Le 15 migliori soluzioni di rilevamento e risposta in rete (NDR)
Soluzioni Gartner® Magic Quadrant™ NDR
Scopri perché siamo gli unici fornitori inseriti nel quadrante Challenger...
Scopri la sicurezza basata sull'intelligenza artificiale in azione!
Scopri l'intelligenza artificiale all'avanguardia di Stellar Cyber per il rilevamento immediato delle minacce...
Perché hai bisogno di una soluzione NDR?
Le reti moderne sono molto diverse da quelle di dieci anni fa: i carichi di lavoro delle applicazioni si basano su un'architettura distribuita, i dipendenti che lavorano da remoto fanno largo uso di reti pubbliche e domestiche e un panorama delle minacce globali in rapida evoluzione esercita una pressione crescente sia sugli ingegneri di rete che sugli amministratori della sicurezza.
Di conseguenza, il firewall, un tempo baluardo della sicurezza di rete, non fornisce l'intera visibilità necessaria. Si concentra esclusivamente sui flussi di dati Nord-Sud: si tratta del traffico che attraversa i dispositivi all'interno di una rete interna e la rete Internet pubblica. È qui che le soluzioni NDR colmano il divario: installano sensori sulle reti interne e monitorano ogni interazione tra i dispositivi interni.
Questi dati vengono integrati in un modello di comportamento normale della rete e confrontati e incrociati con altri dati di intelligence. I modelli di intelligenza artificiale confrontano questi dati con il modello storico della rete e ne individuano le deviazioni. Scopri di più cosa c'è qui NDR.
Come scegliere lo strumento NDR corretto
Come approfondiremo a breve, oggi sul mercato sono disponibili decine di provider e strumenti NDR. La scelta di quello più adatto inizia con una profonda comprensione della specifica architettura di rete, del panorama delle minacce e delle esigenze di conformità. Per raggiungere questo obiettivo, è necessaria un'analisi condotta da alcuni stakeholder chiave. Un CISO, SOC Il responsabile e/o il team di amministrazione della rete hanno bisogno ciascuno del proprio contributo sugli attuali punti ciechi della sicurezza e della gestione della rete.
Un elemento chiave dell'NDR è la sua capacità di integrarsi con l'infrastruttura IT e di sicurezza esistente. Iniziate visualizzando le vostre reti: comprendete la loro velocità di trasmissione, la piattaforma su cui si basano i server, se sono on-premise o basati sul cloud, e la capacità degli attuali strumenti di sicurezza di monitorare il traffico Est-Ovest al loro interno.
Infine, valuta le risorse che la tua organizzazione deve dedicare a uno strumento: una soluzione con configurazione rapida, rilevamento automatico delle minacce e dashboard intuitive può essere un'ancora di salvezza per i team di sicurezza snelli, mentre opzioni altamente personalizzabili richiederanno più personale per essere gestite, ma possono eliminare i falsi positivi su reti altamente complesse. Dedicare del tempo a capire le tue esigenze è fondamentale, altrimenti rischi di acquistare un prodotto solo per il suo acronimo di tre lettere.
Quali sono le caratteristiche principali dell'NDR?
Sebbene sia fondamentale scegliere correttamente tra le soluzioni NDR disponibili, vale la pena individuare le funzionalità essenziali che forniscono le funzionalità principali
- Ispezione profonda dei pacchetti (DPI): Il DPI analizza l'intero contenuto dei pacchetti di rete, non solo le intestazioni, offrendo una visione dettagliata dei flussi di dati. Sebbene essenziale, il DPI ha dei limiti: richiede molte risorse ed è in difficoltà in ambienti con elevata larghezza di banda o con traffico crittografato, dove la visibilità è fortemente ridotta.
- Analisi dei metadati: I metadati offrono informazioni altamente scalabili acquisendo attributi di sessione come indirizzi IP, porte, log DNS e dettagli di crittografia, senza dover analizzare i payload completi dei pacchetti. A differenza di DPI, rimangono efficaci anche nelle reti crittografate e distribuite, il che li rende ideali per gli ambienti moderni.
- Analisi comportamentale: Invece di affidarsi esclusivamente alle firme delle minacce note, l'analisi comportamentale utilizza l'apprendimento automatico per individuare anomalie. I modelli supervisionati rilevano i comportamenti comuni delle minacce, mentre i modelli non supervisionati stabiliscono linee di base e segnalano le deviazioni, contribuendo a scoprire nuovi attacchi.
