PT NAD
Пассивный анализ трафика с PCAP и внешним реагированием. Проверка файлов через ICAP, Central Console и действия EDR/NGFW имеют собственные зависимости.
Обзор класса / Защита сети
Российские IDS/IPS: обнаружение и предотвращение вторжений
Разберитесь в схемах защиты сети, отличиях IDS, IPS и NGFW. Затем выберите кандидатов и перейдите к сравнению функций.
Документальный срез — 4 октября 2026
Уточнение 6 октября: производитель отнёс руководства Ребус-СОВ к версии 1.4.1.5. Версия 2.0 пока проходит испытания; сообщение о ней не подтверждает продление сертификата №4394.
IDS, IPS и NGFW: какую задачу решает каждый
IDS анализирует события или копию сетевого трафика и помогает обнаружить атаку. Для остановки атаки может понадобиться действие аналитика или внешнего средства. IPS добавляет предотвращение: важно проверить, блокирует ли он пакеты в разрыв сети, сбрасывает соединение или передаёт команду другому устройству.
NGFW может включать IPS, но наличие модуля на периметре не означает видимость обмена между всеми внутренними сегментами. Сетевой IDS, анализ поведения NDR и корреляция событий SIEM дополняют друг друга; при выборе выпишите именно нужные данные и действия.
Решения этого класса
Плитки ведут к сравнению возможностей. Порядок и размер не означают рейтинг.
Российские решения IDS/IPS
ViPNet IDS NS
Проверен сетевой IDS NS. Есть правила, аномалии, фрагменты PCAP и управление через IDS MC. Эти сведения не описывают отдельный хостовый IDS HS.
Ideco UTM ФСТЭК
IPS — модуль сертифицированного UTM. Для выбранной ветки проверены примечания ФСТЭК 17.x; возможности коммерческого Novum на неё не перенесены.
Континент 4 — СОВ/IPS
Комплект Континент 4 — СОВ/IPS 4 найден, но его загрузка недоступна из текущего подключения. Документацию Континент-СОА и Континент NGFW не используем вместо него.
С-Терра СОВ
Распределённая схема сенсоров и управления, собственные правила, запись PCAP и виртуальное исполнение 4.3. Для некоторых интеграций нужна отдельная инструкция.
СОВ «Кречет»
Открытое описание производителя найдено. Для заполнения функций требуется техническое руководство с номером поставки; вопросы не означают отсутствие возможностей.
Рубикон
Производство «Рубикона» и «Рубикона-К» прекращено — ответ производителя от 24 сентября 2026 года. Строка сохранена для владельцев установленных систем; для новой закупки продукт не рассматривается. Nova — отдельный продукт. Функции сверены с техническим приложением от 2 октября; приватное вложение не опубликовано.
Ребус-СОВ
Совмещает сетевые сенсоры и агенты на узлах. Документация описывает сигнатуры, пороги сетевой статистики и внешние сценарии реагирования.
Mirada
Проверена техническая спецификация модели 900: SPAN/IPS, TLS-шлюз, API, ICAP и резервирование. Состав других моделей и версия ПО требуют отдельной сверки.
Как выбрать систему обнаружения вторжений
- Определите сегменты и источники трафика: SPAN, TAP, виртуальная сеть или шлюз в разрыв.
- Проверьте протоколы, шифрование, размеры файлов и возможность расследования по PCAP.
- Опишите реакцию: кто блокирует, через какой компонент и как отменяет действие.
- Сверьте обновления, закрытый контур, роли, журналы и интеграцию с SIEM.
- На одинаковом трафике измерьте обнаружение, ложные тревоги, потери и поведение при отказах.
Внедрение и настройка IDS/IPS
Начните с проверки видимости: попадает ли на сенсор весь нужный трафик, нет ли потерь зеркала и асимметричной маршрутизации. Затем настройте защищаемые сети, правила, исключения и отправку событий. До включения блокировки проверьте её влияние на рабочие приложения и план возврата.
Snort и Suricata встречаются как отдельные инструменты и как компоненты продуктов. Совместимость синтаксиса правил не гарантирует одинаковый набор функций, интерфейсов или условий поддержки. Для своей поставки проверяйте версию движка и разрешённый способ изменения правил.
Сертифицированные СОВ и требования ФСТЭК
Для закупки сверяйте в реестре точную поставку: наименование, версию, исполнение, срок действия и условия сертификата. Затем сопоставьте её с требованиями вашей системы и проектом защиты. Функциональная матрица не заменяет эту проверку.
Отдельно уточните, входят ли в сертифицированную конфигурацию виртуальное исполнение, центр управления, внешние интеграции и способ обновления. Функции коммерческой редакции нельзя автоматически переносить на сертифицированную.
Срез Госреестра СЗИ ФСТЭК получен 4 октября 2026 года. Ниже — сроки найденных записей, а не подтверждение сертификации любой сборки или модели из матрицы.
