Продукт сочетает антивирусный мультисканер, статический анализ, виртуальные и физические песочницы, проверку ссылок и инструменты для подключения к корпоративной инфраструктуре. Сильнее всего ATHENA выглядит в закрытых контурах, системах файлового обмена и проектах, где нужны локальное развертывание, сертификат ФСТЭК и совместимость с российскими средствами защиты.
Главный недостаток связан не с набором функций, а с ограниченной публичной прозрачностью. Разработчик подробно описывает возможности продукта, но почти не раскрывает результаты промышленных внедрений, фактическую производительность, уровень ложных срабатываний и поведение системы при сбоях. Поэтому ATHENA заслуживает места в коротком списке, но покупать продукт без полноценного пилота рискованно.
Что представляет собой AVSOFT ATHENA
Разработчик позиционирует ATHENA как систему защиты от целенаправленных атак. Такое определение частично оправдано, поскольку песочница помогает обнаруживать вредоносные вложения, фишинговые ссылки и неизвестные файлы, которые применяются в сложных атаках.
Однако ATHENA не заменяет полноценную платформу Anti-APT. Продукт не собирает полную телеметрию с рабочих станций, не анализирует все перемещения злоумышленника по сети и не выполняет функции EDR, NDR, SIEM или SOAR. Технически ATHENA правильнее считать специализированной песочницей с мультисканером и средствами проверки файловых и почтовых потоков.
Система принимает объекты из электронной почты, веб-трафика, файловых хранилищ, сетевых средств защиты и внутренних приложений. После получения файла ATHENA может проверить его несколькими антивирусными движками, исследовать структуру без запуска и выполнить код в изолированной операционной системе.
Как ATHENA анализирует файлы
Проверка строится в несколько этапов. Сначала система изучает метаданные, формат, внутреннюю структуру, цифровые подписи, макросы, скрипты, упаковщики и признаки обфускации. Статический анализ не требует запуска файла и позволяет быстро отсеивать известные безопасные и явно подозрительные объекты.
Антивирусный мультисканер передает объект нескольким движкам. Такой подход повышает вероятность обнаружить известное вредоносное ПО, поскольку антивирусные компании используют разные базы и алгоритмы. Одновременно число движков само по себе ничего не говорит о качестве продукта. Несколько ядер могут выдавать одинаковый результат или использовать близкие методы анализа.
Публичные характеристики ATHENA расходятся в количестве поддерживаемых движков. В разных материалах встречаются значения от 15 до 25. Расхождение может зависеть от версии, комплектации или условий лицензирования. Перед закупкой заказчику нужно получить точный список движков для конкретной поставки, а также выяснить частоту обновлений и правила работы в закрытом контуре.
Подозрительные файлы поступают в динамическую песочницу. Система запускает объект в изолированной среде и регистрирует созданные процессы, изменения файлов, сетевые соединения, обращения к реестру и другие действия. Аналитик получает отчет, снимки экрана и запись поведения программы.
ATHENA поддерживает документы, исполняемые файлы, скрипты, мобильные приложения и архивы. Песочница умеет извлекать вложенные объекты и работать с контейнерами, защищенными паролем. Для корпоративной почты особенно полезна возможность искать пароль в теме или тексте сообщения.
Виртуальные и физические песочницы
Одной из наиболее заметных функций ATHENA стала поддержка не только виртуальных, но и физических исследовательских сред. Большинство песочниц запускает подозрительный код внутри виртуальной машины. Такой способ упрощает масштабирование, восстановление и параллельный анализ, но вредоносные программы умеют искать признаки виртуализации.
Физическая среда запускает файл на реальном компьютере. Подход снижает эффективность части техник anti-VM и позволяет воспроизвести рабочее место с конкретным оборудованием и прикладным программным обеспечением. Функция особенно полезна при анализе атак на промышленные системы, специализированные рабочие станции и редкие программные комплексы.
Физическая песочница не решает проблему уклонения полностью. Вредоносная программа может проверять историю работы пользователя, документы, доменное окружение, сетевые ресурсы, периферийные устройства и время существования системы. Для качественного анализа недостаточно просто отказаться от гипервизора. Исследовательская среда должна выглядеть как реальная рабочая станция.
Физические среды сложнее масштабировать и обслуживать. Заказчику придется учитывать время восстановления, количество параллельных запусков, износ оборудования и порядок очистки после анализа. Поэтому физическую детонацию разумно использовать для ограниченного числа наиболее подозрительных объектов, а основной поток проверять в виртуальных машинах.
Проверка ссылок и фишинговых страниц
ATHENA анализирует ссылки внутри писем и документов, раскрывает сокращенные адреса, проходит цепочки перенаправлений и открывает страницы в браузере. Система также может извлекать адреса из QR-кодов.
