін. CISO, SOC Менеджер та/або команда мережевого адміністрування потребують власної думки щодо поточних сліпих зон безпеки та управління мережею.
Ключовим компонентом NDR є його здатність інтегруватися з існуючою інфраструктурою безпеки та ІТ. Почніть з візуалізації власних мереж – зрозумійте їхню пропускну здатність, на якій платформі базуються сервери; чи є вони локальними, чи хмарними, та здатність сучасних інструментів безпеки контролювати східно-західний трафік у них.
Зрештою, оцініть ресурси, які ваша організація може виділити на інструмент: рішення зі швидким налаштуванням, автоматичним виявленням загроз та інтуїтивно зрозумілими панелями інструментів може стати рятівним колом для економних команд безпеки, тоді як високо налаштовувані опції вимагатимуть більше робочої сили для роботи, але можуть усунути хибні спрацьовування у дуже складних мережах. Витратити час на визначення своїх потреб є життєво важливим, інакше ви ризикуєте купити продукт лише через його трилітерну абревіатуру.
Які ключові характеристики NDR?
Хоча важливо правильно вибрати з доступних рішень NDR, варто визначити основні функції, які забезпечують основні можливості.
- Глибока перевірка пакетів (DPI): DPI аналізує повний вміст мережевих пакетів, а не лише заголовки, пропонуючи детальне розуміння потоків даних. Хоча DPI є важливим, він має обмеження: він ресурсоємний і погано працює в середовищах з високою пропускною здатністю або із зашифрованим трафіком, де видимість значно знижена.
- Аналіз метаданих: Метадані пропонують високомасштабовану аналітику, фіксуючи атрибути сеансу, такі як IP-адреси, порти, журнали DNS та деталі шифрування, без заглиблення в повне корисне навантаження пакетів. На відміну від DPI, вони залишаються ефективними навіть у зашифрованих та розподілених мережах, що робить їх ідеальними для сучасних середовищ.
- Поведінковий аналіз: Замість того, щоб покладатися лише на відомі сигнатури загроз, поведінковий аналіз використовує машинне навчання для виявлення аномалій. Моделі з наглядом виявляють поширені моделі поведінки загроз, тоді як моделі без нагляду встановлюють базові рівні та позначають відхилення, допомагаючи виявляти нові атаки.
- Інтеграція аналізу загроз: Пов’язування звітів про недоставку (NDR) з інформацією про загрози покращує виявлення відомих процесів укладання зв’язку (IoC) та шаблонів атак. Такий контекст допомагає пріоритезувати загрози та покращує реагування на інциденти, особливо за умови узгодження з такими фреймворками, як MITRE ATT&CK.
- Інтеграція стеку безпеки: Поєднання NDR з такими інструментами, як EDR та SIEM забезпечує повний спектр видимості для команди безпеки. У мережі виявляється набагато більше атак, але кросплатформна інтеграція може забезпечити автоматизоване або негайне реагування з початкової точки вторгнення.
15 найкращих рекомендованих рішень для NDR
#1. Зоряний кібер
Stellar Cyber — це відкрита розширена система виявлення та реагування (Open XDR) платформа. Замість того, щоб обмежувати свою сферу діяльності мережевою телеметрією, як інші постачальники NDR, Stellar зосереджується на цілісному зборі та аналізі всіх відповідних даних безпеки. Тобто, поведінки мережі та кінцевих точок, протоколів ідентифікації та програм для підвищення продуктивності. Після отримання та аналізу всіх даних, Stellar також попередньо аналізує сповіщення, групуючи їх в інциденти та відкидаючи хибнопозитивні результати.
- Виявляє та аналізує всі активи в підключених мережах.
- Нормалізує та аналізує всі дані за допомогою кількох раундів перехресного аналізу.
- Проводить глибоку перевірку незашифрованих пакетів, а також аналіз поведінки метаданих додатків та мережі.
- Карти виявляли загрози, спрямовані проти конкретних методів ATT&CK, що дає чітке розуміння поведінки атак, а не просто сповіщає про аномалії.
Плюси: Узгодженість MITRE ATT&CK, потужні можливості полювання на загрози, висока масштабованість та варіанти інтеграції. Усі функції пропонуються за однією ліцензією.
Мінуси: Може вимагати навчання аналітиків, найкраще працює при інтеграції з уже існуючим інструментом EDR.
#2. Кіберкомандування Сангфор
- Завантажує дані мережевого журналу в централізовану платформу керування.
- Будує базову модель нормальної поведінки активів.
- Порівнює з індикаторами компрометації в рамках своєї розвідки про загрози.
#3. Cortex від Palo Alto Networks
- Отримує дані з мережевих серверів та будь-яких попередньо розгорнутих інструментів безпеки до централізованого механізму аналізу та сповіщень.
- Об'єднує дані безпеки кінцевих точок та мережі перед видачею сповіщень.
#4. Сокіл Crowdstrike
Подібно до Cortex, Falcon — це спільний інструментарій EDR та NDR, який збирає дані з усього спектру кінцевих точок, мереж, користувачів та інструментів безпеки організації.
