Российский рынок Network Detection and Response в 2026 году заметно изменился. PT Network Attack Discovery получил механизмы управляемого сдерживания атак, Kaspersky Anti Targeted Attack расширил сетевую аналитику и интеграции, «Гарда NDR» усилила поведенческое обнаружение, а F6 продолжила развивать анализ трафика в связке с киберразведкой. Появились и новые претенденты на корпоративные бюджеты. UDV NTA обзавёлся ИИ-ассистентом, NGR Softlab представила Alertix NDR, а у «Солара» есть собственный сетевой модуль Solar NTA, который часто упускают из сравнений.
Мой лидер для крупного корпоративного SOC пока PT Network Attack Discovery. Однако преимущество над Kaspersky NDR небольшое и во многом зависит от архитектуры заказчика. «Гарда NDR» представляет сильную альтернативу для распределённых сетей, а F6 Network Traffic Analysis интересен прежде всего как инструмент обнаружения сложных атак с опорой на Threat Intelligence. При этом я не стал бы называть все перечисленные системы равноценными NDR. Между глубоким анализом трафика и полноценным реагированием сохраняется существенная разница.
Главный вывод обзора заключается в том, что российские разработчики уже предлагают развитые инструменты сетного обнаружения, но зрелость реагирования, ретроспективного расследования и эксплуатации различается значительно сильнее, чем количество заявленных правил, протоколов и алгоритмов машинного обучения.
Все оценки, выводы и прогнозы выражают моё личное мнение на основе проверяемых характеристик продуктов и собственных объективных и субъективных оценок. Рейтинг относится к выбранному сценарию на дату публикации и не заменяет пилот. Если отдельно не указано иное, я не проводил собственных лабораторных испытаний перечисленных продуктов.
Что такое NDR и какие решения я сравниваю
Network Detection and Response, или NDR, представляет собой класс средств информационной безопасности, которые анализируют сетевые взаимодействия, выявляют признаки атак, помогают расследовать инциденты и позволяют инициировать действия по сдерживанию злоумышленника.
Типичный NDR получает копии сетевого трафика через SPAN, TAP или брокер пакетов. Некоторые продукты дополнительно обрабатывают NetFlow, IPFIX либо телеметрию конечных устройств. Полученные данные проходят разбор протоколов, проверку по правилам обнаружения, индикаторам компрометации и поведенческим моделям.
Результатом становятся не только оповещения, но и сведения о взаимодействиях между узлами, сетных сессиях, подозрительных последовательностях действий и артефактах, необходимых для расследования.
Важное различие между NDR и обычным анализатором трафика заключается в реагировании. Полноценная NDR-платформа должна позволять перейти от обнаруженного инцидента к конкретному действию, например заблокировать соединение на NGFW, изолировать рабочую станцию через EDR или инициировать утверждённый сценарий в SOAR.
Сам по себе REST API не означает полноценного реагирования. Возможность отправить событие в стороннюю систему отличается от готовой интеграции, которая проверяет полномочия аналитика, исполняет блокировку, подтверждает результат и позволяет отменить действие.
Границы сравнения
Я разделяю российские продукты на несколько категорий.
- NDR. Системы с глубоким сетевым обнаружением, расследованием и документированными механизмами реагирования.
- NTA/NDR. Платформы сетевой аналитики, которые способны участвовать в реагировании, но полнота сценариев зависит от дополнительных компонентов.
- NTA. Продукты для анализа трафика, обнаружения аномалий и расследований, у которых законченный цикл реагирования пока подтверждён недостаточно.
- IDS/IPS. Средства обнаружения или предотвращения вторжений, ориентированные на контроль сетевых атак. Наличие сигнатурного движка не делает IDS полноценной NDR.
- Промышленный сетевой мониторинг. Специализированные решения для АСУ ТП, технологических протоколов и оборудования, которое нельзя защищать обычными агентами.
- Управляемые сервисы NTA/MDR. Услуги, в которых сетную аналитику и расследования выполняет внешний SOC. Их нельзя напрямую сравнивать с программным продуктом, развёрнутым силами заказчика.
В основном рейтинге представлены четыре наиболее заметных решения общего корпоративного назначения. F6 NTA рассматриваю как пограничную NTA/NDR-платформу с ограниченным самостоятельным реагированием. В оценке учитываю доступность полного сценария при подключении предусмотренных производителем компонентов, а не только возможности базового сенсора.
UDV NTA, Solar NTA и другие самостоятельные аналитические продукты рассматриваю отдельно. Нишевые IDS, промышленные системы и управляемые сервисы не получают баллов общего рейтинга.
Корпоративный сценарий
Для сравнения я выбрал крупную российскую организацию с несколькими ЦОД, распределёнными филиалами, виртуализированной инфраструктурой, внутренними бизнес-приложениями, системой управления идентификацией и собственным SOC.
Организация уже использует SIEM, EDR и NGFW. Однако часть серверов, сетевого оборудования, специализированных устройств и промышленных систем невозможно защитить агентами. Требуется обнаруживать скрытые коммуникации, использование похищенных учётных записей, горизонтальное перемещение и подготовку к выводу данных.
Для такого заказчика особенно важны полнота сетевой видимости, качество расследования, поддержка распределённых сенсоров, безопасное реагирование и предсказуемые требования к вычислительным ресурсам.
Методика рейтинга
Оценки выставлены по пяти группам критериев. Частные баллы имеют вес от 10 до 30 процентов, итог рассчитан по десятибалльной шкале.
| Критерий | Вес | Что оцениваю |
|---|---|---|
| Обнаружение и сетевая видимость | 30% | DPI, сигнатуры, поведенческие модели, анализ внутренних атак, поддержка источников телеметрии |
| Расследование и ретроспектива | 25% | PCAP, метаданные, поиск, реконструкция сессий, связи между событиями, инструменты аналитика |
| Реагирование и интеграции | 20% | Готовые действия, взаимодействие с NGFW, EDR, SIEM и SOAR, контроль выполнения и откат |
| Архитектура и эксплуатация | 15% | Распределённый сбор, масштабирование, отказоустойчивость, требования к ресурсам, лицензирование |
| Зрелость и экосистема | 10% | История развития, доступность документации, подтверждённые внедрения, интеграции и сопровождение |
В таблицах также указана уверенность в оценке. Высокая уверенность означает хорошую документированность функций и истории развития. Средняя указывает на недостаток сведений о реальной эксплуатации, производительности или отдельных интеграциях. Даже высокая уверенность не означает, что продукт прошёл независимое сравнительное испытание всех актуальных версий.
Что происходит на российском рынке NDR в 2026 году
Спрос на сетевое обнаружение поддерживают два процесса. Российские организации продолжают заменять иностранные средства безопасности, одновременно сталкиваясь с атаками, которые трудно выявлять исключительно по журналам событий и телеметрии рабочих станций.
Злоумышленники используют действующие учётные записи, инструменты удалённого администрирования, разрешённые протоколы и обычные корпоративные сервисы. NGFW способен зарегистрировать разрешённое соединение, но не всегда определит, что такое соединение стало частью атаки. EDR может выявить подозрительный процесс, однако агент доступен далеко не на каждом устройстве.
NDR помогает сопоставить взаимодействия между узлами и увидеть последовательность действий, которую отдельные средства защиты не способны восстановить самостоятельно.
