- एनडीआर कैसे काम करता है
- एनडीआर का विकास
- साइबर सुरक्षा में एनडीआर की क्या भूमिका है?
- सुरक्षा परिचालन केंद्र (एसओसी) में एनडीआर की भूमिका क्या है?
- एनडीआर बनाम एंडपॉइंट डिटेक्शन और रिस्पांस (ईडीआर)
- एनडीआर की तुलना ईडीआर और एक्सडीआर से कैसे की जाती है?
- एनडीआर समाधान में प्रयुक्त तकनीकें
- नेटवर्क डिटेक्शन और रिस्पॉन्स को कैसे तैनात करें
- NDR को अन्य सुरक्षा उपकरणों के साथ एकीकृत करना
नेटवर्क डिटेक्शन और रिस्पॉन्स (NDR) की व्याख्या
- चाबी छीन लेना:
-
नेटवर्क डिटेक्शन और रिस्पांस (एनडीआर) क्या करता है?
एनडीआर लगातार नेटवर्क ट्रैफिक का विश्लेषण करता है, विसंगतियों का पता लगाने के लिए व्यवहार मॉडल बनाता है, और एआई के साथ प्रतिक्रियाओं को स्वचालित करता है। -
एनडीआर, एनटीए से किस प्रकार विकसित हुआ है?
इसमें बुनियादी यातायात निगरानी से लेकर व्यवहारिक और हस्ताक्षर विश्लेषण का उपयोग करते हुए उन्नत निरीक्षण और स्वचालित प्रतिक्रिया तक का विकास किया गया। -
स्टेलर साइबर की एनडीआर क्या प्रमुख विशेषताएं प्रदान करती है?
गहन पैकेट निरीक्षण, वितरित सेंसर, केंद्रीकृत डेटा लेक, एआई-आधारित खतरे का पता लगाना और स्वचालित SOAR एकीकरण। -
स्टेलर साइबर डेटा वॉल्यूम को कैसे कम करता है और पहचान को कैसे बढ़ाता है?
यह खतरे की खुफिया जानकारी को समृद्ध करते हुए 500 गुना तक डेटा कटौती प्राप्त करता है, जिससे वास्तविक समय में एआई-संचालित सहसंबंध और प्रतिक्रिया संभव होती है। -
एनडीआर सुरक्षा परिचालनों को एकीकृत करने में किस प्रकार सहायता करता है?
स्टेलर साइबर का एनडीआर ओपन एक्सडीआर में एकीकृत है, जिससे एक ही प्लेटफॉर्म पर एसआईईएम, एसओएआर और यूईबीए के साथ सहज सहसंबंध संभव हो जाता है।
नेटवर्क डिटेक्शन और रिस्पॉन्स (NDR) आंतरिक नेटवर्क गतिविधि को निष्क्रिय रूप से ग्रहण करके और उसका विश्लेषण करके संगठन के नेटवर्क में नई दृश्यता जोड़ता है। उभरते LLM और नेटवर्क डिफेंस-इन-डेप्थ की नई मांगों के साथ, NDR उपकरण पहले से ही इस मुख्य क्षमता से आगे विकसित हो रहे हैं। गार्टनर का एनडीआर रिपोर्ट इसमें विस्तार से बताया गया है कि आज के बाजार में उपकरण किस प्रकार एलएलएम संवर्धन, मल्टीमॉडल खतरे का पता लगाने और आईएएस-आधारित तैनाती के साथ सीमाओं को आगे बढ़ा रहे हैं।
आधुनिक एनडीआर का डाउनस्ट्रीम प्रभाव महत्वपूर्ण है: अधिक सुसंगत घटना प्रतिक्रिया, सघन विश्लेषण और तेज़ फोरेंसिक। यह गाइड एनडीआर में एक व्यापक गहन जानकारी है।
गार्टनर® मैजिक क्वाड्रेंट™ एनडीआर समाधान
देखिये क्यों हम चैलेंजर क्वाड्रेंट में एकमात्र विक्रेता हैं...
कार्रवाई में AI-संचालित सुरक्षा का अनुभव करें!
