Gartner NDR: Thông tin chi tiết, Phát hiện chính và Tương lai phía trước (2025)
- Những điểm chính:
-
Gartner định nghĩa NDR như thế nào?
NDR sử dụng các cảm biến nội bộ và mô hình hành vi để phát hiện các bất thường theo thời gian thực trong luồng mạng lưới đông-tây và bắc-nam. -
NDR lấp đầy khoảng trống nào trong vấn đề bảo mật?
Nó cung cấp khả năng hiển thị lưu lượng truy cập nội bộ mà tường lửa và SIEM thường bỏ qua, giúp xóa bỏ các điểm mù phát hiện quan trọng. -
Gartner ghi nhận những xu hướng thị trường nào?
NDR đang tăng trưởng nhanh chóng (khoảng 23% so với cùng kỳ năm trước), với sự gia tăng áp dụng và mở rộng năng lực giữa các nhà cung cấp chính thống. -
Điều này có ý nghĩa gì đối với nhóm an ninh?
NDR đang trở nên thiết yếu đối với phòng thủ nhiều lớp, đặc biệt là trong các môi trường phức tạp, lưu lượng truy cập cao, đám mây và kết hợp.
Hướng dẫn thị trường NDR của Gartner là nền tảng để khám phá các tính năng phức tạp và tương lai của thị trường Phát hiện và Phản hồi Mạng (NDR) đang phát triển. Là một phần tương đối mới của bộ công cụ an ninh mạng, các nhóm bảo mật đang nhanh chóng phát triển nhận thức của riêng họ về công cụ: trình bày tổng quan rõ ràng, hướng dẫn này phổ biến nghiên cứu thị trường và phỏng vấn khách hàng của Gartner thành một định dạng dễ tiếp cận.
Kể từ Báo cáo thị trường năm 2022, các ấn phẩm NDR hàng năm của Gartner đã phản ánh những thay đổi nhanh chóng trong lĩnh vực này: từ năm 2022 19 nhà cung cấp đại diện đến hàng chục năm 2024, ngay cả các nhà cung cấp an ninh mạng lớn như Cisco cũng đã bắt đầu cung cấp các khả năng NDR. Các tính năng NDR đã phát triển đáng kể và báo cáo năm 2024 của Gartner cung cấp định nghĩa toàn diện nhất cho đến nay.
Giải pháp NDR của Gartner® Magic Quadrant™
Xem lý do tại sao chúng tôi là nhà cung cấp duy nhất được xếp vào nhóm Challenger...
Trải nghiệm hoạt động bảo mật được hỗ trợ bởi AI!
Khám phá AI tiên tiến của Stellar Cyber để phát hiện mối đe dọa ngay lập tức...
Gartner định nghĩa NDR như thế nào?
NDR triển khai trong các mạng nội bộ của tổ chức: các cảm biến của nó sau đó thu thập dữ liệu gói thô cùng với bất kỳ siêu dữ liệu liên quan nào và lắp ráp chúng thành một mô hình chi tiết về các hành vi hàng ngày của từng mạng. Mô hình hành vi này cho phép phát hiện ngay lập tức các hoạt động bất thường trên cả lưu lượng mạng nội bộ (đông-tây) và bên ngoài (bắc-nam). Được cung cấp thông qua sự kết hợp giữa các cảm biến dựa trên phần cứng và phần mềm, các triển khai NDR được quản lý thông qua bảng điều khiển phối hợp, trong khi các cảnh báo của chúng có thể được đưa vào bảng điều khiển quy trình làm việc có sẵn và - kể từ năm 2024 - sổ tay hướng dẫn tự động.
