Definición
¿Qué es NDR (network detection and response)?
NDR (network detection and response) es una monitorización de seguridad que observa el tráfico entre dispositivos, aprende cómo es el comportamiento normal y genera una alerta cuando un equipo empieza a comportarse como un atacante: escanea la red, salta a otras máquinas, contacta con un servidor externo a intervalos regulares o envía fuera volúmenes de datos inusuales. Como analiza el tráfico en lugar de ejecutarse en cada dispositivo, también cubre las máquinas que no pueden llevar un agente, como impresoras, cámaras y controladores industriales. La parte de «response» es lo que el equipo, o un playbook automatizado, hace con la alerta.
El dato que conviene tener presente
En una guía conjunta publicada el 7 de febrero de 2024, CISA, la NSA, el FBI y agencias asociadas recomendaron mantener líneas base de la actividad normal de la red, de los usuarios y de los administradores e investigar todo lo que se desvíe de ellas, porque los atacantes que practican «living off the land» usan las mismas herramientas legítimas que los administradores y se confunden con la operativa normal.
Lo que su sensor ve y lo que no
Un sensor de red solo ve el tráfico que le llega. Marque los segmentos de su red reflejados hacia un agente de NetSenX mediante un puerto SPAN o TAP y vea qué situaciones se vuelven visibles y cuáles quedan a oscuras.
Situaciones visibles con estos segmentos: 8 de 16.
Oficina
Visible
- Beaconing de mando y control desde un PC de la oficina
- Subidas inusuales desde un puesto de trabajo
- Tráfico de los dispositivos de la oficina a servicios de IA (desde Pro)
- Un dispositivo nuevo o desconocido en el mapa de red
Servidores
Visible
- Movimiento lateral hacia los servidores de archivos
- Preparación de ransomware en carpetas compartidas
- Intentos de adivinar contraseñas contra un servidor
- Un archivo que sale hacia un destino desconocido
Wi-Fi de invitados
No visible: sin réplica
- Un dispositivo de invitado escaneando la red
Producción
No visible: sin réplica
- Escrituras en un PLC fuera del patrón habitual (desde Pro)
- Tráfico que cruza los niveles de la red de planta (desde Pro)
- Actividad OT fuera del horario de trabajo (desde Pro)
Sistemas del edificio
No visible: sin réplica
- Una cámara o un controlador del edificio que contacta con el exterior
- Un controlador del edificio escaneando otros dispositivos
Portátiles remotos
No visible: sin réplica
- Beaconing desde un portátil fuera de la oficina
- Subidas inusuales desde un portátil en casa
Nunca visible para un sensor de red
- Archivos copiados a una memoria USB
- Un inicio de sesión con una contraseña válida robada
- Nombres y contenido de archivos dentro de sesiones cifradas
- Lo que dice un correo, phishing incluido
Ver los segmentos como tabla
| Segmento | Lo que se vuelve visible |
|---|---|
| Oficina (Reflejado hacia un agente de NetSenX) | Beaconing de mando y control desde un PC de la oficina; Subidas inusuales desde un puesto de trabajo; Tráfico de los dispositivos de la oficina a servicios de IA (desde Pro); Un dispositivo nuevo o desconocido en el mapa de red |
| Servidores (Reflejado hacia un agente de NetSenX) | Movimiento lateral hacia los servidores de archivos; Preparación de ransomware en carpetas compartidas; Intentos de adivinar contraseñas contra un servidor; Un archivo que sale hacia un destino desconocido |
| Wi-Fi de invitados (Reflejado hacia un agente de NetSenX) | Un dispositivo de invitado escaneando la red |
| Producción (Reflejado hacia un agente de NetSenX) | Escrituras en un PLC fuera del patrón habitual (desde Pro); Tráfico que cruza los niveles de la red de planta (desde Pro); Actividad OT fuera del horario de trabajo (desde Pro) |
| Sistemas del edificio (Reflejado hacia un agente de NetSenX) | Una cámara o un controlador del edificio que contacta con el exterior; Un controlador del edificio escaneando otros dispositivos |
| Portátiles remotos (Agente de NetSenX en cada portátil) | Beaconing desde un portátil fuera de la oficina; Subidas inusuales desde un portátil en casa |
Los portátiles fuera de la oficina solo son visibles con un agente en el propio portátil. Lo que un sensor no ve necesita otra herramienta: la protección de endpoints para copias en USB y programas, su proveedor de identidad y los registros de la VPN para los inicios de sesión, su filtro de correo para el phishing.
