Gartner NDR: approfondimenti, risultati chiave e il futuro (2025)

Con una gamma così ampia di casi d'uso specifici, Gartner riconosce anche le seguenti funzionalità che potrebbero essere facoltative, a seconda delle architetture di rete uniche dei diversi clienti.  

• Monitoraggio del traffico IaaS: La visibilità negli ambienti IaaS sta diventando sempre più importante: alcune soluzioni NDR la forniscono distribuendo sensori leggeri all'interno dell'ambiente IaaS, che poi rispecchiano il traffico tra i carichi di lavoro nel cloud.
• Integrazione SaaS: Il punto più debole di alcuni strumenti NDR, come sottolinea Gartner, è che alcuni consentono di rilevare e analizzare il traffico verso applicazioni SaaS. Questo monitoraggio delle applicazioni SaaS è spesso ottenuto tramite connettori API; Microsoft 365 è un'integrazione API NDR particolarmente diffusa.
• Ingestione del registro e SOC Assistenza: Questa funzionalità garantisce una maggiore flessibilità allo strumento NDR, poiché fornisce una dashboard e flussi di lavoro associati attraverso i quali SOC I team possono visualizzare e analizzare gli avvisi. Questa interazione diretta avviene dalla console NDR.
• Cattura completa dei pacchetti (PCAP): I file PCAP registrano il traffico di rete grezzo, catturando le intestazioni, il payload e i metadati di ogni pacchetto. Questi dati possono fungere da "verità di base" per l'attività di rete e consentire agli NDR di ricostruire le conversazioni di rete in base alle tattiche specifiche di un aggressore.
• Tuttavia, PCAP non è una necessità costante, poiché gestisce volumi di dati estremamente elevati e potrebbe richiedere un processo di decrittazione che richiede molte risorse. Di conseguenza, PCAP è considerato un optional, e i fornitori di NDR che offrono questa funzionalità devono tenere conto anche della scalabilità e dell'archiviazione a lungo termine. 
• Strumenti di ricerca basati sull'intelligenza artificiale: Con l'avvento delle dashboard NDR, Gartner ha anche notato una crescente spinta verso le funzioni di ricerca assistite dall'intelligenza artificiale. Gli assistenti intelligenti basati su Large Language Model (LLM) possono consentire agli analisti di interrogare le piattaforme NDR, supportando una ricerca più rapida delle minacce e una generazione di report più rapida.
• EDR e SIEM Integrazione: Dato che EDR e SIEM Entrambi rappresentano fonti approfondite di informazioni sulle minacce; l'integrazione di NDR con queste due soluzioni mira a ottenere una correlazione degli avvisi più accurata. Ad esempio, la scoperta di NDR di modelli di movimento laterale può essere corroborata dagli avvisi di esecuzione malware di EDR nello stesso intervallo di tempo. L'avviso incrociato risultante consente a un analista di approfondire un incidente molto più rapidamente.
• Ottimizzazione post-allerta: Poiché l'analisi comportamentale può aumentare il tasso di falsi positivi, la messa a punto post-allarme è essenziale per garantire che l'NDR diventi una fonte di segnale affidabile. A volte, questo risultato si ottiene tramite il confronto PCAP, in cui il modello comportamentale si autoverifica e quindi adatta la propria logica di rilevamento. Anche la messa a punto manuale può essere necessaria, con alcuni provider NDR che offrono opzioni con un solo clic per segnalare gli allarmi non accurati.

Questa suite completa di funzionalità garantisce che i sistemi NDR possano fungere sia da motori di rilevamento che da hub di risposta orchestrata. Con queste caratteristiche in mente, il rapporto Gartner prosegue illustrando alcuni cambiamenti chiave nel panorama NDR.