AVSOFT LOKI
Ловушки для корпоративной и промышленной сети; область применения документа уточняется.
Руководство пользователя v5.0 от 24.05.2023 и текущая страница продукта. Это версия документа; актуальная сборка продукта не установлена.
ЛОВУШКИ И ОБМАННЫЕ ТЕХНОЛОГИИ
Ловушки и обманные технологии (Deception) в России: платформы для обмана хакеров
Что такое киберловушки и приманки, чем платформа отличается от honeypot и как выбрать решение для своей сети.
Источники проверены 2 октября 2026 · без стендовых испытаний
Решения этого класса
4 рассмотренные платформы · по названию. Размер плитки не означает место в рейтинге.
Как работают киберловушки
Deception в информационной безопасности — подход с использованием ложных сервисов, устройств, файлов и учётных данных. Их размещают так, чтобы обнаружить интерес к объектам, которые не нужны для обычной работы. События поступают аналитику или в систему мониторинга.
Приманка может вести к ловушке: например, ложная запись о сервере — к имитируемому сервису. Файловая приманка-канарейка может сообщать об обращении самостоятельно. Возможность размещения файла не подтверждает наличие такого механизма срабатывания.
Технология помогает замечать разведку и перемещение внутри сети, но охват зависит от размещения и маршрутов атакующего. Она не гарантирует обнаружение любой атаки и не заменяет контроль доступа, обновления и реагирование.
Deception и honeypot: в чём разница
| Понятие | Назначение | Что проверить |
|---|---|---|
| Honeypot | Ложный сервис или система | Уровень взаимодействия, журналирование, изоляция и сопровождение. |
| Приманка / lure | Ложный артефакт на реальном узле | Где хранится, как привлекает внимание и к какому событию приводит. |
| Приманка-канарейка | Файл или другой объект с механизмом оповещения | Условия срабатывания, необходимые сетевые зависимости и ограничения форматов. |
| Deception / DDP | Управление распределённым ложным слоем | Размещение, обновление и удаление приманок, обработка событий и интеграции. |
Сравнивать стоит состав и эксплуатацию. Отдельный honeypot тоже может иметь автоматизацию и интеграции. Платформа обычно предлагает общий процесс управления несколькими типами ложных объектов. Объяснение подхода у производителя ↗
Российские платформы и область проверки
R-Vision TDP
Управление распределёнными ловушками и приманками; подтверждена настройка передачи событий в SIEM.
Текущая страница и руководство интеграции с R-Vision SIEM; номер сборки TDP в этих материалах не установлен.
Xello Deception
Модульная платформа: ловушки, приманки и терминальные сценарии.
Буклет по ссылке 13.11.2025 и инструкция интеграции SIEM; точная сборка и лицензируемые модули требуют уточнения.
Гарда Deception
Ложный сетевой слой и приманки; в анонсе описаны MECM и мониторинг компонентов.
Страница продукта и анонс обновления от 09.04.2026. Номер релиза в анонсе не указан; функции не перенесены автоматически на старую 2.1.
Как выбрать Deception для своей сети
- Опишите сценарий. Разведка сервисов, использование ложных учётных данных, обращение к файлу или движение через терминальную среду.
- Определите размещение. Сегменты, адреса, виртуализация, ОС узлов и доступные способы доставки приманок.
- Согласуйте права. Для AD, WinRM, WMI, SSH и других механизмов выясните минимальные полномочия и правила хранения секретов.
- Назначьте обработку события. Кто получает сигнал, проверяет контекст и принимает решение о реагировании.
- Проверьте обслуживание. Обновление ложных данных, состояние сенсоров, удаление приманок и восстановление после потери связи.
Внедрение: от тестового сегмента до SOC
Сначала выберите ограниченный тестовый сегмент и согласуйте ложные адреса, имена и учётные записи. Зафиксируйте, какие системы законно сканируют сеть. Проверьте сетевую изоляцию ловушек и доставку событий до рабочего места аналитика.
Для агентского и безагентского способов сравнивайте не только установку, но и необходимые права, доступность узлов и удаление артефактов. Размещённая приманка без проверки её состояния может перестать выполнять свою задачу.
