Die 15 besten Network Detection and Response (NDR)-Lösungen
Gartner® Magic Quadrant™ NDR-Lösungen
Erfahren Sie, warum wir der einzige Anbieter im Challenger-Quadranten sind …
Erleben Sie KI-gestützte Sicherheit in Aktion!
Entdecken Sie die hochmoderne KI von Stellar Cyber zur sofortigen Bedrohungserkennung ...
Warum benötigen Sie eine NDR-Lösung?
Moderne Netzwerke sehen ganz anders aus als die von vor zehn Jahren: Anwendungs-Workloads basieren auf einer verteilten Architektur, Remote-Mitarbeiter sind in hohem Maße auf öffentliche und private Netzwerke angewiesen und eine sich schnell verändernde globale Bedrohungslandschaft setzt Netzwerkingenieure und Sicherheitsadministratoren gleichermaßen zunehmend unter Druck.
Infolgedessen bietet die Firewall – einst ein Bollwerk der Netzwerksicherheit – nicht die erforderliche Transparenz. Sie konzentriert sich ausschließlich auf Nord-Süd-Datenströme: den Datenverkehr zwischen Geräten innerhalb eines internen Netzwerks und dem öffentlichen Internet. Hier schließen NDR-Lösungen die Lücke: Sie setzen Sensoren in internen Netzwerken ein und überwachen jede Interaktion zwischen internen Geräten.
Diese Daten werden in ein Modell des normalen Netzwerkverhaltens integriert und mit anderen Informationen verglichen und abgeglichen. KI-Modelle vergleichen diese Daten mit dem historischen Netzwerkmodell und erkennen Abweichungen. Erfahren Sie mehr über was NDR hier ist.
So wählen Sie das richtige NDR-Tool aus
Wie wir gleich sehen werden, gibt es heute Dutzende von NDR-Anbietern und -Tools auf dem Markt. Die Auswahl des richtigen Anbieters beginnt mit einem tiefen Verständnis Ihrer spezifischen Netzwerkarchitektur, Bedrohungslandschaft und Compliance-Anforderungen. Um dies zu erreichen, muss eine Analyse von einigen wichtigen Beteiligten durchgeführt werden. Ein CISO, SOC Der Manager und/oder das Netzwerkadministrationsteam benötigen jeweils ihren eigenen Input zu den aktuellen Sicherheits- und Netzwerkmanagement-Schwachstellen.
Ein Schlüsselelement von NDR ist die Integration in bestehende Sicherheits- und IT-Infrastrukturen. Beginnen Sie mit der Visualisierung Ihrer eigenen Netzwerke. Verstehen Sie deren Durchsatz, die Plattform der Server, ob sie vor Ort oder in der Cloud installiert sind und ob aktuelle Sicherheitstools den Ost-West-Verkehr in den Netzwerken überwachen können.
Bewerten Sie abschließend die Ressourcen, die Ihr Unternehmen für ein Tool bereitstellen muss: Eine Lösung mit schneller Einrichtung, automatisierter Bedrohungserkennung und intuitiven Dashboards kann für schlanke Sicherheitsteams von entscheidender Bedeutung sein. Hochgradig anpassbare Optionen hingegen erfordern zwar mehr Personal, können aber Fehlalarme in hochkomplexen Netzwerken ausschließen. Es ist wichtig, sich die Zeit zu nehmen, Ihre Anforderungen zu ermitteln, sonst riskieren Sie, ein Produkt allein wegen seines dreibuchstabigen Akronyms zu kaufen.
Was sind die Hauptfunktionen von NDR?
Während es wichtig ist, die richtige Auswahl aus den verfügbaren NDR-Lösungen zu treffen, lohnt es sich, die wesentlichen Funktionen herauszuarbeiten, die die Kernfunktionen bereitstellen
- Deep Packet Inspection (DPI): DPI analysiert den gesamten Inhalt von Netzwerkpaketen – nicht nur die Header – und bietet detaillierte Einblicke in die Datenströme. DPI ist zwar unerlässlich, hat aber auch Grenzen: Es ist ressourcenintensiv und stößt in Umgebungen mit hoher Bandbreite oder verschlüsseltem Datenverkehr an seine Grenzen, da hier die Transparenz stark eingeschränkt ist.