खतरे का तुरंत पता लगाने के लिए स्टेलर साइबर के अत्याधुनिक एआई की खोज करें...
एनडीआर कैसे काम करता है
एनडीआर इस मामले में अद्वितीय हैं कि वे नेटवर्क पैकेट और ट्रैफ़िक मेटाडेटा का निरंतर विश्लेषण करने में सक्षम हैं जो पूर्व-पश्चिम ट्रैफ़िक प्रवाह (आंतरिक) और उत्तर-दक्षिण (आंतरिक नेटवर्क और सार्वजनिक इंटरनेट) के बीच होता है। प्रत्येक व्यक्तिगत नेटवर्क क्रिया एक महत्वपूर्ण डेटा बिंदु का प्रतिनिधित्व करती है जिसे एनडीआर द्वारा ग्रहण किया जाता है - फिर प्रत्येक का उपयोग आंतरिक नेटवर्क के दिन-प्रतिदिन के व्यवहार का मॉडल बनाने के लिए किया जाता है।
इससे किसी भी विचलन का तुरंत पता लगाया जा सकता है। इन अप्राकृतिक पैटर्न को विश्लेषकों को आगे की जांच के लिए अलर्ट के रूप में भेजा जाता है; यहीं पर ट्रैफ़िक को हमले का संकेत या हानिरहित माना जाता है। स्वचालित प्रतिक्रिया क्षमताओं वाले आधुनिक NDRs पहचाने गए खतरे के जवाब में स्वचालित रूप से एक उपचारात्मक कार्रवाई - जैसे IP ब्लॉकिंग - को तैनात कर सकते हैं। यह नेटवर्क को सुरक्षित रखता है जबकि विश्लेषक इसकी वैधता निर्धारित करता है।
एनडीआर का विकास
एनडीआर की प्रारंभिक जड़ें यहां तक खोजी जा सकती हैं नेटवर्क यातायात विश्लेषण (एनटीए)इस पुराने उपकरण का उपयोग सुरक्षा और नेटवर्क प्रशासकों द्वारा संयुक्त रूप से किया जाता था: इससे उन्हें इस बात पर नज़र रखने की अनुमति मिलती थी कि कौन सी संपत्ति नेटवर्क ट्रैफ़िक प्राप्त कर रही है, प्रत्येक ऐप या डिवाइस कितनी तेज़ी से प्रतिक्रिया दे रही है, और कुछ स्रोतों से कितना ट्रैफ़िक भेजा जा रहा है।
हालाँकि, 2010 के दशक की शुरुआत में जैसे-जैसे खतरे का परिदृश्य विकसित हुआ, सुरक्षा प्रशासकों ने पाया कि नेटवर्क वॉल्यूम डेटा पूरी कहानी नहीं बताता। खतरे का पता लगाने के लिए अकेले NTA पर निर्भर रहने के लिए एक बेहद अनुभवी और पैनी नज़र वाले नेटवर्क एडमिन की ज़रूरत थी; इसने बहुत कुछ संयोग पर छोड़ दिया। नेटवर्क डिटेक्शन और रिस्पॉन्स विश्लेषण की एक अतिरिक्त परत के साथ-साथ सार्वभौमिक नेटवर्क डेटा संग्रह पर जोर देता है।
आज के एनडीआर उपकरण फ़ाइल हस्ताक्षर तुलना और नियम कार्यान्वयन के साथ इस मुख्य व्यवहार विश्लेषण को मजबूत करें। एक बार संभावित खतरा दिखने पर, NDR स्वचालित रूप से संदिग्ध फ़ाइलों को संगरोध कर सकता है, सुरक्षा व्यवस्थापकों को महत्वपूर्ण जानकारी फ़्लैग कर सकता है, और उनकी व्यापक सुरक्षा घटनाओं के भीतर अलर्ट को सहसंबंधित कर सकता है।
साइबर सुरक्षा में एनडीआर की क्या भूमिका है?
