NDR, EDR, SIEM, XDR, MDR

L'NDR è un software di sicurezza che osserva il traffico di rete, segnala i comportamenti che somigliano a un attacco e fornisce le prove per reagire. Firewall e agenti endpoint vedono ciascuno il proprio dispositivo; l'NDR vede come gli host comunicano tra loro: beaconing di comando e controllo (C2), scansioni, movimenti laterali e volumi in uscita insoliti. NetSenX è una piattaforma di Network Detection and Response (NDR) per le medie imprese dell'UE che rileva gli attacchi dal comportamento di rete, spiega ogni avviso in linguaggio chiaro e conserva i dati dei clienti nell'UE.

Network detection and response: strumenti di sicurezza che analizzano il traffico tra i dispositivi per rilevare il comportamento di un attaccante e supportare la risposta. I prodotti precedenti di questa categoria erano spesso chiamati network traffic analysis (NTA).

Copia il traffico tra i Suoi dispositivi verso un sensore, impara che cosa è normale per ciascuno e genera un avviso quando uno inizia a comportarsi come un attaccante. La copia arriva da una porta mirror dello switch (SPAN), da un piccolo TAP hardware su un cavo o da un agente sugli host che sceglie. Il sensore non ha bisogno di leggere il contenuto: orari, volumi, destinazioni, porte, risposte DNS e le parti non cifrate dell'handshake TLS bastano per vedere una macchina che chiama un server esterno a intervalli di pochi minuti, bussa a molti host interni, accede a server che non usava mai o invia all'esterno molti più dati del solito. La risposta è ciò che il Suo team fa con l'avviso: indagare, isolare l'host, reimpostare gli account. NetSenX funziona così: non decifra mai il traffico, spiega ogni avviso in linguaggio semplice in ogni piano e lascia a Lei la decisione sulla risposta. Non vede i dispositivi che restano in silenzio né i segmenti che non copia.

L'EDR gira su ogni endpoint e vede i processi e i file di quella macchina. Un SIEM raccoglie i log di molti sistemi e li correla. L'NDR osserva il traffico tra i dispositivi, quindi copre anche quelli su cui non può girare un agente e l'attività che non lascia log. I tre si completano.

L'EDR osserva ogni computer dall'interno, l'NDR osserva il traffico tra i dispositivi, l'XDR riunisce più fonti in una console e l'MDR è un team che segue gli avvisi al posto Suo. L'EDR (endpoint detection and response) è un software installato su portatili e server che vede processi, file e memoria di quella macchina. L'NDR (network detection and response) è un sensore che vede come i dispositivi parlano tra loro, comprese stampanti, telecamere e macchine su cui non si può installare nulla. L'XDR (extended detection and response) è una piattaforma che combina segnali da endpoint, posta, identità, cloud e talvolta rete. L'MDR (managed detection and response) non è un software ma un servizio: persone che leggono gli avvisi 24 ore su 24 e intervengono. Incontrerà anche il SIEM (security information and event management), che raccoglie i log. NetSenX è un NDR; lavora accanto agli altri e non li sostituisce.

No. NetSenX aggiunge la visione di rete che manca agli strumenti endpoint e di log; non sostituisce la protezione degli endpoint (EDR), l'antivirus, l'aggregazione dei log (SIEM) né un servizio di rilevamento gestito (MDR). Dal piano Business gli avvisi possono essere esportati nel SIEM che già usate.

Spesso sì, perché EDR e NDR falliscono in punti diversi. L'EDR (endpoint detection and response) vede solo le macchine su cui il suo agente è installato e funzionante. Non vede stampanti, telecamere, telefoni in Wi-Fi, impianti dell'edificio, macchine né il portatile di un fornitore, e gli attaccanti spesso lo disattivano per primo sulla macchina che conquistano. L'NDR (network detection and response) osserva il traffico tra i dispositivi, quindi continua a vedere un host compromesso che chiama un server esterno, scansiona la rete o porta fuori dati, qualunque cosa accada al suo agente. Se la Sua azienda è fatta di pochi portatili con tutto nel cloud, EDR e buoni backup possono bastare per ora. Se ha una rete locale con server e dispositivi su cui non può installare nulla, l'NDR colma la lacuna. NetSenX segnala beaconing, scansioni, movimento laterale e volumi in uscita insoliti in ogni piano, Free compreso, così vede che cosa aggiunge nella Sua rete prima di pagare.

