NDR kontra SIEM: Kluczowe różnice
Rozwiązania Gartner® Magic Quadrant™ NDR
Zobacz, dlaczego jesteśmy jedynym dostawcą umieszczonym w kwadrancie Challenger...
Poznaj bezpieczeństwo oparte na sztucznej inteligencji w akcji!
Odkryj najnowocześniejszą sztuczną inteligencję Stellar Cyber umożliwiającą natychmiastowe wykrywanie zagrożeń...
Co to jest NDR?
Wykrywanie i reagowanie w sieci koncentruje się przede wszystkim na odkrywaniu szczegółowych codziennych działań w sieciach organizacji. Zamiast umieszczać bramę na skraju sieci organizacji – co zapewnia widoczność wyłącznie ruchu północ-południe – NDR umieszcza czujniki w sieciach wewnętrznych, rejestrując wszystkie połączenia wewnętrzne lub wschód-zachód. W ten sposób NDR zaczyna tam, gdzie kończy się zapora.
Czujniki NDR kopiują każdy pakiet – wraz z jego metadanymi – i wysyłają kopie do centralnego silnika analizy rozwiązania. Często jest to osiągane przez sieciowe TAP-y lub porty rozpiętości, które są wysokowydajnymi czujnikami sprzętowymi; inne środowiska wdrożeniowe mogą wymagać czujników opartych na oprogramowaniu i wirtualnych.
Łącznie wszystkie te dane są gromadzone w ramach ciągłego monitoringu i stosu reagowania w ramach raportu NDR:
Ustalenie bazowej linii zachowań sieciowych
Po pierwszym wdrożeniu, bezpośrednią rolą NDR jest ustalenie normalnego, codziennego zachowania podłączonych sieci. Osiąga się to poprzez wprowadzanie zebranych dzienników do algorytmu uczenia się bez nadzoru, który składa ten strumień danych w model średnich wzorców komunikacji, wolumenu i czasu. Poprzez profilowanie wszystkiego tego, NDR może zastosować swoją pierwszą warstwę wykrywania zagrożeń na poziomie sieci.
Wykrywanie odchyleń od linii bazowej
Gdy zachowanie sieciowe urządzenia zaczyna odbiegać od normalnego modelu, NDR może to zauważyć i oznaczyć jako potencjalnie podejrzane. Takie zachowanie może obejmować nagły napływ prób logowania, próby połączeń z ograniczonymi portami lub nieoczekiwaną eksfiltrację danych od pracownika, który zwykle nie uzyskuje dostępu do tej bazy danych.
W zależności od badanego nieprzewidywalnego zachowania NDR może albo podjąć automatyczną odpowiedź, albo porównać aktywność sieciową ze znanymi wskaźnikami zagrożenia (IoC).
Analiza oparta na sygnaturach
Większość cyberataków opiera się na określonym podejściu: ten profil ataku skutkuje ustalonymi wzorcami działań, czyli IoC. Aby zweryfikować ryzyko stojące za aberracjami sieciowymi, NDR może porównać aktywność sieci w czasie rzeczywistym z bazą danych IoC, co pozwala mu szybko i automatycznie wykryć, który dokładnie atak ma miejsce – i pomóc w zlokalizowaniu potencjalnego atakującego.
Automatyczna odpowiedź
Czym jest SIEM?
Podczas gdy NDR-y zbierają i analizują pakiety z sieci organizacji, SIEM rozpościera jeszcze szerszą sieć: ma na celu uzyskanie pełnej widoczności w całej organizacji. Logi to małe pliki, które urządzenie generuje za każdym razem, gdy wykonuje jakąś czynność: są gromadzone w celu SIEM analiza za pośrednictwem agenta programowego instalowanego na każdym urządzeniu źródłowym.
Stamtąd SIEM ponownie łączy pliki dziennika w spójny widok działań każdego urządzenia:
Zbieranie, filtrowanie i analizowanie dzienników
Normalizacja logarytmiczna
Każde urządzenie lub aplikacja generuje logi w swojej własnej składni – od tekstu czytelnego dla człowieka po gęste struktury JSON lub XML. Aby wszystko było czytelne dla SIEMDzięki silnikowi analitycznemu systemu, system identyfikuje źródło każdego logu i stosuje parser dostosowany do tego konkretnego formatu. Parsery rozbijają wpisy logu na pojedyncze pola danych, takie jak znacznik czasu, źródłowy adres IP, port docelowy, typ zdarzenia lub identyfikator użytkownika. Ten ustandaryzowany schemat można następnie porównywać i analizować w różnych systemach.
Analiza i alerty
SIEM Rozpoczyna się od skanowania w poszukiwaniu predefiniowanych wzorców i wskaźników naruszenia (IOC), takich jak wielokrotne nieudane próby logowania, nietypowe transfery danych lub dostęp z adresów IP znajdujących się na czarnej liście. Wzorce te są zazwyczaj zakodowane w regułach wykrywania lub przypadkach użycia, które odpowiadają konkretnym zagrożeniom, takim jak ataki siłowe czy ruch boczny.
Korelacja jest kluczowym elementem tego procesu analizy. SIEMŁączą pozornie niezwiązane ze sobą zdarzenia w różnych systemach – takie jak podejrzane logowanie, po którym następuje zmiana konfiguracji i pobranie dużego pliku. Po odkryciu zbioru podejrzanych alertów, SIEM wysyła powiadomienie do zespołu ds. bezpieczeństwa organizacji, który następnie weryfikuje i usuwa podstawowe ryzyko bezpieczeństwa.
NDR kontra SIEM:Dwa różne przypadki użycia
Wykrywanie ruchu bocznego
Pojedyncza tafla szkła
SIEMs zapewniają zespołom jeden panel sterowania, centralizując i konsolidując dane dotyczące bezpieczeństwa z całego zakresu zasobów organizacji w jednym interfejsie. Zamiast przeskakiwania analityków między wieloma narzędziami, z których każde obejmuje określoną, odizolowaną domenę, SIEM łączy wszystko na jednej platformie.
SIEMs wspierają tę kompleksową funkcjonalność, oferując konfigurowalne pulpity nawigacyjne, alerty w czasie rzeczywistym, harmonogramy incydentów i funkcje raportowania w ramach przystępnego interfejsu użytkownika. W rezultacie zespoły mogą skonsolidować wiele swoich przepływów pracy w jeden i radykalnie usprawnić codzienne operacje.
Połącz precyzję NDR i SIEM Widoczność dzięki Stellar Cyber Open XDR Platforma