Отдельный сценарий связан со спящими ссылками. Во время доставки письма адрес ведет на безопасную страницу, но позже владелец ресурса меняет содержимое и перенаправляет пользователя на фишинговый сайт. Повторная проверка помогает обнаружить подмену после того, как сообщение уже попало в почтовый ящик.
Результат зависит от частоты повторного анализа, продолжительности наблюдения и способности системы воспроизвести действия пользователя. Публичных данных о фактическом качестве обнаружения спящих ссылок мало, поэтому функцию нужно проверять на пилоте.
Защита электронной почты
ATHENA может работать с почтовым потоком в зеркальном режиме или в разрыве. В зеркальном режиме песочница получает копию письма, анализирует вложения и формирует событие, но не влияет на доставку. Такой вариант проще и безопаснее для стабильности почтовой системы, однако не позволяет остановить сообщение до попадания к получателю.
При установке в разрыв ATHENA может задерживать письма на время проверки, блокировать вредоносные вложения, помещать объекты в карантин или передавать обезвреженную копию документа. Такой режим обеспечивает более активную защиту, но повышает требования к производительности и отказоустойчивости.
Если песочница перестанет отвечать, организация должна заранее определить дальнейшее поведение почтового шлюза. Режим fail-open пропустит письмо без проверки, а fail-close остановит доставку. Первый вариант снижает защищенность, второй может нарушить работу бизнеса.
Функция обезвреживания документов также требует осторожности. Преобразование файла в безопасный формат может удалить макросы, интерактивные формы, вложения и электронные подписи. Для части документов такая обработка полезна, для других нарушит рабочий процесс.
Файловые хранилища и внутренний обмен
ATHENA поддерживает проверку файлов, которые передаются через корпоративные хранилища, сетевые папки, шлюзы обмена и внутренние приложения. Продукт может использоваться не только для почты, но и для контроля файлов между сегментами с разным уровнем доверия.
Сценарий особенно актуален для промышленных предприятий, государственных организаций и компаний с изолированными сетями. Обновления, документы и дистрибутивы можно проверять перед передачей во внутренний контур.
ATHENA поддерживает стандартные интерфейсы и протоколы, включая API, ICAP, SMTP, Syslog и LDAP. Также заявлена работа с распространенными файловыми протоколами и S3-совместимыми хранилищами. Такой набор снижает зависимость от экосистемы одного производителя и позволяет подключать песочницу к разным источникам.
Наличие интерфейса не гарантирует качественную интеграцию. Во время пилота нужно проверить ограничения размера файла, тайм-ауты, работу очередей, повторную отправку объектов, формат вердиктов и поведение внешней системы при недоступности ATHENA.
Интеграции с российской инфраструктурой
ATHENA поддерживает подключение к российским межсетевым экранам, системам сетевого анализа, платформам виртуализации и средствам защищенного файлового обмена. Разработчик продолжает расширять список совместимых продуктов.
Одним из наиболее интересных вариантов стала связка с однонаправленным шлюзом. Файл передается из менее доверенной зоны в защищенный сегмент только после проверки. Внутри изолированной сети можно установить второй экземпляр ATHENA для повторного анализа.
Такая архитектура подходит для КИИ, промышленных сетей и инфраструктуры с жестким разделением контуров. Однако публичные материалы обычно подтверждают только лабораторную совместимость. Они не раскрывают пропускную способность, время передачи, устойчивость очередей и результаты длительной эксплуатации.
Совместимость с российской платформой виртуализации также полезна для импортозамещения. Заказчику все равно нужно проверять конкретные версии гипервизора, операционной системы и ATHENA. Формулировка о совместимости не означает, что любая комбинация версий будет поддерживаться разработчиками.
Работа в закрытом контуре
ATHENA может работать без постоянного доступа в интернет. Возможность нужна организациям, которые запрещают компонентам защиты обращаться к внешним облачным сервисам.
Одновременно часть функций песочницы может использовать внешние репутационные и аналитические источники. Поэтому заказчику нужно заранее выяснить, какие возможности сохраняются в полностью изолированной установке, а какие отключаются или работают с ограничениями.
Отдельной проверки требуют обновления антивирусных баз, данные о доменах и ссылках, машинное обучение и механизмы репутационного анализа. Поставщик должен описать процедуру офлайн-обновлений, периодичность выпуска пакетов и допустимое отставание закрытого контура.
Локальная установка не гарантирует полного отсутствия внешнего обмена. Во время пилота нужно проверить, отправляет ли система наружу хеши, URL, заголовки писем, метаданные или сами файлы.
