Дополнительный слой видимости
NDR не заменяет средства защиты периметра и конечных точек — это дополнительный слой видимости внутри сети, который помогает обнаружить то, что уже прошло через них.
Обнаруживаем скрытые угрозы во внутреннем сетевом трафике: аномалии, боковое перемещение, связь с C2-серверами — то, что не видят средства периметра и конечных точек.
NDR + обнаружение угроз в сети
NDR — обнаружение и реагирование на сетевые угрозы
Видим угрозы внутри сети, которые не всегда попадают в поле зрения периметровой защиты и антивируса: анализируем сетевой трафик на аномалии, боковое перемещение и связь с управляющими серверами (C2), и даём команде данные для быстрого перехода от обнаружения к реагированию.
Для руководителя коротко
Видимость внутри сети после проникновения
Задача этой услуги — увидеть, что происходит внутри сети после того, как атакующий уже преодолел периметр, и дать команде данные и время для реагирования до того, как инцидент разовьётся в серьёзный ущерб.
Не только оповещение
NDR может ограничиваться оповещением и передачей контекста аналитику либо инициировать действия через интеграции с межсетевыми экранами, NAC, EDR/SOAR — в заранее согласованном объёме.
Когда актуально
Когда особенно актуально
Особенно актуально в следующих ситуациях.
Есть сегменты без EDR
IoT, АСУ ТП, унаследованные системы, сетевое оборудование — там, где нельзя установить агент EDR.
Нет уверенности, что внутри сети
Периметровая защита и антивирус есть, но нет уверенности, что происходит внутри сети после проникновения.
Нужно видеть боковое перемещение
Нужно обнаруживать боковое перемещение и разведку внутри сети, а не только атаки на входе.
Есть значимые объекты КИИ
Применимый состав мер предусматривает обнаружение и предотвращение вторжений.
Нужна ретроспектива
Нужна ретроспективная информация о сетевых соединениях для расследования инцидентов.
С чего начинаем
С чего начинаем, если инфраструктура ещё не готова
Отвечаем на типичные опасения перед стартом проекта.
Не знаете, откуда собирать трафик?
Начинаем с определения точек мониторинга — зеркалирование портов (SPAN/TAP), NetFlow/IPFIX с существующего оборудования, ключевые сегменты сети: ЦОД, DMZ, серверные VLAN.
Опасаетесь ложных срабатываний?
После подключения сначала проверяем качество телеметрии и запускаем калибровку. Сигнатурные и индикаторные механизмы работают сразу, поведенческие модели уточняются по мере накопления базового профиля вашей сети.
Нет своего SOC?
Можем передавать оповещения вашей команде или подключить услугу проактивного мониторинга (SOC) — обсуждается отдельно.
Что важно учитывать
NDR даёт видимость и обнаружение, но решение о реагировании — изоляция сегмента, блокировка узла — в большинстве сценариев принимает и выполняет ответственная за инфраструктуру команда, если иной формат не согласован отдельно.
Соседние услуги
Как это соотносится с соседними услугами
Несколько услуг относятся к сетевой безопасности и мониторингу, но решают разные задачи.
Разница по существу
NDR — источник видимости на уровне сети; SIEM — точка сведения событий из разных источников; EDR — защита и видимость на конечной точке; email security — защита отдельного канала (почты); SOC — команда, которая анализирует данные от всех этих источников и реагирует.
Из чего складывается
Из чего складывается NDR
Эти элементы не заменяют друг друга: поведенческий анализ помогает выявлять отклонения и подозрительные паттерны, не описанные заранее конкретной сигнатурой, а сопоставление с индикаторами и threat intelligence позволяет обнаруживать известную вредоносную инфраструктуру — это разные направления обнаружения, которые дополняют друг друга.
Важно понимать границы: способ реагирования зависит от платформы и архитектуры внедрения. В инфраструктуре заказчика автоматические блокировки включаются только в заранее согласованном объёме.
Сбор телеметрии. Зеркалирование портов (SPAN/TAP) и/или NetFlow/IPFIX; там, где поддерживается решением — анализ метаданных зашифрованного трафика без его расшифровки.
Поведенческий анализ. Профиль нормального поведения узлов и сегментов сети, обнаружение отклонений — нетипичные объёмы, необычные направления соединений, сканирование сети.
Боковое перемещение. Выявление признаков продвижения атакующего внутри сети после первичной компрометации одного узла.
C2 и эксфильтрация. Сопоставление сетевых соединений с индикаторами компрометации и threat intelligence — там, где поддерживается решением.
Ретроспективный анализ. При поддержке платформой — хранение телеметрии за согласованный период для расследования инцидентов постфактум.
Форматы работы
Форматы работы
Можем выполнить полный цикл или отдельные этапы — в зависимости от того, что уже есть в инфраструктуре.
Проектирование точек сбора трафика
Определение сегментов сети, способа получения трафика (зеркалирование, TAP, NetFlow/IPFIX), интеграция с существующим сетевым оборудованием.
Внедрение и настройка платформы
Развёртывание сенсоров, подключение источников трафика, первичная настройка правил обнаружения.