परंपरागत रूप से, संगठनों की साइबर सुरक्षा एंटीवायरस और फायरवॉल जैसे स्थैतिक खतरे का पता लगाने वाले उपकरणों पर निर्भर करती थी: ये हस्ताक्षर-आधारित पहचान पर निर्भर करते थे, जो प्रत्येक उपकरण के डेटाबेस के भीतर समझौता के संकेतकों के आधार पर नेटवर्क में पेश या साझा की जाने वाली फ़ाइलों का आकलन करते थे।
हालाँकि, यह सेटअप - जिसे अब परिधि-आधारित साइबर सुरक्षा के रूप में जाना जाता है - कुछ अंतर्निहित खामियों के साथ आया था। उदाहरण के लिए, यदि फ़ायरवॉल को लगातार अपडेट नहीं किया जाता है, तो हमलावर के लिए अंतराल से बच निकलना संभव है। एक बार जब एक डिवाइस या सेवा से समझौता हो जाता है, तो आंतरिक नेटवर्क पर डिवाइस के बीच अंतर्निहित विश्वास का शोषण किया जाता है, क्योंकि हमलावर विशेषाधिकार वृद्धि शुरू कर देता है।
एनडीआर इस हमले की श्रृंखला का लाभ उठाते हैं और पहचानते हैं कि लगभग हर हमला कम से कम एक आंतरिक नेटवर्क को छूता है। साइबर सुरक्षा टीमें एक एनडीआर समाधान तैनात करें उत्तर-दक्षिण और पूर्व-पश्चिम दोनों ट्रैफ़िक में - जिससे उन्हें संगठन में आने वाले ट्रैफ़िक की दृश्यता मिलती है, और आंतरिक उपकरणों के बीच साझा किया जा रहा ट्रैफ़िक क्रमशः। यह हमलावरों के सबसे बड़े पैर जमाने के ठिकानों में से एक को बंद कर देता है। हमारा एनडीआर खरीदार गाइड इसमें विस्तृत जानकारी दी गई है कि इस ट्रैफ़िक डेटा को कैसे संभाला जाता है और संभावित दुर्भावनापूर्ण गतिविधि के लिए इसका विश्लेषण कैसे किया जाता है।
सुरक्षा परिचालन केंद्र (एसओसी) में एनडीआर की भूमिका क्या है?
संपूर्ण नेटवर्क दृश्यता
कनेक्टेड अलर्ट
तीव्र नेटवर्क जागरूकता
तीव्र नेटवर्क प्रतिक्रिया
एनडीआर बनाम एंडपॉइंट डिटेक्शन और रिस्पांस (ईडीआर)
आधुनिक साइबर सुरक्षा के लिए नेटवर्क गतिविधियों से कहीं ज़्यादा दृश्यता की ज़रूरत होती है – EDR एक ऐसा समाधान है जो एंडपॉइंट व्यवहार पर ध्यान केंद्रित करता है। नेटवर्क बनाम एंडपॉइंट का पता लगाना काफ़ी सरल है: जिस तरह NDR नेटवर्क पर हर क्रिया को ग्रहण करता है और उसे एक व्यापक ट्रेंड ग्राफ़ पर रखता है, उसी तरह EDR हर डिवाइस-स्तरीय क्रिया को लेता है और उसके ऐतिहासिक या भूमिका-विशिष्ट व्यवहार के संबंध में उसका विश्लेषण करता है।
EDR उत्पाद आमतौर पर प्रत्येक एंडपॉइंट पर एक परिनियोजन योग्य एंडपॉइंट एजेंट के माध्यम से वितरित किए जाते हैं। स्थानीय उपस्थिति होने से, EDR प्रक्रिया जानकारी को ग्रहण कर सकता है, जो सिस्टम पर चल रही प्रक्रियाओं की निगरानी करके संभावित रूप से दुर्भावनापूर्ण प्रोग्राम की पहचान करने में मदद करता है। फ़ाइलों की अखंडता को मान्य करने के लिए फ़ाइल जानकारी की भी जाँच की जाती है, जबकि उपयोगकर्ता जानकारी प्रत्येक खाते की वैधता को सत्यापित करती है। अंत में, एंडपॉइंट स्वास्थ्य के व्यापक दृश्य को बनाए रखने के लिए सिस्टम जानकारी एकत्र की जाती है।
NDR बनाम EDR के बजाय, अधिकांश संगठन EDR के साथ NDR को तैनात करते हैं - यह एक संपूर्ण हमले श्रृंखला की ट्रैकिंग और निगरानी की अनुमति देता है। प्रारंभिक खाता समझौता से लेकर नेटवर्क-स्तरीय विशेषाधिकार वृद्धि और अंततः मैलवेयर परिनियोजन तक, जटिल हमलों की संपूर्णता को समय से पहले पकड़ा जा सकता है। इसकी क्षमता को देखते हुए, कुछ साइबर सुरक्षा विक्रेताओं ने दोनों के बीच विश्लेषण और ऑर्केस्ट्रेशन की एक और परत पेश करना शुरू कर दिया है - विस्तारित पता लगाने और प्रतिक्रिया (XDR)।
एनडीआर की तुलना ईडीआर और एक्सडीआर से कैसे की जाती है?