Главное изменение года связано с реагированием
Исторически российские NTA-платформы были особенно сильны в анализе трафика и поиске подозрительной активности. В 2026 году разработчики заметно расширили возможности сдерживания атак.
PT NAD 13.0 получил управляемое реагирование через интеграции с другими средствами защиты. KATA 8.0 расширил взаимодействие с межсетевыми экранами. «Гарда NDR» развивает механизмы блокировки через NGFW и NAC. F6 NTA также участвует в реагировании, но для ряда действий требует связанной защитной инфраструктуры.
При этом NDR-сенсор обычно работает пассивно. Блокировку выполняет межсетевой экран, коммутатор, агент конечного устройства или другой компонент. Поэтому архитектура реагирования важнее наличия кнопки «Изолировать» в интерфейсе.
Поведенческий анализ становится стандартом
Все четыре основных продукта используют сочетание традиционных правил обнаружения и методов поведенческого анализа. Разработчики развивают поиск аномальных DNS-запросов, редких коммуникаций, скрытых туннелей, горизонтального перемещения и подозрительной активности учётных записей.
Однако количество ML-моделей мало говорит об их эффективности. Для корпоративной сети гораздо важнее, сколько событий аналитик действительно должен проверить, насколько убедительно система объясняет подозрение и как быстро адаптируется к изменениям инфраструктуры.
Система, обнаружившая сто аномалий после планового переноса виртуальных машин, может создать больше работы, чем продукт с десятью точными сигналами. Поэтому снижение ложных срабатываний следует проверять на собственном трафике, а не по количеству заявленных алгоритмов.
Шифрование меняет возможности сетного мониторинга
TLS 1.3, QUIC, DNS-over-HTTPS и современные туннели сокращают объём информации, доступной пассивному анализу. NDR может исследовать адреса, характеристики соединений, последовательность пакетов, отдельные доступные поля протоколов и цифровые отпечатки, но обычно не видит содержимое защищённой сессии.
Технологии JA4 и поведенческие модели помогают распознавать некоторые виды подозрительной активности без расшифрования. Однако цифровой отпечаток не является уникальным доказательством компрометации. Легитимные приложения тоже могут иметь похожие характеристики.
На пилоте необходимо отдельно проверить обнаружение угроз в шифрованном трафике и анализ содержимого, полученного после расшифрования внешними средствами. Разные производители могут называть обе возможности одним выражением, хотя технически задачи существенно различаются.
Стоимость инфраструктуры ограничивает масштаб внедрений
Установка NDR не решает проблему сбора трафика. Организации необходимы точки зеркалирования, достаточная пропускная способность сети мониторинга, вычислительные ресурсы и хранилище. При высоких нагрузках могут потребоваться специализированные брокеры сетевых пакетов.
Для понимания масштаба достаточно простого расчёта. Непрерывный поток 1 Гбит/с передаёт около 10,8 ТБ данных за сутки без учёта дополнительных накладных расходов. При хранении полной копии трафика нескольких крупных сегментов речь быстро пойдёт о сотнях терабайт.
Поэтому метаданные, выборочная запись PCAP, архивное хранение и срок доступной ретроспективы становятся важными характеристиками продукта. Экономия дискового пространства может привести к тому, что через месяц после атаки SOC увидит факт подозрительного соединения, но не сможет восстановить переданные данные.
Рынок остаётся компактным, но конкуренция растёт
По числу зрелых самостоятельных платформ российский сегмент NDR значительно уже рынков NGFW или SIEM. Основную группу корпоративных решений формируют PT NAD, KATA NDR, «Гарда NDR» и F6 NTA.
Однако ограничивать весь рынок четырьмя названиями уже неправильно. Solar NTA, UDV NTA, NTA eSensor и новые решения Alertix расширяют выбор. Отдельное место занимают ViPNet IDS/TDR и специализированные промышленные системы.
Точного публичного объёма рынка именно NDR за 2026 год с прозрачной и единой методикой я не установил. Смешивать выручку разработчиков, продажи NTA, IDS, сетевых песочниц и управляемых SOC-сервисов было бы некорректно. Поэтому денежные оценки и доли участников не привожу.
Рейтинг российских NDR-систем 2026 года
Итоговая таблица отражает выбор для крупной корпоративной инфраструктуры с собственным SOC. Для F6 учитываю сценарий NTA/NDR с необходимыми дополнительными интеграциями, а не утверждаю, что базовый NTA обеспечивает весь набор реакций самостоятельно.
| Продукт | Итог | Сценарий | Преимущество | Ограничение | Потенциал | Уверенность |
|---|---|---|---|---|---|---|
| PT Network Attack Discovery | 9,0 | Крупный SOC, расследования, Threat Hunting | Глубокая сетевая аналитика и развитая ретроспектива | Ресурсоёмкость и зависимость реагирования от внешних компонентов | Высокий | Высокая |
| Kaspersky Anti Targeted Attack NDR | 8,8 | Объединение сетевой и агентской защиты | Связь трафика с процессами, пользователями и средствами реагирования | Сложность состава поставки, лицензий и миграции | Высокий | Высокая |
| Гарда NDR | 8,4 | Распределённая сеть и поведенческая аналитика | NetFlow, DPI, риск-скоринг и ML-кластеризация | Настройка моделей и зависимость части функций от редакции | Высокий | Средняя |
| F6 Network Traffic Analysis | 7,8 | Поиск целевых атак, Threat Intelligence, комплексный SOC | Исследовательская экспертиза и контекст киберразведки | Ограниченное самостоятельное реагирование и зависимость от связанных продуктов | Умеренный | Средняя |
PT NAD и KATA NDR находятся достаточно близко. Для организации с установленными продуктами Kaspersky я допускаю, что KATA окажется лучшим выбором. «Гарда NDR» особенно интересна в сетях, где значительную роль играет потоковая телеметрия, а F6 NTA заслуживает внимания прежде всего в сценариях обнаружения сложных атак и последующей корреляции с другими средствами защиты.
PT Network Attack Discovery. Лучший баланс обнаружения и расследования
Оценка 9,0 из 10. Потенциал высокий.
PT Network Attack Discovery, или PT NAD, разработан Positive Technologies для анализа сетевого трафика, обнаружения скрытых атак и расследования инцидентов. Продукт использует глубокий разбор протоколов, правила обнаружения, индикаторы компрометации, статистический и поведенческий анализ. Сенсоры получают копии сетных пакетов, а центральные компоненты обеспечивают обработку событий и работу аналитиков.
Основное преимущество PT NAD я вижу в расследовании. Система позволяет изучать сетные сессии, искать связи между событиями, работать с метаданными и возвращаться к сохранённому трафику. Подобная глубина полезна при поиске злоумышленника, который уже проник в инфраструктуру и использует легитимные протоколы. Возможность восстановить последовательность действий часто ценнее одиночного оповещения о подозрительном IP-адресе.
В 2026 году продукт получил существенное обновление. В PT NAD 13.0 добавлены механизмы облачного обнаружения, управляемого сдерживания и архивного хранения метаданных. Для долговременного архива предусмотрены S3-совместимые и сетевые файловые хранилища. Такой подход позволяет отделить оперативные данные от исторической информации и уменьшить зависимость глубины расследования от дорогого быстрого хранилища.
