- NDR hoạt động như thế nào
- Sự phát triển của NDR
- Vai trò của NDR trong An ninh mạng là gì
- Vai trò của NDR trong Trung tâm Điều hành An ninh là gì?SOC)?
- NDR so với Phát hiện và Phản hồi Điểm cuối (EDR)
- NDR so sánh với EDR như thế nào? XDR?
- Kỹ thuật sử dụng trong các giải pháp NDR
- Cách triển khai phát hiện và phản hồi mạng
- Tích hợp NDR với các công cụ bảo mật khác
Giải thích về Phát hiện và Phản hồi Mạng (NDR)
- Những điểm chính:
-
Phát hiện và phản hồi mạng (NDR) có tác dụng gì?
NDR liên tục phân tích lưu lượng mạng, xây dựng các mô hình hành vi để phát hiện các điểm bất thường và tự động phản hồi bằng AI. -
NDR đã phát triển như thế nào từ NTA?
Nó chuyển từ giám sát giao thông cơ bản sang kiểm tra nâng cao và phản hồi tự động bằng cách sử dụng phân tích hành vi và chữ ký. -
NDR của Stellar Cyber cung cấp những tính năng chính nào?
Kiểm tra gói tin chuyên sâu, cảm biến phân tán, hồ dữ liệu tập trung, phát hiện mối đe dọa dựa trên AI và tích hợp SOAR tự động. -
Stellar Cyber giảm khối lượng dữ liệu và tăng cường khả năng phát hiện như thế nào?
Công nghệ này có khả năng giảm dữ liệu lên đến 500 lần trong khi vẫn bổ sung thông tin tình báo về mối đe dọa, cho phép tương quan và phản hồi theo thời gian thực dựa trên AI. -
NDR giúp thống nhất các hoạt động an ninh như thế nào?
NDR của Stellar Cyber được tích hợp vào Open XDR, cho phép tương quan liền mạch với SIEM, SOAR, và UEBA trong một nền tảng.
Phát hiện và phản hồi mạng (NDR) bổ sung khả năng hiển thị mới vào mạng của tổ chức bằng cách thụ động thu thập và phân tích hoạt động mạng nội bộ. Với các LLM mới nổi và nhu cầu mới về phòng thủ mạng chuyên sâu, các công cụ NDR đã phát triển vượt ra ngoài khả năng cốt lõi này. Gartner Báo cáo NDR trình bày chi tiết cách các công cụ trên thị trường hiện nay đang mở rộng ranh giới với khả năng tăng cường LLM, phát hiện mối đe dọa đa phương thức và triển khai dựa trên IaaS.
Tác động hạ lưu của NDR hiện đại rất đáng kể: phản ứng sự cố gắn kết hơn, phân tích chặt chẽ hơn và pháp y nhanh hơn. Hướng dẫn này là một cuộc lặn sâu toàn diện vào NDR.
Giải pháp NDR của Gartner® Magic Quadrant™
Xem lý do tại sao chúng tôi là nhà cung cấp duy nhất được xếp vào nhóm Challenger...
Trải nghiệm hoạt động bảo mật được hỗ trợ bởi AI!
Khám phá AI tiên tiến của Stellar Cyber để phát hiện mối đe dọa ngay lập tức...
NDR hoạt động như thế nào
NDR là duy nhất ở khả năng liên tục phân tích các gói mạng và siêu dữ liệu lưu lượng xảy ra trong luồng lưu lượng Đông-Tây (nội bộ) và giữa Bắc-Nam (mạng nội bộ và internet công cộng). Mỗi hành động mạng riêng lẻ đại diện cho một điểm dữ liệu quan trọng được NDR thu thập – sau đó mỗi hành động được sử dụng để xây dựng mô hình về hành vi hàng ngày của mạng nội bộ.
Điều này cho phép phát hiện ngay lập tức bất kỳ sai lệch nào. Những mẫu không tự nhiên này được gửi đến các nhà phân tích để kiểm tra thêm dưới dạng cảnh báo; tại đây, lưu lượng được đánh giá là chỉ báo về một cuộc tấn công hoặc vô hại. Các NDR hiện đại với khả năng phản hồi tự động có thể tự động triển khai hành động khắc phục – như chặn IP – để ứng phó với mối đe dọa đã nhận biết. Điều này giúp mạng an toàn trong khi nhà phân tích xác định tính hợp pháp của mạng.
Sự phát triển của NDR
NDR có thể truy tìm nguồn gốc ban đầu của nó trở lại Phân tích lưu lượng mạng (NTA). Công cụ cũ hơn này được sử dụng chung bởi các quản trị viên bảo mật và mạng: nó cho phép họ theo dõi tài sản nào đang nhận lưu lượng mạng, tốc độ phản hồi của từng ứng dụng hoặc thiết bị và lượng lưu lượng được gửi đến và đi từ các nguồn nhất định.