Để định nghĩa rõ hơn NDR là gì, Gartner đưa vào các thành phần loại trừ một sản phẩm khỏi danh sách NDR. Một số tính năng loại trừ này bao gồm các công cụ phụ thuộc vào nền tảng tiên quyết—chẳng hạn như yêu cầu SIEM hoặc tường lửa để vận hành; điều này không đáp ứng các tiêu chí độc lập vốn là trọng tâm của NDR. Tương tự như vậy, các nền tảng ưu tiên giám định mạng thông qua lưu trữ PCAP mở rộng và phân tích hồi cứu – thay vì phát hiện theo thời gian thực – không đáp ứng được các yêu cầu xác định mối đe dọa theo thời gian thực của NDR. Cuối cùng, các giải pháp chuyên biệt được xây dựng dành riêng cho các hệ thống mạng vật lý hoặc phân tích nhật ký cũng khác với phương pháp phân tích hành vi tập trung vào mạng của NDR.
NDR lấp đầy khoảng trống thị trường nào?
Vì NDR là một giải pháp mới, nên việc đưa nó vào bối cảnh rộng hơn của các công cụ bảo mật khác là rất hữu ích. Gartner so sánh nó với một số nền tảng bảo mật đa chức năng thường được triển khai hiện nay, chẳng hạn như Security Information and Event Management (SIEM) và tường lửa. SIEM tập trung vào việc thu thập, chuẩn hóa và phân tích nhật ký từ nhiều nguồn khác nhau; mặt khác, tường lửa theo dõi các gói dữ liệu đi vào hoặc ra khỏi các mạng được thiết lập trước của tổ chức. Trong khi SIEM cung cấp cho các nhóm bảo mật một nền tảng trung tâm duy nhất, thì việc thiếu một điểm tập trung chuyên biệt khiến nó trở thành một trình tạo cảnh báo khối lượng lớn; tường lửa, mặc dù dành riêng cho bảo mật mạng, chỉ
cung cấp khả năng hiển thị bắc-nam. Kết quả là một điểm mù xung quanh cách các mạng chia sẻ dữ liệu nội bộ.
Đây là khoảng cách thị trường mà NDR hướng đến: các công cụ NDR độc lập cung cấp mức độ chi tiết của phân tích mạng mà nếu không thì không thể đạt được. Đóng góp vào mức tăng trưởng 23% theo năm của thị trường là quy trình triển khai dễ tiếp cận và sự phát triển liên tục của các tính năng của từng nhà cung cấp.
Tại sao không có NDR Magic Quadrant?
Đối với các nhà cung cấp riêng lẻ cung cấp các công cụ NDR, định dạng so sánh thông thường của Gartner là thông qua Magic Quadrant của họ, định vị các nhà cung cấp công nghệ dựa trên hai tiêu chí chính: tầm nhìn toàn diện và khả năng thực hiện. Sau đó, nó lập bản đồ trực quan các nhà cung cấp trong lưới hai chiều được chia thành bốn góc phần tư: nhà lãnh đạo, người thách thức, người có tầm nhìn xa và người chơi thích hợp. Tại thời điểm viết bài, chưa có Magic Quadrant nào được công bố cho các nhà cung cấp NDR.
Mặc dù là một công cụ hữu ích cho khách hàng NDR tiềm năng, nhưng điều quan trọng cần lưu ý là Gartner chỉ công nhận thị trường NDR vào năm 2020. Kể từ đó, họ vẫn tập trung vào Hướng dẫn thị trường hàng năm: các hướng dẫn này đánh giá các nhà cung cấp mới và mới nổi trên thị trường, so sánh họ với thông tin đầu vào thực tế từ khách hàng của Gartner và giúp thiết lập tính hợp pháp và khả năng tồn tại lâu dài của giải pháp.
Cuối cùng, Magic Quadrant yêu cầu thị trường phải đạt đến độ trưởng thành, sự khác biệt về nhà cung cấp và sự chấp nhận của khách hàng để có thể tiến hành phân tích so sánh.
Hướng dẫn thị trường của Gartner về các tính năng cốt lõi của NDR
Các tính năng bắt buộc của NDR
Các tính năng sau đây hoàn toàn cần thiết để một công cụ đáp ứng được tiêu chí NDR của Gartner.