Но архив метаданных не заменяет архив полной копии трафика. Если расследованию понадобятся содержимое переданного файла или конкретная команда приложения, записи о сетевой сессии может оказаться недостаточно. Я рекомендую отдельно проверять сроки хранения PCAP, условия доступа к архивным данным и возможность повторно применить новые правила обнаружения к историческому трафику.
Механизмы реагирования в PT NAD 13.0 позволяют инициировать изоляцию скомпрометированного устройства и блокировку учётной записи через MaxPatrol EDR. Для управления сетевыми блокировками предусмотрено взаимодействие с межсетевыми экранами через внешние динамические списки. Реальная полнота реагирования зависит от поддерживаемого оборудования, настроенных интеграций и дополнительных лицензий. Пассивный сенсор PT NAD не следует воспринимать как самостоятельный межсетевой экран.
Развитие облачного обнаружения создаёт дополнительные возможности для обогащения событий сведениями о доменах, IP-адресах и подозрительной инфраструктуре. Одновременно появляется вопрос о передаче данных за пределы защищаемой сети. Для автономных и регулируемых инфраструктур нужно выяснить, какая информация покидает периметр, можно ли отключить облачные функции и как изменится обнаружение без внешнего подключения.
Практическую ценность продукта иллюстрирует внедрение в агрохолдинге «Дороничи». Во время пилота PT NAD обнаружил подозрительную сетевую активность, после чего специалисты выявили инфостилер в оборудовании, полученном от проверенного поставщика. В инфраструктуре холдинга PT NAD работает совместно с PT Sandbox. Случай интересен тем, что обычная проверка поставщика не гарантирует безопасность подключаемого оборудования. Однако один успешный пилот не доказывает универсальную эффективность всех механизмов обнаружения.
С точки зрения эксплуатации PT NAD остаётся серьёзной корпоративной системой. Потребуются ресурсы для сенсоров, хранилища и аналитических компонентов, грамотное размещение точек мониторинга и подготовленные сотрудники SOC. Лицензирование зависит от обрабатываемой нагрузки и состава поставки. Вопрос совместимости обновлений с используемой инфраструктурой необходимо проверять отдельно.
Для регулируемых заказчиков есть существенный нюанс. Сертификат ФСТЭК России №4042 действует до ноября 2028 года, но опубликованная сертифицированная версия PT NAD имеет номер 12.2.1429. Возможности коммерческой версии 13.0 нельзя автоматически считать функциями сертифицированного исполнения. Особенно внимательно следует проверять новые механизмы реагирования и облачного обнаружения.
Мой вывод. PT NAD считаю наиболее сбалансированным выбором для крупного SOC, который занимается сложными сетевыми расследованиями и Threat Hunting. Продукт особенно полезен там, где аналитики готовы работать с подробной сетевой телеметрией и строить собственные гипотезы об атаке.
Прогноз на 2027–2029 годы. Ожидаю сохранения PT NAD среди ведущих российских платформ. Позиции могут укрепиться благодаря развитию управляемого реагирования и более экономичной ретроспективы. Главный риск связан со сложностью эксплуатации и зависимостью ряда действий от соседних продуктов. Прогноз ухудшится, если новые возможности будут увеличивать нагрузку на инфраструктуру быстрее, чем улучшать работу аналитиков.
Kaspersky Anti Targeted Attack NDR. Сильная платформа для комплексной защиты
Оценка 8,8 из 10. Потенциал высокий.
Kaspersky Anti Targeted Attack представляет собой платформу защиты от сложных и целевых атак, в состав которой входит модуль Network Detection and Response. KATA объединяет анализ сетевого, веб- и почтового трафика, проверку подозрительных объектов, правила обнаружения, репутационную аналитику и механизмы реагирования.
Главное отличие KATA NDR заключается в возможности использовать не только зеркалированный трафик, но и телеметрию Kaspersky Endpoint Security. Система получает сведения о сетевых соединениях, связанных процессах и пользователях. В результате аналитик может сопоставить подозрительное соединение с конкретной активностью конечного устройства.
Подобная архитектура особенно полезна в филиалах, где нет доступа к зеркалированию портов. Агентская телеметрия помогает построить карту сетевых взаимодействий даже при отсутствии полноценного пакетного сенсора. Однако записи о соединениях не эквивалентны полной копии пакетов. Содержимое сетного обмена без соответствующего источника трафика восстановить нельзя, а неуправляемые устройства останутся вне агентского наблюдения.
В KATA 8.0, представленной в 2026 году, расширены средства обнаружения аномалий в DNS, HTTP и Kerberos. Добавлены дополнительные возможности контроля используемых облачных сервисов и ретроспективной проверки загружаемых PCAP-файлов. Для SOC особенно полезна возможность проверить сохранённую запись трафика с использованием актуальных механизмов анализа. При этом ручная загрузка PCAP не равнозначна непрерывной автоматической переоценке всего исторического сетевого архива.
Продукт поддерживает правила IDS, работу с YARA, анализ подозрительных файлов и интеграцию с песочницей. Связка сетевых данных, файловых вердиктов и агентской информации позволяет исследовать сложные атаки с разных сторон. Особенно интересен поиск действий злоумышленника, который использует штатные административные инструменты, но формирует нетипичную последовательность соединений.
В версии 8.0 расширены интеграции с межсетевыми экранами Check Point и UserGate. KATA также взаимодействует с продуктами защиты конечных точек и другими компонентами корпоративной экосистемы Kaspersky. Для инфраструктуры, где уже используются соответствующие средства, единый набор интеграций может оказаться важнее небольшого преимущества конкурента в сетном расследовании.
Недостаток платформенного подхода связан с архитектурными и лицензионными зависимостями. Модуль NDR, песочница, EDR и связанные компоненты имеют собственные условия использования. Заказчику необходимо выяснять, какие функции входят в конкретную поставку, какие действия требуют дополнительных лицензий и можно ли выполнить все нужные сценарии без приобретения других продуктов.
Миграция также требует внимания. В предыдущих поколениях KATA обновление отдельных компонентов зависело от версии, конфигурации высокой доступности и используемой операционной системы. Нельзя исходить из того, что переход на более новую платформу всегда ограничивается установкой обновления поверх действующей системы. Для крупного внедрения нужен отдельный план переноса конфигурации, правил и исторических данных.
Регуляторный статус KATA сильный. Для платформы действует сертификат ФСТЭК России №3854 со сроком до декабря 2030 года, предусмотрены также сертификаты ФСБ России для отдельных категорий защитных функций. Однако документы относятся к определённым версиям и исполнениям. Наличие сертификата у KATA не означает автоматического распространения его действия на все возможности версии 8.0 и каждую комбинацию модулей.
Мой вывод. KATA NDR особенно хорошо подходит организациям, которые уже используют Kaspersky Endpoint Security, Kaspersky EDR и другие связанные средства защиты. При таком наборе продуктов объединение сетевой и агентской телеметрии может дать больший практический эффект, чем выбор отдельной NDR-платформы исключительно по глубине DPI.
Прогноз на 2027–2029 годы. Ожидаю укрепления позиций KATA благодаря объединению сетевого обнаружения, конечных точек и централизованного реагирования. Потенциал высокий, а разрыв с PT NAD способен сократиться. Главный риск заключается в усложнении архитектуры и лицензирования. Я пересмотрю прогноз в сторону улучшения, если дальнейшее развитие платформы упростит миграцию и расширит автономные возможности NDR без обязательной покупки дополнительных компонентов.
