Казань 
В первой части мы говорили, почему атаки внутри сети часто замечают слишком поздно.
Следующий вопрос - какими инструментами такие атаки выявлять на практике.
NGFW важен, но сам по себе не решает задачу обнаружения атак внутри сети.
Он хорошо справляется с сегментацией и контролем доступа: ограничивает связи между сегментами и контролирует обращения между системами. Например, если рабочие станции начинают массово инициировать RDP-сессии друг к другу или пользовательский сегмент получает доступ к критичным серверам, это можно ограничить политиками, но в журнале логов данные взаимодействия будут выглядеть как легитимные.
Во внутренней сети этого часто недостаточно. Важна не только фильтрация, но и контекст: кто, куда, как часто и с какой целью обращается.
Что добавляет NTA
NTA-системы нужны для наблюдения за поведением сети. Они помогают понять, как выглядит нормальный обмен трафиком, и находить отклонения. Это могут быть массовые обращения к хостам внутри сегмента, нетипичное использование RDP, SMB, WinRM или SSH, всплески запросов к контроллерам домена, сканирование подсетей, передача больших объемов данных в нехарактерное время или повторяющиеся соединения с подозрительными внешними узлами.
Даже если злоумышленник действует аккуратно и использует штатные средства Windows, сетевой след все равно остается.
Что добавляет Sandbox и Anti-APT
Когда эвристический анализ становится недостаточным, на помощь приходит поведенческий анализ файлов и объектов. Например, NGFW или почтовый шлюз пропустили вложение. На рабочей станции оно еще не определяется как вредоносное, но после запуска документ создает новые процессы, обращается к PowerShell, загружает дополнительный код и устанавливает соединения с внешними адресами.
В такой ситуации помогает песочница. Она проверяет не только сигнатуру, а реальное поведение объекта в изолированной среде.
В связке это работает так: NGFW или шлюз передает подозрительный объект на анализ, Sandbox подтверждает вредоносную активность, NTA помогает понять, были ли похожие сетевые признаки на других узлах, а SIEM собирает эти события в единую цепочку для расследования.
Вывод
Защита внутрисетевого трафика - это не про один продукт. Это связка сегментации, сетевого контроля, поведенческого анализа и проверки подозрительных объектов.
Когда эти механизмы работают вместе, служба ИБ видит не отдельные сигналы, а сценарий атаки: от подозрительного файла или первичного доступа до перемещения по инфраструктуре и попытки выйти к критичным системам.
Такой подход дает не просто больше алертов, а реальный шанс заметить злоумышленника до того, как он закрепится в инфраструктуре и дойдет до критичных сервисов.