- Tầm nhìn giao thông toàn diện: Tính năng này dựa trên khả năng của NDR trong việc trích xuất siêu dữ liệu, chẳng hạn như địa chỉ IP, giao thức và chi tiết tải trọng, từ hoạt động mạng thô. Tính năng này đạt được bằng cách triển khai cảm biến trên cơ sở hạ tầng tại chỗ, đám mây và kết hợp.
- Giám sát hai chiều: Đây là phân tích liên tục về chuyển động mạng theo cả hướng bắc-nam và đông-tây. Đạt được bằng các loại cảm biến đa diện, chẳng hạn như các vòi mạng cho hướng đông-tây và NetFlow cho dữ liệu bắc-nam.
- Kỹ thuật phát hiện hành vi: Điều này mô tả việc xác định liên tục các bất thường thông qua học máy và phân tích, độc lập với các chữ ký tấn công tĩnh. Đạt được bằng cách gửi siêu dữ liệu gói đến một thuật toán Học máy trung tâm, có thể khớp các mẫu hành vi mạng được thu thập với các chiến lược tấn công có thể xảy ra.
- Đường cơ sở và phát hiện bất thường: Đây là mô hình thống kê về hành vi của mạng theo thời gian, với mục tiêu cuối cùng là xác định các sai lệch và đánh dấu hoạt động đáng ngờ. Nó sử dụng tất cả siêu dữ liệu đã thu thập để xây dựng hồ sơ về hoạt động mạng bình thường, hàng ngày.
- Tương quan cảnh báo: Thay vì đánh dấu bất kỳ sự sai lệch nào so với chuẩn mực là cảnh báo – có thể dẫn đến tình trạng mệt mỏi vì cảnh báo – Gartner nhấn mạnh sự cần thiết của NDR trong việc tổng hợp các cảnh báo riêng lẻ thành các sự cố gắn kết. Đạt được bằng thuật toán của NDR, thuật toán này phải có khả năng liên kết hoạt động mạng bất ngờ với các dấu hiệu xâm phạm thực sự. Thường được cải thiện thông qua tích hợp với các công cụ SOC khác.
- Khả năng phản hồi tự động và thủ công: Cũng giống như tính năng cuối cùng rất quan trọng để loại bỏ tình trạng mệt mỏi do cảnh báo, Gartner nhấn mạnh cách NDR không thể gây quá tải cho nguồn lực của nhóm bảo mật với khả năng phản hồi của nó. Kết quả là nhu cầu về khả năng phản hồi rộng rãi: phản hồi thủ công có thể được xác định trong giai đoạn tương quan cảnh báo, trong khi phản hồi tự động có thể cần tích hợp với các công cụ ngăn chặn và hạn chế, chẳng hạn như tường lửa hoặc IPS.
- Phương pháp phát hiện truyền thống: Cuối cùng, Gartner thừa nhận rằng phân tích hành vi có thể không đủ: NDR cũng có thể sử dụng chữ ký IDPS, phương pháp tìm kiếm và cảnh báo dựa trên ngưỡng để tận dụng nhiều lớp xác minh mối đe dọa. Điều này cũng đòi hỏi phải tích hợp với nguồn cấp dữ liệu tình báo mối đe dọa của bên thứ ba.
Tính năng NDR tùy chọn
Với nhiều trường hợp sử dụng cụ thể như vậy, Gartner cũng thừa nhận các tính năng sau đây có thể là tùy chọn, tùy thuộc vào kiến trúc mạng riêng biệt của từng khách hàng.
- Giám sát lưu lượng IaaS: Khả năng hiển thị vào môi trường cơ sở hạ tầng dưới dạng dịch vụ ngày càng trở nên quan trọng: một số giải pháp NDR cung cấp khả năng này bằng cách triển khai các cảm biến nhẹ trong môi trường IaaS, sau đó phản ánh lưu lượng giữa các khối lượng công việc trên đám mây.