Гарда NDR. Поведенческий анализ и работа с распределённой сетью
Оценка 8,4 из 10. Потенциал высокий.
«Гарда NDR», ранее известная под названием «Гарда Монитор», представляет собой российскую систему анализа трафика, обнаружения сетевых угроз и расследования инцидентов. Продукт сочетает DPI, сигнатурные правила, индикаторы компрометации, потоковую телеметрию и поведенческие модели машинного обучения.
Важнейшая особенность «Гарда NDR» заключается в поддержке NetFlow наряду с пакетным анализом. Потоковые данные позволяют расширять наблюдение за распределённой инфраструктурой без передачи полной копии всего трафика. Для филиальных сетей подобная архитектура может уменьшить требования к каналам связи и сенсорам. Однако NetFlow не содержит содержимого пакетов, поэтому для полноценного расследования некоторых инцидентов потребуется дополнительный источник данных.
В июне 2026 года разработчик добавил автоматический риск-скоринг и кластеризацию сетевых узлов на основе поведенческих характеристик. Система анализирует коммуникации устройств, выявляет отклонения и помогает приоритизировать наиболее подозрительные хосты. Подобный подход потенциально полезен при атаках, в которых злоумышленник использует легитимные программы и не создаёт очевидных сигнатурных событий.
В составе аналитических механизмов заявлены более 80 детекторов аномалий на основе ML, анализ TLS-отпечатков JA4 и выявление доменов, создаваемых алгоритмами DGA. Для проверки эффективности я бы сосредоточился не на количестве моделей, а на двух показателях. Сколько реальных инцидентов обнаруживается без предварительно известных IOC и сколько времени аналитики тратят на объяснение ложных аномалий.
Риск-скоринг также требует осторожности. Редкий сетевой обмен не всегда свидетельствует о компрометации. Резервное копирование, обновление корпоративного приложения или перенос виртуальной машины могут резко изменить поведение узла. Поэтому зрелость поведенческой аналитики определяется возможностью учитывать группы похожих устройств, исключения и бизнес-контекст.
«Гарда NDR» поддерживает интеграции с внешними средствами защиты, включая NGFW, NAC, SIEM и SOAR. В 2026 году была подтверждена совместимость с R-Vision SIEM и сервисом зеркалирования трафика K2 Cloud. Для крупных компаний подобные интеграции имеют практическую ценность, поскольку позволяют объединять контроль локальной и облачной инфраструктуры. Однако подтверждённая совместимость с одной платформой не означает автоматической поддержки всех российских облаков.
Отдельно следует учитывать состав лицензии. В расширенной редакции «Гарда NDR Extended» предусмотрены дополнительные возможности, связанные с Deception и Threat Intelligence. Некоторые функции мониторинга производительности сети предлагаются через отдельную функциональную лицензию. Поэтому возможности базовой NDR и расширенного комплекса нельзя считать одинаковыми.
Для регулируемых организаций действует сертификат ФСТЭК России №4613 со сроком до октября 2027 года. Опубликованное сертифицированное исполнение имеет версию 4.0-4. Новые функции 2026 года необходимо сверять с составом сертифицированной поставки, а не автоматически распространять на них сертификат предыдущего исполнения.
Открытых сведений о реальной точности риск-скоринга, скорости адаптации моделей и трудозатратах аналитиков пока меньше, чем хотелось бы. Недостаток сопоставимых данных не означает низкого качества продукта, но увеличивает значение пилотирования.
Мой вывод. «Гарда NDR» считаю особенно интересной для крупных распределённых инфраструктур и SOC, которые хотят объединять пакетный анализ с потоковой телеметрией. Перед покупкой обязательно проверил бы корректность поведенческого анализа на собственной сети и состав лицензируемых функций.
Прогноз на 2027–2029 годы. Потенциал высокий. Ожидаю усиления «Гарда NDR» за счёт развития поведенческих моделей, распределённого мониторинга и дополнительных интеграций. Главный риск связан с настройкой и сопровождением ML-механизмов. При подтверждённом снижении ложных срабатываний и упрощении расследований продукт способен приблизиться к лидерам рейтинга.
F6 Network Traffic Analysis. Сильное обнаружение, но реагирование зависит от архитектуры
Оценка 7,8 из 10 для интегрированного сценария NTA/NDR. Потенциал умеренный.
F6 Network Traffic Analysis разработан российской компанией F6 для обнаружения сложных сетевых атак, скрытых коммуникаций и подозрительных взаимодействий внутри корпоративной инфраструктуры. Продукт использует сигнатурный и поведенческий анализ, индикаторы компрометации и данные собственной киберразведки.
Основное преимущество F6 NTA я вижу в сочетании сетевых детектов с контекстом Threat Intelligence. Аналитик может исследовать взаимодействия с подозрительной инфраструктурой, искать признаки командных каналов, автоматически созданных доменов и горизонтального перемещения. Продукт обнаруживает подозрительное использование SSH, RDP, WinRM и других распространённых инструментов удалённого доступа.
Система формирует графы подозрительных сетевых взаимодействий и сохраняет сведения о соединениях. Поддерживается работа с извлечёнными из трафика объектами и передача файлов на проверку в F6 Malware Detonation Platform. Для отдельных сценариев предусмотрены проверки YARA. Дополнительные компоненты помогают повысить информативность событий, но требуют учёта лицензионных и архитектурных зависимостей.
Вопрос хранения полного трафика имеет значение для сравнения с лидерами. Документирована возможность сохранять и выгружать сетевые дампы, однако наличие таких функций не означает непрерывного хранения полной копии всего анализируемого трафика. Для F6 NTA необходимо отдельно выяснять, какие пакеты сохраняются, как выбираются сессии и доступен ли повторный анализ исторических данных новыми правилами.
В июне 2026 года была подтверждена интеграция F6 NTA с брокером сетевых пакетов DS Integrity EVO. Брокер позволяет агрегировать и распределять сетные потоки, выполнять фильтрацию и дедупликацию, а также снижать нагрузку на средства мониторинга. Для крупных сетей подобная интеграция полезна, но не доказывает конкретную производительность NTA при произвольной глубине анализа.
Наиболее существенное ограничение связано с реагированием. F6 NTA передаёт события в SIEM и SOAR через API и syslog, может участвовать в комплексных сценариях с EDR и другими средствами защиты. Также предусмотрена блокировка передачи файлов через ICAP-клиент по соответствующему вердикту. Однако блокировка подозрительного файла при проксировании трафика не равнозначна сетевой изоляции произвольного узла или закрытию всех его коммуникаций.
В полноценном комплексе F6 NTA способен выступать важным источником событий для XDR и реагирования. При покупке только базового продукта организация может получить прежде всего сильный NTA, а не полностью самостоятельную NDR-систему. Я бы обязательно проверял готовность конкретных сценариев блокировки, список поддерживаемых средств защиты и возможность отката действий.
Для F6 NTA подтверждено российское происхождение программного продукта и присутствие в реестре отечественного ПО. При этом действующий сертификат ФСТЭК именно для F6 NTA в рассматриваемом исполнении не подтверждён. Организациям с обязательными требованиями к сертифицированной СОВ следует учитывать такое ограничение ещё до начала пилота.