- Integrazione dell'intelligence sulle minacce: Il collegamento dell'NDR con i feed di informazioni sulle minacce migliora il rilevamento di IoC noti e di modelli di attacco. Questo contesto aiuta a stabilire le priorità delle minacce e migliora la risposta agli incidenti, soprattutto se allineato a framework come MITRE ATT&CK.
- Integrazione dello stack di sicurezza: Combinando NDR con strumenti come EDR e SIEM Offre una visibilità completa al team di sicurezza. Vengono rilevati molti più attacchi sulla rete, ma l'integrazione multipiattaforma può consentire risposte automatiche o immediate, fin dal punto di intrusione iniziale.
Le 15 migliori soluzioni NDR consigliate
#1. Cyber stellare
Stellar Cyber è un sistema di rilevamento e risposta esteso aperto (Open XDR). Anziché limitarsi alla telemetria di rete come altri fornitori di NDR, Stellar si concentra sulla raccolta e l'analisi coesa di tutti i dati di sicurezza rilevanti, ovvero il comportamento di rete ed endpoint, i protocolli di identità e le app di produttività. Una volta acquisiti e analizzati tutti i dati, Stellar pre-analizza anche gli avvisi, raggruppandoli in incidenti ed eliminando i falsi positivi.
- Rileva e analizza tutte le risorse sulle reti connesse.
- Normalizza e analizza tutti i dati attraverso diversi cicli di analisi incrociate.
- Esegue un'ispezione approfondita dei pacchetti non crittografati, insieme all'analisi comportamentale dei metadati delle app e della rete.
- Le mappe hanno rilevato minacce contro specifiche tecniche ATT&CK, consentendo una chiara comprensione del comportamento dell'attacco, anziché semplici avvisi di anomalie.
PRO: Allineamento MITRE ATT&CK, solide capacità di threat hunting, elevata scalabilità e opzioni di integrazione. Tutte le funzionalità sono offerte con un'unica licenza.
Contro: Potrebbe richiedere la formazione degli analisti; funziona meglio se integrato con uno strumento EDR preesistente.
#2. Comando informatico Sangfor
- Inserisce i dati del registro di rete in una piattaforma di gestione centrale.
- Costruisce un modello di base del comportamento normale delle risorse.
- Confronta con gli indicatori di compromissione all'interno della sua intelligence sulle minacce.
#3. Cortex di Palo Alto Networks
- Estrae dati dai server di rete e da tutti gli strumenti di sicurezza pre-implementati in un motore di analisi e avvisi centrale.
- Combina i dati di sicurezza degli endpoint e della rete prima di emettere gli avvisi.
#4. Crowdstrike Falcon
Simile a Cortex, Falcon è uno strumento congiunto EDR e NDR che acquisisce dati dall'intera gamma di endpoint, reti, utenti e strumenti di sicurezza di un'organizzazione.
- Rilevamento delle minacce basato sia su policy che su comportamenti.
- Invia avvisi prioritari agli amministratori della sicurezza competenti.
- Crowdstrike condivide gli IoC tra i clienti, prevenendo nuovi attacchi.
PRO: Visibilità e registrazione eccellenti, distribuzione relativamente semplice e dashboard accessibile.
Contro: Le opzioni di configurazione limitate, gli avvisi e la personalizzazione del flusso di lavoro non sono approfonditi quanto le sue capacità di analisi dei dati.
#5. DarkTrace
Darktrace è una soluzione NDR con sede nel Regno Unito che si concentra sull'applicazione dell'analisi comportamentale alla sicurezza di rete. Offre altri plugin, come Email Security, che applica la stessa analisi alle piattaforme di comunicazione. È molto apprezzata dalle organizzazioni che non dispongono di team di sicurezza dedicati.
- Modelli di analisi comportamentale autoapprendenti distribuiti su macchine locali.
- Include un chatbot AI che descrive gli avvisi in un inglese semplice.
PRO: Prova gratuita, installazione dedicata e supporto per la configurazione iniziale.
Contro: Costoso e privo di integrazioni con strumenti di sicurezza di terze parti; affidarsi esclusivamente all'analisi comportamentale comporta il rischio di un gran numero di falsi positivi.
