Definition
Was ist Network Detection and Response (NDR)?
Network Detection and Response (NDR) ist eine Sicherheitsüberwachung, die den Verkehr zwischen Geräten beobachtet, lernt, wie normales Verhalten aussieht, und Alarm schlägt, wenn sich ein Host wie ein Angreifer verhält: wenn er das Netz scannt, sich auf andere Rechner ausbreitet, sich in regelmäßigen Abständen bei einem externen Server meldet oder ungewöhnlich viele Daten nach außen sendet. Weil NDR den Verkehr auswertet, statt auf jedem Gerät zu laufen, erfasst es auch Geräte, auf denen kein Agent laufen kann, etwa Drucker, Kameras und Industriesteuerungen. Der Teil „Response“ ist das, was das Team oder ein automatisiertes Playbook mit dem Alarm macht.
Der Fakt, mit dem Sie planen sollten
In einer gemeinsamen Handreichung vom 7. Februar 2024 empfahlen CISA, NSA, FBI und Partnerbehörden, Baselines für normale Netzwerk-, Benutzer- und Administratoraktivität zu führen und alles zu untersuchen, was davon abweicht, weil Angreifer, die „living off the land“ betreiben, dieselben legitimen Werkzeuge wie Administratoren nutzen und im normalen Betrieb untergehen.
Was Ihr Sensor sieht und was nicht
Ein Netzwerksensor sieht nur den Verkehr, den er bekommt. Kreuzen Sie die Segmente Ihres Netzwerks an, die über einen SPAN- oder TAP-Port an einen NetSenX-Agenten gespiegelt werden, und sehen Sie, welche Situationen sichtbar werden und welche dunkel bleiben.
Mit diesen Segmenten sichtbare Situationen: 8 von 16.
Büro
Sichtbar
- Command-and-Control-Beaconing von einem Büro-PC
- Ungewöhnliche Uploads von einem Arbeitsplatz
- Verkehr von Bürogeräten zu KI-Diensten (ab Pro)
- Ein neues oder unbekanntes Gerät auf der Netzwerkkarte
Server
Sichtbar
- Laterale Bewegung zu den Dateiservern
- Ransomware-Vorbereitung auf Dateifreigaben
- Passwortraten gegen einen Server
- Ein Archiv, das zu einem unbekannten Ziel geht
Gast-WLAN
Nicht sichtbar: nicht gespiegelt
- Ein Gastgerät, das das Netzwerk scannt
Produktion
Nicht sichtbar: nicht gespiegelt
- Schreibzugriffe auf eine SPS außerhalb des üblichen Musters (ab Pro)
- Verkehr über die Ebenen des Werksnetzes hinweg (ab Pro)
- OT-Aktivität außerhalb der Arbeitszeit (ab Pro)
Gebäudetechnik
Nicht sichtbar: nicht gespiegelt
- Eine Kamera oder Gebäudesteuerung, die nach außen funkt
- Eine Gebäudesteuerung, die andere Geräte scannt
Laptops unterwegs
Nicht sichtbar: nicht gespiegelt
- Beaconing von einem Laptop außerhalb des Büros
- Ungewöhnliche Uploads von einem Laptop zu Hause
Für einen Netzwerksensor nie sichtbar
- Dateien, die auf einen USB-Stick kopiert werden
- Eine Anmeldung mit einem gültigen, gestohlenen Passwort
- Dateinamen und Inhalte in verschlüsselten Sitzungen
- Was eine E-Mail sagt, Phishing eingeschlossen
Segmente als Tabelle anzeigen
| Segment | Was sichtbar wird |
|---|---|
| Büro (An einen NetSenX-Agenten gespiegelt) | Command-and-Control-Beaconing von einem Büro-PC; Ungewöhnliche Uploads von einem Arbeitsplatz; Verkehr von Bürogeräten zu KI-Diensten (ab Pro); Ein neues oder unbekanntes Gerät auf der Netzwerkkarte |
| Server (An einen NetSenX-Agenten gespiegelt) | Laterale Bewegung zu den Dateiservern; Ransomware-Vorbereitung auf Dateifreigaben; Passwortraten gegen einen Server; Ein Archiv, das zu einem unbekannten Ziel geht |
| Gast-WLAN (An einen NetSenX-Agenten gespiegelt) | Ein Gastgerät, das das Netzwerk scannt |
| Produktion (An einen NetSenX-Agenten gespiegelt) | Schreibzugriffe auf eine SPS außerhalb des üblichen Musters (ab Pro); Verkehr über die Ebenen des Werksnetzes hinweg (ab Pro); OT-Aktivität außerhalb der Arbeitszeit (ab Pro) |
| Gebäudetechnik (An einen NetSenX-Agenten gespiegelt) | Eine Kamera oder Gebäudesteuerung, die nach außen funkt; Eine Gebäudesteuerung, die andere Geräte scannt |
| Laptops unterwegs (NetSenX-Agent auf jedem Laptop) | Beaconing von einem Laptop außerhalb des Büros; Ungewöhnliche Uploads von einem Laptop zu Hause |
Laptops außerhalb des Büros sind nur mit einem Agenten auf dem Laptop selbst sichtbar. Was ein Sensor nicht sieht, braucht ein anderes Werkzeug: Endpoint-Schutz für USB-Kopien und Programme, Ihren Identitätsanbieter und die VPN-Logs für Anmeldungen, Ihren Mailfilter für Phishing.
