Гарда NDR противостоит даже сложно детектируемым сетевым угрозам

Теперь заказчики имеют возможность предотвращать сложно детектируемые сетевые атаки. С помощью моделей машинного обучения на основе технологии автокорреляции «Гарда NDR[1]» выявляет аномалии в сетевом трафике и определяет обращения к центрам управления ботнетами.

Эксперты группы компаний «Гарда» добавили в перечень инструментов системы NDR модель машинного обучения для выявления обращений к центрам управления ботнетов (Command&Control Center, С&C[2]) с поддержкой автокорреляции.

Технология позволяет выявлять повторяющиеся последовательности из нескольких уникальных запросов ботов к их центрам управления. Система выявляет скрытые зависимости в сетевом трафике, более точно определяет аномалии, которые указывают на присутствие ботов и их активность в сети. В результате, «Гарда NDR» применима для противодействия даже сложно детектируемым сетевым угрозам.

Модель устойчива к шифрованию и поддерживает детектирование даже при использовании туннелей DNS-over-HTTPs[3].

«В 2021 мы выпустили первую версию поведенческих ML-моделей (моделей машинного обучения) и приняли стратегическое решение развивать несигнатурные методы выявления угроз и аномалий, которые являются ключевым элементом функциональности для NTA[4]/NDR-решений, — отметил руководитель разработки продукта «Гарда NDR» Павел Шубин. — С того момента ML-модели «Гарда NDR» существенно эволюционировали, сейчас они способны выявлять даже неочевидные отклонения поведения устройств и пользователей, которые нельзя определить другими методами. Поведенческие модели (профилирование) с учетом постоянно возрастающей сложности атак по-прежнему остаются наиболее действенным инструментом их детектирования».

«Сейчас мы ясно пониманием, что российский подход к NTA-решениям, основанный на сочетании IDS[5] и DPI[6], устарел и не отвечает задачам рынка и актуальному ландшафту угроз. Мы постоянно совершенствуем ML-модели и выпустили новую модель для детектирования обращений к C&C, которая позволяет детектировать маскирующиеся последовательности из нескольких уникальных «отстуков»», — добавил руководитель продукта «Гарда NDR» Станислав Грибанов.

[1] NDR, Network Detection and Response — от англ. — система выявления и реагирования на сетевые угрозы.

[2] С&C, Command and Control Center — от англ. — центр управления и контроля.

[3] DNS-over-HTTPs протокол для выполнения разрешения DNS по протоколу HTTPS.

[4] NTA, Network Traffic Analysis — от англ. — система анализа сетевого трафика.

[5] IDS, Intrusion Detection System — от англ. — система обнаружения вторжений.

[6] DPI, Deep Packet Inspection — от англ. — технология проверки сетевых пакетов по их содержимому для фильтрации трафика и сбора статистических данных.