#6. ExtraHop RevealX
RevealX è una piattaforma NDR a duplice scopo che può essere utilizzata anche per le sue funzionalità di gestione delle prestazioni di rete.
- Esegue l'acquisizione di pacchetti per l'analisi e offre la decrittazione SSL e TLS.
- Opzioni di distribuzione sia on-premise che basate sul cloud.
PRO: Ottima documentazione, la decrittazione consente di individuare pacchetti malware crittografati.
Contro: La decrittazione dei pacchetti è un processo costoso e spesso richiede l'impiego di più dispositivi; tuttavia, può rappresentare di per sé un problema di sicurezza.
#7. Vectra.ai
Vectra.AI è uno strumento NDR consolidato che può essere distribuito sulle reti SaaS, cloud pubblico e data center di un'organizzazione.
- Analizza l'attività di rete e di identità tramite un'intelligenza artificiale centrale e raccoglie i problemi in avvisi.
- Assegna la priorità agli avvisi e ne mostra il motivo tramite la dashboard.
PRO: Le funzionalità di Managed Detection and Response (MDR) di Vectra possono supportare l'intelligenza artificiale con la valutazione umana. Un potente strumento autonomo.
Contro: Integrazione limitata con altri strumenti di sicurezza, formazione scadente per i nuovi utenti, elevata personalizzazione e requisiti di conoscenza elevati, dashboard piuttosto tecnica.
#8. Muninn
Di proprietà di Logpoint, Muninn è un NDR molto diffuso tra le aziende di medie dimensioni che non hanno familiarità con la sicurezza di rete interna.
- Si concentra su una distribuzione semplice, con minori esigenze di configurazione di switch e firewall.
- Linee di base per modelli di comportamento di rete normali.
- Può essere distribuito in sede e su reti air gapped.
PRO: Una solida panoramica del traffico di rete, a prezzi accessibili, consente l'archiviazione di dati grezzi a lungo termine per le indagini forensi.
Contro: Strumento relativamente leggero, l'analisi approfondita degli incidenti deve comunque essere eseguita manualmente.
#9. Rapid7 InsightIDR
Sebbene tecnicamente si tratti di una gestione degli eventi e delle informazioni di sicurezza basata sul cloud (SIEM) soluzione, offre robustezza XDR funzionalità integrandosi con endpoint e reti.
- Offre l'aggregazione dei dati presso un raccoglitore locale, che può aiutare a rispettare rigorose normative sulla conformità.
- Si basa sul framework MITRE ATT&CK come fonte di intelligence.
Pro: accessibile strumenti di indagine e dashboard, integrazione rapida con gli strumenti di sicurezza esistenti.
Contro: Personalizzazione limitata della dashboard, disponibilità solo nel cloud, i registri vengono archiviati solo per 12 mesi.
#10. Arista
Arista è un colosso nel settore delle reti e si concentra principalmente sul provisioning di grandi data center, campus e ambienti di routing. Il suo NDR rappresenta un passaggio dagli switch agli strumenti di sicurezza. Pertanto, è ben configurato per gestire grandi volumi di dati di rete ed è molto apprezzato dagli amministratori di rete.
- Si concentra sulla fiducia zero.
- Esegue l'ispezione approfondita dei pacchetti.
- Progettato per essere utilizzato rapidamente, nel giro di poche ore.
PRO: Offre funzioni di reporting piuttosto granulari, come la possibilità di monitorare l'utilizzo della rete da parte di singole entità nel tempo.
Contro: Nessuna possibilità di configurare avvisi via e-mail o SMS, né di archiviare vecchi dati, documentazione molto limitata.
#11. Rapporto di mancato recapito di Fortinet
Altro affermato player nel settore della sicurezza, FortiNDR è il prodotto più recente di Fortinet, nonché uno dei più costosi. Questo strumento monitora le azioni in corso delle singole reti, combinando essenzialmente le funzionalità dei precedenti strumenti FortiGate e FortiSandbox.
- I pacchetti della rete Est-Ovest vengono analizzati per individuare comportamenti e contenuti dannosi.
- Può essere implementato in reti con air gap.
- Offre manuali guidati per accelerare la risposta degli analisti.
PRO: Rilevamento potente degli attacchi zero-day; opzioni di ripristino automatico di base disponibili tramite la dashboard; integrazione molto semplice con gli strumenti Fortinet.
