Первый NTA, усиленный генеративным ИИ

UDV Group представляет новую версию интеллектуальной системы анализа сетевого трафика UDV NTA 2.0, которая интерпретирует данные с учетом контекста конкретной организации и помогает быстрее переходить от обнаружения подозрительной активности к принятию решений.

UDV NTA — система анализа сетевого трафика для раннего выявления кибератак, расследования инцидентов и проактивного поиска угроз. Решение обеспечивает видимость сетевой инфраструктуры, выявляет отклонения и подозрительную активность, сопоставляет данные с индикаторами компрометации и помогает специалистам по информационной безопасности восстанавливать картину атаки.

Однако видеть сеть недостаточно. Одно и то же сетевое событие в разных организациях может иметь совершенно разное значение: в одном случае оно свидетельствует о попытке атаки, в другом — сопровождает штатный бизнес-процесс. Чтобы правильно оценить событие, аналитику необходимо понимать не только технические параметры трафика, но и контекст, в котором работает конкретная инфраструктура.

В UDV NTA 2.0 эту задачу решает AI-ассистент — первый среди российских решений класса NTA. Он дополняет сетевую видимость пониманием бизнес-контекста и формирует покрытие сети 360°: опираясь на внутренние регламенты, критичность активов, особенности инфраструктуры и бизнес-процессов компании, AI-ассистент помогает оценить подозрительную активность, определить приоритет расследования и формирует рекомендации по реагированию.

Если традиционный анализ показывает, что именно произошло в сети, то интеллектуальный UDV NTA 2.0 помогает понять, что это означает для конкретного бизнеса. Это помогает снизить нагрузку на аналитиков, сократить количество нерелевантных срабатываний и сосредоточить внимание команды ИБ на событиях, которые действительно требуют реакции.

Помимо AI-ассистента, в UDV NTA 2.0 реализован ряд других улучшений, повышающих точность обнаружения угроз, производительность решения и видимость сети:

• Добавлена проверка сетевого трафика по репутационным спискам. Аналитик может подключить собственную базу индикаторов компрометации или использовать экспертизу UDV Group. Решение проверяет IP-адреса, доменные имена, URL и хеши файлов, учитывая направление взаимодействия, что помогает снизить количество ложных срабатываний и точнее приоритизировать события;
• Повышена точность детектирования сетевых атак. Сигнатурный анализ теперь учитывает положение узла относительно контролируемого периметра, а обновленная логика обнаружения DNS-туннелирования сокращает поток нерелевантных событий;
• Увеличена скорость проактивного поиска угроз. Благодаря переработанной архитектуре хранения и получения данных список сетевых сессий на высоконагруженных инсталляциях загружается в десятки раз быстрее, подсчет сессий по фильтру ускорен на 20%, а потребление оперативной памяти при проактивном поиске снижено в два раза;
• Расширены возможности исследования DNS-трафика. Поиск по частичному совпадению доменного имени помогает выявлять активность, связанную с вредоносными доменами и DNS-туннелями, даже если изменяется часть доменного имени;
• Добавлено распознавание новых протоколов, важных для контроля корпоративных и промышленных сетей: Modbus RTU over TCP, Regul, SSDP, mDNS, LLMNR, RTSP, PTP, а также Zabbix agent и trapper.

«Системы класса NTA традиционно отвечают на вопрос, что происходит в сети. В UDV NTA 2.0 мы сделали следующий шаг: AI-ассистент объединяет телеметрию с контекстом бизнеса, что в разы ускоряет расследование инцидента и получение необходимых для реагирования данных и позволяет быть на шаг впереди атакующего. Такой подход превращает сетевую видимость в понимание происходящего и позволяет специалистам сосредоточиться не на разборе информационного шума, а на защите действительно важных процессов и активов». — Михаил Пырьев, менеджер продукта UDV NTA