Di solito prima l'EDR, perché proteggere ogni computer dal malware è l'esigenza più di base. Un EDR (endpoint detection and response) o un buon antivirus moderno ferma gran parte del malware comune su portatili e server e, insieme all'autenticazione a più fattori, agli aggiornamenti rapidi e a backup offline verificati, copre gli attacchi che le piccole imprese subiscono più spesso. L'NDR (network detection and response) viene dopo, e sale nella lista quando ha una rete locale con server, stampanti, telecamere o macchine di produzione senza agente, quando un contratto con un cliente o la NIS2 Le chiede di rilevare e segnalare gli incidenti, o quando vuole verificare in modo indipendente che lo strumento sugli endpoint non sia l'unico testimone. Non deve scegliere alla cieca: il piano Free di NetSenX copre 3 dispositivi senza limiti di tempo, quindi può mettere un agente su una porta mirror e vedere che cosa mostra la rete prima di spendere.

No, da solo no, anche se è un punto di partenza necessario. Antivirus e protezione degli endpoint fermano il malware noto sui computer dove sono installati. Non coprono una password rubata usata per accedere dall'esterno, un'e-mail che induce la contabilità a pagare una fattura falsa, un dispositivo su cui nessun antivirus può girare, né un intruso che usa i Suoi stessi strumenti di amministrazione, che l'antivirus considera legittimi. Una base ragionevole per una piccola impresa: autenticazione a più fattori su posta e accesso remoto, aggiornamenti applicati in fretta, protezione su ogni computer, backup offline o immutabili e verificati, e un breve piano scritto su chi chiamare. Dopo, il monitoraggio della rete mostra ciò che l'antivirus non vede: un dispositivo che all'improvviso parla con molti altri, chiama un server esterno ogni pochi minuti o invia molti dati di notte. NetSenX lo fa in ogni piano; non sostituisce il Suo antivirus.

Il comportamento tra macchine, che un antivirus su un singolo computer non può vedere. Contano soprattutto quattro schemi. Beaconing: un host che chiama lo stesso server esterno a intervalli regolari, ed è così che il software di un attaccante riceve istruzioni (command and control, C2). Scansione: un dispositivo che bussa a molti indirizzi o porte per mappare la Sua rete. Movimento laterale: una postazione che all'improvviso apre sessioni di amministrazione verso server che non usava mai, spesso con strumenti legittimi che l'antivirus lascia passare. Volume in uscita insolito: molti più dati del normale che lasciano un host, per esempio di notte. Il rilevamento di rete copre anche i dispositivi su cui non si può installare un antivirus, come stampanti, telecamere e macchine. NetSenX segnala questi quattro schemi in ogni piano, Free compreso, e spiega ogni avviso in linguaggio semplice. Non vede ciò che accade dentro un computer senza toccare la rete, come l'apertura di un file dannoso: resta compito dell'antivirus o dell'EDR.

Dispositivi senza agente, agenti disattivati e la traccia di un attacco distribuito su più macchine. L'EDR (endpoint detection and response) riferisce dall'interno di ogni computer su cui gira. Non riferisce da una stampante, da un videoregistratore delle telecamere, da un NAS, da un controllore dell'edificio, dal telefono di un ospite né da un portatile non gestito che qualcuno ha collegato. Non riferisce da un server da cui è stato disinstallato o manomesso. E ogni agente vede un solo host, quindi uno schema lento che ha senso solo su molti host, come una macchina che tocca decine di cartelle condivise o che chiama silenziosamente l'esterno ogni cinque minuti, sfugge facilmente. La rete vede tutto questo, perché ogni dispositivo deve comunicare per fare danni. NetSenX osserva quel traffico e tiene una mappa di rete dei dispositivi che vede. Non vede l'interno di un host, per questo i due strumenti si completano.

L'endpoint tace, e lo strumento sull'endpoint non può segnalare il proprio silenzio: Le serve un secondo testimone. Disattivare o disinstallare la protezione degli endpoint è un passo iniziale frequente di intrusi e operatori ransomware, con diritti di amministratore rubati o tramite un driver vulnerabile. Da quel momento la console può mostrare la macchina come offline o semplicemente smettere di riceverne eventi. Aiutano due cose. Primo, tratti un agente silenzioso come un incidente: imposti nella console EDR un avviso per gli agenti che smettono di comunicare e verifichi chi ha il diritto di disinstallarli. Secondo, osservi la rete, che l'attaccante non può spegnere da quell'unica macchina. NetSenX continua a vedere il comportamento dell'host qualunque cosa accada al suo EDR: beaconing, scansioni, movimento laterale e invii insoliti. Non vede lo stato dell'EDR stesso, quindi non Le dirà che l'agente si è fermato; Le dirà che cosa fa dopo la macchina.

Trasformi il silenzio stesso in un avviso nella console di protezione degli endpoint e mantenga una vista indipendente dalla rete. La maggior parte delle console EDR e antivirus può segnalare gli agenti che non si fanno sentire da un certo tempo; attivi la funzione, la indirizzi a una casella che qualcuno legge e decida in anticipo che cosa fare quando un server tace: chiamare il responsabile, verificare se si trattava di una reinstallazione prevista e guardare che cosa ha fatto la macchina in rete. Confronti ogni mese l'elenco delle macchine che dovrebbero avere un agente con quelle che lo hanno. Limiti il diritto di disinstallare o sospendere l'agente a pochi account nominativi con autenticazione a più fattori. La vista di rete è il secondo testimone: NetSenX non legge lo stato del Suo EDR, ma continua a segnalare il server se inizia beaconing, scansioni, movimento laterale o invii insoliti, quindi un agente silenzioso non significa un attacco silenzioso.

No. L'XDR (extended detection and response) è una piattaforma che riunisce i segnali di più fonti in un'unica console, mentre l'NDR (network detection and response) è una di queste possibili fonti. La maggior parte dei prodotti XDR nasce attorno a un agente sugli endpoint e aggiunge i log di posta, identità e cloud; alcuni integrano dati di rete, altri no. La differenza conta per i dispositivi su cui non si può installare un agente, come stampanti, telecamere, impianti dell'edificio, macchine e appliance: un XDR basato solo sugli endpoint non li vede finché non riceve dati di rete. Prima di acquistare, chieda quali fonti l'XDR acquisisce davvero nella Sua licenza, non nella brochure. NetSenX è un NDR: osserva il traffico tra i dispositivi e segnala beaconing, scansioni, movimento laterale e volumi in uscita insoliti in ogni piano, Free compreso. Non sostituisce un EDR né una piattaforma XDR, e dal piano Business i suoi avvisi si possono esportare verso il SIEM o l'XDR che già usa.

L'MDR (managed detection and response) è un servizio in cui un team esterno sorveglia i Suoi avvisi di sicurezza 24 ore su 24 e risponde al posto Suo; Le serve se in azienda nessuno può reagire a un avviso di notte o nel fine settimana. È un servizio, non uno strumento: il fornitore si appoggia comunque a sensori come l'EDR (endpoint detection and response) sui Suoi computer e talvolta a dati di rete. Prima di firmare, verifichi che cosa fa davvero il fornitore alle 3 di notte. Isola un computer o manda solo un'e-mail? Quali sensori sono inclusi e di chi sono i dati se Lei cambia fornitore? Con quale rapidità risponde, per iscritto? Molte piccole aziende combinano invece il rilevamento automatico con una reperibilità del proprio fornitore IT. NetSenX è un software, non un MDR: rileva e spiega gli avvisi a qualsiasi ora, e gli avvisi arrivano al Suo team o al Suo fornitore IT, che decidono cosa fare.

