NDR vs SIEM: Die Hauptunterschiede
Gartner® Magic Quadrant™ NDR-Lösungen
Erfahren Sie, warum wir der einzige Anbieter im Challenger-Quadranten sind …
Erleben Sie KI-gestützte Sicherheit in Aktion!
Entdecken Sie die hochmoderne KI von Stellar Cyber zur sofortigen Bedrohungserkennung ...
Was ist NDR?
Netzwerkerkennung und -antwort konzentriert sich in erster Linie auf die Aufdeckung der granularen täglichen Aktivitäten in den Netzwerken eines Unternehmens. Anstatt ein Gateway am Rand der Netzwerke eines Unternehmens zu platzieren – was lediglich Einblick in den Nord-Süd-Verkehr gewährt – platziert NDR Sensoren in internen Netzwerken und protokolliert alle internen bzw. Ost-West-Verbindungen. Somit setzt NDR dort an, wo die Firewall aufhört.
Die Sensoren eines NDR kopieren jedes Paket – zusammen mit seinen Metadaten – und senden die Kopien an die zentrale Analyse-Engine der Lösung. Dies wird häufig durch Netzwerk-TAPs (Span Ports) erreicht, leistungsstarke hardwarebasierte Sensoren. In anderen Einsatzumgebungen können softwarebasierte und virtuelle Sensoren erforderlich sein.
Zusammen werden alle diese Daten im kontinuierlichen Überwachungs- und Reaktionsstapel eines NDR zusammengefasst:
Festlegung einer netzwerkbezogenen Verhaltensbasis
Bei der ersten Implementierung besteht die unmittelbare Aufgabe eines NDR darin, das normale, alltägliche Verhalten der angeschlossenen Netzwerke zu erfassen. Dies wird erreicht, indem die gesammelten Protokolle in einen unüberwachten Lernalgorithmus eingespeist werden, der diesen Datenstrom zu einem Modell durchschnittlicher Kommunikationsmuster, -volumen und -zeitpunkte zusammenfügt. Durch die Profilierung all dieser Daten kann ein NDR seine erste Ebene der Bedrohungserkennung auf Netzwerkebene implementieren.
Erkennung von Abweichungen vom Ausgangswert
Wenn das Netzwerkverhalten eines Geräts vom normalen Modell abweicht, kann der NDR dies erkennen und als potenziell verdächtig kennzeichnen. Zu diesem Verhalten können beispielsweise ein plötzlicher Anstieg von Anmeldeversuchen, Verbindungsversuche über eingeschränkte Ports oder die unerwartete Exfiltration von Daten eines Mitarbeiters gehören, der normalerweise nicht auf diese Datenbank zugreift.
Abhängig vom betreffenden unberechenbaren Verhalten kann der NDR dann entweder eine automatische Antwort veranlassen oder die Netzwerkaktivität mit bekannten Indikatoren für eine Gefährdung (Indicators of Compromise, IoCs) vergleichen.
Signaturbasierte Analyse
Die meisten Cyberangriffe folgen einem bestimmten Ansatz: Dieses Angriffsprofil führt zu festgelegten Aktivitätsmustern (IoCs). Um das Risiko hinter Netzwerkabweichungen zu überprüfen, kann ein NDR die Echtzeitaktivität eines Netzwerks mit seiner IoC-Datenbank vergleichen. So kann er schnell und automatisch erkennen, welcher Angriff genau stattfindet – und einen potenziellen Angreifer lokalisieren.
Automatisierte Antwort
Was ist SIEM?
Während NDRs Pakete aus den Netzwerken einer Organisation sammeln und analysieren, SIEM breitet ein noch größeres Netz aus: Es zielt darauf ab, unternehmensweite Transparenz zu erlangen. Protokolle sind kleine Dateien, die ein Gerät bei jeder Aktivität erzeugt: Sie werden gesammelt für SIEM Die Analyse erfolgt über einen Software-Agenten, der auf jedem Quellgerät installiert wird.
Von dort aus die SIEM setzt die Protokolldateien zu einer zusammenhängenden Ansicht der Aktionen jedes Geräts wieder zusammen:
Protokollerfassung, -filterung und -analyse
Protokollnormalisierung
Jedes Gerät oder jede Anwendung erzeugt Protokolle in einer eigenen Syntax – diese kann von lesbarem Text bis hin zu komplexen JSON- oder XML-Strukturen reichen. Um dies alles lesbar zu machen, SIEMDie Analyse-Engine des Systems identifiziert die Quelle jedes Logeintrags und wendet einen speziell auf dieses Format zugeschnittenen Parser an. Parser zerlegen Logeinträge in einzelne Datenfelder wie Zeitstempel, Quell-IP-Adresse, Zielport, Ereignistyp oder Benutzer-ID. Dieses standardisierte Schema kann anschließend systemübergreifend verglichen und analysiert werden.
Analyse und Alarmierung
Die SIEM Der Dienst beginnt mit dem Scannen nach vordefinierten Mustern und Indikatoren für eine Kompromittierung (IOCs), wie beispielsweise mehreren fehlgeschlagenen Anmeldeversuchen, ungewöhnlichen Datenübertragungen oder Zugriffen von gesperrten IP-Adressen. Diese Muster sind üblicherweise in Erkennungsregeln oder Anwendungsfällen kodiert, die spezifischen Bedrohungen wie Brute-Force-Angriffen oder lateraler Bewegung zugeordnet sind.
Korrelation ist ein wesentlicher Bestandteil dieses Analyseprozesses. SIEMSie verknüpfen scheinbar unabhängige Ereignisse in verschiedenen Systemen – wie beispielsweise eine verdächtige Anmeldung, gefolgt von einer Konfigurationsänderung und dem Download einer großen Datei. Wenn eine Ansammlung verdächtiger Warnmeldungen entdeckt wird, SIEM sendet eine Warnung an das Sicherheitsteam der Organisation, das dann das zugrunde liegende Sicherheitsrisiko überprüft und behebt.
NDR vs SIEMZwei unterschiedliche Anwendungsfälle
Seitliche Bewegungserkennung
Einzelne Glasscheibe
SIEMSie bieten Teams eine zentrale Übersicht, indem sie Sicherheitsdaten aus allen Assets eines Unternehmens in einer einzigen Benutzeroberfläche zusammenführen und konsolidieren. Anstatt dass Analysten zwischen mehreren Tools wechseln müssen, die jeweils einen spezifischen, isolierten Bereich abdecken, … SIEM bündelt alles auf einer einzigen Plattform.
SIEMDiese Komplettlösung wird durch anpassbare Dashboards, Echtzeitwarnungen, Ereigniszeitleisten und Berichtsfunktionen in einer benutzerfreundlichen Oberfläche unterstützt. Dadurch können Teams einen Großteil ihrer Arbeitsabläufe in einer einzigen Anwendung zusammenfassen und den täglichen Betrieb deutlich optimieren.
Kombinieren Sie NDR-Präzision und SIEM Sichtbarkeit mit Stellar Cyber Open XDR Platform
