Définition
Qu'est-ce que le NDR (network detection and response) ?
Le NDR (network detection and response) est une surveillance de sécurité qui observe le trafic entre les équipements, apprend à quoi ressemble un comportement normal et lève une alerte lorsqu'un hôte commence à se comporter comme un attaquant : il balaie le réseau, passe sur d'autres machines, contacte un serveur extérieur à intervalles réguliers ou envoie vers l'extérieur des volumes de données inhabituels. Comme il analyse le trafic au lieu de s'exécuter sur chaque équipement, il couvre aussi les machines qui ne peuvent pas recevoir d'agent, comme les imprimantes, les caméras et les automates industriels. La partie « response » correspond à ce que l'équipe, ou un playbook automatisé, fait de l'alerte.
Le fait à retenir
Dans un guide commun publié le 7 février 2024, la CISA, la NSA, le FBI et des agences partenaires ont recommandé de tenir des références (baselines) de l'activité normale du réseau, des utilisateurs et des administrateurs, et d'examiner tout ce qui s'en écarte, car les attaquants qui « vivent sur le terrain » (living off the land) utilisent les mêmes outils légitimes que les administrateurs et se fondent dans l'activité normale.
Ce que votre capteur voit et ne voit pas
Un capteur réseau ne voit que le trafic qu'on lui donne. Cochez les segments de votre réseau mis en miroir vers un agent NetSenX par un port SPAN ou TAP, et voyez quelles situations deviennent visibles et lesquelles restent dans l'ombre.
Situations visibles avec ces segments : 8 sur 16.
Bureau
Visible
- Beaconing de commande et contrôle depuis un PC du bureau
- Envois inhabituels depuis un poste de travail
- Trafic des appareils du bureau vers des services d'IA (à partir de Pro)
- Un appareil nouveau ou inconnu sur la carte du réseau
Serveurs
Visible
- Mouvement latéral vers les serveurs de fichiers
- Préparation d'un rançongiciel sur les partages
- Tentatives de mots de passe contre un serveur
- Une archive qui part vers une destination inconnue
Wi-Fi invités
Non visible : pas de miroir
- Un appareil invité qui scanne le réseau
Production
Non visible : pas de miroir
- Écritures vers un automate hors du schéma habituel (à partir de Pro)
- Trafic qui traverse les niveaux du réseau de l'usine (à partir de Pro)
- Activité OT en dehors des heures de travail (à partir de Pro)
Systèmes du bâtiment
Non visible : pas de miroir
- Une caméra ou un automate du bâtiment qui contacte l'extérieur
- Un automate du bâtiment qui scanne d'autres appareils
Portables à distance
Non visible : pas de miroir
- Beaconing depuis un portable hors du bureau
- Envois inhabituels depuis un portable à domicile
Jamais visible pour un capteur réseau
- Des fichiers copiés sur une clé USB
- Une connexion avec un mot de passe valide volé
- Les noms et le contenu des fichiers dans les sessions chiffrées
- Ce que dit un e-mail, hameçonnage compris
Afficher les segments sous forme de tableau
| Segment | Ce qui devient visible |
|---|---|
| Bureau (En miroir vers un agent NetSenX) | Beaconing de commande et contrôle depuis un PC du bureau; Envois inhabituels depuis un poste de travail; Trafic des appareils du bureau vers des services d'IA (à partir de Pro); Un appareil nouveau ou inconnu sur la carte du réseau |
| Serveurs (En miroir vers un agent NetSenX) | Mouvement latéral vers les serveurs de fichiers; Préparation d'un rançongiciel sur les partages; Tentatives de mots de passe contre un serveur; Une archive qui part vers une destination inconnue |
| Wi-Fi invités (En miroir vers un agent NetSenX) | Un appareil invité qui scanne le réseau |
| Production (En miroir vers un agent NetSenX) | Écritures vers un automate hors du schéma habituel (à partir de Pro); Trafic qui traverse les niveaux du réseau de l'usine (à partir de Pro); Activité OT en dehors des heures de travail (à partir de Pro) |
| Systèmes du bâtiment (En miroir vers un agent NetSenX) | Une caméra ou un automate du bâtiment qui contacte l'extérieur; Un automate du bâtiment qui scanne d'autres appareils |
| Portables à distance (Agent NetSenX sur chaque portable) | Beaconing depuis un portable hors du bureau; Envois inhabituels depuis un portable à domicile |
Les portables hors du bureau ne sont visibles qu'avec un agent sur le portable lui-même. Ce qu'un capteur ne voit pas demande un autre outil : la protection des postes pour les copies USB et les programmes, votre fournisseur d'identité et les journaux VPN pour les connexions, votre filtre de messagerie pour l'hameçonnage.