Tuy nhiên, khi bối cảnh mối đe dọa phát triển trong suốt đầu những năm 2010, các quản trị viên bảo mật nhận thấy rằng dữ liệu về khối lượng mạng không phản ánh toàn bộ câu chuyện. Chỉ dựa vào NTA để phát hiện mối đe dọa đòi hỏi một quản trị viên mạng cực kỳ giàu kinh nghiệm và tinh mắt; nó để lại nhiều thứ tùy thuộc vào may rủi. Network Detection and Response nhấn mạnh vào việc thu thập dữ liệu mạng phổ quát, cùng với một lớp phân tích bổ sung.
Các công cụ NDR ngày nay tăng cường phân tích hành vi cốt lõi này bằng cách so sánh chữ ký tệp và triển khai quy tắc. Khi phát hiện mối đe dọa tiềm ẩn, NDR có thể tự động cách ly các tệp đáng ngờ, đánh dấu thông tin quan trọng cho quản trị viên bảo mật và liên kết các cảnh báo trong các sự cố bảo mật rộng hơn của họ.
Vai trò của NDR trong An ninh mạng là gì
Theo truyền thống, an ninh mạng của các tổ chức dựa vào các công cụ phát hiện mối đe dọa tĩnh như phần mềm diệt vi-rút và tường lửa: các công cụ này sẽ dựa vào phát hiện dựa trên chữ ký, đánh giá các tệp được đưa vào hoặc chia sẻ trên mạng so với các chỉ số xâm phạm trong cơ sở dữ liệu của từng công cụ.
Tuy nhiên, thiết lập này – hiện được gọi là an ninh mạng dựa trên chu vi – đi kèm với một số lỗi cố hữu. Ví dụ, nếu tường lửa không được cập nhật liên tục, kẻ tấn công có thể lọt qua các lỗ hổng. Khi một thiết bị hoặc dịch vụ duy nhất bị xâm phạm, sự tin tưởng vốn có giữa các thiết bị trên mạng nội bộ sẽ bị khai thác, khi kẻ tấn công bắt đầu leo thang đặc quyền.
NDR tận dụng chuỗi tấn công này và nhận ra rằng hầu như mọi cuộc tấn công đều chạm đến ít nhất một mạng nội bộ. Các nhóm an ninh mạng có thể triển khai giải pháp NDR trên cả lưu lượng Bắc-Nam và Đông-Tây – cho phép họ có thể nhìn thấy lưu lượng đi vào tổ chức và được chia sẻ giữa các thiết bị nội bộ. Điều này sẽ đóng một trong những chỗ dựa lớn nhất mà kẻ tấn công dựa vào. Hướng dẫn người mua NDR chi tiết cách dữ liệu lưu lượng truy cập này được xử lý và phân tích để phát hiện hoạt động độc hại có thể xảy ra.
Vai trò của NDR trong Trung tâm Điều hành An ninh là gì?SOC)?
Khả năng hiển thị mạng hoàn chỉnh
Cảnh báo được kết nối
Nhận thức mạng nhanh chóng
Phản ứng mạng nhanh chóng
NDR so với Phát hiện và Phản hồi Điểm cuối (EDR)
An ninh mạng hiện đại đòi hỏi khả năng hiển thị nhiều hơn là chỉ các hoạt động mạng – EDR là giải pháp tương ứng tập trung vào hành vi điểm cuối. Phát hiện mạng so với điểm cuối khá đơn giản: theo cùng cách NDR tiếp nhận từng hành động trên mạng và đặt nó dọc theo biểu đồ xu hướng rộng hơn, EDR tiếp nhận từng hành động ở cấp độ thiết bị và phân tích nó theo hành vi lịch sử hoặc vai trò cụ thể của nó.
Các sản phẩm EDR thường được phân phối thông qua một tác nhân điểm cuối có thể triển khai trên mỗi điểm cuối. Bằng cách có sự hiện diện cục bộ, EDR có thể thu thập thông tin quy trình, giúp xác định các chương trình có khả năng gây hại bằng cách theo dõi các quy trình đang chạy trên hệ thống. Thông tin tệp cũng được kiểm tra để xác thực tính toàn vẹn của tệp, trong khi thông tin người dùng xác minh tính hợp pháp của từng tài khoản. Cuối cùng, thông tin hệ thống được thu thập để duy trì chế độ xem toàn diện về tình trạng điểm cuối.