Формирование базового профиля
Накопление данных о нормальном поведении сети параллельно с работой доступных механизмов обнаружения — для калибровки поведенческих моделей и снижения ложных срабатываний.
Настройка обнаружения
Правила для аномалий, бокового перемещения, связи с C2, эксфильтрации данных — с учётом профиля вашей сети.
Интеграция с SIEM/SOC
Передача оповещений и обогащённых данных в существующие процессы мониторинга и реагирования, если такие есть.
Сопровождение
Донастройка правил, разбор ложных срабатываний, обновление индикаторов компрометации.
Процесс
Как мы выстраиваем защиту
Прозрачный процесс позволяет понимать, что происходит на каждом этапе и какой результат он даёт.
Определяем точки мониторинга.
Ключевые сегменты сети, источники трафика, доступное сетевое оборудование для зеркалирования или экспорта NetFlow.
Развёртываем сенсоры.
Настройка сбора трафика без изменения существующей сетевой архитектуры — в режиме наблюдения.
Включаем детекции и профиль.
Сигнатурные и индикаторные механизмы включаются сразу; параллельно накапливаем данные для настройки поведенческих моделей.
Настраиваем обнаружение.
Правила для аномалий, бокового перемещения, C2-соединений и эксфильтрации — с приоритизацией под профиль вашей сети.
Тестируем и калибруем.
Разбор первых оповещений совместно с вашей командой, снижение числа ложных срабатываний.
Передаём в сопровождение.
Донастройка правил, обновление индикаторов компрометации, реагирование на новые техники атак.
Что вы получаете
Что вы получаете
Результат проекта — работающая система обнаружения, а не просто поставленное оборудование.
Настроенное обнаружение
Настроенную систему обнаружения на уровне сетевого трафика.
Видимость без агентов
Видимость бокового перемещения и аномальной активности внутри сети, включая сегменты без агентов EDR.
Оповещения с контекстом
Оповещения по подозрительным соединениям с приоритизацией и контекстом для расследования.
Ретроспективные данные
При поддержке платформой — ретроспективные данные сетевой телеметрии за согласованный период.
Регламент реагирования
Регламент реагирования на инциденты, связанные с сетевой активностью.
Особенности
Особенности и ограничения
Честно о границах технологии, чтобы ожидания совпадали с результатом.
- NDR даёт видимость и обнаружение, но не заменяет средства защиты периметра, конечных точек и почты.
- Качество обнаружения зависит от точек подключения: сегменты без зеркалирования остаются вне видимости.
- Анализ зашифрованного трафика в большинстве случаев ограничен метаданными без расшифровки содержимого.
- Первые недели работы возможны ложные срабатывания, пока не сформирован базовый профиль трафика.
- Активное реагирование требует отдельной интеграции с сетевым оборудованием и решения ответственной команды.
Эскалация
Эскалация при критичном инциденте
Порядок согласуется на установочной сессии и фиксируется в договоре.
Что фиксируем заранее
Назначенных представителей заказчика и порядок их замещения, канал связи; целевое время оповещения о подтверждённой сетевой активности, указывающей на компрометацию — боковое перемещение, C2-соединение, признаки эксфильтрации; порядок действий в отношении сетевой инфраструктуры — по умолчанию без предварительного согласования не предпринимается; порядок действий, если контакт недоступен.
Границы ответственности
Мониторинг трафика, обнаружение и оповещение о находках входят в услугу. Активные меры реагирования — изоляция узла или сегмента, блокировка соединений — выполняет ответственная за сетевую инфраструктуру команда заказчика, если иной формат отдельно не согласован.
Метрики и конфиденциальность
Как измеряем результат и защищаем ваши данные
Показатели согласуем на старте, чтобы результат можно было оценивать по понятным и измеримым критериям.
- Доля сетевых сегментов и точек трафика, охваченных мониторингом NDR.
- Среднее время от возникновения подозрительной сетевой активности до оповещения (time to detect).
- Количество и структура выявленных случаев бокового перемещения и C2-соединений.
- Доля ложных срабатываний, подтверждённых как ошибочные, и динамика её снижения после калибровки.
- Время от появления новых индикаторов компрометации до их применения в правилах обнаружения.
- Не используем как показатель: общее число оповещений само по себе — оно отражает объём правил, а не снижение реального риска.
- Конфиденциальность: NDA, защищённые каналы передачи данных и отчётности, ограничение доступа внутри команды и журналирование обращений к консолям управления.
- Согласованное место обработки и хранения материалов, ограниченный срок хранения с возвратом или уничтожением по окончании работ.
Регуляторный контекст
Регуляторный контекст
Ключевые нормы, применимые к обнаружению и предотвращению вторжений на сетевом уровне.
Методический документ ФСТЭК
Документ от 12.04.2026 выделяет меры СОВ.1 «Обнаружение и предотвращение вторжений на периметре» и СОВ.2 «Обнаружение и предотвращение вторжений в сегментах информационной системы».