|
NDR (नेटवर्क डिटेक्शन एंड रिस्पांस) |
ईडीआर (एंडपॉइंट डिटेक्शन एंड रिस्पांस) |
एक्सडीआर (विस्तारित जांच और प्रतिक्रिया) |
|
| विस्तार | नेटवर्क ट्रैफ़िक. | अंतिम बिंदु (लैपटॉप, सर्वर, डिवाइस). | सभी (अंतबिंदु, नेटवर्क, क्लाउड). |
| प्राथमिक डेटा स्रोत | नेटवर्क मेटाडेटा, ट्रैफ़िक प्रवाह. | अंतबिंदु टेलीमेट्री, फ़ाइल और प्रक्रिया व्यवहार। | एकाधिक डोमेन में एकत्रित टेलीमेट्री। |
| प्रतिक्रिया क्षमताएँ | नेटवर्क-स्तरीय कार्रवाइयों तक सीमित, स्वचालित प्रतिक्रिया की पेशकश तेजी से बढ़ रही है। | पृथक-वास से लेकर समापन-बिंदु-विशिष्ट प्रतिक्रियाएं, जैसे कि संगरोध। | क्रॉस-प्लेटफॉर्म स्वचालित प्रतिक्रिया की पूर्ण स्वतंत्रता प्रदान करता है। |
| तैनाती की जटिलता | मध्यम (नेटवर्क एकीकरण की आवश्यकता है). | मध्यम (समापन बिंदुओं पर एजेंट स्थापना की आवश्यकता है). | उच्च (सभी सुरक्षा प्लेटफ़ॉर्म या प्राथमिक डेटा स्रोतों में एकीकरण की आवश्यकता होती है). |
| सबसे अच्छा उपयोग मामला | पार्श्विक हलचल, गुप्त खतरों का पता लगाना। | समझौता किए गए अंतिम बिंदुओं की पहचान करना। | व्यापक खतरे का पता लगाना और प्रतिक्रिया। |
एनडीआर समाधान में प्रयुक्त तकनीकें
एन्क्रिप्टेड ट्रैफ़िक विश्लेषण
एन्क्रिप्टेड ट्रैफ़िक को सुरक्षित करना पारंपरिक रूप से एक कांटेदार विषय रहा है: और आज के अधिकांश ट्रैफ़िक के एन्क्रिप्टेड होने के कारण, एन्क्रिप्टेड ट्रैफ़िक का पर्याप्त रूप से विश्लेषण करने में असमर्थ होना एक बड़ी चूक हो सकती है। हालाँकि, सभी नेटवर्क पैकेट को बीच में ही डिक्रिप्ट करने से डेटा और टोकन एक्सपोज़र का जोखिम बहुत बढ़ सकता है।
इस समस्या से निपटने के लिए, बाजार में अग्रणी उपकरण अक्सर NDR तकनीकों के ढेर पर निर्भर करते हैं। टोकन या डिक्रिप्टेड डेटा लीक को रोकने के लिए, सेंसर को प्रॉक्सी सर्वर के पीछे तैनात किया जा सकता है। यह एन्क्रिप्टेड ट्रैफ़िक डिटेक्शन का उपयोग करता है, और इसे प्रॉक्सी के माध्यम से रूट करता है: ट्रैफ़िक को सामान्य रूप से डिक्रिप्ट किया जाता है, और फिर सेंसर सभी इंटेल को केंद्रीय NDR इंजन तक रिले करते हैं। हमारी एनडीआर क्षमताओं के बारे में यहां अधिक जानें।
