NDR versus SIEM: De belangrijkste verschillen
Gartner® Magic Quadrant™ NDR-oplossingen
Ontdek waarom wij de enige leverancier zijn met een plek in het Challenger-kwadrant...
Ervaar AI-aangedreven beveiliging in actie!
Ontdek de geavanceerde AI van Stellar Cyber voor directe detectie van bedreigingen...
Wat is NDR?
Netwerkdetectie en -respons is primair gericht op het blootleggen van de gedetailleerde dagelijkse activiteiten binnen de netwerken van een organisatie. In plaats van een gateway aan de rand van de netwerken van een organisatie te plaatsen – wat alleen zicht biedt op het Noord-Zuid-verkeer – plaatst NDR sensoren op interne netwerken die alle interne, of Oost-West-verbindingen, registreren. Zo begint NDR waar de firewall ophoudt.
De sensoren van een NDR kopiëren elk pakket – samen met de bijbehorende metadata – en sturen de kopieën naar de centrale analyse-engine van de oplossing. Dit wordt vaak bereikt met behulp van netwerk-TAP's, of spanpoorten, dit zijn hoogwaardige hardwaregebaseerde sensoren; andere implementatieomgevingen vereisen mogelijk softwarematige en virtuele sensoren.
Al deze gegevens worden gezamenlijk samengevoegd in een continue monitoring- en responsstack van een NDR:
Vaststelling van de gedragsbasislijn van het netwerk
Bij de eerste implementatie is de directe rol van een NDR het vaststellen van het normale, alledaagse gedrag van de verbonden netwerken. Dit wordt bereikt door verzamelde logs in te voeren in een ongeleid leeralgoritme, dat deze datastroom samenstelt tot een model van gemiddelde communicatiepatronen, -volumes en -timings. Door dit alles te profileren, kan een NDR zijn eerste laag van bedreigingsdetectie op netwerkniveau toepassen.
Detectie van afwijkingen van de basislijn
Wanneer het netwerkgedrag van een apparaat begint af te wijken van het normale model, kan de NDR dit opmerken en als potentieel verdacht markeren. Dit gedrag kan bestaan uit een plotselinge toename van inlogpogingen, pogingen tot verbinding met beperkte poorten, of de onverwachte exfiltratie van gegevens van een medewerker die normaal gesproken geen toegang heeft tot die database.
Afhankelijk van het grillige gedrag in kwestie kan de NDR vervolgens automatisch reageren of de netwerkactiviteit vergelijken met bekende Indicators of Compromise (IoC's).
Handtekeninggebaseerde analyse
De meeste cyberaanvallen volgen een specifieke aanpak: dit aanvalsprofiel resulteert in vaste patronen van activiteiten, oftewel IoC's. Om het risico achter netwerkafwijkingen te verifiëren, kan een NDR de realtime activiteit van een netwerk vergelijken met zijn database van IoC's. Zo kan hij snel en automatisch precies detecteren welke aanval plaatsvindt en een potentiële aanvaller lokaliseren.
Geautomatiseerde reactie
Wat is SIEM?
Terwijl NDR's pakketten verzamelen en analyseren van de netwerken van een organisatie, SIEM Het doel is om een nog breder netwerk te creëren: volledige zichtbaarheid binnen de hele organisatie te verkrijgen. Logbestanden zijn kleine bestanden die een apparaat genereert telkens wanneer het een activiteit uitvoert; ze worden verzameld voor SIEM analyse via een softwareagent die op elk bronapparaat wordt geïnstalleerd.
Vanaf daar de SIEM Het herstructureert de logbestanden tot een samenhangend overzicht van de acties van elk apparaat:
Logboekverzameling, filteren en parsen
Normalisatie van logboeken
Elk apparaat of elke applicatie genereert logbestanden in een eigen syntaxis. Dit kan variëren van leesbare tekst tot complexe JSON- of XML-structuren. Om dit alles leesbaar te maken voor de gebruiker... SIEMDe analyse-engine van het systeem identificeert de bron van elk logbestand en past een parser toe die is afgestemd op dat specifieke formaat. Parsers splitsen logvermeldingen op in afzonderlijke gegevensvelden, zoals tijdstempel, bron-IP-adres, bestemmingspoort, gebeurtenistype of gebruikers-ID. Dit gestandaardiseerde schema kan vervolgens worden vergeleken en geanalyseerd tussen verschillende systemen.
Analyse en waarschuwingen
De SIEM Het proces begint met het scannen op vooraf gedefinieerde patronen en indicatoren van compromis (IOC's), zoals meerdere mislukte inlogpogingen, ongebruikelijke gegevensoverdrachten of toegang vanaf IP-adressen die op een zwarte lijst staan. Deze patronen worden meestal gecodeerd in detectieregels of gebruiksscenario's die overeenkomen met specifieke bedreigingen, zoals brute-force-aanvallen of laterale verplaatsing.
Correlatie is een essentieel onderdeel van dit analyseproces. SIEMs koppelen ogenschijnlijk ongerelateerde gebeurtenissen in verschillende systemen aan elkaar – zoals een verdachte aanmelding gevolgd door een configuratiewijziging en het downloaden van een groot bestand. Wanneer een verzameling verdachte waarschuwingen wordt ontdekt, SIEM Verstuurt een waarschuwing naar het beveiligingsteam van de organisatie, dat vervolgens het onderliggende beveiligingsrisico controleert en verhelpt.
NDR versus SIEM: Twee verschillende gebruiksscenario's
Detectie van laterale beweging
Enkele ruit
SIEMZe bieden teams één overzichtelijk dashboard, waarmee beveiligingsgegevens van alle bedrijfsmiddelen worden gecentraliseerd en geconsolideerd in één interface. In plaats van dat analisten tussen meerdere tools schakelen, die elk een specifiek, geïsoleerd domein bestrijken, biedt dit systeem teams een uniform overzicht. SIEM brengt alles samen op één platform.
SIEMs ondersteunen deze alles-in-één-functionaliteit door aanpasbare dashboards, realtime-waarschuwingen, incidenttijdlijnen en rapportagefuncties aan te bieden binnen een toegankelijke gebruikersinterface. Hierdoor kunnen teams een groot deel van hun workflows consolideren in één systeem en de dagelijkse werkzaamheden aanzienlijk stroomlijnen.
Combineer NDR-precisie en SIEM Zichtbaarheid met Stellar Cyber's Open XDR Platform