Comment fonctionne le NDR, en quatre étapes
Ces quatre étapes valent pour tout produit NDR. La manière de réaliser chacune varie d'un éditeur à l'autre.
01Capter
Un capteur reçoit une copie du trafic depuis un port SPAN ou un TAP, ou le lit sur un hôte, et enregistre les métadonnées des flux : qui s'est connecté à qui, quand, quel volume de données a circulé et par quel protocole.
02Établir la référence
Il apprend ce qui est normal pour chaque hôte et chaque segment : destinations, ports, volumes et heures habituels.
03Détecter
Il évalue les écarts qui correspondent à un comportement d'attaquant, comme le balayage, le mouvement latéral, le beaconing ou l'exfiltration de données. Beaucoup de produits travaillent sur les métadonnées et la poignée de main TLS, si bien que le trafic chiffré reste exploitable sans déchiffrement ; certains déchiffrent le trafic à la place.
04Répondre
Un analyste examine l'alerte, ou un playbook isole un hôte ou bloque une destination. La trace de ce qui a été vu et fait alimente le rapport d'incident.
Ce que NetSenX fait aujourd'hui
- Détecte le balayage, le mouvement latéral, le beaconing C2 et les volumes de données sortants inhabituels à partir du comportement réseau, dans chaque offre, Free comprise.
- Voit les équipements sans agent, comme les imprimantes, les caméras et les automates, car un seul agent sur un port SPAN ou un TAP observe tout le segment.
- Analyse le trafic chiffré à partir du rythme, du volume et des destinations, et à partir de l'offre Starter aussi de la poignée de main TLS, sans jamais le déchiffrer. La négociation n'est visible que là où l'agent capture les paquets : sous Linux ou comme sonde sur un port SPAN ou TAP, pas dans le mode de base utilisé sous macOS.
- Explique chaque alerte en langage clair, en citant les caractéristiques réseau qui ont déterminé son score, et n'exécute de réponse automatique qu'à partir de playbooks que votre équipe rédige ou copie depuis les modèles NetSenX.
Ce que NetSenX ne fait pas
NetSenX ne voit pas ce qui se passe à l'intérieur d'un hôte sans passer par le réseau, comme un processus qui ne se connecte nulle part ; c'est le domaine de la protection des postes (EDR). Il ne voit que les segments que vous surveillez. Il ne déchiffre jamais le trafic, il ne peut donc pas lire le contenu d'une session chiffrée, et il ne remplace pas la réponse à incident. Une alerte est une raison d'enquêter, pas la preuve d'une intrusion.
Questions des acheteurs
Que signifie NDR ?
Network detection and response : des outils de sécurité qui analysent le trafic entre les équipements pour détecter le comportement d'un attaquant et soutenir la réponse. Les produits plus anciens de cette catégorie s'appelaient souvent network traffic analysis (NTA).
Quelle différence entre NDR, EDR et SIEM ?
L'EDR s'exécute sur chaque poste et voit les processus et les fichiers de cette machine. Un SIEM collecte les journaux de nombreux systèmes et les corrèle. Le NDR observe le trafic entre les équipements : il couvre donc aussi ceux qui ne peuvent pas recevoir d'agent et l'activité qui ne laisse pas de journal. Les trois sont complémentaires.
Le NDR fonctionne-t-il sur le trafic chiffré ?
Oui, dans certaines limites. Le rythme, le volume, les destinations et la poignée de main TLS restent visibles sans déchiffrement, et ils suffisent à repérer un beaconing, un balayage ou des envois inhabituels. Sans déchiffrement, aucun NDR ne peut lire le contenu d'une session. NetSenX ne déchiffre jamais.
Le NDR vaut-il la peine pour une PME ou une ETI ?
Les petites équipes ont rarement le temps de lire chaque jour les journaux du pare-feu et du DNS, et les attaquants qui utilisent des outils d'administration légitimes laissent peu de traces ailleurs. Le NDR observe le trafic en continu et signale ce qui s'écarte de la normale. NetSenX propose une offre Free : une équipe peut l'essayer sur son propre réseau avant de payer.
Sources
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)
- MITRE ATT&CK — Lateral Movement (TA0008)
Cette page est une information générale et ne constitue pas un conseil juridique. Vérifiez vos obligations auprès de votre autorité nationale ou de votre conseil juridique.
Pages associées
Essayez NetSenX sur votre propre réseau
Commencez avec l'offre Free pour 3 appareils au maximum, ou réservez une démo de 20 minutes.