Даже комплексная система кибербезопасности не гарантирует полной видимости происходящего в корпоративной инфраструктуре. EDR, межсетевые экраны и другие инструменты защиты могут оставлять незамеченными отдельные этапы атаки, особенно если злоумышленники используют легитимные инструменты, зашифрованный трафик или устройства, на которых невозможно установить защитные агенты.
В статье от 8 октября 2026 года Softprom выделила пять причин, по которым традиционный стек безопасности может не справляться с современными угрозами, и рассмотрела возможности сетевого мониторинга NDR на примере решения Trellix.
Первая проблема: зависимость от защитных агентов. EDR-системы собирают телеметрию с конечных устройств, однако злоумышленники могут попытаться отключить агент или удалить журналы событий, чтобы скрыть следы своей активности. Кроме того, агенты не всегда доступны для установки на IoT-устройствах, промышленном оборудовании и других элементах инфраструктуры. Сетевой мониторинг позволяет выявлять подозрительную активность и за пределами устройств, охваченных EDR.
Вторая проблема: сложные цепочки действий и теневой ИИ. Использование ИИ-инструментов и протокола Model Context Protocol (MCP) создаёт новые риски, если соответствующие сервисы развёрнуты без надлежащего контроля доступа. Злоумышленники могут комбинировать внешне легитимные действия, формируя цепочки, которые трудно обнаружить средствами, ориентированными преимущественно на сигнатуры известных угроз. NDR помогает анализировать сетевые взаимодействия и выявлять подозрительные коммуникации, в том числе связанные с инфраструктурой управления и контроля (C2).
Третья проблема: зашифрованный трафик. HTTPS и TLS защищают данные при передаче, но одновременно усложняют обнаружение вредоносной активности. Полная расшифровка трафика может создавать дополнительные нагрузку на инфраструктуру и вопросы конфиденциальности. По данным Softprom, Trellix NDR использует методы JA3 и JARM для анализа характеристик TLS-соединений и выявления подозрительных коммуникаций без обязательной расшифровки содержимого.
Четвёртая проблема: недостаточный контроль внутренней сети. Межсетевые экраны преимущественно контролируют обмен данными между внутренней инфраструктурой и внешними сетями. Однако после первоначального проникновения злоумышленник может перемещаться между внутренними системами, используя так называемый трафик «Восток — Запад». Мониторинг таких соединений помогает обнаруживать боковое перемещение и ограничивать распространение атаки.
Пятая проблема: перегрузка специалистов по безопасности. Большое количество оповещений затрудняет выявление действительно опасных событий и увеличивает время расследования. В статье отмечается, что интеграция генеративного ИИ, в частности Trellix Wise, помогает преобразовывать технические данные в контекстную информацию и автоматизировать отдельные этапы работы SOC-команд.
В качестве одного из способов сокращения этих пробелов Softprom рассматривает Network Detection and Response (NDR) — класс решений, анализирующих сетевой трафик для обнаружения подозрительных действий и аномалий. Такой подход дополняет EDR и межсетевые экраны, расширяя видимость происходящего в инфраструктуре.
Для организаций это означает, что при оценке защищённости важно учитывать не только наличие отдельных средств защиты, но и то, насколько полно они охватывают устройства, сетевые соединения и этапы потенциальной атаки. Сочетание мониторинга конечных устройств, периметра и внутреннего сетевого трафика помогает обнаруживать угрозы, которые могут оставаться незамеченными при использовании изолированных инструментов.
Для консультации:
📞 +7 (708) 978-54-14
✉️ info@syssoft-group.kz