Мой вывод. F6 NTA особенно интересен организациям, которым нужны развитое обнаружение целевых атак, Threat Intelligence и интеграция с существующими средствами защиты. Для самостоятельной полноценной NDR-платформы продукт требует более тщательной проверки состава реагирования и ретроспективного расследования.
Прогноз на 2027–2029 годы. Ожидаю дальнейшего развития F6 NTA как части комплексной защиты и управляемого обнаружения угроз. Сильная сторона связана с исследовательской экспертизой, а главный риск заключается в зависимости полноты реагирования от дополнительных компонентов. Потенциал оцениваю как умеренный. Позиции могут улучшиться, если разработчик расширит автономные действия реагирования и возможности сетевой криминалистики.
Частные оценки и расчёт рейтинга
Следующая таблица показывает структуру итоговых баллов. Для F6 оценка реагирования учитывает возможности предусмотренной интегрированной конфигурации и остаётся ниже, чем у платформ с более широким документированным набором действий.
| Продукт | Обнаружение 30% | Расследование 25% | Реагирование 20% | Эксплуатация 15% | Зрелость 10% | Итог |
|---|---|---|---|---|---|---|
| PT NAD | 9,2 | 9,5 | 8,5 | 8,4 | 9,2 | 9,0 |
| KATA NDR | 9,0 | 8,7 | 9,0 | 8,2 | 9,0 | 8,8 |
| Гарда NDR | 8,8 | 8,4 | 8,3 | 8,2 | 7,8 | 8,4 |
| F6 NTA | 8,7 | 7,7 | 6,5 | 7,9 | 8,0 | 7,8 |
Самый заметный разрыв проходит не по сигнатурному обнаружению, а по глубине расследования и самостоятельности реагирования. Для отдельной организации разница может оказаться иной. Например, существующая инфраструктура Kaspersky меняет преимущества KATA, а готовая сеть сбора NetFlow повышает привлекательность «Гарда NDR».
UDV NTA, Solar NTA и Alertix. Альтернативы, которые заслуживают отдельного внимания
Российский рынок не ограничивается четырьмя участниками основного рейтинга. У нескольких разработчиков есть самостоятельные решения сетевой аналитики или комплексные платформы, которые пока трудно оценить по единой шкале с наиболее распространёнными NDR.
UDV NTA
UDV NTA разработан UDV Group для анализа сетевого трафика, обнаружения атак, поиска аномалий и расследования инцидентов. Архитектура использует распределённые сенсоры и централизованный управляющий компонент. Продукт ориентирован на корпоративные сети, включая инфраструктуры с нестандартными приложениями и специализированными устройствами.
В сентябре 2026 года вышла UDV NTA 2.0 с дополнительными механизмами анализа и генеративным ИИ-ассистентом. Ассистент помогает интерпретировать сетевые события с учётом внутреннего контекста организации. Предусмотрен вариант работы ИИ-компонента на собственном сервере заказчика, что особенно интересно для компаний с ограничениями на передачу данных во внешние сервисы.
Потенциальная польза ИИ заключается не в автоматическом объявлении любого отклонения атакой, а в сокращении ручного поиска связанных событий и объяснении причин подозрения. Утверждения об ускорении расследований и снижении информационного шума требуют воспроизводимой проверки на реальных инцидентах.
Для сравнения с ведущими NDR пока недостаточно открытых сведений о зрелых механизмах сетевой изоляции, гарантированном исполнении действий и поведении при отказах интеграций. Поэтому UDV NTA рассматриваю как перспективную NTA-платформу, но не присваиваю балл полного NDR.
Прогноз. Потенциал умеренный с возможностью роста. UDV NTA способен укрепиться среди корпоративных средств сетевого анализа, особенно если разработчик подтвердит реальное сокращение трудозатрат SOC и расширит документированные механизмы реагирования.
Solar NTA и программный комплекс Solar DaR
У группы «Солар» есть самостоятельный сетевой модуль Solar NTA, входящий в программный комплекс «Обнаружение и реагирование», также обозначаемый как Solar DaR. В состав комплекса входят средства сетевой аналитики и Solar EDR, объединённые центральным управлением. Модуль NTA может поставляться отдельно.
Solar NTA получает копии сетного трафика, сохраняет пакеты, обнаруживает аномалии, вредоносную активность и подозрительные домены, включая признаки DGA. Совместная работа с EDR создаёт предпосылки для объединения сетных и агентских событий при расследовании.
Программный комплекс зарегистрирован в реестре российского ПО под номером 24710. Однако реестровая запись не раскрывает автоматически зрелость всех NDR-сценариев. Для полноценного рейтинга не хватает сопоставимой публичной информации о версиях сетевого модуля, независимых внедрениях, актуальных механизмах реагирования и эксплуатационных ограничениях.
Отдельно существует сервис Solar JSOC NTA. В такой модели сенсоры размещаются в инфраструктуре клиента, а события круглосуточно анализируют специалисты внешнего SOC. Сервис доступен как дополнение к мониторингу и реагированию MDR. Смешивать управляемую услугу с самостоятельной программной поставкой неправильно.
Прогноз. Потенциал считаю недостаточно определённым. У «Солара» есть необходимая экспертиза SOC и собственные защитные компоненты, но для оценки самостоятельного Solar NTA важны сведения о развитии конкретного продукта, а не масштаб бизнеса всей группы.
Alertix NTA и Alertix NDR
20 октября 2026 года NGR Softlab представила два решения сетевой безопасности. Alertix NTA предназначен для глубокого анализа трафика, обнаружения угроз и передачи результатов другим средствам защиты. Alertix NDR дополняет сетные события контекстом из рабочих станций, серверов и приложений, инструментами расследования и механизмами реагирования.
Наиболее интересная особенность новой платформы связана с возможностью создавать собственные сетевые детекторы и разборщики нестандартных протоколов в специальной среде разработки. Для компаний со сложными корпоративными приложениями подобная гибкость может оказаться полезнее большого набора готовых сигнатур.
Разработчик заявляет распознавание более 260 протоколов, анализ на уровнях L2–L7 и производительность до 50 Гбит/с на одном сенсоре. Для Alertix NDR предусмотрены плейбуки, скрипты, блокировки и изоляция узлов через внешние средства защиты.
Заявленная производительность пока не имеет достаточного публичного подтверждения при сопоставимых условиях нагрузки. Неизвестно, какой набор декодеров и правил включён, сохраняется ли полная копия трафика, какова доля потерь пакетов и как система ведёт себя при пиковых нагрузках.
Alertix NDR пока слишком нов для честного рейтингового балла. Представление продукта подтверждает появление нового участника, но не заменяет историю промышленной эксплуатации, обновлений и устранения ошибок.
Прогноз. Данных для уверенной оценки недостаточно. Если производительность, глубина анализа и гибкость собственных детекторов подтвердятся на крупных пилотах, Alertix способен стать серьёзным конкурентом существующим NDR. В ближайший период продукт интересен прежде всего как кандидат для технического испытания.
Другие российские решения для сетевого обнаружения
Следующие продукты решают отдельные задачи NTA, IDS или промышленного мониторинга. Я не ставлю им числовые оценки общего NDR-рейтинга, поскольку назначение либо доступный объём подтверждений не позволяют корректно сравнить их с полноценными корпоративными NDR.
NTA eSensor от «Эшелон Технологии»
NTA eSensor предназначен для обнаружения сетных угроз, анализа соединений и расследования инцидентов. Продукт поддерживает правила обнаружения, поведенческие механизмы, работу с пакетными данными и передачу событий во внешние системы. В июле 2026 года решение получило реестровую запись российского ПО №34374.
