За последний год я участвовал в четырёх red team / blue team учениях, где целевая сеть одновременно защищалась Darktrace, Vectra AI и Cisco Secure IPS. Ни одна из систем не поймала все три C2-канала. Каждая пропустила lateral movement на разных этапах kill chain, а false positive rate колебался от 3% до 28% - в зависимости от того, насколько зашумлён baseline. Вендоры обещают "полную видимость сети". Production-реальность выглядит иначе: по опросам NDR-рынка, значительная часть руководителей ИБ признают компромиссы в видимости, интеграции или качестве данных. Дальше - разбор трёх коммерческих ML-IDS/IPS платформ изнутри: как устроены ML-модели, что они реально ловят и где конкретно проваливаются по MITRE ATT&CK.
Почему именно эти три: критерии отбора
Три продукта выбраны не по узнаваемости бренда, а потому что каждый воплощает отдельную архитектурную парадигму машинного обучения в IDS/IPS. Сравниваем не фичи из маркетинговых PDF, а фундаментальные подходы к обнаружению вторжений.Darktrace - unsupervised learning first. Строит математическую модель "нормального поведения" каждой сущности в сети. Детектирует отклонения без сигнатур.
Vectra AI - attack signal intelligence. Комбинирует supervised и unsupervised модели, фокусируется на приоритизации атакующего поведения через "сшивание" слабых сигналов из сети, identity, cloud и SaaS в единые инциденты. Сильная сторона - гибридные среды.
Cisco Secure IDS/IPS - signature-first с ML-аугментацией. Движок Snort 3 (мажорный релиз 2021 года; оригинальный Snort создан Мартином Решем в 1998, Sourcefire приобретена Cisco в 2013) с наложением Encrypted Traffic Analytics и поведенческой аналитики Secure Network Analytics. Сигнатуры в основе, ML - дополнительный слой.
За рамками обзора остались ExtraHop RevealX (скорее NPM+NDR+forensics - другой класс задач), российские NDR-решения (PT NAD, Гарда NDR - заслуживают отдельного разбора с учётом локальной специфики) и open-source (Suricata, Zeek). Каждый из них архитектурно не конкурирует напрямую с этой тройкой в сценарии enterprise ML-IDS.
Архитектура ML-моделей: как устроено обнаружение угроз машинным обучением
Darktrace Enterprise Immune System
Darktrace использует unsupervised ML (байесовские методы, кластеризация) для построения pattern-of-life моделей каждой сущности в сети. Модель учитывает паттерны коммуникаций, объёмы трафика, временные ритмы, протоколы и связи между сущностями. Конкретные архитектурные детали ML-моделей вендор раскрывает ограниченно - принципы публикуются, полная архитектура - нет.На практике Darktrace ставит сенсоры на SPAN/TAP и начинает обучение. Период baseline - от нескольких дней до 2-3 недель. И вот тут самое интересное: если атакующий уже сидит в сети во время обучения, его C2-канал и beacon-паттерны войдут в модель "нормы". Я видел это на двух проектах - implant, работавший до развёртывания Darktrace, оставался невидимым месяцами. Система буквально приняла C2 за часть корпоративной среды.
Автономный ответ Darktrace RESPOND (ранее Antigena) умеет изолировать скомпрометированные хосты, троттлить подозрительные соединения, блокировать lateral movement без участия аналитика. Но без аккуратной настройки guardrails RESPOND начинает рубить легитимный SaaS-трафик или обновления ПО, которые отклоняются от базовой модели. Особенно больно при деплоях и миграциях.
Где Darktrace силён: OT/IoT-среды, где агентская EDR невозможна; обнаружение zero-day и insider threats; сети с неполной инвентаризацией активов. Где буксует: encrypted C2 в SaaS-трафике; среды с частыми изменениями (CI/CD, DevOps); стоимость - per-device лицензирование и многолетние контракты делают его одним из самых дорогих NDR на рынке.
