Опубликован обзор востребованных решений класса «сетевая песочница»
Специалисты системного интегратора «Примари», накопившие 18 лет практики в области кибербезопасности, делятся итогами анализа российских «сетевых песочниц». Подобные инструменты приобрели ключевое значение для противодействия целевым кибератакам, которые из редких инцидентов превратились в постоянную опасность. «Сетевая песочница» помогает обнаруживать сложные образцы вредоносного кода, в том числе угрозы нулевого дня, за счёт изучения их активности в изолированном окружении. О выводах сравнительного тестирования российских продуктов и основных принципах их подбора рассказывает Александр Воронин, технический директор «Примари».
О значимости «сетевых песочниц» для отражения сложных угроз впервые сообщил Gartner ещё в 2016 году. С того момента минуло почти десятилетие, и сегодня можно утверждать, что «сетевая песочница» стала обязательным компонентом защитной инфраструктуры любой компании.
Наши инженеры имеют серьёзную техническую подготовку и опыт практического развёртывания решений типа Sandbox. В нашем распоряжении — собственные демонстрационные стенды и лаборатория, где мы постоянно выполняем пробные испытания, показываем сценарии атак и проверяем совместимость систем. Это даёт нам возможность непредвзято оценивать функционал различных платформ и выбирать для клиентов наиболее подходящие варианты, соответствующие их конкретным целям и IT-ландшафту.
Команда инженеров «Примари» выполнила независимое изучение и сопоставление отечественных «сетевых песочниц». В этом материале мы изложим итоги исследования, сравним наиболее распространённые российские решения данного класса, а также обозначим параметры, которые следует учитывать при их выборе.
Результаты проведённой работы легли в основу объективных оценочных критериев для песочниц и практических советов организациям, которые хотят усилить свою киберзащищённость.
Итог: Все анализируемые «сетевые песочницы» совместимы исключительно с серверами на базе процессоров Intel. Решение от «Лаборатории Касперского» отличается самой широкой поддержкой платформ виртуализации, включая три отечественные, тогда как F6 не позволяет выполнять анализ в виртуальном окружении.
Итог: РТ демонстрирует более гибкую модель в части распределения прав доступа к системе. Kaspersky предлагает использовать встроенные системные роли, а также обеспечивает централизованное управление и настройку нескольких продуктов (Sandbox, EDR, NDR) из единой консоли, в то время как у РТ и F6 для каждого решения предусмотрен отдельный интерфейс администрирования.
Итог: РТ поставляет предустановленные образы Windows Server (Kaspersky и F6 этого не делают, объясняя это дополнительной нагрузкой на систему без существенного повышения эффективности обнаружения вредоносного кода). F6 анализирует APK-файлы с помощью виртуальной машины, в отличие от РТ и Kaspersky. Для проверки APK-файлов Kaspersky применяет технологию Cloud ML. Все три решения позволяют загружать пользовательские образы операционных систем. Kaspersky предоставляет встроенные средства для настройки количества одновременно работающих виртуальных машин, тогда как в PT и F6 изменение подобных параметров требует обращения в службу поддержки.
Итог: Все три продукта используют широкий спектр технологий для противодействия уклонению от обнаружения вредоносного ПО в песочнице. РТ не применяет компьютерное зрение для распознавания изображений и эмуляции действий пользователя. РТ и F6 не участвуют в публичных независимых тестированиях, проводимых сторонними лабораториями, в то время как отчеты об испытаниях решений Kaspersky доступны на официальном сайте вендора.
Итог: Kaspersky использует собственный антивирусный движок, РТ задействует несколько движков (включая недавно приобретенную белорусскую компанию «Вирусблокада»). F6 не применяет антивирусную проверку в рамках песочницы. Kaspersky и PT предоставляют функционал для открытия защищенных паролем архивов путем ввода кода на внутреннем портале (у F6 такой возможности нет). География работы Kaspersky существенно шире, чем у РТ и F6. Наличие глобальной репутационной базы Kaspersky Security Network (KSN) и доступ к ней значительно повышают точность детектирования и снижают количество ложных срабатываний. РТ и F6 не обладают возможностью сбора и обработки данных об угрозах в мировом масштабе, что сказывается на качестве обнаружения и скорости получения информации о новых киберугрозах.
Итог: среди отличительных особенностей РТ — автоматическая загрузка файлов на анализ из общей сетевой папки (в решениях Kaspersky и F6 аналогичная функциональность достигается с помощью скриптов). Kaspersky позволяет отправлять объекты на проверку прямо с рабочей станции через KES как автоматически, так и вручную (что делает этот сценарий особенно удобным — наряду с анализом трафика из почты или сети). Поддержку работы с исключениями предлагают Kaspersky и F6, тогда как РТ не обеспечивает гибкого управления исключениями в сценариях автоматической отправки.
Итог: Kaspersky и F6 обеспечивают интеграцию своих песочниц с системами мониторинга конечных точек (у РТ такой возможности не предусмотрено). Kaspersky лидирует по числу уникальных интеграций, поддерживаемых песочницей (SD-Wan, KES, портал TI, двусторонняя интеграция с KSMG), а также предлагает интеграцию с ГосCОПКА.
Итог: все рассматриваемые решения предоставляют необходимый набор отчётов для специалиста по безопасности. Отличительной чертой РТ и F6 является возможность записи видео процесса детонации объекта, в то время как Kaspersky предоставляет снимки экрана на этапе детонации (РТ и F6 скриншотов не формируют).
Итог: регуляторные требования существенно влияют на выбор решения. Песочница от Kaspersky имеет сертификаты ФСТЭК и ФСБ, у F6 действующих сертификатов нет, у РТ — только сертификат ФСТЭК. Все три решения входят в реестр отечественного ПО, к сфере искусственного интеллекта относятся продукты Kaspersky и PT, F6 — не относится.
Результаты проведённого исследования были использованы для формирования объективных критериев выбора песочниц и практических рекомендаций организациям, нацеленным на усиление своей киберзащиты.
В итоге можно отметить, что внедрение решений класса Sandbox представляет собой важный компонент комплексной стратегии кибербезопасности, способствующий защите конфиденциальных данных и обеспечению устойчивой работы корпоративной инфраструктуры.
При выборе Sandbox следует ориентироваться на цели вашей организации и учитывать особенности её ИТ-ландшафта.
«Примари» — системный интегратор в области информационной безопасности. Мы работаем с 2007 года, обладаем лицензиями ФСТЭК/ФСБ и обеспечиваем защиту более 600 000 рабочих мест в различных отраслях российской экономики.
Мы готовы реализовать проект любой сложности и обеспечить его полное сопровождение благодаря нашим ключевым компетенциям:
- Глубокая техническая экспертиза и опыт практических внедрений
- Собственный демонстрационный фонд оборудования и лаборатория
- Стенды для демонстраций и моделирования сценариев атак
- Постоянное обучение и сертификация специалистов
- Проведение пилотных испытаний
- Собственный портал технической поддержки
Все наши предложения основаны на реальном опыте и направлены на укрепление безопасности ИТ-среды клиентов благодаря применению передовых, проверенных и высокоэффективных технологических решений.
■ Рекламаerid:2W5zFJ4r8oaРекламодатель: ООО «ИТ Дистрибуция»ИНН/ОГРН: 7453176929/1077453006070Сайт: www.primari.ru