Thay vì so sánh NDR với EDR, hầu hết các tổ chức triển khai NDR cùng với EDR – điều này cho phép theo dõi và giám sát toàn bộ chuỗi tấn công. Từ việc xâm nhập tài khoản ban đầu đến leo thang đặc quyền cấp mạng và cuối cùng là triển khai phần mềm độc hại, toàn bộ các cuộc tấn công phức tạp có thể được phát hiện trước khi chúng xảy ra. Nhận thấy tiềm năng này, một số nhà cung cấp an ninh mạng đã bắt đầu cung cấp thêm một lớp phân tích và điều phối giữa hai hệ thống – phát hiện và phản hồi mở rộng (EDR).XDR).
NDR so sánh với EDR như thế nào? XDR?
|
NDR (Phát hiện và phản hồi mạng) |
EDR (Phát hiện và phản hồi điểm cuối) |
XDR (Phát hiện và phản hồi mở rộng) |
|
| Phạm vi | Lưu lượng mạng. | Điểm cuối (máy tính xách tay, máy chủ, thiết bị). | Tất cả (điểm cuối, mạng, đám mây). |
| Nguồn dữ liệu chính | Siêu dữ liệu mạng, luồng lưu lượng. | Dữ liệu đo từ xa điểm cuối, tệp và hành vi quy trình. | Dữ liệu đo từ xa tổng hợp trên nhiều miền. |
| Khả năng đáp ứng | Chỉ giới hạn ở các hành động ở cấp độ mạng, ngày càng cung cấp phản hồi tự động. | Tách biệt với các phản ứng cụ thể tại điểm cuối, chẳng hạn như cách ly. | Cung cấp khả năng phản hồi tự động đa nền tảng hoàn toàn tự do. |
| Độ phức tạp triển khai | Trung bình (yêu cầu tích hợp mạng). | Trung bình (yêu cầu cài đặt tác nhân trên các điểm cuối). | Cao (yêu cầu tích hợp trên tất cả các nền tảng bảo mật hoặc nguồn dữ liệu chính). |
| Trường hợp sử dụng tốt nhất | Phát hiện chuyển động ngang, mối đe dọa tiềm ẩn. | Xác định điểm cuối bị xâm phạm. | Phát hiện và ứng phó mối đe dọa toàn diện. |
Kỹ thuật sử dụng trong các giải pháp NDR
Phân tích lưu lượng truy cập được mã hóa
Bảo mật lưu lượng được mã hóa theo truyền thống là một chủ đề nhạy cảm: và với phần lớn lưu lượng ngày nay hiện đã được mã hóa, việc không thể phân tích đầy đủ lưu lượng được mã hóa có thể là một sự giám sát lớn. Tuy nhiên, giải mã tất cả các gói mạng giữa chừng có thể làm tăng đáng kể nguy cơ dữ liệu và mã thông báo bị lộ.
Để giải quyết vấn đề này, các công cụ hàng đầu thị trường thường dựa vào một chồng các kỹ thuật NDR. Để ngăn chặn rò rỉ dữ liệu mã thông báo hoặc dữ liệu đã giải mã, các cảm biến có thể được triển khai phía sau máy chủ proxy. Điều này sử dụng chức năng phát hiện lưu lượng được mã hóa và định tuyến thông qua proxy: lưu lượng được giải mã như bình thường và sau đó các cảm biến chuyển tiếp tất cả thông tin tình báo đến công cụ NDR trung tâm. Tìm hiểu thêm về khả năng NDR của chúng tôi tại đây.
Nếu máy chủ proxy không phù hợp với một trường hợp sử dụng cụ thể, có thể phát hiện chính xác tính hợp pháp của lưu lượng thông qua các mẫu của nó. Lưu lượng được mã hóa hoàn toàn có thể được đánh giá để tìm phần mềm độc hại thông qua dấu vân tay JA3 mà không phá vỡ mã hóa của chúng. Hơn nữa, các mẫu và siêu dữ liệu có thể kết hợp để phát hiện ý định đằng sau một gói được mã hóa, vì cảm biến vẫn có thể trích xuất chứng chỉ máy chủ, địa chỉ IP, tên miền, thời lượng phiên và số lượng byte từ tiêu đề gói và bắt tay TLS/SSL.
Cuối cùng, nếu giải mã lưu lượng là hoàn toàn cần thiết, NDR hiện đại có thể tích hợp với các dịch vụ giải mã gói tin. Dữ liệu mạng kết quả sau đó được gửi đến công cụ phân tích trung tâm như bình thường.
Khám phá tài sản tự động
Biết được thiết bị nào đang truyền dữ liệu vào và ra khỏi mạng là rất quan trọng. NDR tự động theo dõi và thêm tài sản vào bảng điều khiển quản lý tài sản, theo địa chỉ MAC, địa chỉ IP và tên máy chủ tương ứng của từng thiết bị. Sau đó, điều này cho phép hiển thị các rủi ro ở cấp độ mạng theo các tài sản bị ảnh hưởng.
Giải mã giao thức
Phân tích hành vi
Cách triển khai phát hiện và phản hồi mạng
Triển khai cảm biến
NDR yêu cầu các cảm biến phải được triển khai trong bất kỳ mạng nào đang được giám sát. Tuy nhiên, có các cảm biến cụ thể cho các trường hợp sử dụng khác nhau và việc triển khai thành công đòi hỏi phải có cảm biến phù hợp cho công việc. Ví dụ, môi trường phân phối Linux cần một cảm biến máy chủ Linux. Những cảm biến này thường được triển khai với một lượng tài nguyên CPU khả dụng được thiết lập sẵn mà nó có thể sử dụng tại bất kỳ thời điểm nào, để bảo vệ chất lượng máy chủ trong khi thu thập các lệnh thực thi và nhật ký. Máy chủ Windows cũng yêu cầu loại cảm biến riêng của chúng; những cảm biến này thu thập toàn bộ phạm vi của Windows các loại sự kiện.
Cảm biến dạng mô-đun là một loại khác: chúng cho phép tích hợp các tính năng tùy chỉnh cùng với cảm biến. Ví dụ, điều này có thể bao gồm Chuyển tiếp nhật ký – nếu cần triển khai cùng với một… SIEM hoặc các công cụ bảo mật khác – và việc thu thập lưu lượng mạng – theo yêu cầu của NDR. Đối với các yêu cầu bảo mật cao hơn, các cảm biến dạng mô-đun cũng có thể được triển khai với hệ thống hộp cát và phát hiện xâm nhập.
Với các cảm biến chính xác được xác định cho mỗi lần triển khai, điều quan trọng là phải thiết lập chúng cho phù hợp. Có rất nhiều phương pháp triển khai có sẵn cho việc này: cổng SPAN là một trong những cổng phổ biến nhất và hoạt động bằng cách phản chiếu lưu lượng mạng trên một bộ chuyển mạch mạng sang cổng có cảm biến NDR. Điều này cho phép công cụ NDR thụ động nắm bắt tất cả lưu lượng truy cập đến cổng đó.
Môi trường ảo dựa vào các vòi ảo được triển khai, nắm bắt các bản sao dữ liệu chảy giữa các VM bên trong máy chủ; các TAP vật lý bỏ qua lưu lượng này vì nó không bao giờ đi qua cáp mạng vật lý. Hoạt động mạng của các điểm cuối từ xa có thể được giám sát bằng các bộ thu thập dựa trên tác nhân; các bộ thu thập nhẹ được cài đặt trực tiếp vào thiết bị.
Nhập dữ liệu
Tải xuống và thiết lập
Bật và điều chỉnh phản hồi tự động
Phản hồi tự động là một khả năng chính của các công cụ NDR hiện đại: chúng cũng giúp tiết kiệm đáng kể thời gian chống lại các cuộc tấn công tiềm ẩn. Tùy thuộc vào NDR, các hành động phản hồi tự động của nó như chấm dứt phiên TCP, phân đoạn mạng động hoặc điều tiết lưu lượng cần được cấu hình - cùng với hồ sơ hành vi cần kích hoạt từng hành động. Tìm hiểu thêm về cách triển khai NDR tại đây.
Tích hợp NDR với các công cụ bảo mật khác
BDU
SIEM
SIEMCác công cụ phân tích nhật ký (log) rất phổ biến trong các nhóm bảo mật – chúng cho phép phân tích và phát hiện nhật ký, và là tiền thân của quản lý mối đe dọa hiện đại. Tuy nhiên, vì SIEMHệ thống xử lý rất nhiều nhật ký – và chỉ riêng nhật ký thôi thì không cung cấp cái nhìn toàn diện nhất về các mối đe dọa – SIEMCác hệ thống này rất dễ bị báo động sai. Kết quả là có hàng nghìn cảnh báo mỗi ngày, việc xem xét thủ công chúng là điều gần như bất khả thi.
NDR cho phép thiết lập một lớp xác thực – bất cứ khi nào SIEM Khi phát hiện một sự cố tiềm ẩn, dữ liệu mạng tương ứng có thể được phân tích. Nếu cả hai nguồn dữ liệu đều chỉ ra một cuộc tấn công, cảnh báo có thể được phát ra thông qua bảng điều khiển trung tâm của NDR. Điều này không chỉ giúp lọc ra các cảnh báo không chính xác mà còn cung cấp cho nhà phân tích xem xét một cơ sở tốt hơn để làm việc.
Tường lửa
