Netwerkdetectie en respons (NDR) Het is de afgelopen jaren de Rodney Dangerfield onder de beveiligingsproducten geweest – "het krijgt geen respect". Deze slechte reputatie is wellicht ontstaan door al het marketinggeld dat erin is gestoken. Eindpuntdetectie en -respons (EDR) en Uitgebreide detectie en respons (XDR)Het zou ook te maken kunnen hebben met de groei van versleuteld verkeer en de daarmee samenhangende misvatting dat versleuteld verkeer de NDR-technologie vrijwel volledig lamlegde (let wel: dat was niet het geval).
Wat de reden ook mag zijn voor de lagere positie van NDR in de hiërarchie van beveiligingstools, ik wil u er graag op wijzen dat de onzinnige verhalen over NDR niet alleen onwaar zijn, maar ook onnodige risico's kunnen opleveren voor organisaties die deze leugens aanhangen. Naar mijn bescheiden mening is NDR tegenwoordig een noodzakelijke tool voor beveiligingsoperaties en zal de waarde ervan in de toekomst alleen maar toenemen.
Laat me dit toelichten. Er is een oud gezegde in de cybersecurity: "het netwerk liegt niet", wat betekent dat netwerktelemetrie cruciaal is om alle activiteiten te monitoren – welk verkeer bedrijfskritisch is, welk verkeer en welke protocollen over het netwerk gaan, hoe het netwerk presteert en welk verkeer wordt gebruikt voor kwaadwillige activiteiten. Vanuit een beveiligingsperspectief is NDR essentieel als aanvulling op technologieën zoals EDR. XDR, SIEMen anderen, specifiek voor:
- Het beschermen en verdedigen van activa zonder tussenkomst van een vertegenwoordiger. Talloze IT-apparaten zoals routers, netwerkapparatuur en IoT/OT-apparaten werken niet. EDR agenten, waardoor EDR blind wordt voor gerelateerde aanvallen. Oh, en er zijn er talloze geweest, zoals de Triton/Trisis-aanval in 2017 (OT Safety Controllers), de Verkada-camerahack in 2021 en natuurlijk de oervader van allemaal, Stuxnet (2010). Effectieve EDR kan deze apparaten monitoren, afwijkende verkeerspatronen signaleren en een snelle reactie mogelijk maken.
- Detectie van zijwaartse bewegingen. Wanneer tegenstanders een systeem compromitteren (bijvoorbeeld door een EDR-agent uit te schakelen), is NDR cruciaal voor het opsporen van afwijkend netwerkverkeer dat kan wijzen op laterale bewegingen die worden gebruikt bij privilege-escalatie of het ontdekken van kritieke gegevens. Dit is vooral belangrijk ter verdediging tegen "living off the land"-aanvallen die de 'normale' netwerkactiviteit nauwkeurig nabootsen.
- Gegevensexfiltratie. NDR is bijzonder bedreven in het detecteren van grote of ongebruikelijke gegevensoverdrachten, die vaak via het DNS-protocol naar externe servers worden getunneld. Zo verduisterde de Decoy Dog-malwaretoolkit uit 2023 gevoelige gegevens door deze in kleine stukjes te verdelen, de fragmenten te versleutelen of te coderen en ze vervolgens als subdomeinen toe te voegen aan domeinen die door de aanvaller werden beheerd. De server van de aanvaller onderschepte vervolgens deze inkomende verzoeken, verwijderde de domeinverpakking en stelde de payload opnieuw samen, terwijl deze onzichtbaar bleef voor traditionele firewalls. Toonaangevende NDR-tools zouden deze heimelijke en afwijkende verkeerspatronen hebben gedetecteerd en een waarschuwing hebben gegenereerd.