Vectra AI NDR: attack signal intelligence
Vectra AI исповедует другую философию. Вместо моделирования "нормы" платформа фокусируется на распознавании конкретного атакующего поведения: supervised ML-модели обучены на известных TTPs, unsupervised - ловит аномалии трафика.Главное отличие - мультивекторный анализ. Vectra "сшивает" слабые сигналы из разных источников: сетевой трафик, identity-события (Active Directory, Entra ID), облачные логи (AWS, Azure), SaaS-активность (Microsoft 365). На выходе - не "аномалия на хосте X", а "хост X выполнил подозрительную Kerberos-аутентификацию, затем обратился к internal file share нетипичным образом, затем начал exfiltration-паттерн - суммарный scoring: critical".
Качество детекции напрямую зависит от полноты покрытия. Если сенсор видит только north-south трафик (периметр) и не видит east-west (внутренний) - detection value падает кратно. Sensor placement - не техническая мелочь, а архитектурное решение, определяющее ROI всей платформы.
Vectra лучше работает для зрелых SOC с выстроенными процессами: аналитики получают приоритизированные инциденты и интегрируют output в SOAR-workflow. Без SOC-процесса Vectra превращается в ещё одну консоль с дашбордами, которые никто не открывает.
Где силён: гибридные среды (on-prem + cloud + SaaS), identity-aware detection, приоритизация по вероятности атаки. Где буксует: Kerberos-среды с нестандартными делегированиями (constrained/unconstrained delegation, resource-based constrained delegation) генерируют ложные срабатывания; требует продуманного sensor placement; без SOC-процессов - дорогая визуализация.
Cisco Secure IDS: от Snort к Encrypted Visibility
Cisco Secure IDS/IPS - архитектурно самая гибридная платформа из тройки. Фундамент - движок Snort 3 с signature-based detection, поверх которого наслаиваются два ML-компонента:
Encrypted Traffic Analytics (ETA) анализирует метаданные TLS-соединений - Initial Data Packet, последовательности длин пакетов и временных интервалов, TLS handshake metadata - без расшифровки трафика. ML-классификаторы выявляют C2, malware-коммуникации и data exfiltration в зашифрованном трафике на основе этих метаданных.
Secure Network Analytics (бывший Stealthwatch) строит поведенческую аналитику на NetFlow/IPFIX-телеметрии: baseline сетевого поведения, детекция отклонений по объёму, направлению и паттернам коммуникаций.
Принципиальное отличие от Darktrace и Vectra: Cisco Secure чаще разворачивается как часть существующей Cisco-инфраструктуры (Firepower, ISR, Catalyst). Глубокая интеграция с сетевым стеком - одновременно плюс (NetFlow доступен с каждого коммутатора) и ограничение (максимальная ценность - в Cisco-centric средах). В мультивендорной инфраструктуре с Juniper, Arista или Huawei значительная часть возможностей просто недоступна.
Сигнатуры Snort 3 обновляются Cisco Talos - одна из крупнейших threat intelligence команд в индустрии. ML-компоненты добавляют поведенческий слой, но не заменяют сигнатурную основу. Результат: Cisco Secure видит известные атаки быстрее и точнее (меньше false positives), но хуже детектирует novel threats и zero-day без сигнатурного покрытия.
