Gartner NDR: spostrzeżenia, kluczowe ustalenia i przyszłość (2025)

Biorąc pod uwagę tak szeroki zakres konkretnych przypadków użycia, Gartner wskazuje również na poniższe funkcje, które mogą być opcjonalne w zależności od unikalnej architektury sieciowej poszczególnych klientów.  

• Monitorowanie ruchu IaaS: Coraz ważniejsze staje się zapewnienie wglądu w środowiska infrastruktury jako usługi: niektóre rozwiązania NDR zapewniają ten dostęp poprzez wdrażanie lekkich czujników w środowisku IaaS, które następnie odzwierciedlają ruch między obciążeniami w chmurze.
• Integracja SaaS: Najsłabszym punktem niektórych narzędzi NDR, Gartner zauważa, że ​​niektóre NDR umożliwiają wykrywanie i analizowanie ruchu do aplikacji opartych na SaaS. To monitorowanie aplikacji opartych na SaaS jest najczęściej realizowane przez łączniki API; Microsoft 365 jest jedną ze szczególnie popularnych integracji NDR API.
• Pobieranie dziennika i SOC Wsparcie: Funkcjonalność ta zapewnia narzędziu NDR większą elastyczność, ponieważ zapewnia pulpit nawigacyjny i powiązane przepływy pracy, za pomocą których SOC Zespoły mogą przeglądać i analizować alerty. Ta bezpośrednia interakcja odbywa się z poziomu konsoli NDR.
• Przechwytywanie pełnego pakietu (PCAP): Pliki PCAP rejestrują surowy ruch sieciowy, przechwytując nagłówki, ładunek i metadane każdego pakietu. Dane te mogą służyć jako „prawda podstawowa” dla aktywności sieciowej i umożliwiać NDR-om odbudowę konwersacji sieciowych zgodnie ze specyficznymi taktykami atakującego.
• Jednak PCAP nie jest stałą koniecznością, ponieważ jest niezwykle obszerny i może wymagać procesu deszyfrowania wymagającego dużych zasobów. W rezultacie PCAP jest pozycjonowany jako coś miłego do posiadania – a dostawcy NDR, którzy oferują tę funkcję, muszą również mieć na uwadze skalowalność i długoterminowe przechowywanie. 
• Narzędzia wyszukiwania oparte na sztucznej inteligencji: Wraz ze wzrostem liczby paneli NDR Gartner zauważył również zwiększony nacisk na funkcje wyszukiwania wspomagane przez AI. Inteligentni asystenci zasilani przez Large Language Model (LLM) mogą pozwolić analitykom na przeszukiwanie platform NDR, co wspiera szybsze wyszukiwanie zagrożeń i generowanie raportów.
• EDR i SIEM Integracja: Biorąc pod uwagę, że EDR i SIEM Oba stanowią głębokie źródła informacji o zagrożeniach, a integracja NDR z nimi ma na celu uzyskanie dokładniejszej korelacji alertów. Na przykład, odkrycie wzorców ruchu bocznego przez NDR może zostać potwierdzone alertami EDR dotyczącymi wykonania złośliwego oprogramowania z tego samego przedziału czasowego. Uzyskany w ten sposób alert z odniesieniami krzyżowymi pozwala analitykowi znacznie szybciej zagłębić się w incydent.
• Strojenie po alercie: Ponieważ analiza behawioralna może zwiększyć liczbę fałszywych alarmów, strojenie po alercie jest niezbędne, aby zapewnić, że NDR stanie się wiarygodnym źródłem sygnału. Czasami osiąga się to poprzez porównanie PCAP, w którym model behawioralny weryfikuje się sam, a zatem dostosowuje własną logikę wykrywania. Strojenie ręczne może być również niezbędną częścią tego, a niektórzy dostawcy NDR oferują opcje jednym kliknięciem, aby oznaczyć niedokładne alerty.

Ten kompleksowy zestaw możliwości zapewnia, że ​​systemy NDR mogą służyć zarówno jako silniki detekcji, jak i centra orkiestrowanej odpowiedzi. Mając na uwadze te funkcje, raport Gartnera kontynuuje ustanawianie pewnych kluczowych zmian w krajobrazie NDR.