- Aanvullende en essentiële telemetrie. AI-modellen zijn slechts zo goed als de data waarop ze gebouwd zijn. Netwerktelemetrie vult logboeken, EDR-waarschuwingen en andere databronnen aan met telemetrie over risicovolle protocollen, afwijkende verkeerspatronen, laterale bewegingen die wijzen op 'low and slow'-aanvallen en analyse van versleuteld verkeer (ETA). Netwerkdatatelemetrie kan bijvoorbeeld autonome beveiligingsagenten helpen bij het valideren of betwisten van waarschuwingen voor mogelijk gecompromitteerde endpoints door interne systeemlogboeken te vergelijken met daadwerkelijke externe verkeerspatronen. Uiteindelijk ontmaskert netwerktelemetrie een aanvaller door kwaadaardige laterale bewegingen in realtime te correleren met andere databronnen.
- Betere modellen voor IoT/OT-dekking. Sectoren zoals de productie, de gezondheidszorg en de logistiek blijven nieuwe soorten IoT-toepassingen toevoegen. OT apparaten. Zo voorspelt IDC's Worldwide Semiannual IoT Spending Guide 2026 bijvoorbeeld dat de wereldwijde uitgaven aan IoT/OT tegen het einde van 2026 de grens van 1.1 biljoen dollar zullen overschrijden. Ondanks deze groei wijst onderzoek van McKinsey & Company op een "zichtbaarheidskloof", waarbij de gemiddelde industriële onderneming nog steeds 30% van de apparaten die op het primaire productienetwerk zijn aangesloten niet kan identificeren. NDR kan assets detecteren en verkeerspatronen en unieke protocollen monitoren, die vervolgens kunnen worden gebruikt voor de ontwikkeling van AI-modellen en agentfunctionaliteit. Dit kan het verschil betekenen tussen ruisende waarschuwingen en nauwkeurige en beknopte detectie van IoT/OT-dreigingen.
- Een eerste verdedigingslinie. Naast dreigingsinformatie, NDR Telemetrie kan organisaties helpen aanvallen te voorspellen, aanvalspaden te visualiseren en de verdediging te versterken. Gewapend met netwerk- en andere telemetriegegevens kunnen AI-agenten workflows activeren om automatisch een gecompromitteerd VLAN te isoleren of firewallregels in realtime bij te werken als ze gedrag detecteren dat wijst op zeer waarschijnlijke ransomware-TTP's (Tactics, Techniques, and Procedures).
oke, NDR heeft op zichzelf zin EN als onderdeel van een agentisch systeem SOCHoe moeten organisaties nu verder? Hoewel de grootste bedrijven wellicht de budgetten en expertise hebben om een onafhankelijke NDR-tool te onderhouden, kunnen kleinere bedrijven en het mkb met beperkte middelen baat hebben bij een agentgestuurde oplossing. SOC Een 'platform' dat NDR-telemetrie integreert met andere gegevensbronnen zoals EDR, cloudlogs, identiteitslogs, enzovoort. Op deze manier produceert een geïntegreerd platform één betrouwbare gegevensgrafiek die kan worden gebruikt om nauwkeurigere, geconsolideerde en op maat gemaakte AI-modellen en -agents te creëren die zijn afgestemd op de branche, locatie en het dreigingsprofiel van elke organisatie.
Op deze manier kunnen CISO's de totale eigendomskosten (TCO) verlagen, de tools voor beveiligingsbeheer stroomlijnen en ervoor zorgen dat het hele beveiligingsteam "uit één hand" werkt. Met andere woorden, ze kunnen maatwerkintegratie en -programmering elimineren, terwijl het hele beveiligingsteam (en mogelijk ook het IT-team) een gemeenschappelijke interface voor beveiligingsbeheer kan delen en tegelijkertijd één agentic kan leren en optimaliseren. SOC platform.
Met alle respect voor Rodney Dangerfield, verdient NDR veel respect – vooral nu organisaties overstappen van uiteenlopende tools voor beveiligingsoperaties naar een intelligente agent. SOCOh, en had ik al gezegd dat het netwerk niet liegt?
