Сетевая IDS (NIDS)

Сетевая система обнаружения вторжений (NIDS) получает зеркалированную или ответвлённую копию трафика — через SPAN-порты, сетевые TAP, packet broker’ы или виртуальные TAP — и анализирует её с помощью сигнатур (правил Snort/Suricata), протокольных декодеров (Zeek) и статистических моделей. NIDS обеспечивает широкую видимость по множеству хостов без агентов на каждой конечной точке и подходит для мониторинга север-юг и восток-запад, являясь базовым сенсором SOC и команд threat hunting. Так как современный трафик в основном зашифрован TLS, NIDS всё чаще опирается на метаданные TLS, отпечатки JA3/JA4 и поведенческую аналитику потоков. Эффективное использование требует продуманного TAP-дизайна, мощностей захвата, точной синхронизации времени и интеграции с SIEM и NDR.