- Виявлення загроз як на основі політик, так і на основі поведінки.
- Надає пріоритетні сповіщення відповідним адміністраторам безпеки.
- Crowdstrike ділиться IoC між клієнтами, запобігаючи новим атакам.
Плюси: Відмінна видимість та ведення журналу, відносно просте розгортання та доступна панель інструментів.
Мінуси: Обмежені можливості конфігурації, сповіщення та налаштування робочого процесу не такі глибокі, як можливості аналізу даних.
#5. DarkTrace
Darktrace – це британське рішення для NDR, яке зосереджено на застосуванні поведінкового аналізу до мережевої безпеки. Воно пропонує інші плагіни, такі як безпека електронної пошти, які застосовують той самий аналіз до комунікаційних платформ. Популярне серед організацій, які не мають спеціалізованих команд безпеки.
- Самонавчальні моделі поведінкового аналізу, розгорнуті на локальних машинах.
- Включає чат-бота зі штучним інтелектом, який описує сповіщення простою англійською мовою.
Плюси: Безкоштовна пробна версія, спеціальна підтримка встановлення та початкового налаштування.
Мінуси: Дорого, через брак інтеграції сторонніх інструментів безпеки; використання виключно поведінкового аналізу ризикує призвести до великої кількості хибнопозитивних результатів.
#6. ExtraHop RevealX
RevealX — це платформа NDR подвійного призначення, яку також можна використовувати для управління продуктивністю мережі.
- Здійснює захоплення пакетів для аналізу та пропонує розшифровку SSL та TLS.
- Варіанти розгортання як локально, так і в хмарі.
Плюси: Гарна документація, розшифрування дозволяє виявляти зашифровані пакети шкідливого програмного забезпечення.
Мінуси: Дороге, часто залежить від розгортання кількох пристроїв, розшифрування пакетів саме по собі може становити проблему безпеки.
#7. Vectra.ai
Vectra.AI — це усталений інструмент NDR, який розгортається в SaaS-платформах організації, публічній хмарі та мережах центрів обробки даних.
- Аналізує мережеву та ідентифікаційну активність за допомогою центрального штучного інтелекту та об'єднує проблеми в сповіщення.
- Пріоритетність сповіщень та відображення причин на панелі інструментів.
Плюси: Можливості керованого виявлення та реагування (MDR) Vectra можуть підтримувати її штучний інтелект за допомогою оцінки людиною. Потужний автономний інструмент.
Мінуси: Обмежена інтеграція з іншими інструментами безпеки, недостатнє навчання для нових користувачів, високі вимоги до налаштування та знань, досить технічна панель інструментів.
#8. Мунінн
Muninn, що належить Logpoint, є популярним NDR для середніх організацій, які тільки починають займатися внутрішньою мережевою безпекою.
- Зосереджений на простому розгортанні з меншими вимогами до налаштування комутатора та брандмауера.
- Базові моделі нормальної поведінки мережі.
- Можна розгортати локально та в мережах з ізоляцією повітряного простору.
Плюси: Чіткий огляд мережевого трафіку за доступною ціною дозволяє довгострокове зберігання необроблених даних для судово-медичної експертизи.
Мінуси: Відносно легкий інструмент, поглиблений аналіз інцидентів все ще потрібно виконувати вручну.
#9. Rapid7 InsightIDR
Хоча технічно це хмарна система управління інформацією про безпеку та подіями (SIEM) рішення, воно пропонує надійний XDR можливості шляхом інтеграції з кінцевими точками та мережами.
- Пропонує агрегацію даних у локальному колекторі, що може допомогти дотримуватися суворих правил відповідності.
- Спирається на систему MITRE ATT&CK як джерело розвідувальних даних.
Плюси: Доступний інструменти розслідування та панель інструментів, швидка інтеграція з існуючими інструментами безпеки.
Мінуси: Обмежене налаштування панелі інструментів, доступність лише в хмарі, журнали зберігаються лише 12 місяців.
#10. Аріста
Arista — гігант у сфері мереж, який зосереджується на забезпеченні великих центрів обробки даних, кампусів та середовищ маршрутизації. Їхнє повідомлення про невиправлення несправностей (NDR) являє собою перехід від комутаторів до інструментів безпеки. Таким чином, він добре налаштований для обробки великих обсягів мережевих даних і популярний серед мережевих адміністраторів.
- Орієнтується на нульову довіру.
- Проводить глибоку перевірку пакетів.
- Створений для швидкого розгортання, протягом кількох годин.
Плюси: Пропонує досить детальні функції звітності, такі як можливість відстежувати використання мережі окремими об'єктами з часом.
Мінуси: Немає можливості налаштувати сповіщення електронною поштою чи SMS, а також архівувати старі дані, дуже обмежена документація.
#11. Довідка про недоступність Fortinet
FortiNDR, ще один визнаний гравець у сфері безпеки, є найновішим продуктом Fortinet і одним з їхніх найдорожчих. Цей інструмент відстежує поточні дії окремих мереж, по суті поєднуючи функціональність їхніх попередніх інструментів FortiGate та FortiSandbox.
