![Новые данные по атаке на Polyfill[.]io: затронуты 380 тысяч хостов](https://www.anti-malware.ru/files/styles/imagesize400w/public/images/source/polyfill_new_info_news.png?itok=-ffdVz6T)
Группа компаний «Гарда» представила обновление системы сетевого мониторинга и обнаружения атак «Гарда NDR» версии 4.3. Новая версия помогает специалистам по кибербезопасности быстрее выявлять и устранять угрозы, снижать нагрузку на аналитиков и повышать эффективность SOC-команд.
Новый уровень проактивной защиты
Система теперь поддерживает фильтрацию по матрице MITRE ATT&CK. Это позволяет искать атаки по тактикам, техникам и подтехникам, а также по IP-адресам и логическим группам. Такой подход помогает аналитикам точнее формулировать гипотезы и быстрее выявлять сложные сценарии атак, включая «горизонтальное перемещение» злоумышленников в сети.
Интеграция с SIEM и удобный анализ
Теперь журналы действий пользователей и системные сообщения можно экспортировать в SIEM-системы, что позволяет анализировать события и строить полную цепочку атаки в одном интерфейсе, без переключения между системами.
Расширены возможности ретроспективного поиска по трафику (payload) — теперь можно искать нужные фрагменты данных, работать с управляющими последовательностями и символами прямо в слепке трафика. При необходимости данные можно выгружать в Wireshark для углублённого анализа.
Усилена защита Active Directory
В новой версии появился инструмент для выявления атак на Kerberos — ключевой протокол аутентификации в доменных средах. Теперь «Гарда NDR» умеет декодировать команды протокола и анализировать трафик Kerberos по TCP и UDP, что позволяет обнаруживать сложные атаки — от перебора паролей до kerberoasting.
Улучшенный машинный анализ и управление
Алгоритмы машинного обучения стали точнее определять аномалии и сокращают число ложных срабатываний. Добавлена возможность массового изменения политик безопасности и мониторинга сетевых метрик (application и network delay), что помогает оперативно реагировать на сетевые сбои.
Новый интерфейс инцидентов
Главный раздел теперь разделён на вкладки «Инциденты» и «События». Карточки инцидентов содержат классификацию по MITRE, число уникальных событий и задействованных хостов. Это позволяет аналитикам быстрее оценить масштаб атаки и направление её распространения без ручной агрегации данных.
Как отметил руководитель продукта Станислав Грибанов, в обновлении основной акцент сделан на автоматизацию, улучшение аналитики и устранение «слепых зон» — чтобы ни одна угроза не осталась незамеченной.