- Tích hợp SaaS: Điểm yếu nhất của một số công cụ NDR, Gartner lưu ý rằng một số NDR cho phép phát hiện và phân tích lưu lượng truy cập đến các ứng dụng dựa trên SaaS. Việc giám sát ứng dụng dựa trên SaaS này thường đạt được thông qua các trình kết nối API; Microsoft 365 là một tích hợp API NDR đặc biệt phổ biến.
- Hỗ trợ SOC và thu thập nhật ký: Chức năng này mang lại cho công cụ NDR tính linh hoạt cao hơn vì nó cung cấp bảng điều khiển và quy trình làm việc liên quan mà qua đó các nhóm SOC có thể xem và điều tra cảnh báo. Tương tác trực tiếp này là từ bảng điều khiển NDR.
- Chụp toàn bộ gói tin (PCAP): Tệp PCAP ghi lại lưu lượng mạng thô, ghi lại tiêu đề, tải trọng và siêu dữ liệu của mọi gói tin. Dữ liệu này có thể đóng vai trò là "sự thật cơ bản" cho hoạt động mạng và cho phép NDR xây dựng lại các cuộc hội thoại mạng theo chiến thuật cụ thể của kẻ tấn công.
- Tuy nhiên, PCAP không phải là một nhu cầu thường xuyên, vì nó có khối lượng cực lớn và có thể yêu cầu một quá trình giải mã tốn nhiều tài nguyên. Do đó, PCAP được định vị là một tính năng tốt để có – và các nhà cung cấp NDR cung cấp tính năng này cũng phải tính đến khả năng mở rộng và lưu trữ lâu dài.
- Công cụ tìm kiếm do AI điều khiển: Với sự gia tăng của bảng điều khiển NDR, Gartner cũng ghi nhận sự gia tăng các chức năng tìm kiếm hỗ trợ AI. Các trợ lý thông minh được hỗ trợ bởi Mô hình ngôn ngữ lớn (LLM) có thể cho phép các nhà phân tích truy vấn các nền tảng NDR, hỗ trợ săn tìm mối đe dọa và tạo báo cáo nhanh hơn.
- Tích hợp EDR & SIEM: Do EDR và SIEM đều là nguồn thông tin tình báo về mối đe dọa sâu sắc, nên việc tích hợp NDR với chúng nhằm đạt được mối tương quan cảnh báo chính xác hơn. Ví dụ, việc NDR phát hiện ra các mẫu chuyển động ngang có thể được xác nhận bằng các cảnh báo thực thi phần mềm độc hại của EDR từ cùng một khung thời gian. Cảnh báo tham chiếu chéo kết quả cho phép nhà phân tích đi sâu vào sự cố nhanh hơn nhiều.
- Điều chỉnh sau cảnh báo: Vì phân tích hành vi có thể làm tăng tỷ lệ dương tính giả, nên việc điều chỉnh sau cảnh báo là điều cần thiết để đảm bảo NDR trở thành nguồn tín hiệu đáng tin cậy. Điều này đôi khi đạt được thông qua so sánh PCAP, trong đó mô hình hành vi tự xác minh và do đó điều chỉnh logic phát hiện của riêng nó. Điều chỉnh thủ công cũng có thể là một phần cần thiết của việc này, với một số nhà cung cấp NDR cung cấp các tùy chọn một cú nhấp chuột để đánh dấu các cảnh báo không chính xác.
Bộ khả năng toàn diện này đảm bảo các hệ thống NDR có thể đóng vai trò vừa là công cụ phát hiện vừa là trung tâm phản hồi được sắp xếp. Với những tính năng này, báo cáo của Gartner tiếp tục thiết lập một số thay đổi quan trọng trong bối cảnh NDR.
Khuyến nghị của Gartner về việc lựa chọn NDR
Thiết lập quy trình làm việc
Xác định một số liệu chung
Do các nền tảng NDR khác nhau dựa trên sự kết hợp của các kỹ thuật phát hiện – từ phân tích hành vi đến các phương pháp dựa trên chữ ký – nên việc thiết lập một cơ sở chung để so sánh là điều cần thiết. Đánh giá các nhà cung cấp nên vượt ra ngoài danh sách kiểm tra tính năng và tập trung vào chất lượng và phạm vi khả năng phát hiện của họ. Các số liệu như “tỷ lệ phần trăm các sự cố quan trọng được NDR phát hiện” có thể cung cấp một chuẩn mực có ý nghĩa, giúp các nhóm bảo mật đánh giá hiệu quả trên các giải pháp khác nhau một cách rõ ràng và nhất quán.
Các số liệu rõ ràng và hợp lý khác có thể bao gồm tỷ lệ dương tính giả, thời gian trung bình để phân loại cảnh báo hoặc cải thiện tốc độ phát hiện phần mềm tống tiền – tất cả những điều này đều cung cấp cơ sở vững chắc hơn để so sánh giữa các nhà cung cấp.
Xác định cách quản lý các kết quả dương tính giả
Xác định yêu cầu tự động hóa của bạn
Xác định xem bạn cần NDR hay XDR
Hệ sinh thái mạng ngày nay vô cùng đa dạng – các chiến lược NDR hiệu quả đảm bảo phạm vi công cụ thích ứng với các rủi ro và nhu cầu cụ thể của từng môi trường. Với sự phát triển của NDR thành XDR, do đó, thường cần phải có cái nhìn phân tích về các quy trình riêng của tổ chức: khả năng hiển thị sâu ở cấp độ mạng có giá trị đặc biệt trong các mạng lai và OT nặng. Mặt khác, nếu các quy trình bảo mật thủ công làm chậm hệ thống rộng hơn, XDR có thể cung cấp các khả năng NDR cốt lõi trong khi hợp nhất thêm các tín hiệu từ điểm cuối, danh tính, email và mạng thành một khuôn khổ phát hiện và phản hồi duy nhất.
Đánh giá điểm mù phát hiện mối đe dọa của bạn. Nếu phạm vi phủ sóng điểm cuối mạnh nhưng khả năng hiển thị mạng bị hạn chế, NDR có thể lấp đầy khoảng trống quan trọng. Nếu bạn đang quản lý nhiều công cụ bị cô lập và đang vật lộn với tình trạng quá tải cảnh báo hoặc thời gian phản hồi chậm, phương pháp tiếp cận tích hợp của XDR có thể mang lại giá trị lớn hơn – đặc biệt là nếu nó có thể thay thế và hợp nhất một công cụ đã lỗi thời.
Sự trỗi dậy của NDR lai
Thị trường NDR đã trải qua những thay đổi lớn kể từ khi ra đời vào năm 2020: sự gia tăng đột ngột của công việc từ xa trong năm đó đã tạo ra nhu cầu mới về việc giám sát lưu lượng mạng ở bất cứ nơi nào có người dùng và khối lượng công việc. Do đó, các sắp xếp làm việc tại nhà đã chuyển các mô hình lưu lượng từ đông-tây sang chủ yếu là bắc-nam và chứng kiến sự áp dụng rộng rãi của phân tích hai chiều của NDR.
Hội tụ CNTT và OT là lộ trình chính đối với một số tổ chức: Năm 2024 chứng kiến sự mở rộng đáng kể các khả năng của NDR để bao phủ điều này. Và vì lý do chính đáng – NDR đặc biệt phù hợp để giám sát hoạt động của các thiết bị Internet vạn vật (IoT), không thể hỗ trợ các tác nhân phần mềm EDR hoặc IPS cục bộ. Cùng với giám sát không cần tác nhân, nhận thức giao thức của NDR cũng cho phép nó lập bản đồ các giao thức dành riêng cho OT, chẳng hạn như Modbus TCP và các giao thức dành riêng cho CNTT, chẳng hạn như HTTPS và trình bày chi tiết cách từng giao thức tương tác trên mạng.
Các phát triển NDR lai khác đã chứng kiến sự tập trung liên tục vào việc tích hợp liền mạch với các công cụ EDR. Hai công cụ có các điểm tập trung chi tiết, được ràng buộc chặt chẽ riêng lẻ, với các thuật toán ML được đào tạo chỉ dựa trên các mẫu tấn công của từng môi trường. Kiến trúc chung này cũng làm cho hai giải pháp có khả năng tương thích cao và một số nhà cung cấp NDR đã bắt đầu cung cấp cả hai.
Tương lai của thị trường NDR là gì?
Tương lai của thị trường được đánh dấu bằng sự thay đổi năng động hướng tới NDR trở nên linh hoạt hơn và tích hợp rộng rãi hơn. Thay vì vẫn là các công cụ độc lập chỉ tập trung vào phân tích mô hình lưu lượng, các giải pháp NDR ngày càng hỗ trợ nhiều hơn cho các kênh phản hồi sự cố.
Một hướng chính là sự gia tăng của phòng thủ theo chiều sâu. Ở đây, các nền tảng NDR tích hợp các công cụ phát hiện dựa trên chữ ký, chẳng hạn như Zeek hoặc Suricata, vốn thường thấy trong các giải pháp Phát hiện và Phản hồi Xâm nhập. Thiết kế giải pháp theo mô-đun này – và số lượng tích hợp lớn hơn – coi sự hiện diện ngày càng tăng của NDR là một tuyến phòng thủ thứ cấp.
Nhiều nhà cung cấp NDR tiên phong hơn đang đẩy ranh giới giữa NDR, EDR và IDS, đồng thời xây dựng các công cụ NDR là một phần của chiến lược phát hiện và phản hồi mở rộng (XDR). Việc tích hợp dữ liệu từ xa của mạng với các tín hiệu từ điểm cuối và nguồn nhận dạng đang ngày càng đưa NDR vào không gian XDR. Sự hội tụ này tăng cường khả năng phát hiện liên miền, cho phép khả năng hiển thị mối đe dọa toàn diện hơn. Đây cũng là lý do cơ bản khiến một số nhà cung cấp NDR định vị các công cụ SIEM là đối thủ cạnh tranh, vì các khả năng XDR đang ngày càng lấn át các dịch vụ SIEM.
Cuối cùng, sự xuất hiện của các công cụ hỗ trợ LLM định vị NDR như một giải pháp đầu cuối tiềm năng cho các hoạt động bảo mật, nơi các tường thuật về sự cố và thông tin chi tiết về quá trình điều tra nhanh chóng trở thành trọng tâm trong trải nghiệm của nhà phân tích.
Khi NDR phát triển, quỹ đạo của nó phản ánh sự thúc đẩy rộng rãi hơn hướng tới sự hội tụ, bối cảnh và tự động hóa trong an ninh mạng.
Stellar Cyber đẩy ranh giới giữa NDR và XDR như thế nào
Stellar Cyber cung cấp các khả năng NDR và XDR như một phần của nền tảng XDR hợp nhất, kết hợp phát hiện song hướng tập trung vào mạng với phòng ngừa và ứng phó mối đe dọa liên miền. Là một Mở XDR, nó có thể triển khai các cảm biến NDR, cùng với việc thu thập dữ liệu bảo mật và cảnh báo từ bất kỳ công cụ bảo mật nào khác. Sau đó, nó áp dụng nhiều lớp phân tích để phối hợp các cảnh báo này thành các sự cố hoàn chỉnh, bao gồm xác định các mẫu MITRE ATT&CK có thể xảy ra. Cuối cùng, sổ tay hướng dẫn tự động cho phép tự động khắc phục các mối đe dọa.
Do đó, OpenXDR cung cấp cho các nhóm tinh gọn một nền tảng chuyên sâu và có khả năng thích ứng cao để bảo mật toàn bộ tổ chức. Khám phá bảng điều khiển và quy trình làm việc có thể truy cập của Stellar Cyber với bản demo ngày hôm nay.
