Внутрисетевой трафик. — 7 мая 2026 г. в 11:54:35.195
Внутрисетевой трафик. Часть I: Почему атаки внутри сети часто замечают слишком поздно 🛡 Многие до сих пор смотрят на защиту по старой логике: главное - закрыть периметр, отфильтровать входящий трафик, не пропустить вредоносный файл. Но в реальной атаке ключевые действия злоумышленника часто начинаются уже после проникновения. 🕵️♂️ Злоумышленник закрепляется на одной машине, начинает сканировать сеть, проверять доступы, перемещаться на серверы и пытаться получить доступ к критичным системам и привилегированным учетным записям. И если внутри сети все «разрешено по умолчанию», такое перемещение долго выглядит как обычная активность. Что видно в таких сценариях: • рабочая станция начинает обращаться к десяткам хостов по SMB, RDP, SSH и ряду других протоколов • пользовательский компьютер сканирует подсети • в нерабочее время появляются обращения к контроллерам домена • отдельные хосты передают большие объемы данных в нетипичное время или на облачные хранилища данных/C2-сервера По отдельности такие события не всегда выглядят как инцидент. Но если смотреть на них вместе, это уже может быть: разведка, горизонтальное перемещение (lateral movement), закрепление в инфраструктуре, подготовка к компрометации данных и учетных записей. 📍И здесь возникает неудобный, но важный вопрос: Насколько хорошо компания вообще понимает, как выглядит нормальная сетевая активность внутри своей инфраструктуры? • какие связи являются штатными? • какие сегменты не должны взаимодействовать между собой? • какие обращения должны считаться подозрительными сразу? Из ответов на эти вопросы можно собрать правила контроля: какие соединения допустимы, а какие требуют отдельного отслеживания. Вывод простой: если после взлома одной рабочей станции атакующий может свободно перемещаться по сети, значит внутри инфраструктуры недостаточно точек контроля. 👉 Поэтому анализ внутрисетевого трафика - уже не дополнительная опция, а базовый элемент защиты. Во второй части мы разберем как защитить внутрисетевой трафик и почему одного NGFW уже недостаточно. Подписаться на email-рассылку