Казань 
Многие до сих пор смотрят на защиту по старой логике:
главное - закрыть периметр, отфильтровать входящий трафик, не пропустить вредоносный файл.
Но в реальной атаке ключевые действия злоумышленника часто начинаются уже после проникновения.
Злоумышленник закрепляется на одной машине, начинает сканировать сеть, проверять доступы, перемещаться на серверы и пытаться получить доступ к критичным системам и привилегированным учетным записям.
И если внутри сети все «разрешено по умолчанию», такое перемещение долго выглядит как обычная активность.
Что видно в таких сценариях:
- рабочая станция начинает обращаться к десяткам хостов по SMB, RDP, SSH и ряду других протоколов
- пользовательский компьютер сканирует подсети
- в нерабочее время появляются обращения к контроллерам домена
- отдельные хосты передают большие объемы данных в нетипичное время или на облачные хранилища данных/C2-сервера
По отдельности такие события не всегда выглядят как инцидент. Но если смотреть на них вместе, это уже может быть: разведка, горизонтальное перемещение (lateral movement), закрепление в инфраструктуре, подготовка к компрометации данных и учетных записей.
И здесь возникает неудобный, но важный вопрос:
Насколько хорошо компания вообще понимает, как выглядит нормальная сетевая активность внутри своей инфраструктуры?
- какие связи являются штатными?
- какие сегменты не должны взаимодействовать между собой?
- какие обращения должны считаться подозрительными сразу?
Из ответов на эти вопросы можно собрать правила контроля: какие соединения допустимы, а какие требуют отдельного отслеживания.
Вывод простой: если после взлома одной рабочей станции атакующий может свободно перемещаться по сети, значит внутри инфраструктуры недостаточно точек контроля.
Поэтому анализ внутрисетевого трафика - уже не дополнительная опция, а базовый элемент защиты.
Во второй части мы разберем как защитить внутрисетевой трафик и почему одного NGFW уже недостаточно.