Сравнительная таблица: NDR решения - архитектура, ограничения, применимость
| Критерий | Darktrace | Vectra AI | Cisco Secure IDS |
|---|---|---|---|
| ML-подход | Unsupervised (основа) + supervised (DIGEST) | Supervised + unsupervised, signal stitching | Signature-based (основа) + ML augmentation |
| Анализ encrypted traffic | Метаданные + поведенческий анализ | Метаданные + identity correlation | ETA (ML-классификация TLS metadata) |
| OT/IoT покрытие | Нативно, без агентов | Частично, через сенсоры | Через Cisco Industrial Network Director |
| Cloud/SaaS visibility | Cloud sensors, API-интеграции | Нативно (M365, AWS, Azure connectors) | Через SecureX, ограниченно |
| Autonomous response | Darktrace RESPOND (изоляция, троттлинг, блокировка) | Через интеграции с SOAR/EDR | Через Firepower IPS (inline-блокировка) |
| Baseline-период | 1-3 недели | Дни (supervised модели работают сразу) | Минимальный (сигнатуры активны с первого дня) |
| FP rate | Высокий в первые недели, снижается | Средний, зависит от sensor coverage | Низкий на известных атаках |
| MITRE ATT&CK coverage | Широкое (behavior-based, без привязки к сигнатурам) | Широкое (hybrid signals, identity-контекст) | Узкое (signature-dependent для большинства техник) |
| Ценовая модель | Per-device, многолетние контракты | Per-appliance + cloud subscriptions | Per-appliance, Cisco лицензирование |
| Best fit | Complex networks, OT/IoT, unknown threats | Hybrid enterprise, mature SOC 3+ аналитиков | Cisco-centric environments |
| Когда НЕ использовать | Бюджет ограничен; CI/CD-среды с ежедневными изменениями | Нет SOC-процессов; только on-prem без cloud | Мультивендорная сетевая инфраструктура |
Слепые пятна IDS систем: что пропускает ML-детект по MITRE ATT&CK
Значительная часть организаций сталкивается с "слепыми зонами" - зашифрованный трафик и облачная сложность делают своё дело. Свыше 95% страничных загрузок в Chrome идут по HTTPS (Google Transparency Report, transparencyreport.google.com/https). Для signature-based инструментов, инспектирующих cleartext payload, это означает одно: видимость сужается с каждым годом. Разберём конкретные gaps по техникам MITRE.Application Layer Protocol (T1071, Command and Control). C2 через HTTPS на порту 443 - самый массовый вектор. Darktrace видит аномалии в метаданных (нетипичный JA3/JA4-хеш - при этом у JA3 известные ограничения: рандомизация в TLS 1.3, GREASE, и он постепенно вытесняется семейством JA4+) и нехарактерный размер пакетов. Но легитимный SaaS-трафик (Slack, Teams, Google Workspace) создаёт шум, в котором beacon к C2-серверу на Cloudflare Workers растворяется. Vectra справляется лучше за счёт identity-correlation: пользователь одновременно работает в M365 и шлёт данные на неизвестный endpoint - scoring растёт. Cisco ETA анализирует TLS metadata, но без identity-контекста сигнал остаётся слабым.
Protocol Tunneling (T1572, Command and Control). DNS-tunneling и ICMP-tunneling. Darktrace детектирует DNS-tunneling по объёму запросов и энтропии поддоменов. Но low-and-slow tunneling - 1-2 запроса в минуту, короткие поддомены с низкой энтропией - проходит через baseline. Cisco с Snort-правилами ловит известные инструменты (iodine, dnscat2 по сигнатурам), но пропускает кастомные реализации. Vectra ловит туннелирование через корреляцию с другими сигналами - если на хосте параллельно идёт discovery-активность, DNS-tunneling поднимает scoring. Без контекста - пропускает.
Protocol or Service Impersonation (T1001.003, Command and Control). C2-трафик имитирует легитимный протокол - beacon маскируется под HTTPS к CDN с валидным TLS-сертификатом. Все три системы здесь уязвимы: если TLS-handshake стандартный, JA3-хеш не аномальный, а timing-паттерн beacon настроен с jitter 30-50%, ML-модель не отличает его от обычного браузерного трафика. Это не баг конкретного вендора - это фундаментальное ограничение ML-подхода к анализу зашифрованного трафика.
Traffic Signaling (T1205, Stealth / Persistence / Command and Control). Port knocking, magic packets для активации dormant implants. Единичный TCP SYN на нестандартный порт - ниже порога аномалии для всех трёх систем. Darktrace может заметить, если после "сигнала" хост резко меняет поведение, но с задержкой: к моменту алерта implant уже активен и выполнил первичные задачи.
Security Software Discovery (T1518.001, Discovery). Атакующий fingerprints установленные NDR/IDS: WMI-запросы к процессам, анализ DNS-резолвов к вендорским доменам (update.darktrace.com, sensor.vectra.ai), DHCP-fingerprinting sensor-appliance. Ни одна из трёх систем на это не алертит - для модели это обычная discovery-активность, неотличимая от работы IT-отдела.
Spoof Security Alerting (T1562.011, Stealth). Генерация ложных алертов для отвлечения SOC. При высоком FP rate Darktrace в первые недели дополнительные ложные алерты от атакующего растворяются в шуме. Vectra устойчивее: ложные алерты без supporting signals из identity/cloud не поднимут scoring.
