L'EDR protegge i dispositivi su cui si può installare un agente, il SIEM raccoglie e correla i log di tutto ciò che ne produce, e l'NDR osserva il traffico di rete tra tutti i dispositivi, anche quelli che non eseguono alcun agente. Per un team IT senza centro operativo di sicurezza (SOC), l'ordine pratico di solito è: prima l'EDR su ogni endpoint gestito, poi l'NDR per il traffico e i dispositivi che l'EDR non vede, e un SIEM quando qualcuno ha il tempo di scrivere regole e leggere i log ogni giorno.
Che cosa osserva ogni strumento
| EDR | SIEM | NDR | |
|---|---|---|---|
| Osserva | Processi, file e memoria sugli endpoint gestiti | Log di server, firewall, servizi cloud e applicazioni | Traffico di rete tra host, interno e verso l'esterno |
| Rileva bene | Malware in esecuzione su un portatile o un server; comportamento ransomware sull'host | Correlazioni tra molti sistemi; conservazione a lungo termine; report di audit | Beaconing C2, scansioni, movimento laterale, dati in uscita insoliti |
| Punti ciechi | Dispositivi senza agente: stampanti, telecamere, IoT, controllori OT, portatili non gestiti | Tutto ciò che non scrive log, o ne scrive che nessuno raccoglie | Ciò che accade dentro un host senza passare dalla rete; il contenuto cifrato |
| Impegno di gestione | Da basso a medio | Alto: parsing, regole e taratura non finiscono mai | Da basso a medio |
| Base di prezzo abituale | Per endpoint | Per volume di dati acquisiti | Per dispositivo monitorato, sensore o banda |
I tre si sovrappongono meno di quanto sembri. Un attaccante che arriva su un dispositivo non gestito è invisibile all'EDR, e un SIEM lo vede solo se qualcosa ne registra l'attività. Lo stesso attaccante deve però comunicare in rete — con un server di command-and-control, con altri host, con la destinazione dei dati — ed è proprio questo che vede l'NDR. Il framework MITRE ATT&CK elenca il movimento laterale e il command and control come tattiche distinte proprio perché avvengono tra le macchine.
Da dove iniziare senza SOC
- EDR su ogni endpoint gestito. Blocca e registra l'attività malevola sull'host e, una volta installato, richiede poca attenzione quotidiana.
- NDR per la rete. Copre i dispositivi che l'EDR non raggiunge, mostra il movimento laterale tra host e fornisce la cronologia dell'incidente richiesta dalle notifiche NIS2. Ne scelga uno i cui avvisi si spieghino da soli: senza analisti, un avviso senza motivo è un avviso di cui nessuno si occupa.
- Un SIEM quando può dedicargli qualcuno. Un SIEM ripaga quando qualcuno ne è responsabile: scrive regole di correlazione, mantiene i parser e controlla i log ogni giorno. Fino ad allora, i log richiesti dal Suo regolatore spesso si possono conservare senza un'installazione SIEM completa.
- Valuti un MDR se Le serve sorveglianza 24/7. Un servizio di managed detection and response sono persone, non uno strumento: un fornitore sorveglia giorno e notte gli avvisi del Suo EDR, NDR o SIEM.
Domande prima di acquistare un NDR
- Ogni avviso dice, in linguaggio semplice, perché è scattato?
- Esiste un limite dichiarato ai falsi positivi, e può verificarlo sui Suoi dati?
- Il listino è pubblicato, oppure ogni installazione viene quotata a parte?
- Dove sono conservati i dati del monitoraggio, e con quale accordo sul trattamento dei dati?
- Legge i protocolli OT in modo passivo, senza sondare i controllori?
I nostri confronti tra fornitori NDR applicano queste domande a Darktrace, Vectra AI, ExtraHop e Nozomi Networks, con una fonte per ogni affermazione.
Dove si colloca NetSenX
NetSenX è una piattaforma di Network Detection and Response (NDR) per le medie imprese dell'UE, che rileva gli attacchi dal comportamento della rete, spiega ogni avviso in linguaggio semplice e conserva i dati dei clienti nell'UE. Affianca EDR e SIEM, non li sostituisce: dal piano Business gli avvisi possono essere esportati nel SIEM che già usa. Il piano Free copre fino a 3 dispositivi senza limiti di tempo, così può vedere che cosa trova prima di decidere. I dettagli sono nella pagina dei prezzi e nelle domande frequenti. Se La riguarda la NIS2, la lettura successiva è la checklist di monitoraggio della rete NIS2.
Fonti
- MITRE ATT&CK — Lateral Movement (TA0008)
- MITRE ATT&CK — Command and Control (TA0011)
- NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems
Scritto dal team NetSenX di TriStiX S.L. Domande: info@netsenx.com.
Domande a cui risponde questa guida
Che differenza c'è tra NDR, EDR e SIEM?
L'EDR gira su ogni endpoint e vede i processi e i file di quella macchina. Un SIEM raccoglie i log di molti sistemi e li correla. L'NDR osserva il traffico tra i dispositivi, quindi copre anche quelli su cui non può girare un agente e l'attività che non lascia log. I tre si completano.
Che cosa significano EDR, NDR, XDR e MDR in parole semplici?