Contro: Non fornisce un'analisi dettagliata, l'interfaccia utente è molto elementare, l'integrazione con gli strumenti di altri fornitori di sicurezza è scarsa.
#12. Cisco Secure Network Analytics (StealthWatch)
Sebbene non sia tecnicamente un NDR, Cisco StealthWatch è considerato un'opzione per la visibilità di rete. Poiché a volte è incluso nelle licenze aziendali di Cisco, le aziende Cisco consolidate potrebbero essere tentate di utilizzarlo come NDR. Tuttavia, l'analisi comportamentale di StealthWatch non copre il contenuto dei pacchetti di rete, ma solo i loro metadati.
- Offre visibilità e report in tempo reale sul traffico Nord/Sud.
- Consente una conservazione prolungata dei dati, agevolando le indagini forensi.
PRO: Potente strumento di analisi del traffico di rete, controllo completo e personalizzazione, supporto clienti adeguato, duplice scopo per la risoluzione dei problemi di rete
Contro: Richiede una configurazione manuale impegnativa, non fornisce analisi East-West o dei log del server, non vengono aggiunte funzionalità e gli aggiornamenti del firmware richiedono molto tempo.
#13. Analizzatore di flusso di rete ManageEngine
Come StealthWatch, NetFlow Analyzer di ManageEngine è uno strumento di analisi del traffico di rete più tradizionale: raccoglie e analizza il traffico di rete attraverso le singole sottoreti, segmentando e analizzando l'utilizzo in base alle applicazioni, alle interfacce e ai dispositivi.
- Applica l'analisi comportamentale al traffico Nord-Sud, consentendo agli amministratori di individuare flussi di traffico e richieste inaspettate.
- Monitora e mappa i protocolli applicativi.
PRO: Molto conveniente, consente agli amministratori di rete esperti di monitorare il traffico da e verso le reti interne
Contro: Non è propriamente un NDR, poiché non consente l'analisi del traffico di rete est-ovest.
#14. Difesa di ferro
Una novità relativa nel panorama della sicurezza, la soluzione NDR di IronNet, IronDefense, è un'offerta NDR completamente fornita.
- Fornisce visibilità est-ovest in tempo reale.
- Offre playbook personalizzabili per eseguire risposte completamente o parzialmente automatizzate.
PRO: Il team IronNet si è concentrato su nuove funzionalità e miglioramenti. Implementazione e integrazione sono state semplificate e ottimizzate.
Contro: Può avere difficoltà a funzionare a ritmo sostenuto quando distribuito su reti in rapida espansione, non ha un'interfaccia accattivante e gli analisti junior dovranno essere supportati durante la fase di apprendimento.
#15. Luce di base
Considerata la quantità di software proprietario che abbiamo già trattato, Corelight rompe con questa tendenza basandosi sul software open source Zeek. Zeek è un sistema di monitoraggio del traffico di rete consolidato, ma si limita alla raccolta passiva di log; in un ambiente open source, gli amministratori di solito lo implementano con Suricata. Corelight prende questa funzionalità e la sviluppa ulteriormente.
- Analisi automatizzata degli eventi.
- La gestione dei ticket assistita dall'intelligenza artificiale consente flussi di lavoro più rapidi.
- Il gestore dei sensori, denominato Fleet Manager, consente la gestione aggregata dei sensori.
PRO: Grande attenzione all'integrazione flessibile; il servizio clienti è ritenuto molto buono.
Contro: Nessuna decrittazione TLS e Fleet Manager può risultare poco maneggevole, senza la possibilità di scaricare i registri di sistema in modo continuativo o di applicare le policy precedenti ai nuovi sensori.
Automatizza il rilevamento e la risposta della rete con Stellar Cyber
Stellar Cyber semplifica la sicurezza di rete come mai prima d'ora: la sua ampia raccolta di dati grezzi si estende dai livelli 2 a 7, estraendo ogni punto dati prima di valutarne l'euristica connessa o le firme di attacco note. Invece di accumulare avvisi nelle caselle di posta dei tuoi analisti, Stellar li raggruppa singolarmente in incidenti di sicurezza più ampi, offrendo loro un vantaggio iniziale. Infine, puoi impostare automaticamente le azioni di risposta o intraprendere azioni correttive con un solo clic. Scopri di più sulle capacità di Stellar Cyber quie inizia a rendere la sicurezza della tua rete precisa e completa.
