NDR vs EDR: Perbedaan Utama
Deteksi dan Respons Jaringan (NDR) merupakan bagian yang semakin penting dari perangkat keamanan siber: NDR menawarkan visibilitas mendalam ke dalam aktivitas internal jaringan, dan mengungkap konten paket yang mengalir di antara perangkat. Di sisi lain, Deteksi dan Respons Titik Akhir (EDR) berfokus sepenuhnya pada pengungkapan proses individual yang terjadi di dalam setiap perangkat titik akhir organisasi.
Meskipun keduanya mengandalkan analisis ancaman dan mekanisme pembuatan profil yang serupa, penerapan dan kasus penggunaan keduanya sangat berbeda. Artikel ini akan membahas perbedaannya, dan membahas bagaimana EDR dan NDR sering kali diterapkan secara bersamaan.
Solusi NDR Gartner® Magic Quadrant™
Lihat mengapa kami satu-satunya vendor yang ditempatkan di kuadran Challenger...
Rasakan Keamanan Bertenaga AI dalam Aksi!
Temukan AI tercanggih dari Stellar Cyber untuk deteksi ancaman instan...
Apa itu NDR?
NDR adalah alat yang memantau interaksi antar perangkat di jaringan internal suatu organisasi. Alat ini memasang sensor di seluruh jaringan organisasi, memantau perangkat mana yang berinteraksi dengannya, dan menganalisis data yang dikirimkannya ke perangkat lain dan server eksternal.
Ini mungkin terdengar mirip dengan firewall: sementara firewall menganalisis lalu lintas yang masuk atau keluar dari jaringan – yang disebut lalu lintas Utara-Selatan – ia tidak menawarkan visibilitas ke dalam lalu lintas antara perangkat internal. NDR memungkinkan lalu lintas internal jaringan, atau lalu lintas Timur-Barat, untuk dipantau: ia menawarkan kedalaman baru visibilitas jaringan, tanpa tuntutan konfigurasi yang berat.
Data mentah yang dikumpulkan oleh sistem NDR terdiri dari hal berikut:
- Paket jaringan mentah: Diambil langsung dari lalu lintas jaringan melalui port SPAN, TAP, atau sensor khusus. Paket ini menawarkan visibilitas transaksi penuh, termasuk header protokol dan metadata terkait muatan.
- Catatan aliran: Format metadata seperti NetFlow atau IPFIX yang merangkum pola komunikasi, termasuk alamat IP sumber dan tujuan, nomor port, protokol, dan jumlah byte.
- Metadata lalu lintas: Diturunkan dari analisis paket, ini mencakup durasi sesi, frekuensi komunikasi, pola perilaku perangkat, dan data dari protokol lapisan aplikasi.
Semua data ini kemudian dimasukkan ke dalam mesin analisis alat NDR itu sendiri, dan diproses untuk mencari tanda-tanda lalu lintas berbahaya. Untuk memaksimalkan peluang keberhasilan deteksi ancaman, NDR menggunakan dua strategi analisis:
Analisis Jaringan Berbasis Tanda Tangan
Karena setiap titik data jaringan disusun menjadi grafik deret waktu, aktivitas masing-masing perangkat dapat dipetakan terhadap ancaman yang diketahui. Deteksi berbasis tanda tangan menggabungkan perilaku serangan tingkat jaringan tertentu menjadi Indikator Kompromi (IoC), yang disimpan di basis data NDR sendiri.
Tanda tangan merujuk pada atribut yang dapat diidentifikasi yang terkait dengan serangan siber yang diketahui—ini bisa berupa potongan kode dari varian malware tertentu atau baris subjek yang dapat dikenali dari email phishing. Alat deteksi berbasis tanda tangan memindai aktivitas jaringan untuk pola yang diketahui ini dan memicu peringatan saat kecocokan ditemukan.
