F6 Network Traffic Analysis
Анализ сетевого трафика в составе экосистемы F6. Сценарии с песочницей и ICAP рассматриваются с зависимостями.
Сравнить возможности →АНАЛИЗ СЕТЕВОГО ТРАФИКА
NDR и NTA: анализ сетевого трафика
Разберитесь, какие задачи решает сетевой анализ, где размещать сенсоры и как составить список решений для проверки.
Документы проверены 2 октября 2026 · открытые вопросы отмечены в сравнении
Уточнение 8 октября: получены и рассмотрены новые руководства NTA eSensor. Их применимость к доступной сборке уточняется; выпуск нового релиза пока не подтверждён. Оценки MVP по руководствам 2025 года сохранены. Сертификация ФСТЭК, по ответу разработчика, планируется на 2027 год и пока не получена.
Решения этого класса
7 рассмотренных решений · по названию. Размер плитки не означает место в рейтинге.
Для чего нужен анализ сетевого трафика
Сетевой анализ помогает искать подозрительные соединения, перемещения между узлами и аномалии обмена. Для расследования нужны сохранённые данные: метаданные, файлы или полные пакеты. Состав и глубина этих данных различаются.
До выбора продукта определите, какой трафик сможете подать на сенсор и какие действия команда должна выполнить после обнаружения угрозы.
Как данные попадают в систему
- Определите сегменты и точки наблюдения: интернет-канал, DMZ, серверы и внутренние взаимодействия.
- Проверьте доступные способы съёма: копия пакетов, зеркалирование или потоковая телеметрия. Поддержка зависит от продукта.
- Рассчитайте поток данных, пиковую нагрузку и требуемую глубину хранения.
- Подключите передачу событий и согласованные действия по реагированию.
SPAN/TAP передают копию пакетов; flow описывает потоки и не заменяет полное содержимое. Экспорт статистики из сенсора не равен приёму NetFlow от маршрутизатора.
NDR, SIEM, EDR и IDS
Эти классы пересекаются, но отвечают на разные вопросы. Сетевой анализ показывает взаимодействия, EDR — действия на конечном устройстве, SIEM — события из нескольких источников. IDS делает акцент на обнаружении вторжений; отдельные продукты добавляют поведенческие модели и инструменты расследования.
Поэтому ViPNet IDS NS рассматривается здесь по сетевым сценариям, без предположения, что название класса определяет качество.
Российские решения для сетевого анализа
Kaspersky Anti Targeted Attack Platform
Платформа с функциями сетевого обнаружения и реагирования. Для выбора фиксируйте лицензию и подключённые компоненты.
Сравнить возможности →NTA eSensor
Сенсоры и сервер управления для обнаружения атак и расследования по сетевому трафику.
Сравнить возможности →PT NAD
Сетевой анализ с сохранением трафика и реагированием через MaxPatrol EDR либо динамические списки NGFW. Зависимости и лицензии указаны в сравнении.
Сравнить возможности →UDV NTA
Сенсор и сервер управления. AI-помощник предлагается отдельно; его возможности не приписываются базовой лицензии.
Сравнить возможности →ViPNet IDS NS
Сетевая система обнаружения вторжений. Рассматривается по фактическим сценариям; принадлежность к соседнему классу не является оценкой качества.
Сравнить возможности →Гарда NDR
Анализ сетевого трафика и телеметрии. Базовая и расширенная лицензии требуют отдельной проверки состава.
Сравнить возможности →Российские альтернативы Darktrace, Vectra AI и ExtraHop
Сравнивайте не только названия классов: выпишите используемые источники данных, правила, способы поиска и действия по реагированию. Затем проверьте перенос каждого сценария на выбранное российское решение. Список продуктов на этой странице — кандидаты для проверки, а не подтверждение полной взаимозаменяемости.
Как выбрать систему и проверить аналоги
Составьте список обязательных сценариев и объёмов: какие протоколы нужны, сколько дней хранить пакеты, что искать в истории и через какое средство выполнять блокировку. Отдельно проверьте автономную работу, обновления и доступ к чувствительному трафику.
Производительность сравнивают при одинаковом профиле трафика и включённых функциях. Название модели и число гигабит в буклете не заменяют испытание вашей нагрузки.
Для регулируемого контура сопоставьте точную версию и исполнение с действующими документами. Реестр российского ПО и сертификат соответствия отвечают на разные вопросы; сертификат старой версии нельзя автоматически переносить на новую.
Версии, сертификаты и КИИ
При проверке сертификата сверяют название продукта, исполнение, версию и состав модулей. Документы другого продукта той же группы компаний не заменяют подтверждение для выбранной поставки.
На странице Positive Technologies сертификаты перечислены для PT NAD 10.1 и 12.2; функциональность 13.0 в этой подборке проверена отдельно. Связь текущих поставок с сертифицированными исполнениями уточняется. Поиск по названию без результата не доказывает отсутствия сертификата.
Сертификаты Positive Technologies ↗ · Реестр сертифицированных СЗИ ФСТЭК ↗ · Требования и материалы по КИИ →
Вопросы о классе
Что такое NTA и NDR?
NTA — анализ сетевого трафика. NDR — обнаружение сетевых угроз и реагирование. На практике функции продуктов пересекаются: при выборе проверяют источники данных, методы обнаружения, инструменты расследования и конкретные действия по реагированию.
Чем NDR отличается от SIEM и EDR?
NDR анализирует сетевые взаимодействия. SIEM сопоставляет события из разных систем, а EDR работает с телеметрией конечных устройств. Они могут дополнять друг друга; состав и интеграции конкретных продуктов различаются.
Заменяет ли анализ TLS расшифрование?
Нет. Метаданные соединения могут помочь обнаружению, но не дают полного содержимого зашифрованного обмена. Для анализа содержимого может потребоваться отдельное средство расшифрования и согласованная схема передачи трафика.
Достаточно ли установить сенсор на интернет-канале?
Сенсор видит только поданный ему трафик. Для наблюдения за взаимодействиями внутри сети нужно определить точки съёма в нужных сегментах и проверить полноту копирования, потери и асимметрию маршрутов.
Как выбрать аналог PT NAD или другого NTA?
Начните с используемых сценариев: источники трафика, протоколы, правила, поиск, хранение пакетов и реагирование. Затем проверьте их в конкретной версии кандидата. Совпадение класса не гарантирует одинаковых интеграций и условий работы.