Обнаружение и реагирование в сети ( NDR ) имеет долгую историю, развиваясь из сетевой безопасности и анализа сетевого трафика (NTA) . Историческое определение сетевой безопасности заключалось в использовании межсетевого экрана и системы предотвращения вторжений (IPS) для проверки трафика, входящего в сеть, но по мере развития ИТ-технологий и технологий безопасности , а также в появлении современных атак, использующих более сложные подходы, определение стало гораздо шире.
Сегодня сетевая безопасность — это все действия компании по обеспечению безопасности своих сетей и всего, что с ними связано . Это включает в себя саму сеть, облако (или облака), конечные устройства, серверы, пользователей и приложения. Трафик от всех этих систем должен проходить через сеть, поэтому сеть является логическим источником достоверной информации об уязвимостях в системе безопасности.
Анализа данных конечных точек и журналов средств безопасности недостаточно, чтобы предотвратить сегодняшние атаки. Если есть что-то важное, что нужно знать о сети, так это то, что она не лжет. Вот почему Обнаружение сети и ответ завершает путь организации по обнаружению атак и реагированию на XDR / Open XDR рядом EDR для конечной точки данные и SIEM для журналов средств безопасности. Конкретно, NDR видит то, что не видят конечные точки и другие журналы (вся сеть; устройства, приложения SaaS, поведение пользователей), действует как истинный набор данных и позволяет реагировать в режиме реального времени.
По мере дальнейшего внедрения концепции «нулевого доверия» сеть будет подвергаться различным сегментациям, улучшающим основные аспекты безопасности. Как и в любой сложной системе, необходимо придерживаться подхода «доверяй, но проверяй» . Системы обнаружения и реагирования в сети идеально дополняют концепцию «нулевого доверия», выступая в качестве ее аналога для проверки. Системы обнаружения и реагирования в сети позволяют организациям с уверенностью внедрять концепцию «нулевого доверия» и проверять ее соблюдение.
Как работает отчет о недоставке?
Решения NDR используют методы, не основанные на сигнатурах (например, машинное обучение или другие аналитические методы), для обнаружения неизвестных атак, а также качественные методы, основанные на сигнатурах (например, информация об угрозах, интегрированная в систему оповещений), для обнаружения известных атак с целью выявления подозрительного трафика или активности. Система обнаружения и реагирования в сети может получать данные от выделенных датчиков, существующих межсетевых экранов, IPS/IDS , метаданных, таких как NetFlow , или любых других источников сетевых данных, при условии стратегического размещения датчиков и/или другой сетевой телеметрии. Необходимо отслеживать как трафик между физическими и виртуальными средами (север-юг, восток-запад). Все данные собираются и хранятся в централизованном хранилище данных с использованием передового механизма искусственного интеллекта для обнаружения подозрительных моделей трафика и генерации оповещений.
Реагирование является критически важным дополнением к обнаружению, обеспечивающим эффективный сетевой подход к операциям безопасности, и имеет фундаментальное значение для обнаружения и реагирования на сетевые угрозы (NDR) . Автоматические ответы, такие как отправка команд межсетевому экрану для блокировки подозрительного трафика или инструменту EDR для изоляции затронутой конечной точки, или ручные ответы, такие как предоставление инструментов для поиска угроз или расследования инцидентов, являются распространенными элементами обнаружения и реагирования на сетевые угрозы.
Обнаружение и реагирование в сети — важнейший компонент любой современной инфраструктуры кибербезопасности. Он позволяет «увидеть всего слона» — всю сеть — а не только отдельные конечные точки, пользователей или устройства, подключенные к ней.