Pemantauan IOC pada dasarnya bersifat reaktif. Ketika IOC terdeteksi, biasanya hal itu menunjukkan bahwa pelanggaran telah terjadi. Namun, jika aktivitas berbahaya masih berlangsung, deteksi dini IOC dapat memainkan peran penting dalam menghentikan serangan, sehingga memungkinkan penahanan yang lebih cepat dan mengurangi potensi kerusakan pada organisasi.
Analisis Jaringan Perilaku
Selain deteksi berbasis tanda tangan, sebagian besar NDR juga menawarkan analisis perilaku. Ini menyerap semua titik data, tetapi alih-alih membandingkannya secara statis dengan basis data risiko eksternal, NDR menggunakannya untuk membangun dasar perilaku.
Baseline ini menggambarkan aktivitas normal: ia menyelaraskan perangkat dan pengguna dengan frekuensi komunikasi, volume data, dan penggunaan protokol mereka. Setelah pola perilaku yang diharapkan ini ditetapkan, solusi NDR dapat secara efektif mengidentifikasi penyimpangan yang dapat menandakan potensi ancaman. Mungkin ada perbedaan antara perilaku protokol yang diharapkan dan aktual, dan aktivitas aplikasi yang tidak biasa di luar jam kerja. NDR juga dapat diintegrasikan dengan alat keamanan lainnya, untuk mendapatkan gambaran yang lebih lengkap tentang aktivitas jaringan normal suatu organisasi.
Secara kolektif, deteksi ancaman berbasis perilaku dan tanda tangan memungkinkan NDR untuk menyediakan tidak hanya visibilitas Timur-Barat secara penuh – tetapi juga deteksi ancaman tingkat jaringan secara penuh.
Apa itu EDR?
- Data eksekusi proses: Rincian semua proses yang berjalan, termasuk hubungan induk-anak, argumen baris perintah, dan stempel waktu eksekusi.
- Perubahan sistem berkas: Pembuatan, modifikasi, penghapusan, dan pemeriksaan integritas berkas (termasuk hash berkas dan sumber unduhan).
- Modifikasi registri: Perubahan pada kunci registri Windows dan pengaturan konfigurasi penting bagi perilaku sistem.
- Akun Pengguna : Semua akun pengguna yang telah masuk, baik secara langsung maupun jarak jauh
- Konfigurasi sistem: Aplikasi yang terinstal, status layanan, dan data kepatuhan kebijakan keamanan.
Seperti sensor NDR, agen EDR terus mengalirkan data mentah ke platform terpusat, tempat model pembelajaran mesin menganalisisnya untuk menemukan anomali seperti rantai proses yang tidak sah, komunikasi jaringan yang mencurigakan, atau perubahan registri yang terkait dengan teknik serangan yang diketahui.
EDR vs NDR: Kasus Penggunaan yang Berbeda
Keamanan IoT
Sensor NDR sering kali berbasis pada port SPAN – port ini bekerja dengan membuat salinan setiap paket yang melewati jaringannya. Salinan ini kemudian diteruskan ke alat pemantauan NDR: proses penyalinan informasi paket ini, alih-alih meneruskan semua paket asli ke mesin analisis, mencegah gangguan pada jaringan host.
Selain melindungi jaringan yang sensitif, pengaturan ini memungkinkan aktivitas jaringan perangkat Internet of Things (IoT) dilacak dan diamankan. IoT sering kali terlalu ringan dan banyak jumlahnya untuk dipasang agen, sehingga menjadikannya ancaman keamanan yang sekarang dikenal luas. Kata sandi yang lemah, pengaturan default yang buruk, dan kurangnya opsi manajemen perangkat telah membuat perangkat IoT sangat sulit untuk diamankan – tetapi, karena alat NDR menangkap semua komunikasi jaringan – perilaku Timur-Barat IoT dapat dipantau. Lebih jauh lagi, karena lalu lintas yang mencurigakan antara perangkat IoT dan jaringan yang lebih luas dapat dipetakan ke ancaman yang diketahui, Waktu Rata-rata untuk Menanggapi dipercepat secara drastis.
