Видит то, что происходит внутри сети: перемещение атакующего между серверами, сканирование, передачу данных наружу, подозрительные подключения к управляющим серверам. Особенно полезен там, где на узлах нельзя поставить агентов (старое оборудование, АСУ ТП, сетевые устройства).

Датчики получают копию трафика (SPAN или TAP), восстанавливают сеансы и применяют сигнатуры, правила поведения и модели машинного обучения. Система хранит метаданные и при необходимости сам трафик, что позволяет расследовать инцидент задним числом. Может передавать команды на блокировку межсетевому экрану или узловым средствам.

• Охват: сколько сегментов и каналов можно зеркалировать и как это влияет на нагрузку.
• Глубина хранения трафика и метаданных.
• Качество и прозрачность обнаружений: описание, привязка к тактикам атак, рекомендации.
• Интеграции: SIEM, межсетевой экран, EDR для блокировки.
• Работа с промышленными протоколами и устаревшими системами, если они есть.
• Требования к серверам и объему хранилища.

PT Network Attack Discovery (Positive Technologies), Kaspersky Anti Targeted Attack, Solar NGR (Ростелеком-Солар). Это не рекомендация. Наличие, тип, класс и срок действия сертификата каждого продукта проверять в реестре на дату закупки.