Evasion: как атакующие обходят ML-IDS в корпоративной сети
Из опыта red team операций против enterprise-сетей с развёрнутыми NDR - три подхода, которые стабильно работают.
Low-and-slow recon
Отдельная история: beacon через легитимные облачные сервисы (Azure Blob Storage, AWS S3) использует Proxy-технику (T1090) и проходит через trusted домены с валидными TLS-сертификатами. Darktrace не алертит - это "нормальное" облачное взаимодействие. Vectra поднимает scoring, только если cloud connector видит нетипичный identity-контекст доступа.
Fingerprinting NDR перед действием
Прежде чем строить evasion-стратегию, стоит определить, что именно развёрнуто в сети. DNS-запросы к вендорским update-доменам, характерные DHCP-сигнатуры сенсоров, специфические порты управления (Darktrace обычно использует порт 443 для UI + нестандартные порты для syslog-интеграций) - всё это даёт fingerprint без активного сканирования. Security Software Discovery (T1518.001) - этап, который большинство операторов пропускают. Зря: знание конкретного вендора и модели ML позволяет адаптировать поведенческие паттерны C2 под конкретные слепые зоны.Decision tree: когда какую ML-IDS выбрать
| Условие | Рекомендация |
|---|---|
| OT/IoT-сегменты без агентов, неполная инвентаризация | Darktrace |
| Гибрид: on-prem + cloud + SaaS + identity | Vectra AI |
| Cisco-centric сетевая инфраструктура | Cisco Secure IDS |
| SOC < 3 аналитиков, нет SOAR | Darktrace (RESPOND как компенсация) |
| Зрелый SOC 5+ аналитиков, SIEM + SOAR | Vectra AI |
| Бюджет ограничен, известные угрозы - приоритет | Cisco Secure IDS |
| CI/CD-среды, ежедневные изменения инфраструктуры | Ни одна из трёх без тюнинга exclusion-правил |
| Мультивендорная сетевая инфраструктура | Darktrace или Vectra AI (не Cisco) |
Ни одна ML-IDS не заменяет остальные слои: SIEM (Splunk, Microsoft Sentinel) для корреляции, EDR (CrowdStrike Falcon, SentinelOne) для endpoint-видимости, identity security для AD-мониторинга. NDR покрывает то, что не видит EDR - unmanaged devices, east-west трафик, OT-сегменты - но не заменяет его. Развёртывание NDR как единственного инструмента детекции - архитектурная ошибка, независимо от вендора.
Три года работы с этими системами в production дали одно наблюдение, которое в вендорские pitch-деки не попадёт: разница между хорошим и плохим ML-IDS определяется не продуктом, а тем, кто его разворачивает и тюнит. Darktrace в плохо сегментированной flat-сети - генератор шума, alert fatigue через неделю. Vectra AI без выстроенных SOC-процессов - дорогой дашборд, который аналитики открывают раз в день. Cisco Secure без тюнинга Snort-правил под конкретную инфраструктуру - signature engine десятилетней давности.
Реальная проблема рынка NDR: вендоры продают "AI-driven autonomous defense", покупатели ждут plug-and-play. Ни один из трёх продуктов так не работает. Каждый требует инвестиций в baseline-период, настройки guardrails автоматического реагирования, интеграции в стек и - что критично - аналитиков, которые понимают, что видит модель и почему. Без этого coverage gap по MITRE ATT&CK у любого вендора составляет половину матрицы. И это не вина ML.
Мой прогноз: рынок NDR за ближайшие два года консолидируется вокруг identity-aware detection. Свыше 95% страничных загрузок в основных браузерах идут по HTTPS - поведенческий анализ на уровне сетевых пакетов теряет ценность с каждым годом. Кто первым интегрирует identity + network + cloud в один signal pipeline - тот займёт рынок. Пока Vectra AI ближе к этой модели, Darktrace догоняет, Cisco перестраивает архитектуру. Если хочется руками проверить, как anomaly-based detection реагирует на конкретные evasion-техники в контролируемой инфре - сценарии с работой с трафиком и детектами разной глубины есть на HackerLab.pro в категории network.
Последнее редактирование модератором:
