NDR 대 SIEM: 주요 차이점
Gartner® Magic Quadrant™ NDR 솔루션
왜 우리 회사가 챌린저 쿼드런트에 유일하게 포함되었는지 확인해 보세요...
AI 기반 보안을 실제로 경험해 보세요!
Stellar Cyber의 최첨단 AI로 위협을 즉각적으로 감지해보세요...
NDR이란 무엇입니까?
네트워크 감지 및 대응 NDR은 주로 조직 네트워크 내의 세부적인 일상 활동을 파악하는 데 중점을 둡니다. 조직 네트워크의 경계에 게이트웨이를 배치하여 남북 트래픽만 파악하는 대신, NDR은 내부 네트워크에 센서를 설치하여 모든 내부 연결(동서 연결)을 로깅합니다. 이러한 방식으로 NDR은 방화벽이 끝나는 지점에서 시작됩니다.
NDR의 센서는 각 패킷을 메타데이터와 함께 복사하여 솔루션의 중앙 분석 엔진으로 전송합니다. 이는 고성능 하드웨어 기반 센서인 네트워크 TAP(Span 포트)을 통해 이루어지는 경우가 많습니다. 다른 배포 환경에서는 소프트웨어 기반 센서와 가상 센서가 필요할 수 있습니다.
이러한 모든 데이터는 집합적으로 NDR의 지속적인 모니터링 및 대응 스택으로 조립됩니다.
네트워크 행동 기준선 설정
NDR이 처음 구축될 때, NDR의 직접적인 역할은 연결된 네트워크의 정상적이고 일상적인 동작을 파악하는 것입니다. 이는 수집된 로그를 비지도 학습 알고리즘에 입력하여 평균 통신 패턴, 볼륨 및 타이밍 모델을 구성하는 방식으로 이루어집니다. NDR은 이 모든 정보를 프로파일링하여 네트워크 수준의 위협 탐지를 위한 첫 번째 계층을 구축할 수 있습니다.
기준선으로부터의 편차 감지
장치의 네트워크 동작이 정상 모델에서 벗어나기 시작하면 NDR은 이를 감지하고 잠재적으로 의심스러운 것으로 표시할 수 있습니다. 이러한 동작에는 갑작스러운 로그인 시도 급증, 제한된 포트에 대한 연결 시도, 또는 해당 데이터베이스에 평소 접근하지 않는 직원의 데이터가 예상치 못하게 유출되는 것 등이 포함될 수 있습니다.
문제의 불규칙한 동작에 따라 NDR은 자동 응답을 수행하거나 네트워크 활동을 알려진 침해 지표(IoC)와 비교할 수 있습니다.
서명 기반 분석
대부분의 사이버 공격은 특정 접근 방식을 따릅니다. 이러한 공격 패턴은 특정 활동 패턴(IoC)으로 이어집니다. 네트워크 이상 징후의 위험을 확인하기 위해 NDR은 네트워크의 실시간 활동을 IoC 데이터베이스와 비교하여 어떤 공격이 발생하고 있는지 신속하고 자동으로 감지하고 잠재적 공격자를 정확하게 파악할 수 있도록 지원합니다.
자동 응답
SIEM?
NDR은 조직 네트워크에서 패킷을 수집하고 분석하는 반면, SIEM 더 넓은 범위로 범위를 넓혀 조직 전체의 상황을 완벽하게 파악하는 것을 목표로 합니다. 로그는 기기가 활동을 수행할 때마다 생성되는 작은 파일이며, 수집 목적은 다음과 같습니다. SIEM 각 소스 장치에 설치되는 소프트웨어 에이전트를 통한 분석.
거기에서 SIEM 각 장치의 동작을 한눈에 파악할 수 있도록 로그 파일을 재구성합니다.
로그 수집, 필터링 및 구문 분석
로그 정규화
각 장치 또는 애플리케이션은 고유한 구문으로 로그를 생성합니다. 이 구문은 사람이 읽을 수 있는 텍스트부터 복잡한 JSON 또는 XML 구조에 이르기까지 다양합니다. 이 모든 것을 읽기 쉽게 만들려면 SIEM이 시스템의 분석 엔진은 각 로그의 출처를 식별하고 해당 특정 형식에 맞춘 파서를 적용합니다. 파서는 로그 항목을 타임스탬프, 소스 IP, 대상 포트, 이벤트 유형 또는 사용자 ID와 같은 개별 데이터 필드로 분해합니다. 이렇게 표준화된 스키마를 통해 시스템 간 비교 및 분석이 가능합니다.
분석 및 알림
The SIEM 이 시스템은 여러 번의 로그인 실패, 비정상적인 데이터 전송 또는 블랙리스트에 등록된 IP 주소에서의 접근과 같은 사전 정의된 패턴 및 침해 지표(IOC)를 스캔하는 것으로 시작합니다. 이러한 패턴은 일반적으로 무차별 대입 공격이나 측면 이동과 같은 특정 위협에 대응하는 탐지 규칙 또는 사용 사례에 인코딩됩니다.
상관관계는 이러한 분석 과정의 핵심 요소입니다. SIEMs는 서로 다른 시스템에서 발생하는 겉보기에는 관련 없는 사건들을 연결합니다. 예를 들어 의심스러운 로그인 후 구성 변경 및 대용량 파일 다운로드가 발생하는 경우입니다. 의심스러운 경고가 여러 개 발견되면, SIEM 조직의 보안팀에 경고를 보내고, 보안팀은 해당 위험을 확인하고 해결합니다.
NDR 대 SIEM두 가지 서로 다른 사용 사례
측면 움직임 감지
단일 유리창
SIEM보안 도구는 팀에게 조직 자산 전반의 보안 데이터를 하나의 인터페이스로 통합하고 중앙 집중화하여 보여주는 단일 관리 화면을 제공합니다. 분석가들이 특정 영역을 각각 담당하는 여러 도구를 오가는 대신, 하나의 통합된 인터페이스를 통해 모든 정보를 한눈에 파악할 수 있습니다. SIEM 모든 것을 하나의 플랫폼으로 통합합니다.
SIEM이 솔루션은 사용자 정의 가능한 대시보드, 실시간 알림, 사건 타임라인 및 보고 기능을 접근성 높은 UI 내에서 제공하여 이러한 원스톱 기능을 지원합니다. 결과적으로 팀은 많은 워크플로를 하나로 통합하고 일상적인 운영을 획기적으로 간소화할 수 있습니다.
NDR 정밀도와 결합 SIEM 스텔라 사이버를 통한 가시성 확보 Open XDR 플랫폼