यदि प्रॉक्सी सर्वर किसी विशिष्ट उपयोग मामले के लिए सही नहीं हैं, तो इसके पैटर्न के माध्यम से ट्रैफ़िक की वैधता का सटीक रूप से पता लगाना संभव है। पूरी तरह से एन्क्रिप्टेड ट्रैफ़िक को JA3 फ़िंगरप्रिंटिंग के माध्यम से मैलवेयर के लिए मूल्यांकन किया जा सकता है, बिना उनके एन्क्रिप्शन को तोड़े। इसके अलावा, पैटर्न और मेटाडेटा एन्क्रिप्टेड पैकेट के पीछे के इरादे का पता लगाने के लिए मिल सकते हैं, क्योंकि सेंसर अभी भी पैकेट हेडर और TLS/SSL हैंडशेकिंग से सर्वर प्रमाणपत्र, IP पते, डोमेन नाम, सत्र अवधि और बाइट काउंट निकाल सकता है।
अंत में, यदि ट्रैफ़िक डिक्रिप्शन पूरी तरह से आवश्यक है, तो आधुनिक NDR पैकेट डिक्रिप्शन सेवाओं के साथ एकीकृत हो सकते हैं। परिणामी नेटवर्क डेटा को सामान्य रूप से केंद्रीय विश्लेषण इंजन को भेजा जाता है।
स्वचालित परिसंपत्ति खोज
यह जानना महत्वपूर्ण है कि कौन से डिवाइस नेटवर्क में और नेटवर्क से डेटा ट्रांसफर कर रहे हैं। NDR स्वचालित रूप से प्रत्येक के संबंधित MAC पते, IP पते और होस्ट नाम के अनुसार एसेट मैनेजमेंट डैशबोर्ड में एसेट को ट्रैक और जोड़ते हैं। इसके बाद नेटवर्क-स्तरीय जोखिमों को उनकी प्रभावित संपत्तियों के अनुसार प्रदर्शित किया जा सकता है।
प्रोटोकॉल डिकोडिंग
व्यवहार विश्लेषण
नेटवर्क डिटेक्शन और रिस्पॉन्स को कैसे तैनात करें
सेंसर परिनियोजन
NDR के लिए मॉनिटर किए जा रहे किसी भी नेटवर्क में सेंसर तैनात किए जाने की आवश्यकता होती है। हालांकि, अलग-अलग उपयोग के मामलों के लिए विशिष्ट सेंसर होते हैं, और सफल तैनाती के लिए काम के लिए सही सेंसर की आवश्यकता होती है। उदाहरण के लिए, Linux वितरण वातावरण को Linux सर्वर सेंसर की आवश्यकता होती है। इन्हें अक्सर उपलब्ध CPU संसाधनों की पूर्व निर्धारित मात्रा के साथ तैनात किया जाता है, जिसका उपयोग यह किसी भी समय कर सकता है, ताकि कमांड निष्पादन और लॉग एकत्र करते समय सर्वर गुणवत्ता की रक्षा की जा सके। Windows सर्वर भी अपने स्वयं के प्रकार के सेंसर की मांग करते हैं; ये Windows की पूरी सीमा एकत्र करते हैं घटना प्रकार.
