คำอธิบายการตรวจจับและตอบสนองเครือข่าย (NDR)

NDR ต้องการให้มีการติดตั้งเซ็นเซอร์ภายในเครือข่ายใดๆ ที่กำลังตรวจสอบอยู่ อย่างไรก็ตาม มีเซ็นเซอร์เฉพาะสำหรับกรณีการใช้งานที่แตกต่างกัน และการติดตั้งที่ประสบความสำเร็จต้องใช้เซ็นเซอร์ที่ถูกต้องสำหรับงานนั้นๆ ตัวอย่างเช่น สภาพแวดล้อมการแจกจ่าย Linux จำเป็นต้องมีเซ็นเซอร์เซิร์ฟเวอร์ Linux ซึ่งมักจะติดตั้งพร้อมกับทรัพยากร CPU ที่มีอยู่จำนวนที่กำหนดไว้ล่วงหน้าซึ่งสามารถใช้ได้ในแต่ละครั้ง เพื่อปกป้องคุณภาพของเซิร์ฟเวอร์ในขณะที่รวบรวมการดำเนินการคำสั่งและบันทึก เซิร์ฟเวอร์ Windows ยังต้องการเซ็นเซอร์ประเภทของตัวเองด้วย ซึ่งจะรวบรวม Windows ได้ทั้งหมด ประเภทของเหตุการณ์

เซ็นเซอร์แบบโมดูลาร์เป็นอีกประเภทหนึ่ง: เซ็นเซอร์ประเภทนี้ช่วยให้สามารถเพิ่มคุณสมบัติที่ปรับแต่งได้ลงในตัวเซ็นเซอร์ ตัวอย่างเช่น อาจรวมถึงการส่งต่อบันทึก (Log Forwarding) ในกรณีที่จำเป็นต้องใช้งานร่วมกับอุปกรณ์อื่น SIEM หรือเครื่องมือรักษาความปลอดภัยอื่นๆ และการรับส่งข้อมูลเครือข่ายตามที่ NDR กำหนด สำหรับความต้องการด้านความปลอดภัยที่เข้มงวดมากขึ้น สามารถติดตั้งเซ็นเซอร์แบบโมดูลาร์ร่วมกับระบบแซนด์บ็อกซ์และระบบตรวจจับการบุกรุกได้เช่นกัน

เมื่อระบุเซ็นเซอร์ที่ถูกต้องสำหรับการใช้งานแต่ละครั้งแล้ว สิ่งสำคัญคือต้องตั้งค่าให้เหมาะสม มีวิธีการใช้งานมากมายให้เลือกใช้ พอร์ต SPAN เป็นหนึ่งในพอร์ตที่ใช้กันทั่วไปที่สุด และทำงานโดยมิเรอร์ทราฟฟิกเครือข่ายบนสวิตช์เครือข่ายไปยังพอร์ตที่มีเซ็นเซอร์ NDR วิธีนี้ช่วยให้เครื่องมือ NDR สามารถจับแพ็กเก็ตทราฟฟิกทั้งหมดที่ไปยังพอร์ตนั้นได้แบบพาสซีฟ

สภาพแวดล้อมเสมือนจริงนั้นอาศัยการติดตั้งแท็ปเสมือน ซึ่งจะดักจับสำเนาของข้อมูลที่ไหลระหว่าง VM ภายในโฮสต์ แท็ปทางกายภาพจะพลาดการรับส่งข้อมูลนี้ เนื่องจากไม่เคยผ่านสายเคเบิลเครือข่ายทางกายภาพ กิจกรรมเครือข่ายของจุดปลายทางระยะไกลสามารถตรวจสอบได้ด้วยตัวรวบรวมข้อมูลตามตัวแทน ซึ่งเป็นตัวรวบรวมข้อมูลน้ำหนักเบาที่ติดตั้งโดยตรงบนอุปกรณ์