«АртЭКС» завершила стендовые испытания интеграции ArtX TLSproxy с тремя продуктами НПО «Эшелон»: SIEM Komrad, NGFW «Рубикон Nova» и NTA eSensor. Для корпоративной ИБ это практический сценарий, в котором контроль зашифрованного трафика перестаёт быть слепой зоной: TLS-соединения можно раскрывать для проверки, а найденные угрозы — блокировать без ручной передачи данных между системами.
О результатах испытаний сообщает CNews. В связке ArtX TLSproxy берёт на себя расшифровку содержимого соединений, а продукты НПО «Эшелон» получают данные для анализа каждый в своей роли: SIEM Komrad — для расследований, NGFW «Рубикон Nova» — для выявления угроз на уровне приложений и блокировки, NTA eSensor — для пассивного поиска аномалий.
Главная сложность такого проекта не в том, чтобы увидеть факт TLS-сессии. Большая часть прикладного обмена в корпоративной сети давно идёт по зашифрованным каналам: веб-сервисы, API, почта, облачные приложения, интеграции между внутренними системами. Без расшифровки средства защиты нередко видят адреса, порты и метаданные, но не содержимое запроса или ответа. Для расследования инцидента этого может не хватить, а для оперативного реагирования — тем более.
По заявлению компаний, на стенде проверили модель, при которой расшифрованный поток передаётся в системы анализа, а решение о блокировке применяется в реальном времени и не должно нарушать работу сети. Это важная оговорка: внедрение TLS-инспекции обычно упирается не только в детектирование угроз, но и в риск задержек, ошибок с сертификатами и конфликтов с приложениями. Лишний прокси в критическом тракте быстро становится заметнее самой атаки.
Роли продуктов в интеграции разделены достаточно понятно. SIEM Komrad получает нормализованные сведения, которые можно использовать при расследовании: сопоставлять события, строить цепочку действий и добавлять сетевой контекст к другим журналам. «Рубикон Nova» работает ближе к точке принудительного применения политики — распознаёт угрозы на прикладном уровне и инициирует блокировку. eSensor остаётся пассивным наблюдателем: его задача — искать отклонения в трафике, не вмешиваясь в передачу данных.
Для ИБ-команд ценность здесь зависит от качества всей цепочки, а не от одного компонента. Расшифровка без нормализации и корреляции превращается в поток плохо читаемых данных. Аналитика без возможности быстро остановить вредоносное соединение оставляет SOC в роли наблюдателя. А блокировка без аккуратно настроенных исключений способна создать инцидент собственными силами — например, сломать интеграцию с внешним сервисом или клиентское приложение с certificate pinning.
Поэтому промышленное внедрение потребует привычной, но не слишком приятной работы: инвентаризации TLS-сервисов, политики работы с сертификатами, исключений для чувствительных систем и проверки влияния на производительность. Отдельно придётся определить, какие категории данных допустимо расшифровывать и хранить в журналах. Контроль зашифрованного трафика повышает наблюдаемость сети, но одновременно расширяет контур ответственности за данные, которые раньше были скрыты внутри TLS.
Компании называют результаты стендовых испытаний подтверждением готовности связки к промышленному использованию для защиты корпоративных сетей. Следующий действительно показательный этап — эксплуатация в неоднородной инфраструктуре, где рядом работают старые приложения, внешние SaaS-сервисы и строгие требования к доступности. Именно там станет ясно, насколько контроль зашифрованного трафика в этой интеграции удобен не на стенде, а в ежедневной работе SOC и сетевой команды.