Cómo funciona NDR, en cuatro pasos
Estos cuatro pasos se aplican a cualquier producto NDR. Cómo se realiza cada uno varía de un fabricante a otro.
01Capturar
Un sensor recibe una copia del tráfico desde un puerto SPAN o un TAP, o lo lee en un equipo, y registra los metadatos de los flujos: quién se conectó con quién, cuándo, cuántos datos se movieron y con qué protocolo.
02Línea base
Aprende qué es normal para cada equipo y segmento: los destinos, puertos, volúmenes y horas habituales.
03Detectar
Puntúa las desviaciones que encajan con el comportamiento de un atacante, como el escaneo, el movimiento lateral, el beaconing o la exfiltración de datos. Muchos productos trabajan con metadatos y el handshake TLS, de modo que el tráfico cifrado sigue siendo útil sin descifrarlo; otros descifran el tráfico.
04Responder
Un analista investiga la alerta, o un playbook aísla un equipo o bloquea un destino. El registro de lo que se vio y se hizo alimenta el informe del incidente.
Qué hace NetSenX hoy
- Detecta escaneos, movimiento lateral, beaconing de C2 y volúmenes de datos salientes inusuales a partir del comportamiento en la red, en todos los planes, incluido Free.
- Ve los dispositivos sin agente, como impresoras, cámaras y controladores, porque un solo agente en un puerto SPAN o un TAP observa todo el segmento.
- Analiza el tráfico cifrado a partir del ritmo, el volumen y los destinos, y desde el plan Starter también del handshake TLS, y nunca lo descifra. El handshake solo es visible donde el agente captura paquetes: en Linux o como sensor en un puerto SPAN o TAP, no en el modo básico que se usa en macOS.
- Explica cada alerta en lenguaje claro, con las características de red que determinaron su puntuación, y solo ejecuta respuestas automáticas desde playbooks que su equipo escribe o copia de las plantillas de NetSenX.
Qué no hace NetSenX
NetSenX no ve lo que ocurre dentro de un equipo sin pasar por la red, como un proceso que no se conecta a ninguna parte; eso corresponde a la protección de endpoints (EDR). Solo ve los segmentos que usted monitoriza. Nunca descifra el tráfico, así que no puede leer el contenido de una sesión cifrada, y no sustituye a la respuesta a incidentes. Una alerta es un motivo para investigar, no la prueba de una intrusión.
Preguntas de los compradores
¿Qué significa NDR?
Network detection and response: herramientas de seguridad que analizan el tráfico entre dispositivos para detectar el comportamiento de un atacante y apoyar la respuesta. Los productos anteriores de esta categoría solían llamarse network traffic analysis (NTA).
¿Qué diferencia hay entre NDR, EDR y SIEM?
El EDR se ejecuta en cada endpoint y ve los procesos y archivos de esa máquina. Un SIEM recoge registros de muchos sistemas y los correlaciona. El NDR observa el tráfico entre dispositivos, por lo que también cubre los que no pueden llevar agente y la actividad que no deja registro. Los tres se complementan.
¿Funciona NDR con tráfico cifrado?
Sí, con límites. El ritmo, el volumen, los destinos y el handshake TLS siguen siendo visibles sin descifrar, y bastan para detectar beaconing, escaneos o envíos inusuales. Sin descifrar, ningún NDR puede leer el contenido de una sesión. NetSenX nunca descifra.
¿Merece la pena NDR para una pyme o una mediana empresa?
Los equipos pequeños rara vez tienen tiempo de leer a diario los registros del cortafuegos y del DNS, y los atacantes que usan herramientas de administración legítimas dejan pocas huellas en otros sitios. El NDR observa el tráfico de forma continua y avisa de lo que se desvía. NetSenX tiene un plan Free, así que un equipo puede probarlo en su propia red antes de pagar.
Fuentes
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)
- MITRE ATT&CK — Lateral Movement (TA0008)
Esta página es información general y no constituye asesoramiento jurídico. Compruebe sus obligaciones con su autoridad nacional o con su asesor jurídico.
Páginas relacionadas
Pruebe NetSenX en su propia red
Empiece con el plan Free para un máximo de 3 dispositivos o reserve una demo de 20 minutos.