Топ 8: Российские системы реагирования на инциденты (EDR/XDR)

Компания Гарда представила обновление системы обнаружение кибератак Гарда Deception. Одним из ключевых обновлений стала поддержка нового безагентного метода распространения приманок через утилиту Microsoft Endpoint Configuration Manager (MECM). Данный функционал позволяет централизованно помещать приманки на группы устройств без установки дополнительных агентов, упрощая администрирование системы. Для повышения реалистичности и эффективности приманок в системе добавлен импорт учетных записей из LDAP. Теперь компании могут автоматически находить неиспользуемые или отключенные учетные записи в Active Directory и использовать их в качестве ложных, повышая достоверность имитации инфраструктуры и усложняя работу злоумышленников. В новой версии продукта расширены возможности создания ловушек: стал доступен конструктор HTML-страниц для HTTP/HTTPS, позволяющий имитировать реальные корпоративные сервисы. При этом у атакующего повышается вероятность взаимодействия с ложной инфраструктурой.

Positive Technologies представила новую версию продукта для выявления киберугроз на конечных устройствах и реагирования на них MaxPatrol EDR. Главное в релизе — совместимость с еще большим количеством популярных ОС, новый модуль сбора данных с конечных устройств под управлением Windows и расширенная поддержка ОС «Альт». Теперь продукт может работать самостоятельно, а также по-прежнему легко интегрируется с другими продуктами Positive Technologies. Помимо этого, в новой версии появились дополнительные сценарии для работы с событиями ИБ, а компании могут проверять файлы, используя собственные индикаторы компрометации (IoC).

Компания UserGate наконец-то официально выпустила на рынок ранее анонсированный UserGate Client — продукт для безопасного удаленного подключения пользователей к корпоративной сети. Пока он доступен только для Windows. Версии для Linux пока нет. UserGate Client сочетает в себе бесплатный Remote Access VPN для подключения внешних пользователей к корпоративной сети, решение NAC (Network Access Control) и инструмент EDR (Endpoint Detection & Response). VPN-клиент работает только в связке с другими продуктами экосистемы UserGate (сервером управления Management Center, сервером аналитики Log Analyzer и файрволом нового поколения UserGate). Вместе с теми же продуктами решение берет на себя мониторинг состояния безопасности рабочих станций, поиск опасных событий и блокирование этих угроз.

Пользователям Bi.Zone EDR стал доступен ИИ-ассистент, которого зовут Bi.Zone Cubi. Он значительно упрощает построение поисковых запросов в хранилище телеметрии. Теперь даже самые сложные запросы можно формировать на естественном языке, без глубокого изучения синтаксиса SQL или структуры данных. Это снижает вероятность ошибок при построении запроса и ускоряет поиск информации, необходимой для реагирования на киберинцидент. Кроме ИИ-помощника в новой версии Bi.Zone EDR 1.38 появилось отображение правил детектирования в интерфейсе пользователя, возможность создания исключений через конструктор, детектирование уязвимостей в модуле Threat Prediction, модуль АСУ ТП, функция Самозащита для Linux, прием телеметрии от агента, работающего в режиме portable, графический интерфейс на macOS и отображение задач на агенте.

Ключевое нововведение Гарда NDR 4.0 коснулось производительности подсистемы записи содержимого сетевых потоков. Скорость записи увеличена в восемь раз. Таким образом, один совмещенный сервер, который включает сенсор, систему хранения и систему управления, поддерживает обработку до 10 Гбит/c сетевого трафика. Новая версия «Гарда NDR» детектирует скомпрометированные устройства, защищая тем самым сеть организации от возможных атак. Опция реализована за счет улучшения функциональности ML-модели выявления маяков (beacon) ботнетов. Система обнаруживает факты обращения зараженных устройств к командным центрам (C&C) внутри dns-туннелей и даже внутри dns-over-https-туннелей в случае проникновения в сеть распространенных атакующих фреймворков Cobalt Strike, Sliver, Brute Ratel C4. Гарда NDR - это комплекс, который анализирует метаданные пакетов сетевого трафика, детектирует аномалии и отклонения от нормального поведения в сети, что позволяет выявить даже скрытые атаки и продвинутые угрозы и реагировать на сетевые инциденты.