- Пакети мережі East-West аналізуються на наявність шкідливої поведінки та вмісту.
- Може розгортатися в мережах з повітряним зазором.
- Пропонує інструкції з експлуатації для пришвидшення реагування аналітиків.
Плюси: Потужне виявлення нульового дня; базові опції автоматичного виправлення доступні через панель інструментів; дуже легко інтегрується з інструментами Fortinet.
Мінуси: Не надає детального аналізу, інтерфейс користувача дуже простий, інтеграція з інструментами інших постачальників безпеки слабка.
#12. Аналітика безпечної мережі Cisco (StealthWatch)
Хоча технічно Cisco StealthWatch не є NDR, його вважають варіантом для забезпечення видимості мережі. Оскільки він іноді включений до корпоративної ліцензії Cisco, відомі компанії Cisco можуть спокуситися використовувати його як NDR. Однак поведінковий аналіз StealthWatch не охоплює вміст мережевих пакетів, а лише їхні метадані.
- Забезпечує видимість та звітність у режимі реального часу щодо руху транспорту між північчю та півднем.
- Дозволяє тривале зберігання даних, що сприяє криміналістиці.
Плюси: Потужний інструмент аналізу мережевого трафіку, повний контроль та налаштування, гідна підтримка клієнтів, подвійне призначення для усунення проблем із мережею
Мінуси: Потребує складного ручного налаштування, не забезпечує аналізу східно-західної мережі або журналів сервера, не додаються нові функції, а оновлення прошивки займають багато часу.
#13. Аналізатор потоку мережі ManageEngine
Як і StealthWatch, NetFlow Analyzer від ManageEngine є більш традиційним інструментом аналізу мережевого трафіку: він збирає та аналізує мережевий трафік в окремих підмережах, сегментуючи та аналізуючи використання відповідно до програм, інтерфейсів та пристроїв.
- Застосовує поведінковий аналіз до трафіку «Північ-Південь», що дозволяє адміністраторам знаходити неочікувані потоки трафіку та запити.
- Моніторинг та відображення протоколів додатків.
Плюси: Дуже економічно ефективний, дозволяє досвідченим мережевим адміністраторам відстежувати трафік до та з внутрішніх мереж
Мінуси: Не є виключно звітом про недоставку (NDR), оскільки не дозволяє аналізувати мережевий трафік схід-захід.
#14. Залізний захист
IronDefense, рішення IronNet для NDR, є відносно новачком у сфері безпеки та є повністю забезпеченою пропозицією NDR.
- Забезпечує видимість у режимі реального часу зі сходу на захід.
- Пропонує налаштовувані ігрові книги для виконання повністю або частково автоматизованих відповідей.
Плюси: Команда IronNet приділяє значну увагу новим функціям та вдосконаленням. Розгортання та інтеграція залишаються простими та оптимізованими.
Мінуси: Може мати труднощі з швидким запуском при розгортанні в швидкомасштабованих мережах, не має найкращого інтерфейсу, молодшим аналітикам знадобиться підтримка протягом усього процесу навчання.
#15. Corelight
З огляду на кількість власницького програмного забезпечення, яке ми вже розглянули, Corelight порушує цю тенденцію, будучи побудованим на програмному забезпеченні з відкритим кодом Zeek. Zeek — це добре зарекомендувала себе система моніторингу мережевого трафіку, але вона обмежена пасивним збором журналів; у середовищі з відкритим кодом адміністратори зазвичай розгортають її разом із Suricata. Corelight бере цю функціональність і будує її на ній.
- Автоматизований аналіз подій.
- Управління заявками за допомогою штучного інтелекту дозволяє пришвидшити робочі процеси.
- Менеджер датчиків, який називається Fleet Manager, дозволяє керувати датчиками в сукупності.
Плюси: Значна увага приділяється гнучкій інтеграції; обслуговування клієнтів, як повідомляється, дуже хороше.
Мінуси: Відсутність розшифровки TLS, а менеджер автопарку може бути громіздким, без можливості постійно завантажувати системні журнали або застосовувати попередні політики до нових датчиків.
Автоматизуйте виявлення та реагування в мережі за допомогою Stellar Cyber
Stellar Cyber оптимізує мережеву безпеку, як ніколи раніше: його широкий збір необроблених даних охоплює всі рівні від 2 до 7, збираючи кожну точку даних, перш ніж оцінити кожну на наявність пов’язаних евристик або відомих сигнатур атак. Замість того, щоб накопичувати сповіщення у вхідних поштових скриньках ваших аналітиків, Stellar зіставляє окремі сповіщення з їхніми ширшими інцидентами безпеки, даючи аналітикам фору. Нарешті, ви можете автоматично встановлювати дії реагування або виконувати виправні дії одним клацанням миші. Дізнайтеся більше про можливості Stellar Cyber тут, і почніть робити безпеку вашої мережі точною та комплексною.
