防患于未然：Stellar Cyber 最新 NDR 响应能力详解
在当今的现代社会 SOC速度至关重要。威胁演变迅速，攻击者行动更快，安全团队必须能够在造成损害之前检测到威胁并做出响应。虽然传统方法 网络检测和响应（NDR） Stellar Cyber 专注于识别可疑行为，更进一步，它不仅让客户能够检测可疑行为，还能让客户直接在网络层面采取行动，所有这些都可以在一个平台上完成，无需昂贵的附加模块或许可证。
实现这一点的一项强大功能是 TCP重置这是一种轻量级但高效的方法，既能立即中断正在进行的恶意网络会话，又能防止未来建立恶意会话。对于希望在不增加巨额成本的情况下，更快响应速度、降低风险的组织而言，Stellar Cyber 的 NDR 最新响应能力是理想之选。 TCP重置 产生了显著影响。
什么是 TCP RESET？它为什么重要？
在 TCP/IP 网络中，TCP RESET 是一个控制标志，用于立即终止连接。当 TCP RESET 数据包注入到活动会话中时，两个端点之间的通信会立即停止，而无需等待正常的 TCP 连接拆除过程。TCP RESET 还可以阻止在 TCP 连接的初始三次握手期间建立新的连接。
在安全运营中，这一简单的操作具有巨大的价值。如果恶意行为者：
- 数据外泄
- 运行命令与控制 (C2) 会话
- 扫描内部资产
- 试图利用应用程序或设备的漏洞
- 暴力破解身份验证服务
立即执行 TCP RESET 可以让防御者在造成损害之前切断连接或阻止未来建立连接，而无需依赖繁重或复杂的网络控制。
Stellar Cyber 如何实现 TCP RESET
恒星网络 NDR 该平台实时监控网络流量，并将流量行为与威胁检测模型关联起来。当检测到恶意或可疑会话时，该平台可以发出 TCP 重置信号来关闭异常流量。
这项功能在传感器端即可完成，传感器能够实时监控 TCP 连接，无需额外硬件或对现有基础设施进行任何更改。它能够无缝集成到检测工作流程中，并增强组织的整体响应能力。
这使得 Stellar Cyber 能够在检测到威胁后立即中断恶意连接。
以下几种情况，快速终止 TCP 连接可以减少损害：
-
利用高置信度特征码的攻击尝试示例：
如果 Stellar Cyber 检测到明显的 IDS/IPS 协议漏洞利用特征，例如与已知远程代码执行漏洞匹配的 HTTP 请求，则终止连接可防止漏洞有效载荷的传递或代码执行的部署。 -
已确认的命令与控制 (C2) 回调示例：
如果 Stellar Cyber 检测到向已知恶意 IP 地址或域名或已证实为 C2 服务器的目标发送少量、规律性的信标，则阻止 TCP 连接建立会扰乱攻击者的控制通道。 -
通过 TCP 进行主动数据泄露，并匹配 DLP 示例：
如果文件传输过程中数据丢失防护 (DLP) 规则与发送到外部主机的敏感数据匹配，则立即终止 TCP 连接可以限制数据丢失。
Stellar Cyber客户的主要优势
1. 内置式 - 非螺栓固定式
Stellar Cyber 直接在内部提供完整的 NDR 功能 Open XDR 该平台无需再使用其他独立的、高成本的 NDR 产品。 SOC 分析人员可以在统一的工作流程中获得高级网络检测和响应功能——无需额外的工具、额外的许可或集成开销。
2. 即时 TCP 重置中断何时发挥作用
在线 TCP 重置可在控制和时机至关重要的时刻提供精准的中断。安全团队依靠它在多种关键场景中加强防御态势：
-
数据渗漏
预防措施：当攻击者试图转移敏感数据时——例如在勒索软件部署或定向间谍活动中——每一秒都至关重要。TCP 重置会在传输过程中立即切断会话，在任何数据离开网络边界之前阻止传输。 -
指挥与控制（C2）中断
现代威胁依赖于交互式C2通道进行攻击执行、有效载荷传递和横向移动。TCP重置通过切断这种连接，使攻击者无法实时操作，从而使防御者占据优势。 -
内部侦察遏制
扫描或枚举等早期活动可以被悄无声息地中断。TCP 重置可以在不触发规避行为的情况下限制攻击者的可见性，从而使分析人员能够在不升级威胁的情况下进行监控。 -
身份验证暴力破解限流
大量登录尝试表明存在凭证填充或暴力破解活动。TCP Reset 不依赖静态速率限制，而是实时动态终止恶意会话。 -
零日漏洞防御
即使在补丁发布之前，攻击尝试也会通过异常的有效载荷或扫描行为暴露出来。TCP 重置使防御者能够根据行为（而非特征码）立即中断恶意会话，从而采取防御措施。 -
内部威胁缓解
当合法用户或被盗帐户开始出现可疑行为（例如文件传输、探测受限区域或异常访问模式）时，在线中断可提供快速、有针对性的遏制，而不会影响正常操作。
3. 轻量级响应，不影响网络
4.加速 SOC 响应速度和更高效率
- 自动触发高置信度警报的重置
- 在分析师主导的调查期间执行手动重置
- 将此行动纳入行动手册和响应应用程序中
5. 加强现有安全控制
- 即使攻击者绕过了 EDR，TCP 重置仍然会终止其活动会话。
- 如果防火墙无法检测到行为异常，Stellar Cyber 的 NDR 分析仍然可以阻止连接。
6. 强大的事件控制工具
- 无需隔离整个主机即可停止可疑会话或应用程序
- 在收集证据的同时限制攻击者的行动。
- 在不中断业务运营的情况下遏制实时威胁
TCP 重置仅仅是个开始。在 Stellar Cyber，我们不断扩展内联响应功能，使防御者能够精准控制网络流量，而无需引入复杂性。敬请期待更多无需代理的高速响应功能，进一步增强防御能力。 SOC 团队要以机器般的速度行动，而不是事后补救。
“由于 Stellar Cyber 本身就内置了 NDR（网络数据响应）功能，因此我们能够快速实现 TCP RESET 响应功能。 XDR “我们利用该平台，”Future Technologies 的首席技术官 Airton Coelho 表示，“我们观察到，在没有 EDR 的环境中，正在进行的数据泄露尝试立即被中断，命令与控制 (C2) 会话也被阻止。这使我们能够直接在网络层遏制高级威胁和零日威胁，无需在终端部署代理，而且成本仅为使用专用 NDR 工具的一小部分。这是一项非常强大的功能，因为它为在关键环境（例如 OT/ICS）中快速阻止威胁提供了一种解决方案，而这些环境通常没有 EDR。”
结论：机器级的响应速度，能将威胁扼杀在萌芽状态
- 降低风险
- 提高响应时间
- 其他活动 SOC 效率
- 在不干扰业务的情况下控制事件
