Rapport Gartner NDR : Perspectives, principales conclusions et perspectives d'avenir (2025)

Avec une telle gamme de cas d'utilisation spécifiques, Gartner reconnaît également les fonctionnalités suivantes qui peuvent être facultatives, en fonction des architectures réseau uniques des différents clients.  

• Surveillance du trafic IaaS : La visibilité sur les environnements d'infrastructure en tant que service est de plus en plus vitale : certaines solutions NDR la fournissent en déployant des capteurs légers au sein de l'environnement IaaS, qui reflètent ensuite le trafic entre les charges de travail cloud.
• Intégration SaaS : Gartner souligne que le point faible de certains outils NDR réside dans la découverte et l'analyse du trafic vers les applications SaaS. Cette surveillance des applications SaaS est le plus souvent assurée par des connecteurs API ; Microsoft 365 est une intégration API NDR particulièrement populaire.
• Ingestion des journaux et SOC Assistance: Cette fonctionnalité confère à un outil NDR une plus grande flexibilité, puisqu'elle fournit un tableau de bord et des flux de travail associés par lesquels SOC Les équipes peuvent consulter et analyser les alertes. Cette interaction directe se fait depuis la console NDR.
• Capture de paquets complets (PCAP) : Les fichiers PCAP enregistrent le trafic réseau brut, capturant les en-têtes, la charge utile et les métadonnées de chaque paquet. Ces données peuvent servir de « vérification de base » de l'activité réseau et permettent aux NDR de reconstituer les conversations réseau selon les tactiques spécifiques d'un attaquant.
• Cependant, PCAP n'est pas une nécessité constante, car il s'agit d'un volume considérable et son déchiffrement peut nécessiter un processus de déchiffrement gourmand en ressources. Par conséquent, PCAP se positionne comme un atout, et les fournisseurs NDR qui proposent cette fonctionnalité doivent également tenir compte de l'évolutivité et du stockage à long terme. 
• Outils de recherche pilotés par l'IA : Avec l'essor des tableaux de bord NDR, Gartner a également constaté une augmentation des fonctions de recherche assistée par l'IA. Les assistants intelligents basés sur le Large Language Model (LLM) permettent aux analystes d'interroger les plateformes NDR, accélérant ainsi la recherche des menaces et la génération de rapports.
• EDR et SIEM Intégration: Étant donné que l'EDR et SIEM Ces deux systèmes constituent des sources importantes de renseignements sur les menaces. L'intégration de NDR avec ces systèmes vise à obtenir une corrélation plus précise des alertes. Par exemple, la détection par NDR de schémas de déplacement latéral peut être corroborée par les alertes d'exécution de logiciels malveillants d'EDR pour la même période. L'alerte recoupée ainsi obtenue permet à un analyste d'examiner un incident beaucoup plus rapidement.
• Réglage post-alerte : L'analyse comportementale pouvant augmenter le taux de faux positifs, un réglage post-alerte est essentiel pour garantir la fiabilité du NDR. Ce réglage est parfois réalisé par comparaison PCAP, où le modèle comportemental s'auto-vérifie et ajuste ainsi sa propre logique de détection. Un réglage manuel peut également être nécessaire, certains fournisseurs de NDR proposant des options en un clic pour signaler les alertes inexactes.

Cette suite complète de fonctionnalités permet aux systèmes NDR de servir à la fois de moteurs de détection et de plateformes de réponse orchestrées. Fort de ces fonctionnalités, le rapport Gartner présente ensuite quelques évolutions clés du paysage NDR.