So funktioniert NDR, in vier Schritten
Diese vier Schritte gelten für jedes NDR-Produkt. Wie die einzelnen Schritte umgesetzt werden, unterscheidet sich von Anbieter zu Anbieter.
01Erfassen
Ein Sensor erhält über einen SPAN- oder TAP-Port eine Kopie des Verkehrs oder liest ihn auf einem Host mit und zeichnet Flow-Metadaten auf: wer mit wem verbunden war, wann, wie viele Daten geflossen sind und über welches Protokoll.
02Baseline
Das System lernt, was für jeden Host und jedes Segment normal ist: die üblichen Ziele, Ports, Datenmengen und Tageszeiten.
03Erkennen
Es bewertet Abweichungen, die zu Angreiferverhalten passen, etwa Scans, Lateral Movement, Beaconing oder Datenabfluss. Viele Produkte arbeiten mit Metadaten und dem TLS-Handshake, sodass verschlüsselter Verkehr ohne Entschlüsselung aussagekräftig bleibt; manche entschlüsseln den Verkehr stattdessen.
04Reagieren
Ein Analyst untersucht den Alarm, oder ein Playbook isoliert einen Host oder sperrt ein Ziel. Die Aufzeichnung dessen, was gesehen und getan wurde, fließt in den Vorfallsbericht ein.
Was NetSenX heute leistet
- Erkennt Scans, Lateral Movement, C2-Beaconing und ungewöhnliche ausgehende Datenmengen am Verhalten im Netz, in jedem Plan, auch im Free-Plan.
- Sieht Geräte ohne Agent, etwa Drucker, Kameras und Steuerungen, weil ein Agent an einem SPAN- oder TAP-Port das ganze Segment beobachtet.
- Analysiert verschlüsselten Verkehr anhand von Timing, Datenmenge und Zielen, ab dem Starter-Plan auch anhand des TLS-Handshakes, und entschlüsselt ihn nie. Der Handshake ist nur sichtbar, wo der Agent Pakete mitschneidet: unter Linux oder als Sensor an einem SPAN- oder TAP-Port, nicht im Basismodus unter macOS.
- Erklärt jeden Alarm in verständlicher Sprache, mit den Netzwerkmerkmalen, die seine Bewertung bestimmt haben, und führt automatische Reaktionen nur aus Playbooks aus, die Ihr Team schreibt oder aus NetSenX-Vorlagen kopiert.
Was NetSenX nicht leistet
NetSenX sieht nicht, was innerhalb eines Hosts geschieht, ohne das Netz zu berühren, etwa einen Prozess, der sich nirgendwohin verbindet; dafür ist der Endpunktschutz (EDR) da. Es sieht nur die Segmente, die Sie überwachen. Es entschlüsselt Verkehr nie, kann also den Inhalt einer verschlüsselten Sitzung nicht lesen, und es ersetzt keine Vorfallsreaktion. Ein Alarm ist ein Anlass zur Prüfung, kein Beweis für einen Einbruch.
Fragen von Käufern
Wofür steht NDR?
Für Network Detection and Response: Sicherheitswerkzeuge, die den Verkehr zwischen Geräten analysieren, um Angreiferverhalten zu erkennen und die Reaktion darauf zu unterstützen. Frühere Produkte dieser Kategorie hießen oft Network Traffic Analysis (NTA).
Worin unterscheiden sich NDR, EDR und SIEM?
EDR läuft auf jedem Endgerät und sieht die Prozesse und Dateien auf diesem Rechner. Ein SIEM sammelt Logs aus vielen Systemen und korreliert sie. NDR beobachtet den Verkehr zwischen Geräten und erfasst so auch Geräte, auf denen kein Agent laufen kann, sowie Aktivität, die kein Log hinterlässt. Die drei ergänzen sich.
Funktioniert NDR bei verschlüsseltem Verkehr?
Ja, in Grenzen. Timing, Datenmenge, Ziele und der TLS-Handshake bleiben ohne Entschlüsselung sichtbar und reichen aus, um Beaconing, Scans oder ungewöhnliche Uploads zu erkennen. Ohne Entschlüsselung kann kein NDR den Inhalt einer Sitzung lesen. NetSenX entschlüsselt nie.
Lohnt sich NDR für kleine und mittlere Unternehmen?
Kleine Teams haben selten Zeit, täglich Firewall- und DNS-Logs zu lesen, und Angreifer, die legitime Administrationswerkzeuge nutzen, hinterlassen anderswo kaum Spuren. NDR beobachtet den Verkehr ununterbrochen und meldet, was abweicht. NetSenX hat einen Free-Plan, sodass ein Team es im eigenen Netz ausprobieren kann, bevor es bezahlt.
Quellen
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)
- MITRE ATT&CK — Lateral Movement (TA0008)
Diese Seite dient der allgemeinen Information und ist keine Rechtsberatung. Klären Sie Ihre Pflichten mit Ihrer nationalen Behörde oder Ihrer Rechtsberatung.
Verwandte Seiten
NetSenX im eigenen Netzwerk testen
Starten Sie mit dem Free-Plan für bis zu 3 Geräte oder buchen Sie eine 20-minütige Demo.