После теста расширяйте покрытие по подтверждённым сценариям. Оценивайте время до уведомления, полноту контекста, легитимные обращения и трудозатраты на обслуживание. Число ловушек само по себе не показывает защищённость.
Deception для АСУ ТП и изолированных сегментов
Для промышленной сети уточняйте конкретные протоколы, типы имитируемых устройств и способ обнаружения активов. Название «АСУ ТП» в буклете не подтверждает совместимость с каждым контроллером или допустимость активного сканирования.
План размещения согласуют с владельцем технологического процесса. Проверьте сегментацию, исходящие соединения, путь передачи события в SOC и обслуживание без внешнего доступа. Возможности корпоративной поставки нельзя автоматически переносить в промышленный сегмент.
Стоимость и состав лицензии
Для сопоставимых предложений укажите сегменты, число ложных сервисов и реальных узлов с приманками, серверы управления, интеграции и срок хранения событий. Отдельно уточните модули для AD, RDS, API, форензики, резервирования и поддержку.
В цену внедрения входят подготовка инфраструктуры, настройка прав, подключение мониторинга и обучение аналитиков. Сравнивайте одинаковый сценарий; публичная цена без состава поставки мало говорит об итоговой стоимости.
Реестр ПО и сертификаты ФСТЭК
В выгрузке ФСТЭК, полученной 1 октября 2026 года, найдены записи №4797 для Гарда Deception (срок до 08.04.2029), №4900 для R-Vision TDP (до 09.01.2030), №4960 для Xello Deception (до 25.07.2030). Эти даты не заменяют проверку статуса, состава и версии конкретного экземпляра. Официальный реестр ФСТЭК ↗
Актуальная запись для AVSOFT LOKI в этом проходе не подтверждена; это не утверждение об отсутствии сертификата. Реестр российского ПО проверяют отдельно по правообладателю и продукту. Реестр российского ПО ↗ · Как проверить сертификат →
Для КИИ и других регулируемых систем сопоставьте требуемые меры с архитектурой и областью действия документов. Само название Deception не подтверждает выполнение всех требований.
Российский аналог зарубежной Deception-платформы
При замене Attivo, TrapX или Illusive составьте перечень реально используемых модулей и сценариев. Сопоставьте типы ловушек, работу с учётными данными, терминальными сессиями, интеграциями и материалами расследования.
Проверьте перенос конфигураций и историю событий, очистку старых приманок и параллельную работу на тестовом сегменте. Название класса не подтверждает замену один в один; универсальные пары «этот продукт заменяет тот» здесь не назначаются.
Вопросы о Deception и honeypot
Что такое Deception в информационной безопасности?
Deception — применение ложных объектов и данных для обнаружения действий атакующего. Платформа размещает ловушки и приманки, собирает события взаимодействия с ними и помогает передать инцидент на разбор. Она дополняет другие средства защиты.
Чем honeypot отличается от Deception-платформы?
Honeypot — ложный сервис или система, с которой может взаимодействовать атакующий. Deception-платформа объединяет такие ловушки с приманками, управлением размещением и обработкой событий. Автоматизация и интеграции бывают и у отдельных honeypot: сравнивайте реализацию, а не только название.
Какие российские решения рассматриваются?
В этом сравнении представлены AVSOFT LOKI, R-Vision TDP, Xello Deception и Гарда Deception. Это четыре рассмотренные платформы, а не утверждение о полном составе рынка. Возможности модулей и версий проверяются отдельно.
Чем Deception отличается от NDR и SIEM?
Deception добавляет ложные объекты для обнаружения взаимодействия с ними. NDR анализирует сетевую активность, SIEM собирает и сопоставляет события из разных источников. Эти механизмы могут работать вместе; некоторые Deception-продукты также собирают трафик.
Бывают ли ложные срабатывания у киберловушек?
Да. К ловушке может обратиться легитимный сканер, система инвентаризации или сотрудник. Событие нужно проверить с учётом источника и контекста. Контрольные проверки помогают настроить исключения, не скрывая значимые действия.