Обновлённый PT NAD получил функциональность для threat hunting

Обновлённый PT NAD получил функциональность для threat hunting

Обновлённый PT NAD получил функциональность для threat hunting

Обновленная система определяет доменные учетные записи пользователей в сети, видит больше данных в зашифрованных SSH-сессиях и проводит автоматический ретроспективный анализ по всем спискам индикаторов компрометации. Такая функциональность пригодится специалистам для проведения расследований и проактивного поиска угроз (threat hunting).

Чтобы отследить действия злоумышленников, скомпрометировавших учетную запись, PT NAD теперь определяет учетные данные пользователя при аутентификации по протоколу Kerberos. Это дает возможность специалистам по информационной безопасности видеть доменную учетную запись, которая была использована в конкретной сессии. Сетевые соединения можно отфильтровать по логину пользователя и получить список тех, в которых он был использован.

Для выявления аномалий в зашифрованных соединениях PT NAD (начиная с десятой версии) проводит расширенный анализ зашифрованных сессий по протоколу SSH. Благодаря этому пользователям доступна дополнительная информация об SSH-соединениях:

  • тип трафика в зашифрованном соединении,
  • тип и количество неудачных попыток аутентификации,
  • наличие интерактивных данных в сессии, передача файлов и создание туннелей.

Такие данные дают специалистам по ИБ возможность выявлять, например, нетипичные способы аутентификации пользователей, атаки методом перебора, а также подозрительные туннели, входящие в топ наиболее часто выявляемой в отечественных организациях подозрительной сетевой активности.

Чтобы выявлять атаки, которые произошли в прошлом, PT NAD теперь анализирует сохраненные сессии по всем индикаторам компрометации, добавленным в продукт вендором или пользователем. В предыдущих версиях ретроспективный анализ был доступен только тем пользователям, которые подключили отдельный компонент по сбору индикаторов компрометации. Теперь ретроспективный анализ запускается автоматически, это позволит максимально быстро обнаружить признаки скрытого присутствия злоумышленника.

Для большей прозрачности сети в новой версии продукта расширен набор определяемых протоколов: PT NAD детектирует еще 7 новых протоколов, которые встречаются в сетях крупных российских компаний (общее же их число составляет 80). Определение протоколов дает понимание, в каком объеме и какого рода сетевые соединения устанавливаются внутри корпоративной сети.

Для удобства работы с PT NAD теперь пользователи могут включить автоматическое обновление данных на дашбордах с заданной периодичностью и из любого раздела системы перейти в справочный центр, аккумулирующий полную и актуальную на любой момент времени информацию по работе с продуктом. В новой вкладке браузера вы получите подробную информацию и инструкции по работе с функцией системы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

MaxPatrol EPP дорос до альфы

На конференции Positive Security Day компания Positive Technologies представила альфа-версию нового продукта для защиты клиентских устройств — MaxPatrol EPP. Это комплексное решение предназначено для противодействия массовым атакам, прежде всего связанным с использованием программ-вымогателей.

При разработке продукта используются технологии белорусской компании «ВирусБлокада», долю в которой Positive Technologies приобрела в феврале 2025 года. Прототип решения был впервые представлен в мае на пресс-конференции в рамках форума Positive Hack Days.

Как отметил руководитель департамента разработки средств защиты рабочих станций и серверов Positive Technologies Сергей Лебедев, антивирусный движок стал неотъемлемой частью экосистемы компании и уже интегрирован в другие продукты, включая решения класса EDR.

Если ранние версии могли блокировать лишь запуск вредоносных скриптов, встроенных в документы и веб-страницы, то представленная на Positive Security Day версия MaxPatrol EPP — это уже полноценное решение для защиты от широкого спектра угроз, характерных для клиентских устройств.

В состав продукта входят сетевая песочница, агент для сбора телеметрии, средства статического и динамического анализа, а также интерфейс для реагирования на инциденты.

Отдельное внимание разработчики уделили системе самозащиты: она предотвращает остановку агента даже при наличии у злоумышленников административных прав или привилегированного доступа.

На данный момент предварительная версия MaxPatrol EPP работает в операционных системах Windows и Linux с пакетным менеджером DEB. По мере развития продукта планируется расширение списка поддерживаемых платформ. Публичная бета-версия ожидается к зиме 2025 года.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru