NTA eSensor
NTA eSensor – система анализа сетевого трафика, предназначенная для обнаружения компьютерных атак на оборудование сетей связи, комплексы средств автоматизации и автоматизированные системы управления.
О руководстве
Руководство предназначено для пользователей и администраторов NTA eSensor. В нём описаны назначение и условия работы системы, веб-интерфейс, эксплуатация и административные функции.
Основные возможности
- обнаружение и регистрация атак и аномалий;
- регистрация сетевых взаимодействий и метаданных прикладных протоколов, включая HTTP, DNS, SMB и TLS;
- обнаружение передаваемых по сети учетных данных в HTTP, FTP, NTLM, RDP и Kerberos;
- извлечение файлов из сетевого трафика;
- запись и хранение полной копии трафика в формате PCAP;
- централизованное управление сенсорами;
- визуализация и фильтрация данных на дашбордах;
- автоматическая блокировка угроз через интеграцию с межсетевыми экранами;
- передача событий информационной безопасности в SIEM-системы.
Технические характеристики
- Глубокий анализ трафика (DPI). Разбор протоколов до уровня L7 включительно.
- Сетевые технологии. Обработка VLAN, VXLAN, GRE, IP-in-IP и фрагментированного трафика; поддержка IPv4 и IPv6.
- Сигнатурный анализ. Поддержка решающих правил с синтаксисом Suricata 8.0.3.
- Индикаторы компрометации. Выявление IP-адресов, доменных имён, URL и хэш-сумм файлов.
- Эвристический анализ. Обнаружение аномалий сетевого трафика по пороговым значениям.
- Хранение трафика. Запись, экспорт и повторная проверка трафика в формате PCAP.
Архитектура
NTA eSensor состоит из сенсоров и сервера управления.
Сенсоры
Сенсоры анализируют копию трафика из критически важных сегментов сети: интернет-канала, серверных сегментов, DMZ и сегментов с рабочими станциями пользователей.
Сервер управления
Сервер управления собирает события с сенсоров и предоставляет веб-интерфейс для управления и аналитики. Он может быть установлен вместе с сенсорами или на отдельной платформе.
Распределённая архитектура позволяет размещать сенсоры в разных участках сети и увеличивать их количество по мере роста инфраструктуры организации.
Как работает eSensor
- Сенсоры захватывают поступающий сетевой трафик.
- Система разбирает трафик по протоколам и регистрирует сетевые взаимодействия.
- Трафик проверяется на вредоносную и аномальную активность сигнатурными и эвристическими методами.
- Копия трафика сохраняется и при необходимости экспортируется или направляется на повторную проверку.
- Информация о событиях информационной безопасности передаётся в SIEM-систему.