Приказы ФСТЭК №117, №21, №239
Для ГИС и связанных с ними систем — приказ ФСТЭК №117 от 11.04.2025, с 1 марта 2026 года заменивший приказ №17. Для ИСПДн — приказ №21, для значимых объектов КИИ — приказ №239. Конкретный состав мер зависит от нормативного режима, класса защищённости или категории значимости.
Оценка соответствия средств
Для систем по приказу №117 — сертифицированные средства защиты установленного класса и уровня доверия; для ИСПДн — по приказу №21; для значимых объектов КИИ приказ №239 предусматривает сертификацию, испытания или приёмку. Наличие функции обнаружения вторжений в NDR само по себе не означает соответствия требованиям к СОВ.
NDR и СОВ — не тождественные понятия
NDR-платформа может использоваться для реализации части функций мер СОВ, только если её возможности и форма оценки соответствия отвечают требованиям конкретной системы. NDR и сертифицированная СОВ не являются автоматически взаимозаменяемыми.
Взаимодействие с ГосСОПКА
Для субъектов КИИ со значимыми объектами 187-ФЗ предусматривает непрерывное взаимодействие с ГосСОПКА через техническую инфраструктуру НКЦКИ. NDR может быть одним из источников телеметрии, но не заменяет установленные процедуры взаимодействия и иные обязанности субъекта КИИ.
Материалы работ могут использоваться как документы, подтверждающие принятые меры защиты. Подтверждением полного соответствия нормативным требованиям сам по себе факт использования средств NDR не является — соответствие определяется совокупностью мер и формой оценки соответствия средств защиты, применимой для конкретной системы.
Порядок работы
Порядок работы, сроки, стоимость и приёмка
Прозрачный процесс от первичной оценки до передачи в сопровождение.
Как начинается работа
Бесплатная первичная оценка (до 30 минут, без подключения к инфраструктуре) → определение задачи, топологии сети и точек мониторинга → договор и NDA → развёртывание сенсоров и сбор трафика → формирование базового профиля → настройка правил обнаружения и интеграция с SIEM/SOC → передача в сопровождение.
Объём и сроки
Объём определяется числом и пропускной способностью контролируемых сегментов, оборудованием, необходимостью интеграции с SIEM/SOC. Ориентировочно: определение точек мониторинга и развёртывание сенсоров — от 2 до 4 недель; формирование базового профиля и калибровка — от 2 до 4 недель.
Стоимость и приёмка
Стоимость зависит от числа и объёма контролируемых сегментов, оборудования, интеграции с SIEM/SOC и объёма сопровождения — фиксируется до начала работ. В договоре фиксируются состав работ, критерии приёмки и порядок эскалации при инцидентах.
Почему IST
Почему IST
Опыт настройки NDR под реальную топологию сети, а не по типовому шаблону.
С 2011 года
В сфере информационной безопасности с 2011 года.
Более 80 специалистов
Офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве.
Лицензии ФСТЭК и ФСБ
Работаем в рамках требований регуляторов на основании действующих лицензий.
Настройка под реальную топологию
Настраиваем NDR с учётом реальной топологии сети и существующего оборудования, а не только по типовому шаблону.
Меньше ложных срабатываний
Включаем доступные детекции сразу и параллельно калибруем поведенческие модели под вашу сеть.
Полный цикл
От видимости внутри сети до защиты периметра, почты, конечных точек и проактивного мониторинга (SOC).
FAQ
Частые вопросы
Ответы на главные вопросы заказчиков.
- Чем NDR отличается от IDS/IPS? — IDS/IPS прежде всего обнаруживают и предотвращают сетевые атаки по заданным механизмам анализа. NDR обычно добавляет более широкую телеметрию, поведенческий анализ, контекст по узлам и соединениям, выявление бокового перемещения и поддержку расследования во времени. Конкретная граница зависит от продукта.
- Нужно ли расшифровывать трафик? — Не обязательно. Многие сценарии обнаружения — аномалии объёма, направления и паттернов соединений, связь с известными C2-адресами — работают на основе метаданных без расшифровки. Более глубокий анализ зависит от используемого решения.
- NDR заменяет SIEM или EDR? — Нет. NDR — источник видимости на уровне сети; SIEM сводит события из разных источников; EDR защищает и даёт видимость на конечной точке. Эти инструменты дополняют друг друга.
- А если в сети есть устройства без агента? — Это одна из основных задач NDR: он анализирует трафик на уровне сети, поэтому покрывает IoT, АСУ ТП, сетевое оборудование и другие узлы, где EDR-агент установить нельзя.
- Сколько займёт настройка без ложных срабатываний? — Обычно от 2 до 4 недель уходит на формирование базового профиля трафика — после этого правила калибруются под вашу сеть. Полностью исключить срабатывания нельзя, но их можно свести к управляемому уровню.
Обсудить защиту сети
Оценим видимость сети и предложим план внедрения NDR
Расскажите о топологии вашей сети, используемом оборудовании, наличии сегментов без EDR-агентов и текущих средствах мониторинга (SIEM, SOC, если есть). Первичная оценка — бесплатно, до 30 минут, без подключения к инфраструктуре.