Продукт заслуживает внимания как альтернатива для локального или распределённого сетевого мониторинга. Однако зрелость самостоятельного реагирования, текущая версия коммерческой поставки и независимый опыт крупных внедрений требуют дополнительной проверки. Подтверждённого действующего сертификата ФСТЭК для конкретного eSensor я не устанавливаю.
ViPNet IDS NS и ViPNet TDR от «ИнфоТеКС»
ViPNet IDS NS представляет собой сетевую систему обнаружения компьютерных атак, которая может работать совместно с ViPNet IDS MC и ViPNet TIAS. Комплекс предоставляет средства централизованного управления и анализа инцидентов. Продукты предназначены в том числе для регулируемой инфраструктуры.
В апреле 2026 года разработчик завершил контроль изменений сертифицированного комплекса ViPNet IDS 3. В актуальной линейке используется ViPNet IDS NS 3.10.0. Действуют сертификат ФСТЭК №4329 и сертификат ФСБ №СФ/СЗИ-0809 для предусмотренных составов и исполнений.
ViPNet IDS/TDR стоит рассматривать там, где первостепенны сертифицированное обнаружение компьютерных атак и нормативная применимость. При этом проверку глубины поведенческой аналитики, ретроспективного поиска и сетевого реагирования нужно проводить отдельно. Класс IDS/TDR не полностью совпадает с универсальным NDR.
«С-Терра СОВ»
«С-Терра СОВ» представляет собой российскую систему обнаружения сетевых вторжений, ориентированную на контроль атак и работу в распределённой инфраструктуре. Для продукта версии 4.3 действует сертификат ФСТЭК №4055 до декабря 2028 года.
Решение интересно заказчикам, которым нужна сертифицированная сетевая IDS. Сопоставимых сведений о полном NDR-цикле с расширенной поведенческой аналитикой и расследованием недостаточно, поэтому в общий рейтинг продукт не включаю.
«Кречет» от НПП «Гамма»
«Кречет» предназначен для обнаружения компьютерных атак по сетевому трафику. Система имеет сертификат ФСТЭК №4770, действующий до февраля 2029 года.
Продукт относится прежде всего к классу систем обнаружения вторжений. Для сравнения с NDR необходима отдельная проверка ретроспективного анализа, поведенческих моделей и законченных механизмов реагирования.
«Сириус» от НТЦ «Фобос-НТ»
«Сириус» представляет собой российскую систему обнаружения сетевых вторжений. Для программного комплекса действует сертификат ФСТЭК №4551 до июня 2027 года.
Решение имеет смысл включать в закупочный список при необходимости сертифицированной СОВ. Однако наличие сертификата и средств сетного обнаружения само по себе не подтверждает функциональную сопоставимость с NDR общего назначения.
«Стетоскоп Enterprise»
«Стетоскоп Enterprise» предназначен для анализа сетевого трафика, изучения коммуникаций и получения данных для расследования инцидентов. Продукт интересен как средство сетевой аналитики и криминалистики, в том числе при взаимодействии с внешними системами проверки файлов.
В основной рейтинг NDR его не включаю из-за различий в назначении и недостаточной публичной информации о полноценном управляемом реагировании.
SNAKE Security Network Analyzer Enterprise
SNAKE Security Network Analyzer Enterprise разработан российской компанией «С-ТИМ» и представлен как программный инструмент сетевого анализа и обнаружения угроз. Публичной технической информации о текущих версиях, масштабных внедрениях и полном цикле реагирования недостаточно.
Продукт выделяю в группу решений с недостаточной подтверждённостью, а не объявляю нишевым или незрелым исключительно из-за ограниченной публичности.
Промышленные NDR и IDS. Отдельный класс с другими требованиями
Промышленный сетевой мониторинг нельзя корректно оценивать по тем же критериям, что и универсальный NDR корпоративного ЦОД. На объектах АСУ ТП важна не только подозрительная коммуникация, но и конкретная технологическая команда, адрес контроллера, режим оборудования и допустимость вмешательства в процесс.
Kaspersky Industrial CyberSecurity for Networks
Kaspersky Industrial CyberSecurity for Networks предназначен для мониторинга технологических сетей, инвентаризации промышленного оборудования, анализа специализированных протоколов и обнаружения сетевых угроз. Продукт ориентирован на пассивный контроль инфраструктуры, где установка обычных агентов или активная блокировка способны создать дополнительные эксплуатационные риски.
Я рассматриваю KICS for Networks как самостоятельного кандидата для промышленного пилота. Сравнивать его с KATA NDR следует по конкретной архитектуре объекта, а не только по количеству функций.
InfoWatch ARMA Sensor
InfoWatch ARMA Sensor предназначен для сетевого мониторинга промышленных инфраструктур и анализа технологического трафика. Продукт помогает обнаруживать подозрительные взаимодействия и получать дополнительную видимость оборудования АСУ ТП.
ARMA Sensor необходимо отличать от межсетевого экрана ARMA Стена. Поддержка промышленных протоколов в NGFW и функциональность пассивного сенсора решают разные задачи, а сертификаты одного продукта не распространяются автоматически на другой.
Почему промышленному заказчику нужен отдельный пилот
На объекте АСУ ТП необходимо проверить не просто распознавание MODBUS, S7COMM или OPC UA, а глубину понимания команд и контекста. Система должна отличать штатное изменение параметра оборудования от подозрительного действия, учитывать разрешённые технологические связи и корректно работать при ограниченных объёмах трафика.
Автоматическую блокировку в промышленной сети следует включать только после оценки технологических последствий. Ложное срабатывание, разорвавшее соединение с контроллером, может создать более серьёзный риск, чем пропущенное информационное событие.
Сертификация и регулирование. Что действительно подтверждают документы
Для государственных информационных систем, значимых объектов КИИ и инфраструктур с особыми требованиями наличие сертификата может существенно повлиять на выбор продукта. Но сертификат относится к конкретному средству защиты, исполнению и набору требований.
Сертификация системы обнаружения вторжений не доказывает качество всех поведенческих моделей NDR, эффективность ИИ или соответствие каждой новой версии программного обеспечения.
| Решение | Регуляторный статус | Что проверить перед закупкой |
|---|---|---|
| PT NAD | ФСТЭК №4042, до ноября 2028 года | Сертифицированная версия 12.2.1429 и применимость функций PT NAD 13.0 |
| Kaspersky Anti Targeted Attack | ФСТЭК №3854, до декабря 2030 года; сертификаты ФСБ для отдельных функций | Версию сертифицированного дистрибутива, состав NDR, песочницы и интеграций |
| Гарда NDR | ФСТЭК №4613, до октября 2027 года | Сертифицированное исполнение 4.0-4 и применимость новых механизмов ML |
| F6 NTA | Действующий сертификат ФСТЭК именно для рассматриваемого NTA не подтверждён | Допустимость применения при требованиях к сертифицированной СОВ |
| ViPNet IDS 3 | ФСТЭК №4329 и ФСБ №СФ/СЗИ-0809 | Состав сертифицированного комплекса, версии NS, MC и TIAS |
Особенно внимательно необходимо относиться к новым функциям. Если в 2026 году производитель добавил облачную аналитику, ML-кластеризацию или блокировку через сторонний NGFW, наличие сертификата у предыдущей версии не означает, что новые возможности автоматически охвачены сертификацией.
