Точный детект и управляемое сдерживание позволяют клиентам PT NAD 13.0 эффективнее реагировать на кибератаку

Positive Technologies представила новую версию системы поведенческого анализа сетевого трафика PT Network Attack Discovery (PT NAD) — 13.0. Главное в релизе: облачное детектирование, сдерживание атаки с возможностью изолировать скомпрометированный узел или заблокировать учетную запись без переключения между системами, а также экономичное архивное хранение метаданных. Новые функции помогают специалистам по ИБ быстрее обнаруживать угрозы, эффективнее сдерживать продвижение злоумышленника и восстанавливать цепочку атак, в том числе по данным зашифрованного трафика. Об этом CNews сообщили представители Positive Technologies.

PT NAD является лидером рынка NTA/NDR-систем в России, сотни клиентов мониторят трафик и отслеживают в нем аномалии, предотвращают атаки с помощью продукта. В 2026 году для того, чтобы PT NAD еще эффективнее выявлял угрозы и сдерживал развитие кибератак, вышла новая версия продукта — 13.0.

Одной из главных фичей PT NAD 13.0 стало облачное детектирование. Оно дополняет результаты анализа в инфраструктуре клиента сведениями об IP-адресах и доменах, а также информацией о срабатываниях в других инфраструктурах. Благодаря более широкому контексту в интерфейсе системы аналитик быстрее оценивает ситуацию, точнее выделяет реальные угрозы среди фоновой активности и получает более полную картину происходящего. Для облачного детектирования PT NAD интегрирован с PT Expert Cloud — облачным сервисом экспертного центра Positive Technologies. Он анализирует обезличенную статистику по трафику от клиентов, которые разрешили ее передачу, и помогает уточнять и обогащать локальные срабатывания. Например, при выявлении DNS-туннелей система может проверить сведения о домене и точнее отличить подозрительную активность от взаимодействия с легитимными сервисами, которое может выглядеть похожим образом.

Кроме того, PT Expert Cloud может верифицировать отдельные угрозы, обнаруженные PT NAD локально. В последнем случае информация об угрозе передается в PT NAD и появляется в ленте активностей. Это повышает точность и охват обнаружения и помогает снизить нагрузку на специалистов центра мониторинга ИБ (SOC).

Еще одно важное изменение PT NAD 13.0 — автоматизированное сдерживание атаки. После анализа сетевой активности специалист по ИБ может прямо из консоли PT NAD запустить действие для сдерживания угрозы, например: изолировать скомпрометированный узел или заблокировать учетную запись. Действия выполняются через компонент реагирования MaxPatrol EDR или механизм EDL (External Dynamic Lists), поддерживаемый различными сторонними вендорами NGFW, при этом решение о блокировке всегда остается за специалистом. Новая возможность позволяет быстрее перейти от обнаружения угрозы к ее сдерживанию и не тратить время на переключение между системами.

«Основная задача NTA/NDR-систем — обнаружить злоумышленника в сетевом трафике и дать специалисту достаточно информации, чтобы разобраться в инциденте. Поэтому при развитии PT NAD мы всегда делали основной упор на качество детектирования и повышение эффективности нашей экспертизы. В версии 13.0 мы усиливаем этот подход возможностями PT Expert Cloud: теперь при анализе угроз можно учитывать не только то, что происходит в конкретной инфраструктуре, но и дополнительный контекст, которого у отдельной организации может просто не быть. Это помогает точнее оценивать срабатывания и сокращать время на их верификацию. При этом мы развиваем и следующий этап работы с инцидентом: как только угроза обнаружена и подтверждена, специалист может сразу перейти к ее сдерживанию из интерфейса PT NAD. Это дает больше данных для принятия решения и позволяет сократить путь от обнаружения угрозы до практического действия», — сказал Дмитрий Ефанов, руководитель продукта PT NAD в компании Positive Technologies.

В новой версии также добавлена возможность хранить архивные метаданные в S3-совместимых[1] и сетевых файловых хранилищах. Это позволяет клиентам использовать более доступные накопители и увеличивать срок хранения данных без существенного роста затрат. Специалисты смогут возвращаться к архивным данным, восстанавливать цепочку атаки, проверять гипотезы о компрометации и проводить проактивный поиск угроз.

Команда PT NAD также продолжает развивать несигнатурный анализ сетевых протоколов, в том числе с применением машинного обучения. В версии 13.0 расширены функции обнаружения VPN-трафика. Например, продукт распознает соединения семейства Xray[2], включая VLESS и VMess, а также конфигурации с REALITY и XTLS, которые маскируются под обычный TLS-трафик. Это повышает прозрачность сети и помогает операторам SOC видеть соединения, которые сложно определить стандартными методами.

Кроме того, в PT NAD 13.0 стали гибче интеграции с сетевыми песочницами, как Positive Technologies, так и сторонних производителей. Это позволяет дополнять данные сетевого анализа результатами более глубокой проверки подозрительных объектов и уже на ранних этапах получать больше информации для расследования инцидентов.

Также команда обновила стандартные дашборды и добавила виджет с наиболее опасными атаками, чтобы сосредоточить внимание специалистов на самых критичных инцидентах. Расширенные возможности профилей и централизованного управления, в свою очередь, упрощают администрирование распределенных инсталляций PT NAD.

PT NAD 13.0 уже доступен для пользователей. Обновить продукт можно через техническую поддержку или обратиться к партнерам Positive Technologies.