Perlindungan Karyawan Jarak Jauh
EDR menyediakan pemantauan berkelanjutan, deteksi ancaman, dan kemampuan respons otomatis langsung di titik akhir. Hal ini sangat penting karena titik akhir jarak jauh tidak selalu dapat dibatasi pada jaringan dan perangkat periferal tertentu. Tanpa perlindungan ini, karyawan hibrida berisiko menjadi vektor infeksi saat mereka menghubungkan kembali perangkat jarak jauh ke jaringan organisasi.
Lebih jauh lagi, ketika suatu peristiwa keamanan ditemukan pada perangkat jarak jauh, EDR dapat memulai playbook yang merespons sesuai dengan faktor-faktor di sekitarnya. Jika sekumpulan IoC yang mengindikasikan ransomware ditemukan, misalnya, ia dapat mengisolasi perangkat yang terpengaruh sebelum menyebar.
Deteksi Gerakan Lateral
NDR vs EDR: Perbedaan Sekilas
|
Fitur / Kemampuan |
NDR |
EDR |
| Area fokus |
Memantau lalu lintas jaringan dan komunikasi. |
Memantau perangkat titik akhir individual (misalnya, laptop, server). |
| Sumber data | Paket jaringan, catatan aliran (NetFlow/IPFIX), metadata. | Log sistem, aktivitas berkas, perilaku proses, perubahan registri. |
| Cakupan Visibilitas | Visibilitas yang luas dan mencangkup seluruh jaringan. | Visibilitas yang mendalam pada tingkat perangkat. |
| Metode Deteksi Ancaman | Deteksi anomali, analisis perilaku, inspeksi lalu lintas terenkripsi. | Analisis berkas, pemantauan perilaku, deteksi berbasis tanda tangan. |
| Gunakan Kasus | Pergerakan lateral, lalu lintas perintah dan kontrol, pencurian data. | Infeksi malware, ancaman internal, upaya eksploitasi. |
| Kemampuan Respons | Peringatan dan integrasi dengan SIEM/SOAR; remediasi langsung terbatas. | Penahanan ancaman otomatis (misalnya, penghentian proses, isolasi perangkat). |
| Skenario Penerapan | Jaringan perusahaan dengan banyak perangkat yang terhubung. | Tenaga kerja jarak jauh, lingkungan BYOD, titik akhir berisiko tinggi. |
| Persyaratan Penerapan | Biasanya tanpa agen; menggunakan sensor jaringan seperti keran dan port SPAN. | Memerlukan agen yang diinstal pada setiap perangkat titik akhir yang dipantau. |
Integrasikan EDR dengan NDR melalui Stellar Cyber
Karena kedua alat tersebut beroperasi secara bersamaan dengan sangat baik, keduanya sering digunakan bersama-sama. Hal ini meningkatkan pentingnya kemampuan integrasi masing-masing alat, karena informasi yang diperoleh dari masing-masing alat dapat mempercepat MTTR secara signifikan. Stellar Cyber mewujudkan kemampuan gabungan ini dengan OpenXDR produk – terintegrasi dengan EDR mana pun, melakukan Inspeksi Paket Mendalam (DPI) bersamaan dengan malware sandboxing untuk deteksi dan pencegahan malware yang selalu aktif dan zero day.
OpenXDR Stellar menghubungkan peringatan tingkat jaringan dengan peringatan yang dihasilkan oleh rangkaian alat keamanan organisasi sendiri ke dalam insiden yang dapat diakses. Alih-alih memenuhi alur kerja analis dengan peringatan yang tak ada habisnya, Stellar secara proaktif mengurutkan dan menyaringnya menjadi persyaratan tindakan segera. Jelajahi bagaimana OpenXDR dapat memberikan kemampuan respons proaktif kembali kepada tim keamanan Anda. dengan demo hari ini.