मॉड्यूलर सेंसर एक और प्रकार है: ये सेंसर के साथ पैकेज की जाने वाली अनुकूलन योग्य सुविधाओं की अनुमति देते हैं। उदाहरण के लिए, इसमें लॉग फ़ॉरवर्डिंग शामिल हो सकती है - यदि SIEM या अन्य सुरक्षा उपकरण के साथ तैनात करने की आवश्यकता हो - और नेटवर्क ट्रैफ़िक इंजेक्शन - जैसा कि NDR द्वारा आवश्यक हो। अधिक भारी-भरकम सुरक्षा आवश्यकताओं के लिए, मॉड्यूलर सेंसर को सैंडबॉक्स और घुसपैठ का पता लगाने वाले सिस्टम के साथ भी तैनात किया जा सकता है।
प्रत्येक परिनियोजन के लिए सही सेंसर की पहचान के साथ, उन्हें तदनुसार सेट करना महत्वपूर्ण है। इसके लिए परिनियोजन विधियों की एक पूरी श्रृंखला उपलब्ध है: SPAN पोर्ट सबसे आम में से एक है, और यह NDR सेंसर वाले पोर्ट पर नेटवर्क स्विच पर नेटवर्क ट्रैफ़िक को मिरर करके काम करता है। यह NDR टूल को उस पोर्ट पर जाने वाले सभी ट्रैफ़िक को निष्क्रिय रूप से पैकेट कैप्चर करने की अनुमति देता है।
वर्चुअल वातावरण वर्चुअल टैप पर निर्भर करता है, जो होस्ट के अंदर VM के बीच प्रवाहित होने वाले डेटा की प्रतियों को कैप्चर करता है; भौतिक TAP इस ट्रैफ़िक को मिस कर देते हैं, क्योंकि यह कभी भी भौतिक नेटवर्क केबल से होकर नहीं गुजरता है। एजेंट-आधारित कलेक्टरों के साथ दूरस्थ एंडपॉइंट की नेटवर्क गतिविधि की निगरानी की जा सकती है; हल्के कलेक्टर जो सीधे डिवाइस पर इंस्टॉल होते हैं।
डेटा अंतर्ग्रहण
डाउनलोड करें और सेटअप करें
स्वचालित प्रतिक्रियाओं को सक्षम और ट्यून करें
स्वचालित प्रतिक्रियाएँ आधुनिक NDR उपकरणों की एक प्रमुख क्षमता हैं: वे संभावित हमलों के विरुद्ध महत्वपूर्ण समय की बचत भी करते हैं। NDR के आधार पर, TCP सत्र समाप्ति, गतिशील नेटवर्क विभाजन, या ट्रैफ़िक थ्रॉटलिंग जैसी इसकी स्वचालित प्रतिक्रिया क्रियाओं को कॉन्फ़िगर करने की आवश्यकता होती है - प्रत्येक क्रिया को ट्रिगर करने के लिए आवश्यक व्यवहार प्रोफ़ाइल के साथ। एनडीआर तैनात करने के तरीके के बारे में अधिक जानकारी यहां प्राप्त करें।
NDR को अन्य सुरक्षा उपकरणों के साथ एकीकृत करना
EDR
सिएम
SIEM सुरक्षा टीमों में सर्वव्यापी हैं - वे लॉग विश्लेषण और पहचान की अनुमति देते हैं, और आधुनिक खतरा प्रबंधन के पूर्ववर्ती हैं। हालाँकि, क्योंकि SIEM बहुत सारे लॉग संभालते हैं - और अकेले लॉग सबसे गहन खतरे की दृश्यता नहीं देते हैं - SIEM झूठे सकारात्मक होने के लिए अत्यधिक प्रवण हैं। इसका परिणाम एक दिन में हजारों अलर्ट हैं, जिन्हें मैन्युअल रूप से समीक्षा करना कार्यात्मक रूप से असंभव है।
एनडीआर प्रमाणीकरण की एक परत स्थापित करने की अनुमति देता है - जब भी एसआईईएम किसी संभावित घटना को देखता है, तो संबंधित नेटवर्क डेटा का विश्लेषण किया जा सकता है। यदि दोनों डेटा स्रोत किसी हमले की ओर इशारा करते हैं, तो एनडीआर के केंद्रीय डैशबोर्ड के माध्यम से अलर्ट जारी किया जा सकता है। यह न केवल गलत अलर्ट को फ़िल्टर करने में मदद करता है, बल्कि समीक्षा करने वाले विश्लेषक को काम करने के लिए बेहतर आधार भी देता है।
फायरवॉल