L'EDR osserva ogni computer dall'interno, l'NDR osserva il traffico tra i dispositivi, l'XDR riunisce più fonti in una console e l'MDR è un team che segue gli avvisi al posto Suo. L'EDR (endpoint detection and response) è un software installato su portatili e server che vede processi, file e memoria di quella macchina. L'NDR (network detection and response) è un sensore che vede come i dispositivi parlano tra loro, comprese stampanti, telecamere e macchine su cui non si può installare nulla. L'XDR (extended detection and response) è una piattaforma che combina segnali da endpoint, posta, identità, cloud e talvolta rete. L'MDR (managed detection and response) non è un software ma un servizio: persone che leggono gli avvisi 24 ore su 24 e intervengono. Incontrerà anche il SIEM (security information and event management), che raccoglie i log. NetSenX è un NDR; lavora accanto agli altri e non li sostituisce.
Che cos'è l'XDR, ed è la stessa cosa dell'NDR?
No. L'XDR (extended detection and response) è una piattaforma che riunisce i segnali di più fonti in un'unica console, mentre l'NDR (network detection and response) è una di queste possibili fonti. La maggior parte dei prodotti XDR nasce attorno a un agente sugli endpoint e aggiunge i log di posta, identità e cloud; alcuni integrano dati di rete, altri no. La differenza conta per i dispositivi su cui non si può installare un agente, come stampanti, telecamere, impianti dell'edificio, macchine e appliance: un XDR basato solo sugli endpoint non li vede finché non riceve dati di rete. Prima di acquistare, chieda quali fonti l'XDR acquisisce davvero nella Sua licenza, non nella brochure. NetSenX è un NDR: osserva il traffico tra i dispositivi e segnala beaconing, scansioni, movimento laterale e volumi in uscita insoliti in ogni piano, Free compreso. Non sostituisce un EDR né una piattaforma XDR, e dal piano Business i suoi avvisi si possono esportare verso il SIEM o l'XDR che già usa.
Qual è la differenza tra MDR ed EDR?
L'EDR è un software, l'MDR è un servizio svolto da persone. L'EDR (endpoint detection and response) si installa su computer e server; osserva processi e file, genera avvisi e permette a un amministratore di isolare una macchina. Qualcuno deve comunque leggere quegli avvisi e decidere. L'MDR (managed detection and response) è un fornitore i cui analisti leggono gli avvisi al posto Suo, 24 ore su 24, e rispondono entro un tempo concordato. La maggior parte dei servizi MDR porta o richiede un proprio EDR, e alcuni prendono anche dati di rete o cloud. La vera domanda quindi non è EDR o MDR, ma chi legge gli avvisi di notte. Se ha personale o un fornitore IT reperibile, EDR e rilevamento di rete possono bastare. Se nessuno può reagire fuori orario, un servizio gestito colma la lacuna. NetSenX è un software di rilevamento, non un MDR: spiega ogni avviso perché il Suo team o il fornitore possano agire.
Mi serve un NDR se ho già un EDR?
Spesso sì, perché EDR e NDR falliscono in punti diversi. L'EDR (endpoint detection and response) vede solo le macchine su cui il suo agente è installato e funzionante. Non vede stampanti, telecamere, telefoni in Wi-Fi, impianti dell'edificio, macchine né il portatile di un fornitore, e gli attaccanti spesso lo disattivano per primo sulla macchina che conquistano. L'NDR (network detection and response) osserva il traffico tra i dispositivi, quindi continua a vedere un host compromesso che chiama un server esterno, scansiona la rete o porta fuori dati, qualunque cosa accada al suo agente. Se la Sua azienda è fatta di pochi portatili con tutto nel cloud, EDR e buoni backup possono bastare per ora. Se ha una rete locale con server e dispositivi su cui non può installare nulla, l'NDR colma la lacuna. NetSenX segnala beaconing, scansioni, movimento laterale e volumi in uscita insoliti in ogni piano, Free compreso, così vede che cosa aggiunge nella Sua rete prima di pagare.
Quali lacune lascia l'EDR che solo la rete mostra?
Dispositivi senza agente, agenti disattivati e la traccia di un attacco distribuito su più macchine. L'EDR (endpoint detection and response) riferisce dall'interno di ogni computer su cui gira. Non riferisce da una stampante, da un videoregistratore delle telecamere, da un NAS, da un controllore dell'edificio, dal telefono di un ospite né da un portatile non gestito che qualcuno ha collegato. Non riferisce da un server da cui è stato disinstallato o manomesso. E ogni agente vede un solo host, quindi uno schema lento che ha senso solo su molti host, come una macchina che tocca decine di cartelle condivise o che chiama silenziosamente l'esterno ogni cinque minuti, sfugge facilmente. La rete vede tutto questo, perché ogni dispositivo deve comunicare per fare danni. NetSenX osserva quel traffico e tiene una mappa di rete dei dispositivi che vede. Non vede l'interno di un host, per questo i due strumenti si completano.
Mi serve un SIEM se ho un NDR?
Non necessariamente: molte piccole e medie imprese ottengono di più da un NDR e da una buona protezione degli endpoint che da un SIEM che nessuno ha il tempo di mettere a punto. Un SIEM (security information and event management) raccoglie e correla i log di molti sistemi: firewall, server, directory, servizi cloud. È potente quando qualcuno scrive e mantiene le sue ricerche, pesante quando nessuno lo fa. L'NDR (network detection and response) fornisce rilevamenti dal traffico di rete senza ingegneria dei log. I due rispondono a domande diverse: il SIEM dice chi ha effettuato l'accesso e dove, l'NDR che cosa hanno fatto i dispositivi in rete. Un SIEM può servire comunque se un revisore, un contratto con un cliente o un'autorità si aspetta la conservazione centralizzata dei log, o quando avrà personale per usarlo. Se ne ha già uno, gli avvisi NDR possono alimentarlo: NetSenX ha l'esportazione verso il SIEM dal piano Business, così i rilevamenti di rete arrivano nel SIEM già spiegati.