При выборе для регулируемой среды я сначала сверил бы обязательные меры защиты и состав сертифицированной поставки, затем уже сравнивал функциональность. Иначе организация рискует приобрести технически подходящий продукт, но получить ограничения при его вводе в эксплуатацию.
Реальные ограничения NDR, которые часто недооценивают
Наиболее серьёзные проблемы NDR возникают не обязательно из-за качества детекторов. Даже развитая система способна пропустить атаку, если не получает нужный трафик или лишена контекста происходящего.
Слепые зоны внутри виртуальной инфраструктуры
Две виртуальные машины могут обмениваться данными на одном гипервизоре без выхода пакетов на физический коммутатор. Если архитектура мониторинга построена только на физическом SPAN, часть внутреннего взаимодействия останется незаметной.
В облачных и виртуализированных сегментах требуется отдельно проверить механизмы зеркалирования, виртуальные коммутаторы и ограничения облачного провайдера. Подключение одного сенсора к магистральному порту не гарантирует видимость всей сети.
Асимметричная маршрутизация и потери пакетов
При асимметричной маршрутизации запрос и ответ могут проходить через разные точки мониторинга. В результате NDR получает неполную сессию, а DPI не всегда способен восстановить прикладной контекст.
Брокер пакетов помогает агрегировать потоки, но архитектуру всё равно необходимо проверять. Дедупликация, фильтрация и балансировка должны сохранять данные, необходимые конкретным детекторам.
Шифрование и ложная уверенность в видимости
Наличие распознавания TLS не означает доступа к содержимому HTTPS. Анализ цифровых отпечатков помогает выявлять подозрительные соединения, но не заменяет исследование полезной нагрузки.
На пилоте следует отдельно документировать видимость DNS, TLS 1.3, QUIC и туннелированных протоколов. Заказчик должен знать, какие типы атак действительно обнаруживаются без расшифрования, а какие требуют дополнительного источника данных.
Ретроспектива может закончиться раньше расследования
Если организация хранит полные пакеты несколько суток, а компрометацию обнаруживает через месяц, восстановить содержимое первоначального соединения уже не получится. Долговременные метаданные помогают найти следы атаки, но не всегда содержат доказательства эксплуатации.
Поэтому глубина хранения, политика выборочной записи и возможность повторного анализа трафика новыми правилами должны входить в закупочные требования наравне с производительностью.
Автоматическая блокировка способна нарушить работу бизнеса
Ошибочное решение NDR может изолировать критичный сервер, заблокировать контроллер домена или прервать взаимодействие бизнес-приложений. Чем шире полномочия автоматического реагирования, тем серьёзнее требования к контролю действий.
Я бы не включал автоматическую изоляцию критичных устройств без проверки ролевой модели, исключений, подтверждения исполнения команды и процедуры отката. Для высокорисковых действий предпочтителен режим подтверждения аналитиком.
Недостаток специалистов превращает NDR в генератор оповещений
NDR требует аналитиков, которые понимают сетевые протоколы, поведение приложений и тактики злоумышленников. Наличие сотен правил не поможет, если сотрудник SOC не может отличить штатный административный сценарий от атаки.
При выборе стоит учитывать не только качество продукта, но и доступность обучения, специалистов сопровождения, технической документации и готового экспертного контента.
Что проверить на пилоте NDR
Я рекомендую проверять NDR на реальном корпоративном трафике с контролируемыми сценариями атак. Показательное обнаружение одного вредоносного IP-адреса или запуска Cobalt Strike по известной сигнатуре не позволяет оценить полноценную платформу.
Для всех участников пилота необходимо использовать сопоставимые точки сбора, одинаковые тестовые сценарии, близкую глубину анализа и заранее определённые критерии успеха.
| Проверка | Как проводить | Ожидаемый наблюдаемый результат |
|---|---|---|
| Полнота сетевой видимости | Подключить физические, виртуальные и межсетевые сегменты | Измерены доля наблюдаемых соединений, потери пакетов и пропущенные сегменты |
| Горизонтальное перемещение | Сымитировать подозрительные подключения по SMB, RDP, SSH и WinRM | Восстановлена последовательность действий и показаны связанные узлы |
| Компрометация учётной записи | Использовать тестовую учётную запись в нетипичном сценарии | Система выявила отклонение и предоставила данные для проверки |
| Командный канал | Организовать контролируемые периодические соединения с тестовым сервером | Обнаружена подозрительная коммуникация без заранее загруженного IOC |
| DNS-туннелирование | Воспроизвести безопасный тестовый сценарий и штатный DNS-трафик | Измерены обнаружение, задержка и частота ложных срабатываний |
| Шифрованный трафик | Проверить TLS 1.3, QUIC и разрешённые источники расшифрованных данных | Документированы доступные признаки и фактические ограничения анализа |
| Ретроспективный анализ | После сохранения трафика добавить новый детект или IOC | Показано, можно ли обнаружить историческое событие и какие данные сохранились |
| Интеграция с NGFW | Заблокировать тестовое соединение через штатный механизм | Подтверждена фактическая блокировка, а не только отправка команды |
| Изоляция устройства | Запустить разрешённую изоляцию тестового хоста | Проверены права пользователя, журнал действий, исключения и откат |
| Отказоустойчивость | Отключить управляющий узел, хранилище и внешнюю систему реагирования | Зафиксировано поведение сенсоров, очередей и ранее созданных блокировок |
| Нагрузка на аналитиков | Передать сотрудникам SOC подготовленный набор инцидентов | Измерены время расследования, число ручных действий и ошибки решений |
Особенно полезно сравнивать результаты до настройки исключений и после адаптации системы к инфраструктуре. Иначе продукт, который потребовал недель ручной настройки, может выглядеть одинаково с решением, предоставившим приемлемые результаты почти сразу.
Для проверки производительности необходимо фиксировать не только скорость входящего трафика, но и количество активных правил, протокольную структуру, средний размер пакета, объём извлекаемых объектов и включённые режимы хранения. Заявленные 10, 50 или 100 Гбит/с без этих параметров не дают полноценного представления о нагрузочной способности.
Лицензирование и эксплуатация. Где возникают дополнительные расходы
Полная стоимость владения NDR зависит не только от лицензии. Организация может потратить значительные ресурсы на сеть сбора трафика, серверы, хранение PCAP, интеграции и сопровождение.
Перед закупкой я рекомендую выяснить несколько принципиальных условий.
- По какой метрике лицензируется продукт, по пропускной способности, числу сенсоров, устройств или другим параметрам.
- Входят ли ML, Threat Intelligence, поведенческий анализ и ретроспектива в базовую поставку.
- Нужны ли отдельные лицензии для реагирования через EDR, NGFW и SOAR.
- Какие действия доступны без подключения к облачным сервисам.
- Можно ли разместить все компоненты в инфраструктуре заказчика и обрабатывать данные автономно.
- Как меняется стоимость эксплуатации при увеличении глубины хранения PCAP.
- Поддерживаются ли резервирование, восстановление и перенос лицензий после аварии.
- Что происходит с правилами и обновлениями после окончания поддержки.
- Как обновления влияют на сертифицированное исполнение.