- Metadatenanalyse: Metadaten bieten hochskalierbare Einblicke durch die Erfassung von Sitzungsattributen wie IP-Adressen, Ports, DNS-Protokollen und Verschlüsselungsdetails – ohne dass dabei die gesamten Paketnutzlasten erfasst werden müssen. Im Gegensatz zu DPI bleiben sie auch in verschlüsselten und verteilten Netzwerken wirksam und eignen sich daher ideal für moderne Umgebungen.
- Verhaltensanalyse: Anstatt sich ausschließlich auf bekannte Bedrohungssignaturen zu verlassen, nutzt die Verhaltensanalyse maschinelles Lernen, um Anomalien zu erkennen. Überwachte Modelle erkennen gängige Bedrohungsverhaltensweisen, während unüberwachte Modelle Basiswerte festlegen und Abweichungen kennzeichnen, um neuartige Angriffe aufzudecken.
- Threat Intelligence-Integration: Die Verknüpfung von NDR mit Threat-Intelligence-Feeds verbessert die Erkennung bekannter IoCs und Angriffsmuster. Dieser Kontext hilft bei der Priorisierung von Bedrohungen und verbessert die Reaktion auf Vorfälle, insbesondere in Verbindung mit Frameworks wie MITRE ATT&CK.
- Security Stack-Integration: Die Kombination von NDR mit Tools wie EDR und SIEM Es bietet umfassende Transparenz für ein Sicherheitsteam. Deutlich mehr Angriffe im Netzwerk werden erkannt, und die plattformübergreifende Integration ermöglicht automatisierte oder sofortige Reaktionen ab dem ersten Angriffspunkt.
Top 15 der empfohlenen NDR-Lösungen
#1. Stellar Cyber
Stellar Cyber ist ein offenes, erweitertes Erkennungs- und Reaktionssystem (Open XDRStellar ist eine Plattform, die sich nicht wie andere NDR-Anbieter auf Netzwerktelemetrie beschränkt, sondern alle relevanten Sicherheitsdaten umfassend erfasst und analysiert. Dazu gehören Netzwerk- und Endpunktverhalten, Identitätsprotokolle und Produktivitätsanwendungen. Nach der Erfassung und Analyse aller Daten werden Warnmeldungen vorab analysiert, zu Vorfällen gruppiert und Fehlalarme verworfen.
- Erkennt und analysiert alle Assets in verbundenen Netzwerken.
- Normalisiert und analysiert alle Daten durch mehrere Runden von Kreuzanalysen.
- Führt eine Deep Packet Inspection unverschlüsselter Pakete sowie eine Verhaltensanalyse der App- und Netzwerkmetadaten durch.
- Ordnet erkannte Bedrohungen den spezifischen ATT&CK-Techniken zu und ermöglicht so ein klares Verständnis des Angriffsverhaltens, anstatt einfacher Anomaliewarnungen.
Vorteile: MITRE ATT&CK-Ausrichtung, leistungsstarke Funktionen zur Bedrohungssuche, hohe Skalierbarkeit und Integrationsmöglichkeiten. Alle Funktionen werden unter einer Lizenz angeboten.
Nachteile: Erfordert möglicherweise eine Analystenschulung. Funktioniert am besten bei Integration in ein bereits vorhandenes EDR-Tool.
#2. Sangfor Cyber-Kommando
- Übernimmt Netzwerkprotokolldaten in eine zentrale Verwaltungsplattform.
- Erstellt ein Basismodell des normalen Anlagenverhaltens.
- Vergleicht mit Indikatoren für eine Gefährdung innerhalb der Bedrohungsinformationen.
#3. Cortex von Palo Alto Networks
- Zieht Daten von Netzwerkservern und allen vorinstallierten Sicherheitstools in eine zentrale Analyse- und Warn-Engine.
- Kombiniert Endpunkt- und Netzwerksicherheitsdaten, bevor Warnungen ausgegeben werden.
#4. Crowdstrike Falcon
Ähnlich wie Cortex ist Falcon ein gemeinsames EDR- und NDR-Tool, das Daten von allen Endpunkten, Netzwerken, Benutzern und Sicherheitstools einer Organisation erfasst.
- Sowohl richtlinienbasierte als auch verhaltensbasierte Bedrohungserkennung.
- Liefert priorisierte Warnungen an die entsprechenden Sicherheitsadministratoren.
- Crowdstrike teilt IoCs zwischen Kunden und verhindert so neuartige Angriffe.
Vorteile: Hervorragende Sichtbarkeit und Protokollierung, relativ einfache Bereitstellung und zugängliches Dashboard.
Nachteile: Die Konfigurationsoptionen sind begrenzt, und die Alarm- und Workflow-Anpassung ist nicht so umfassend wie die Datenanalysefunktionen.
#5. DarkTrace
Darktrace ist eine in Großbritannien ansässige NDR-Lösung, die sich auf die Anwendung von Verhaltensanalysen zur Netzwerksicherheit konzentriert. Sie bietet weitere Plugins, beispielsweise für E-Mail-Sicherheit, die die gleiche Analyse auf Kommunikationsplattformen anwendet. Beliebt bei Organisationen ohne dedizierte Sicherheitsteams.
- Selbstlernende Verhaltensanalysemodelle, die auf lokalen Maschinen bereitgestellt werden.
- Enthält einen KI-Chatbot, der Warnungen in einfachem Englisch beschreibt.
Vorteile: Kostenlose Testversion, dedizierte Installation und Unterstützung bei der Erstkonfiguration.
Nachteile: Teuer, es fehlt die Integration von Sicherheitstools von Drittanbietern; das alleinige Vertrauen auf Verhaltensanalysen birgt das Risiko einer großen Zahl von Fehlalarmen.
Nr. 6. ExtraHop RevealX
RevealX ist eine NDR-Plattform mit doppeltem Verwendungszweck, die auch aufgrund ihrer Funktionen zur Netzwerkleistungsverwaltung genutzt werden kann.
- Führt Paketerfassungen zur Analyse durch und bietet SSL- und TLS-Entschlüsselung.
- Sowohl lokale als auch Cloud-basierte Bereitstellungsoptionen.
Vorteile: Gute Dokumentation, durch die Entschlüsselung können verschlüsselte Malware-Pakete erkannt werden.
Nachteile: Die Paketentschlüsselung ist teuer, erfordert oft den Einsatz mehrerer Geräte und kann selbst ein Sicherheitsrisiko darstellen.
#7. Vectra.ai
Vectra.AI ist ein etabliertes NDR-Tool, das in den SaaS-, öffentlichen Cloud- und Rechenzentrumsnetzwerken eines Unternehmens bereitgestellt wird.
- Analysiert Netzwerk- und Identitätsaktivitäten über eine zentrale KI und fasst Probleme in Warnungen zusammen.
- Priorisiert Warnungen und zeigt über das Dashboard die Gründe dafür an.
Vorteile: Die Managed Detection and Response (MDR)-Funktionen von Vectra können die KI durch menschliche Beurteilung unterstützen. Ein leistungsstarkes eigenständiges Tool.
Nachteile: Eingeschränkte Integration mit anderen Sicherheitstools, mangelhafte Schulung für neue Benutzer, hoher Anpassungs- und Wissensbedarf, recht technisches Dashboard.
#8. Muninn
Muninn gehört Logpoint und ist ein beliebter NDR für mittelgroße Unternehmen, die neu im Bereich der internen Netzwerksicherheit sind.
- Konzentriert sich auf eine einfache Bereitstellung mit weniger Anforderungen an die Switch- und Firewall-Konfiguration.
- Basislinien für normale Netzwerkverhaltensmodelle.
- Kann vor Ort und in Air-Gap-Netzwerken bereitgestellt werden.
Vorteile: Solider Überblick über den Netzwerkverkehr zu einem erschwinglichen Preis, ermöglicht die langfristige Speicherung von Rohdaten für die Forensik.
Nachteile: Relativ leichtes Tool, eine gründliche Vorfallanalyse muss immer noch manuell durchgeführt werden.
#9. Rapid7 InsightIDR
Technisch gesehen handelt es sich um ein cloudbasiertes Sicherheitsinformations- und Ereignismanagementsystem (SIEM) Lösung, sie bietet eine robuste XDR Funktionen durch Integration mit Endpunkten und Netzwerken.
- Bietet Datenaggregation bei einem lokalen Collector, was zur Einhaltung strenger Compliance-Vorschriften beitragen kann.
- Verlässt sich auf das MITRE ATT&CK-Framework als Informationsquelle.
Vorteile: Zugänglich Untersuchungstools und Dashboard, schnelle Integration mit vorhandenen Sicherheitstools.
Nachteile: Eingeschränkte Dashboard-Anpassung, nur Cloud-Verfügbarkeit, Protokolle werden nur 12 Monate lang gespeichert.
#10. Arista
Arista ist ein Gigant im Netzwerkbereich und konzentriert sich vor allem auf die Bereitstellung großer Rechenzentren, Campusse und Routing-Umgebungen. Ihr NDR stellt den Übergang von Switches zu Sicherheitstools dar. Daher ist es für die Verarbeitung großer Netzwerkdatenmengen gut konfiguriert und bei Netzwerkadministratoren beliebt.
- Konzentriert sich auf Null Vertrauen.
- Führt eine Deep Packet Inspection durch.
- Für eine schnelle Bereitstellung innerhalb weniger Stunden konzipiert.
Vorteile: Bietet ziemlich detaillierte Berichtsfunktionen, beispielsweise die Möglichkeit, die Netzwerknutzung einzelner Einheiten im Laufe der Zeit zu verfolgen.
Nachteile: Keine Möglichkeit, Benachrichtigungen per E-Mail oder SMS zu konfigurieren oder alte Daten zu archivieren, sehr begrenzte Dokumentation.
#11. Fortinet NDR
Ein weiterer etablierter Sicherheitsanbieter ist FortiNDR, das neueste Produkt von Fortinet und eines der teuersten. Dieses Tool überwacht die laufenden Aktionen einzelner Netzwerke und kombiniert im Wesentlichen die Funktionen der vorherigen Tools FortiGate und FortiSandbox.
- Ost-West-Netzwerkpakete werden auf bösartiges Verhalten und bösartige Inhalte analysiert.
- Kann in Air-Gap-Netzwerken eingesetzt werden.
- Bietet geführte Playbooks, um die Reaktion der Analysten zu beschleunigen.
Vorteile: Leistungsstarke Zero-Day-Erkennung; grundlegende automatische Behebungsoptionen sind über das Dashboard verfügbar; lässt sich sehr einfach in Fortinet-Tools integrieren.
Nachteile: Bietet keine detaillierte Analyse, die Benutzeroberfläche ist sehr einfach, die Integration mit den Tools anderer Sicherheitsanbieter ist mangelhaft.
#12. Cisco Secure Network Analytics (StealthWatch)
Obwohl Cisco StealthWatch technisch gesehen kein NDR ist, gilt es als Option für mehr Netzwerktransparenz. Da es manchmal in Ciscos Unternehmenslizenzen enthalten ist, könnten etablierte Cisco-Unternehmen versucht sein, es wie einen NDR zu nutzen. Die Verhaltensanalyse von StealthWatch erfasst jedoch nicht den Inhalt von Netzwerkpaketen, sondern nur deren Metadaten.
- Bietet Echtzeit-Einblicke und Berichte zum Nord-Süd-Verkehr.
- Ermöglicht eine längere Datenaufbewahrung und unterstützt so die Forensik.
Vorteile: Leistungsstarkes Tool zur Netzwerkverkehrsanalyse, vollständige Kontrolle und Anpassbarkeit, guter Kundensupport, doppelter Zweck zur Fehlerbehebung bei Netzwerkproblemen
Nachteile: Erfordert eine umfangreiche manuelle Konfiguration, bietet keine Ost-West- oder Serverprotokollanalyse, es werden keine Funktionen hinzugefügt und Firmware-Updates sind zeitaufwändig.
#13. ManageEngine Netflow Analyzer
Wie StealthWatch ist auch der NetFlow Analyzer von ManageEngine ein traditionelleres Tool zur Netzwerkverkehrsanalyse: Es erfasst und analysiert den Netzwerkverkehr in den einzelnen Subnetzen und segmentiert und analysiert die Nutzung entsprechend der Anwendungen, Schnittstellen und Geräte.
- Wendet Verhaltensanalysen auf den Nord-Süd-Verkehr an, sodass Administratoren unerwartete Verkehrsströme und Anfragen erkennen können.
- Überwacht und ordnet Anwendungsprotokolle zu.
Vorteile: Sehr kostengünstig, ermöglicht erfahrenen Netzwerkadministratoren die Verfolgung des Datenverkehrs zu und von internen Netzwerken
Nachteile: Ist strenggenommen kein NDR, da es keine Analyse des Ost-West-Netzwerkverkehrs ermöglicht.
#14. IronDefense
IronNets NDR-Lösung – IronDefense – ist ein relativer Neuling in der Sicherheitsszene und ein vollständig bereitgestelltes NDR-Angebot.
- Bietet Ost-West-Sichtbarkeit in Echtzeit.
- Bietet anpassbare Playbooks zur Durchführung vollständig oder teilweise automatisierter Antworten.
Vorteile: Das IronNet-Team legt großen Wert auf neue Funktionen und Verbesserungen. Bereitstellung und Integration sind einfach und optimiert.
Nachteile: Kann bei der Bereitstellung in schnell skalierenden Netzwerken Probleme beim Ausführen des Tempos haben, hat nicht die schönste Benutzeroberfläche, Junior-Analysten müssen während der Lernkurve unterstützt werden.
#15. Kernlicht
Angesichts der Menge an proprietärer Software, die wir bereits behandelt haben, bricht Corelight mit diesem Trend, indem es auf der Open-Source-Software Zeek basiert. Zeek ist ein etabliertes System zur Überwachung des Netzwerkverkehrs, beschränkt sich jedoch auf die passive Protokollerfassung; in einer Open-Source-Umgebung setzen Administratoren es üblicherweise mit Suricata ein. Corelight übernimmt diese Funktionalität und baut darauf auf.
- Automatisierte Ereignisanalyse.
- KI-gestütztes Ticketmanagement ermöglicht schnellere Arbeitsabläufe.
- Der Sensormanager, genannt Fleet Manager, ermöglicht die Verwaltung von Sensoren im Aggregat.
Vorteile: Starker Fokus auf flexibler Integration; der Kundenservice ist angeblich sehr gut.
Nachteile: Keine TLS-Entschlüsselung, und der Flottenmanager kann unhandlich sein, da er keine Möglichkeit hat, kontinuierlich Systemprotokolle herunterzuladen oder vorherige Richtlinien auf neue Sensoren anzuwenden.
Automatisieren Sie die Netzwerkerkennung und -reaktion mit Stellar Cyber
Stellar Cyber optimiert die Netzwerksicherheit wie nie zuvor: Die umfassende Rohdatenerfassung von Layer 2 bis Layer 7 erfasst jeden Datenpunkt und prüft ihn auf zugehörige Heuristiken oder bekannte Angriffssignaturen. Anstatt Warnmeldungen in den Posteingängen Ihrer Analysten zu stapeln, fasst Stellar einzelne Warnmeldungen in ihren umfassenderen Sicherheitsvorfällen zusammen und verschafft ihnen so einen Vorsprung. Legen Sie Reaktionsmaßnahmen automatisch fest oder ergreifen Sie mit nur einem Klick Abhilfemaßnahmen. Entdecken Sie hier mehr über die Funktionen von Stellar Cyberund beginnen Sie, Ihre Netzwerksicherheit präzise und umfassend zu gestalten.
