NDR مقابل SIEM: الاختلافات الرئيسية
حلول Gartner® Magic Quadrant™ NDR
اكتشف لماذا نحن البائع الوحيد الموجود في ربع Challenger...
تجربة الأمن المدعوم بالذكاء الاصطناعي في العمل!
اكتشف الذكاء الاصطناعي المتطور من Stellar Cyber للكشف الفوري عن التهديدات...
ما هو NDR؟
كشف الشبكة والاستجابة لها يركز نظام NDR بشكل أساسي على كشف الأنشطة اليومية الدقيقة داخل شبكات المؤسسة. فبدلاً من وضع بوابة على حافة شبكات المؤسسة - مما يمنحها رؤية حصرية لحركة المرور من الشمال إلى الجنوب - يضع نظام NDR أجهزة استشعار على الشبكات الداخلية، ويسجل جميع الاتصالات الداخلية، أو من الشرق إلى الغرب. وبهذه الطريقة، يبدأ نظام NDR من حيث انتهى جدار الحماية.
تنسخ مستشعرات NDR كل حزمة - مع بياناتها الوصفية - وترسل النسخ إلى محرك التحليل المركزي للحل. غالبًا ما يتم تحقيق ذلك من خلال منافذ الشبكة (TAPs)، وهي مستشعرات عالية الأداء قائمة على الأجهزة؛ وقد تتطلب بيئات النشر الأخرى مستشعرات برمجية وافتراضية.
يتم تجميع كل هذه البيانات بشكل جماعي في مجموعة المراقبة والاستجابة المستمرة لـ NDR:
إنشاء خط الأساس السلوكي للشبكة
عند نشره لأول مرة، يتمثل دور جهاز الإبلاغ عن التهديدات غير المصرح بها (NDR) في تحديد السلوك اليومي الاعتيادي لشبكاته المتصلة. ويتحقق ذلك من خلال إدخال السجلات المجمعة في خوارزمية تعلم غير خاضعة للإشراف، والتي تجمع هذا التدفق من البيانات في نموذج لأنماط الاتصال المتوسطة وحجمها وتوقيتها. ومن خلال تحديد كل ذلك، يمكن لجهاز الإبلاغ عن التهديدات غير المصرح بها (NDR) تطبيق مستواه الأول من الكشف عن التهديدات على مستوى الشبكة.
اكتشاف الانحرافات عن خط الأساس
عندما يبدأ سلوك شبكة جهاز ما بالانحراف عن النموذج الطبيعي، يمكن لتقرير عدم الإفصاح عن المشكلة (NDR) ملاحظة ذلك وإبلاغه بأنه قد يكون مشبوهًا. قد يشمل هذا السلوك تدفقًا مفاجئًا لمحاولات تسجيل الدخول، أو محاولات الاتصال بمنافذ محظورة، أو تسريبًا غير متوقع للبيانات من موظف لا يستخدم قاعدة البيانات هذه عادةً.
اعتمادًا على السلوك غير المنتظم المعني، يمكن لـ NDR بعد ذلك الانخراط في استجابة آلية، أو مقارنة نشاط الشبكة بمؤشرات الاختراق المعروفة (IoCs).
التحليل القائم على التوقيع
تتبع غالبية الهجمات الإلكترونية نهجًا محددًا: ينتج عن هذا النمط من الهجوم أنماط محددة من الأنشطة، أو مؤشرات الأداء الرئيسية (IoCs). للتحقق من المخاطر الكامنة وراء انحرافات الشبكة، يُقارن تقرير عدم الاستجابة للتهديدات (NDR) نشاط الشبكة في الوقت الفعلي بقاعدة بيانات مؤشرات الأداء الرئيسية (IoCs)، مما يسمح له بالكشف السريع والتلقائي عن الهجوم الذي يحدث بدقة، والمساعدة في تحديد المهاجم المحتمل.
الرد الآلي
ما هي تفاصيل SIEM?
بينما تقوم أجهزة كشف التسلل الشبكي (NDRs) بجمع وتحليل الحزم من شبكات المؤسسة، SIEM يوسع نطاق التغطية بشكل أكبر: إذ يهدف إلى تحقيق رؤية شاملة على مستوى المؤسسة. السجلات عبارة عن ملفات صغيرة يُنشئها الجهاز عند قيامه بأي نشاط: ويتم جمعها لـ SIEM التحليل عبر برنامج وسيط يتم تثبيته على كل جهاز مصدر.
من هناك ، و SIEM يعيد تجميع ملفات السجل في عرض متماسك لإجراءات كل جهاز:
جمع السجلات وتصفيتها وتحليلها
تطبيع السجل
يقوم كل جهاز أو تطبيق بإنشاء سجلات بصيغة خاصة به، والتي قد تتراوح بين نص قابل للقراءة البشرية وهياكل JSON أو XML كثيفة. لجعل كل ذلك قابلاً للقراءة لـ SIEMيُحدد محرك التحليل الخاص بالنظام مصدر كل سجل ويُطبق مُحللاً مُصمماً خصيصاً لهذا التنسيق. يقوم المُحلل بتقسيم إدخالات السجل إلى حقول بيانات فردية، مثل الطابع الزمني، وعنوان IP المصدر، ومنفذ الوجهة، ونوع الحدث، أو مُعرف المستخدم. يُمكن بعد ذلك مُقارنة هذا المخطط المُوحد وتحليله عبر الأنظمة.
التحليل والتنبيه
أكثر من SIEM تبدأ العملية بفحص أنماط ومؤشرات اختراق محددة مسبقًا، مثل محاولات تسجيل دخول فاشلة متعددة، أو عمليات نقل بيانات غير معتادة، أو الوصول من عناوين IP مدرجة في القائمة السوداء. عادةً ما تكون هذه الأنماط مُشفّرة في قواعد الكشف أو حالات الاستخدام التي تُشير إلى تهديدات مُحددة، مثل هجمات القوة الغاشمة أو التنقل الجانبي.
يُعد الارتباط جزءًا أساسيًا من عملية التحليل هذه. SIEMتربط هذه الأنظمة أحداثًا تبدو غير مترابطة عبر أنظمة مختلفة - مثل تسجيل دخول مشبوه يتبعه تغيير في الإعدادات وتنزيل ملف كبير. عند اكتشاف مجموعة من التنبيهات المشبوهة، SIEM يرسل تنبيهًا إلى فريق أمن المؤسسة، الذي يقوم بدوره بالتحقق من المخاطر الأمنية الأساسية ومعالجتها.
NDR مقابل SIEMحالتا استخدام مختلفتان
كشف الحركة الجانبية
لوح زجاجي واحد
SIEMتوفر هذه الحلول للفرق واجهة موحدة، تجمع وتدمج بيانات الأمان من جميع أصول المؤسسة في واجهة واحدة. فبدلاً من تنقل المحللين بين أدوات متعددة، تغطي كل منها مجالًا محددًا ومعزولًا، فإن هذه الحلول توفر لهم رؤية شاملة. SIEM يجمع كل شيء في منصة واحدة.
SIEMندعم هذه الوظيفة الشاملة من خلال توفير لوحات تحكم قابلة للتخصيص، وتنبيهات فورية، وجداول زمنية للحوادث، وميزات إعداد التقارير ضمن واجهة مستخدم سهلة الاستخدام. ونتيجة لذلك، يمكن للفرق دمج جزء كبير من سير العمل في سير عمل واحد، وتبسيط العمليات اليومية بشكل كبير.
اجمع بين دقة NDR و SIEM الرؤية مع ستيلار سايبر Open XDR المنظومة