- PT NAD — №4042, до 30.11.2028 (срок не истёк). Соответствует требованиям документов: Требования доверия(4), Требования к СОВ, Профили защиты СОВ(cети четвертого класса защиты. ИТ.СОВ.С4.ПЗ)
- ViPNet IDS NS — №4329, до 24.11.2030 (срок не истёк). Соответствует требованиям документов: Требования доверия(4), Требования к СОВ, Профили защиты СОВ(cети четвертого класса защиты. ИТ.СОВ.С4.ПЗ), ЗБ
- Ideco UTM ФСТЭК — №4503, до 28.12.2026 (срок не истёк). Соответствует требованиям документов: Требования доверия(4), Требования к МЭ, Профиль защиты МЭ(А четвертого класса защиты. ИТ.МЭ.А4.ПЗ), Профиль защиты МЭ(Б четвертого класса защиты. ИТ.МЭ.Б4.ПЗ), Требования к СОВ, Профили защиты СОВ(cети четвертого класса защиты. ИТ.СОВ.С4.ПЗ)
- Континент 4 — СОВ/IPS — №4268, до 26.06.2025 (срок истёк). Соответствует требованиям документов: Требования доверия(3), Требования к СОВ, Профили защиты СОВ(cети третьего класса защиты. ИТ.СОВ.С3.ПЗ)
- С-Терра СОВ — №4055, до 24.12.2028 (срок не истёк). Соответствует требованиям документов: Требования доверия(4), Требования к СОВ, Профили защиты СОВ(cети четвертого класса защиты. ИТ.СОВ.С4.ПЗ)
- СОВ «Кречет» — №4770, до 02.02.2029 (срок не истёк). Соответствует требованиям документов: Требования доверия(4), Требования к СОВ, Профили защиты СОВ(cети четвертого класса защиты. ИТ.СОВ.С4.ПЗ)
- Рубикон — №2574, до 17.02.2026 (срок истёк). Соответствует требованиям документов: Требования доверия(2), Требования к МЭ, Профиль защиты МЭ(А второго класса защиты. ИТ.МЭ.А2.ПЗ), Требования к СОВ, Профили защиты СОВ(cети второго класса защиты. ИТ.СОВ.С2.ПЗ)
- Ребус-СОВ — №4394, до 27.04.2026 (срок истёк). Соответствует требованиям документов: Требования доверия(2), Требования к СОВ, Профили защиты СОВ(cети второго класса защиты. ИТ.СОВ.С2.ПЗ), Профили защиты СОВ(узла второго класса защиты. ИТ.СОВ.У2.ПЗ)
- Mirada — №4389, до 15.04.2031 (срок не истёк). Соответствует требованиям документов: Требования доверия(4), Требования к МЭ, Профиль защиты МЭ(А четвертого класса защиты. ИТ.МЭ.А4.ПЗ), Профиль защиты МЭ(Б четвертого класса защиты. ИТ.МЭ.Б4.ПЗ), Профиль защиты МЭ(Д четвертого класса защиты. ИТ.МЭ.Д4.ПЗ), Требования к СОВ, Профили защиты СОВ(cети четвертого класса защиты. ИТ.СОВ.С4.ПЗ)
Для PT NAD 13.0, ViPNet IDS NS 3.10.0 и модели Mirada 900 отдельно запросите документ, связывающий выбранную поставку с сертификатом. Истёкший срок сертификата сам по себе не означает прекращение поддержки; статус производства «Рубикона» подтверждён отдельным письмом вендора.
Российские аналоги Cisco Firepower NGIPS, Snort и TippingPoint
При замене начните с действующих сценариев, а не с названия продукта. Проверьте перенос собственных правил и исключений, обработку TLS, журналирование, привычные интеграции и схему резервирования. Бесплатный движок, отдельный сенсор и IPS внутри NGFW могут требовать разного объёма сопровождения.
Частые вопросы
Что такое IDS и IPS?
IDS обнаруживает подозрительную активность и сообщает о ней. IPS дополнительно применяет действия для предотвращения атаки. Для выбора важны схема включения, проверяемые данные и то, где именно происходит блокировка.
Чем IDS/IPS отличается от межсетевого экрана и NGFW?
Межсетевой экран управляет разрешёнными соединениями. IDS/IPS анализирует признаки атак; NGFW может включать IPS как один из модулей. Отдельный сенсор на зеркале и модуль внутри шлюза решают задачу по-разному: нужно сверять покрытие сегментов, задержку и зависимости.
Чем IDS/IPS отличается от SIEM и NDR?
SIEM собирает и связывает события из разных источников, в том числе IDS. NDR ориентирован на анализ сетевой активности, расследование и реакцию. Границы продуктов пересекаются, поэтому названия класса недостаточно: сравнивайте входные данные и конкретные действия.
Какие российские IDS/IPS включены в обзор?
PT NAD, ViPNet IDS NS, Ideco UTM ФСТЭК, Континент 4 — СОВ/IPS, С-Терра СОВ, Кречет, Рубикон, Ребус-СОВ и Mirada. Это девять строк текущего исследования, а не исчерпывающий перечень рынка.
Могут ли российские решения заменить Cisco Firepower NGIPS, Snort или Trend Micro TippingPoint?
Рассматривать их как кандидатов можно после инвентаризации используемых функций. Отдельно сопоставьте формат собственных правил, SPAN или inline, TLS, действия при отказе, интеграции и обслуживание. Совпадение класса не означает полной взаимозаменяемости.
Как проверить сертификацию СОВ ФСТЭК?
Проверяйте актуальную запись реестра, точное наименование и версию, класс защиты, исполнение и условия применения. Ссылка на сертификат другого продукта или общий логотип производителя не подтверждает выбранную поставку.