L'EDR è un software, l'MDR è un servizio svolto da persone. L'EDR (endpoint detection and response) si installa su computer e server; osserva processi e file, genera avvisi e permette a un amministratore di isolare una macchina. Qualcuno deve comunque leggere quegli avvisi e decidere. L'MDR (managed detection and response) è un fornitore i cui analisti leggono gli avvisi al posto Suo, 24 ore su 24, e rispondono entro un tempo concordato. La maggior parte dei servizi MDR porta o richiede un proprio EDR, e alcuni prendono anche dati di rete o cloud. La vera domanda quindi non è EDR o MDR, ma chi legge gli avvisi di notte. Se ha personale o un fornitore IT reperibile, EDR e rilevamento di rete possono bastare. Se nessuno può reagire fuori orario, un servizio gestito colma la lacuna. NetSenX è un software di rilevamento, non un MDR: spiega ogni avviso perché il Suo team o il fornitore possano agire.

Scelga in base a ciò che accade alle 3 di notte, per iscritto, non in base alla brochure. Faccia cinque domande a ogni fornitore. Che cosa fate esattamente quando vedete un attacco: ci chiamate, isolate la macchina, reimpostate gli account o aprite solo un ticket? Quale tempo di risposta si impegna il contratto a rispettare e come viene misurato? Quali sensori sono inclusi: solo endpoint o anche rete, posta, identità e cloud? Dove si trovano i nostri dati e i vostri analisti, e quali sub-responsabili usate? Che cosa conserviamo se ce ne andiamo? Chieda un esempio di rapporto su un incidente e un cliente di riferimento delle Sue dimensioni. Verifichi che il modello di prezzo Le si adatti: per endpoint, per utente o per sede. Un sensore di rete può affiancare un servizio MDR: gli avvisi di NetSenX partono via e-mail in ogni piano, via Slack o webhook dal piano Pro e verso un SIEM dal piano Business, così un fornitore può riceverli.

La maggior parte delle aziende sotto qualche centinaio di persone lo esternalizza o fa a meno di un SOC completo, perché una copertura 24 ore su 24 richiede più persone formate, non una sola. Un SOC (security operations centre) è un team che sorveglia gli avvisi e risponde, spesso senza interruzioni. Costruirne uno significa assumere e trattenere analisti per turni notturni e festivi, acquistare e mettere a punto strumenti e scrivere procedure; per un'azienda di medie dimensioni è un costo fisso elevato. Esternalizzarlo a un fornitore MDR o MSSP lo trasforma in un contratto, ma serve comunque qualcuno all'interno che conosca l'azienda e prenda decisioni. A molti si addice una via di mezzo: rilevamento automatico attivo a ogni ora, avvisi spiegati abbastanza bene per un generalista, una reperibilità con il fornitore IT e una società di risposta agli incidenti già sotto contratto. NetSenX rientra in questa via come software di rilevamento; non è un SOC e nessuno in NetSenX sorveglia i Suoi avvisi al posto Suo.

No, ma Le serve un piano per le ore in cui quell'amministratore non c'è. Un SOC (security operations centre) è un team che sorveglia gli avvisi 24 ore su 24; un'azienda con un solo amministratore non può costituirne uno e di solito non ne ha bisogno. Le serve qualcosa di più circoscritto: rilevamento che funzioni da solo, avvisi abbastanza brevi e chiari da poter agire, una seconda persona che li riceva quando l'amministratore è assente e il numero di una società di risposta agli incidenti. Metta per iscritto chi decide di scollegare un computer o la linea internet in emergenza. Mantenga le basi: autenticazione a più fattori, aggiornamenti, protezione degli endpoint e backup offline. NetSenX è nato proprio per questa situazione: un agente su una porta mirror osserva un intero segmento, ogni avviso è spiegato in linguaggio semplice e gli avvisi partono via e-mail in ogni piano, quindi possono arrivare anche a un sostituto o al Suo fornitore IT.

Sì, se lo strumento chiede pochi minuti al giorno e non un analista dedicato. A renderlo possibile sono avvisi meno numerosi e più chiari e una routine. Decida chi legge gli avvisi ogni mattina, chi sostituisce durante le ferie e che cosa è abbastanza urgente da chiamare qualcuno di notte. Scriva una nota di risposta di una pagina: come isolare un computer, chi può reimpostare gli account, quale fornitore chiamare. Riveda una volta al mese gli avvisi chiusi per capire che cosa era normale e andrebbe contrassegnato come tale. