Detección y respuesta de red (NDR) ha sido el Rodney Dangerfield de las herramientas de seguridad en los últimos años: "no recibe ningún respeto". Posiblemente, este estado de mala reputación provenga de todo el dinero de marketing que se ha gastado en Detección y respuesta de punto final (EDR) y Detección y respuesta ampliadas (XDR)También podría estar relacionado con el crecimiento del tráfico cifrado y la creencia errónea asociada de que el tráfico cifrado prácticamente cegaba la tecnología NDR (nota: no fue así).
Sea cual sea el motivo del descenso de NDR en la jerarquía de herramientas de seguridad, quiero dejar claro que las afirmaciones insolentes sobre NDR no solo son falsas, sino que también pueden suponer un riesgo innecesario para las organizaciones que se aferran a ellas. En mi humilde opinión, NDR es una herramienta esencial para las operaciones de seguridad hoy en día, y su valor no hará más que aumentar en el futuro.
Permítanme explicarme. Hay un viejo dicho en ciberseguridad: "la red no miente", lo que significa que la telemetría de red es fundamental para monitorear todas las actividades: qué tráfico es crítico para la misión, qué tráfico y protocolos atraviesan la red, cómo se desempeña la red y qué tráfico se utiliza para actividades maliciosas. Desde una perspectiva de seguridad, NDR es esencial como complemento de tecnologías como EDR, XDR, SIEMy otros, específicamente para:
- Proteger y defender los activos “sin agente”. Muchos activos de TI, como enrutadores, dispositivos de red y dispositivos IoT/OT, no funcionan. EDR agentes, lo que hace que el EDR sea insensible a ataques relacionados. Ah, y ha habido muchísimos, como el ataque Triton/Trisis de 2017 (controladores de seguridad OT), el hackeo de cámaras Verkada de 2021 y, por supuesto, el más grande de todos, Stuxnet (2010). Un EDR eficaz puede monitorear estos dispositivos, detectar patrones de tráfico anómalos y facilitar una respuesta rápida.
- Detección de movimiento lateral. Cuando los adversarios comprometen un activo (por ejemplo, al deshabilitar un agente EDR), el NDR es crucial para investigar el tráfico de red anómalo que podría indicar movimientos laterales utilizados para la escalada de privilegios o el descubrimiento de datos críticos. Esto es especialmente importante para defenderse de los ataques de tipo "aprovechamiento del entorno" que imitan fielmente la actividad de tráfico de red "normal".
- Exfiltración de datos. NDR Es especialmente eficaz para detectar transferencias de datos grandes o inusuales, a menudo canalizadas a servidores externos mediante el protocolo DNS. Por ejemplo, el kit de herramientas de malware Decoy Dog de 2023 extraía datos confidenciales dividiéndolos en pequeños fragmentos, cifrándolos o codificándolos y añadiéndolos como subdominios a dominios controlados por el atacante. El servidor del atacante capturaba estas solicitudes entrantes, eliminaba el empaquetado del dominio y reconstruía la carga útil, permaneciendo invisible para los cortafuegos tradicionales. De nuevo, las principales herramientas NDR habrían detectado estos patrones de tráfico sigilosos y anómalos, generando una alerta.
- Telemetría complementaria y crítica. Los modelos de IA son tan buenos como los datos en los que se basan. La telemetría de red complementa los registros, las alertas EDR y otras fuentes de datos con información sobre protocolos riesgosos, patrones de tráfico anómalos, movimientos laterales que indican ataques lentos y de baja intensidad, y análisis de tráfico cifrado (ETA). Por ejemplo, la telemetría de datos de red puede ayudar a los agentes de seguridad autónomos a validar o refutar alertas de endpoints potencialmente comprometidos, cotejando los registros internos del sistema con los patrones de tráfico externo reales. En definitiva, la telemetría de red desvela la invisibilidad de un atacante al correlacionar los movimientos laterales maliciosos con otras fuentes de datos en tiempo real.
- Mejores modelos para la cobertura de IoT/OT. Industrias como la manufactura, la atención médica y la logística continúan agregando nuevos tipos de IoT y OT dispositivos. Por ejemplo, la Guía de Gasto Mundial Semestral en IoT de IDC para 2026 proyecta que el gasto global en IoT/OT superará la marca de $1.1 billones para finales de 2026. A pesar de este crecimiento, la investigación de McKinsey & Company indica una "brecha de visibilidad", donde la empresa industrial promedio todavía no puede identificar el 30% de los dispositivos conectados a su red de producción principal. NDR puede descubrir activos y monitorear patrones de tráfico y protocolos únicos, que luego pueden usarse para el desarrollo de modelos de IA y funcionalidad de agentes. Esto podría significar la diferencia entre alertas ruidosas y una detección de amenazas de IoT/OT precisa y concisa.
- Una primera línea de respuesta de defensa. Junto con la inteligencia sobre amenazas, NDR La telemetría puede ayudar a las organizaciones a predecir ataques, visualizar las rutas de ataque y reforzar las defensas. Con datos de telemetría de red y de otro tipo, los agentes de IA podrían activar flujos de trabajo para aislar automáticamente una VLAN comprometida o actualizar las reglas del firewall en tiempo real si detectan un comportamiento que indique tácticas, técnicas y procedimientos (TTP) de ransomware con alta probabilidad de éxito.
Bueno, NDR tiene sentido por sí mismo Y como parte de un agente SOCEntonces, ¿cómo deberían proceder las organizaciones? Si bien las empresas más grandes pueden tener los presupuestos y las habilidades para mantener una herramienta NDR independiente, las pequeñas empresas y las pymes con recursos limitados pueden beneficiarse de un agente. SOC Plataforma que integra la telemetría NDR con otras fuentes de datos como EDR, registros en la nube, registros de identidad, etc. De esta forma, una plataforma integrada genera un gráfico de datos único y fiable que puede utilizarse para crear modelos y agentes de IA más precisos, consolidados y personalizados, adaptados al sector, la ubicación y el perfil de amenazas de cada organización.
Al hacerlo, los CISO pueden reducir el TCO, racionalizar las herramientas de operaciones de seguridad y lograr que todo el equipo de seguridad "trame el mismo plan". En otras palabras, pueden eliminar la integración y la codificación personalizadas, mientras que todo el equipo de seguridad (y quizás el de TI) puede compartir una interfaz común de operaciones de seguridad, al tiempo que aprenden y optimizan un único agente. SOC .
Con todo el respeto que se merece Rodney Dangerfield, NDR debería recibir mucho respeto, especialmente a medida que las organizaciones migran de herramientas dispares de operaciones de seguridad a un agente inteligente. SOCAh, ¿y mencioné que la red no miente?
