Detecção e resposta de rede (NDR) Nos últimos anos, o [nome da ferramenta] tem sido o Rodney Dangerfield das ferramentas de segurança – “não recebe nenhum respeito”. Possivelmente, esse descrédito se deve a todo o dinheiro investido em marketing. Detecção e resposta de endpoint (EDR) e Detecção e Resposta Estendidas (eXtended Detection and Response)XDR)Isso também pode estar relacionado ao crescimento do tráfego criptografado e à crença equivocada de que o tráfego criptografado praticamente inutilizou a tecnologia NDR (nota: isso não aconteceu).
Independentemente do motivo da desvalorização do NDR na hierarquia das ferramentas de segurança, estou aqui para afirmar que as histórias sobre o NDR não são apenas falsas, como também podem representar um risco desnecessário para as organizações que acreditam nessas inverdades. Na minha humilde opinião, o NDR é uma necessidade para as operações de segurança atualmente, e seu valor só tende a aumentar no futuro.
Permita-me explicar melhor. Há um antigo ditado na área de cibersegurança: "a rede não mente", o que significa que a telemetria de rede é fundamental para monitorar todas as atividades — qual tráfego é crítico para a missão, quais tráfegos e protocolos estão trafegando pela rede, como a rede está se comportando e qual tráfego está sendo usado para atividades maliciosas. Do ponto de vista da segurança, o NDR (Remote Device Response) é essencial como complemento a tecnologias como o EDR (Enterprise Device Response). XDR, SIEM, e outros, especificamente para:
- Proteção e defesa de ativos "sem agente". Uma infinidade de ativos de TI, como roteadores, equipamentos de rede e dispositivos IoT/OT, não funcionam. EDR agentes, tornando o EDR cego a ataques relacionados. Ah, e houve muitos deles, como o ataque Triton/Trisis de 2017 (controladores de segurança OT), o ataque às câmeras Verkada em 2021 e, claro, o maior de todos, o Stuxnet (2010). Um EDR eficaz pode monitorar esses dispositivos, sinalizar padrões de tráfego anômalos e facilitar uma resposta rápida.
- Detecção de movimento lateral. Quando adversários comprometem um ativo (por exemplo, desativando um agente EDR), o NDR é crucial para detectar tráfego de rede anômalo que pode indicar movimentação lateral usada como parte de escalonamento de privilégios ou descoberta de dados críticos. Isso é especialmente importante para a defesa contra ataques de "viver da terra" que imitam de perto a atividade de tráfego de rede "normal".
- Exfiltração de dados. NDR é especialmente eficaz na detecção de grandes ou incomuns transferências de dados, frequentemente encaminhadas para servidores externos via protocolo DNS. Por exemplo, o malware Decoy Dog, de 2023, exfiltrou dados sensíveis dividindo-os em pequenos fragmentos, criptografando-os ou codificando-os e, em seguida, anexando-os como subdomínios a domínios controlados pelo atacante. O servidor do atacante capturava essas solicitações de entrada, removia o encapsulamento do domínio e remontava a carga útil, permanecendo invisível aos firewalls tradicionais. Novamente, as principais ferramentas de NDR teriam detectado esses padrões de tráfego furtivos e anômalos e gerado um alerta.
- Telemetria suplementar e crítica. Os modelos de IA são tão bons quanto os dados em que são construídos. A telemetria de rede complementa logs, alertas de EDR e outras fontes de dados com informações sobre protocolos de risco, padrões de tráfego anômalos, movimentação lateral indicando ataques "lentos e discretos" e análise de tráfego criptografado (ETA). Por exemplo, a telemetria de dados de rede pode ajudar agentes de segurança autônomos a validar ou contestar alertas de endpoints potencialmente comprometidos, cruzando logs internos do sistema com padrões de tráfego externo reais. Em última análise, a telemetria de rede elimina a invisibilidade do atacante, correlacionando movimentos laterais maliciosos com outras fontes de dados em tempo real.
- Melhores modelos para cobertura de IoT/OT. Setores como o de manufatura, saúde e logística continuam a adicionar novos tipos de IoT e OT dispositivos. Por exemplo, o Guia Semestral de Gastos Mundiais com IoT da IDC para 2026 prevê que os gastos globais com IoT/OT ultrapassarão a marca de US$ 1.1 trilhão até o final de 2026. Apesar desse crescimento, a pesquisa da McKinsey & Company indica uma "Lacuna de Visibilidade", onde a empresa industrial média ainda não consegue identificar 30% dos dispositivos conectados à sua rede de produção principal. O NDR pode descobrir ativos e monitorar padrões de tráfego e protocolos exclusivos, que podem ser usados para o desenvolvimento de modelos de IA e funcionalidades de agentes. Isso pode significar a diferença entre alertas ruidosos e detecção precisa e concisa de ameaças em IoT/OT.
- Uma resposta de primeira linha de defesa. Juntamente com informações sobre ameaças, NDR A telemetria pode ajudar as organizações a prever ataques, visualizar trajetórias de ataque e reforçar as defesas. Munidos de telemetria de rede e outras informações, agentes de IA podem acionar fluxos de trabalho para isolar automaticamente uma VLAN comprometida ou atualizar regras de firewall em tempo real, caso identifiquem comportamentos que indiquem TTPs (Táticas, Técnicas e Procedimentos) de ransomware com alta probabilidade de sucesso.
OK, NDR Faz sentido por si só E como parte de uma agência SOCEntão, como as organizações devem proceder? Embora as maiores empresas possam ter os orçamentos e as habilidades para manter uma ferramenta NDR independente, pequenas empresas e PMEs com recursos limitados podem se beneficiar de uma solução integrada. SOC Uma 'plataforma' que integra a telemetria NDR com outras fontes de dados, como EDR, logs na nuvem, logs de identidade e assim por diante. Dessa forma, uma plataforma integrada produz um gráfico de dados de fonte única e confiável, que pode ser usado para criar modelos e agentes de IA mais precisos, consolidados e personalizados, adaptados ao setor, localização e perfil de ameaças de cada organização.
Ao fazer isso, os CISOs podem reduzir o Custo Total de Propriedade (TCO), racionalizar as ferramentas de operações de segurança e fazer com que toda a equipe de segurança trabalhe em conjunto de forma integrada. Em outras palavras, eles podem eliminar a integração e a codificação personalizadas, enquanto toda a equipe de segurança (e talvez a de TI) pode compartilhar uma interface comum de operações de segurança, aprendendo e otimizando uma única interface de agente. SOC plataforma.
Com todo o respeito a Rodney Dangerfield, o NDR merece muito respeito – especialmente à medida que as organizações migram de ferramentas de operações de segurança díspares para um agente inteligente. SOCAh, e eu já mencionei que a rede não mente?