Особенно внимательно необходимо проверять поддержку платформ виртуализации, операционных систем и сетевого оборудования. Формальная совместимость с гипервизором ещё не гарантирует необходимую скорость захвата трафика в виртуальной машине.
Для крупного SOC также имеет значение эксплуатационная самостоятельность. Продукт с богатой аналитикой, но сложной настройкой и ограниченным количеством специалистов может оказаться менее подходящим, чем система с меньшим набором функций, которую действующая команда способна уверенно сопровождать.
Какой российский NDR я бы выбрал для разных задач
Универсального победителя для каждой инфраструктуры нет. Итоговый рейтинг показывает баланс характеристик в выбранном сценарии, но не учитывает стоимость уже установленных средств защиты и квалификацию конкретной команды.
| Задача | Предпочтительный вариант | Причина |
|---|---|---|
| Крупный SOC и глубокие сетевые расследования | PT NAD | Развитая работа с сетными данными, ретроспектива и Threat Hunting |
| Единая защита сети и конечных точек | KATA NDR | Связь сетевой телеметрии с агентскими данными и готовые интеграции |
| Распределённая инфраструктура с NetFlow | Гарда NDR | Сочетание потоковой аналитики, DPI и поведенческих моделей |
| Поиск целевых атак с опорой на Threat Intelligence | F6 NTA | Контекст киберразведки и обнаружение скрытых коммуникаций |
| Корпоративный NTA с развивающимися ИИ-инструментами | UDV NTA | Сетевой анализ и помощь аналитику при интерпретации событий |
| Сетевой модуль в связке с EDR и собственной экосистемой | Solar NTA / Solar DaR | Возможность объединять сетевые и конечные события |
| Пилот новой платформы с собственными детекторами | Alertix NDR | Гибкая среда создания детекторов и заявленная высокая производительность |
| Сертифицированное обнаружение компьютерных атак | ViPNet IDS 3 | Специализированная IDS с подтверждённым регуляторным статусом |
| Промышленная инфраструктура и технологические протоколы | KICS for Networks или ARMA Sensor | Специализированный анализ сети АСУ ТП |
| Нет собственного круглосуточного SOC | Управляемый сервис NTA/MDR | Сетевую аналитику и обработку событий выполняет внешняя команда |
Для организации, которая уже развернула средства Positive Technologies, выбор PT NAD выглядит логичным, но не обязательным. Если инфраструктура построена преимущественно на Kaspersky, дополнительные возможности объединения агентской и сетевой телеметрии могут перевесить преимущества другого продукта.
Если компания не располагает квалифицированными аналитиками, самостоятельная NDR-платформа может оказаться чрезмерно сложной. В таком случае разумно сравнить собственное внедрение с управляемой услугой NTA/MDR и оценить способность внешней команды выполнять реагирование в согласованные сроки.
Прогноз конкуренции на 2027–2029 годы
В ближайшие два-три года ожидаю дальнейшего сближения NDR, EDR, SIEM и SOAR. Основная конкуренция переместится от количества детекторов к качеству расследования и способности безопасно выполнять действия реагирования.
Первое направление развития связано с объединением сетных и агентских данных. Возможность определить не только подозрительное соединение, но и процесс, пользователя и последовательность действий сокращает неопределённость при расследовании. Здесь сильные предпосылки имеет KATA NDR, а также платформы, развивающие интеграции с собственными EDR.
Второе направление связано с анализом больших объёмов данных без постоянного увеличения стоимости хранения. Архивирование метаданных, выборочная запись пакетов и более эффективный поиск будут становиться обязательными возможностями корпоративных NDR.
Третье направление связано с применением ИИ. Генеративные ассистенты могут помочь формировать гипотезы, объяснять детекты и готовить результаты расследований. Однако распространение подобных функций не гарантирует повышения качества обнаружения. Главным критерием останется воспроизводимое сокращение времени работы аналитиков без роста ошибок.
Четвёртый фактор связан с российскими платформами виртуализации, облаками и сетевым оборудованием. Заказчики будут чаще оценивать не изолированный NDR, а всю цепочку от получения трафика до блокировки соединения. Производители с развитой экосистемой и готовыми интеграциями получат конкурентное преимущество.
Как могут измениться позиции участников
PT NAD. Ожидаю сохранения лидирующих позиций благодаря сильной сетевой аналитике, ретроспективе и развитию управляемого реагирования. Основной риск связан с усложнением эксплуатации и стоимостью инфраструктуры хранения. Прогноз пересмотрю, если новые функции не будут сопровождаться повышением удобства работы SOC.
KATA NDR. Считаю вероятным усиление позиций за счёт объединения сетевой и агентской телеметрии. Продукт способен стать первым выбором в большем числе крупных организаций, особенно использующих экосистему Kaspersky. Ограничением останется сложность архитектуры и состава лицензий.
Гарда NDR. Ожидаю роста интереса со стороны распределённых организаций. Сочетание NetFlow, DPI и поведенческой аналитики выглядит перспективным. Главная проверка для следующих лет связана с качеством риск-скоринга, снижением ложных срабатываний и удобством сопровождения моделей.
F6 NTA. Вероятно дальнейшее укрепление как аналитического компонента комплексной защиты от целевых атак. Для продвижения в сегмент полноценного NDR необходимо расширять подтверждённые сценарии самостоятельного реагирования и возможности исторического анализа сетных данных.
UDV NTA. Может стать более заметным корпоративным продуктом, если подтвердит практическую полезность ИИ-ассистента и разовьёт законченный цикл сетевого реагирования. Пока оцениваю потенциал умеренно.
Solar NTA. Перспективы зависят от того, насколько активно будет развиваться самостоятельный сетевой модуль в составе Solar DaR. Экспертиза внешнего SOC является преимуществом, но не заменяет подтверждений зрелости конкретной программной поставки.
Alertix NDR. Новый участник способен усилить конкуренцию за счёт гибких детекторов и заявленной производительности. Однако без истории эксплуатации, измерений нагрузки и примеров крупных внедрений прогнозировать будущую позицию рано.
Итог. Российский NDR уже созрел, но выбор всё ещё зависит от инфраструктуры
В октябре 2026 года российский рынок предлагает несколько развитых систем сетевого обнаружения и реагирования. PT NAD я считаю наиболее сбалансированным решением для крупного SOC и глубоких расследований. Kaspersky NDR почти не уступает и может быть предпочтительнее при развитой агентской защите. «Гарда NDR» интересна сочетанием DPI, NetFlow и поведенческого анализа. F6 NTA сильна в обнаружении сложных угроз, но для полноценного реагирования требует особенно внимательной проверки интегрированной конфигурации.
UDV NTA, Solar NTA и Alertix расширяют выбор. Однако недостаток подтверждений отдельных функций, история эксплуатации и различия между NTA и NDR пока не позволяют автоматически ставить новые продукты в один ряд с наиболее зрелыми платформами.
Главную рекомендацию сформулирую просто. Выбирать NDR нужно не по числу детекторов, заявленным гигабитам или наличию искусственного интеллекта, а по способности обнаружить атаку на реальном трафике, восстановить её последовательность и безопасно остановить злоумышленника.
Если система теряет пакеты, не видит внутренние сегменты, не сохраняет нужные данные для расследования или не может подтвердить результат блокировки, остальные преимущества быстро теряют значение. Именно такие ограничения должен выявить корпоративный пилот до заключения договора.