Реестр российского ПО и сертификат ФСТЭК
AVSOFT ATHENA включена в Единый реестр российского программного обеспечения под номером 3762. Запись появилась в 2017 году.
Сертификат ФСТЭК № 4923 действует с 4 апреля 2025 года до 4 апреля 2030 года. Продукту присвоен четвертый уровень доверия. Сертификация охватывает функции системы обнаружения вторжений уровня сети четвертого класса защиты.
Наличие сертификата упрощает применение ATHENA в государственных информационных системах, КИИ и других регулируемых инфраструктурах. Сертификат не означает автоматического соответствия требованиям 152-ФЗ, 187-ФЗ или конкретной модели угроз. Итог зависит от архитектуры системы, настроек и организационных мер.
Сертификация относится к конкретной версии и конфигурации. Заказчику нужно сверить формуляр, номер сборки, состав модулей, поддерживаемые операционные системы, гипервизоры и допустимый порядок обновления.
Лицензирование и поставка
ATHENA распространяется по корпоративной лицензии. Разработчик предлагает пилот, внедрение, техническую поддержку и обучение.
Подробная лицензионная модель публично не раскрыта. Неясно, зависит ли лицензия от количества процессорных ядер, анализируемых объектов, потоков, виртуальных машин, физических сред или подключенных модулей.
Перед закупкой нужно зафиксировать в договоре все ограничения. Особое внимание следует уделить расширению производительности, добавлению физических песочниц, увеличению почтового потока и подключению новых источников файлов.
Также необходимо получить точные параметры поддержки. В договоре должны быть указаны время реакции, порядок эскалации, условия передачи подозрительных образцов разработчику, сроки выпуска исправлений и правила замены оборудования.
Сильные стороны AVSOFT ATHENA
- Физические среды анализа. Редкая для российского рынка возможность запускать подозрительные файлы на реальном оборудовании.
- Широкий набор источников. ATHENA работает с почтой, веб-трафиком, файловыми хранилищами и сетевыми средствами защиты.
- Анализ файлов и ссылок. Поддерживаются архивы с паролями, вложенные контейнеры, QR-коды, перенаправления и спящие ссылки.
- Стандартные интерфейсы. API, ICAP, SMTP, Syslog и LDAP упрощают подключение к неоднородной инфраструктуре.
- Закрытые контуры. Возможна работа без постоянного доступа к интернету.
- Российская сертификация. Продукт находится в реестре российского ПО и имеет действующий сертификат ФСТЭК.
- Совместимость с российскими решениями. Развиваются интеграции с отечественными гипервизорами, межсетевыми экранами и файловыми шлюзами.
Слабые места и риски
- Мало публичных внедрений. Почти нет подробных историй с названными заказчиками, архитектурой, нагрузкой и результатами эксплуатации.
- Нет сопоставимого теста с основными конкурентами. ATHENA трудно объективно сравнить с PT Sandbox, Kaspersky и F6 по уровню детектирования и ложным срабатываниям.
- Расхождения в характеристиках. Публичные материалы называют разное количество антивирусных движков.
- Непрозрачная производительность. Нет воспроизводимой методики, которая показывала бы скорость отдельно для статической проверки и динамической детонации.
- Мало сведений об отказоустойчивости. Не раскрыты подробности кластеризации, георезервирования, обновления без остановки и сохранения очереди после сбоя.
- Неясный состав функций в закрытом контуре. Необходимо отдельно проверять работу без внешней репутационной аналитики.
- ATHENA не заменяет Anti-APT-платформу. Для полноценной защиты нужны EDR, NDR, SIEM, SOAR и отлаженные процессы реагирования.
Оценка по критериям
Функциональность 8.0 из 10. ATHENA объединяет мультисканер, статический анализ, виртуальные и физические песочницы, проверку ссылок, почты и файловых хранилищ. Продукт не дает полной телеметрии конечных точек и сети.
Технологии и архитектура 8.0 из 10. Физические среды, настраиваемые образы и поддержка разных операционных систем выглядят убедительно. Оценку снижает нехватка проверяемых данных о масштабировании и качестве детектирования.
Совместимость и интеграции 8.5 из 10. Стандартные интерфейсы и поддержка российских инфраструктурных решений дают продукту сильную интеграционную позицию.
Российская специфика 9.0 из 10. Реестр российского ПО, сертификат ФСТЭК, локальное развертывание и работа в закрытом контуре соответствуют требованиям многих Enterprise- и B2G-проектов.
Лицензирование и эксплуатационная прозрачность 6.0 из 10. Публично не раскрыты точные метрики лицензирования, уровни поддержки и требования к отказоустойчивой конфигурации.
Поддержка и партнерская сеть 7.5 из 10. Продукт доступен через крупных российских дистрибьюторов и интеграторов. Информация о SLA и региональных сервисных возможностях ограничена.
Зрелость 7.0 из 10. ATHENA присутствует на рынке много лет и продолжает развиваться. Балл снижают дефицит подробных внедрений и независимых сравнений.
Итоговая оценка 7.5 из 10. ATHENA представляет крепкий выбор для регулируемой on-prem инфраструктуры, но требует тщательного пилота.
Сравнение с ближайшими альтернативами
Прямой рейтинг песочниц дал бы ложную точность, поскольку продукты различаются по архитектуре, интеграциям и широте функций. Корректнее сравнивать сценарии применения.
| Продукт | Когда выбирать | Сильная сторона | Основной риск |
|---|---|---|---|
| PT Sandbox | Крупная российская инфраструктура и использование других продуктов Positive Technologies | Зрелая специализированная песочница и развитая экосистема | Максимальный эффект достигается при использовании других продуктов PT |
| Kaspersky Anti Targeted Attack | Нужна более широкая платформа сетевого анализа и реагирования | Большой охват телеметрии и сценариев обнаружения атак | Более сложное внедрение и зависимость от экосистемы |
| F6 Malware Detonation Platform | Нужна тесная связь песочницы с Threat Intelligence и расследованиями | Сильная аналитическая экспертиза и контекст угроз | Часть преимуществ зависит от других сервисов F6 |
| AVSOFT ATHENA | Закрытые контуры, файловый обмен, физические среды и независимая интеграция | Гибкость подключения, сертификат ФСТЭК и физическая детонация | Мало независимых сравнений и подробных внедрений |
Кому подходит AVSOFT ATHENA
- Государственным организациям, которым нужны российское происхождение продукта и сертификат ФСТЭК.
- Промышленным предприятиям, передающим файлы между сегментами с разным уровнем доверия.
- Банкам и телеком-компаниям с большим количеством почтовых и файловых потоков.
- Организациям с закрытыми сетями, которым требуется локальная песочница и офлайн-обновление.
- Компаниям с неоднородной инфраструктурой, где используются продукты разных производителей.
- Лабораториям анализа вредоносного ПО, которым полезны физические среды и собственные образы рабочих станций.
ATHENA хуже подходит небольшим компаниям без выделенной команды информационной безопасности. Песочница требует настройки политик, разбора отчетов, контроля ложных срабатываний и интеграции с процессом реагирования. Без таких процессов продукт превратится в источник сложных отчетов, которыми никто не пользуется.
Что проверить во время пилота
- Точную версию продукта и соответствие конфигурации сертификату ФСТЭК.
- Фактический состав антивирусных движков.
- Качество обнаружения на собственном наборе вредоносных файлов.
- Ложные срабатывания на внутренних документах и программах.
- Файлы с проверками виртуальной среды и задержанным запуском.
- Архивы с паролями, вложенные контейнеры и крупные объекты.
- QR-коды, цепочки перенаправлений и спящие ссылки.
- Скорость статического анализа и динамической детонации.
- Задержку доставки почты при пиковой нагрузке.
- Сохранение очереди после сбоя или перезапуска.
- Работу кластера и восстановление после отказа.
- Поведение внешних систем при недоступности ATHENA.
- Полноту событий для SIEM и SOAR.
- Объем данных, передаваемых во внешние сервисы.
- Состав функций в полностью изолированном контуре.
- Порядок и периодичность офлайн-обновлений.
- Лицензионные ограничения при расширении инфраструктуры.
- SLA поддержки и процедуру эскалации сложных инцидентов.
- Совместимость с конкретными версиями гипервизора, NGFW, почтового сервера и SIEM.
Итог
AVSOFT ATHENA представляет собой функциональную российскую песочницу с мультисканером, проверкой ссылок и широкими средствами интеграции. Сильнее всего продукт выглядит в закрытых контурах, почтовой инфраструктуре, системах файлового обмена и проектах, где нужна детонация на физических машинах.
Называть ATHENA полноценной платформой защиты от любых целевых атак некорректно. Песочница закрывает только часть задачи и должна работать вместе с NGFW, NDR, EDR, SIEM, SOAR и процессами реагирования.
Основной риск связан с недостатком проверяемых эксплуатационных данных. Функциональность выглядит конкурентоспособно, но заказчику придется самостоятельно проверить качество детектирования, производительность, отказоустойчивость и работу в закрытом контуре.
Итоговая оценка AVSOFT ATHENA составляет 7.5 из 10. Продукт можно рекомендовать для пилота в российском Enterprise и B2G. Решение о закупке должно опираться на собственные образцы, реальный профиль нагрузки и зафиксированные в договоре параметры поставки.
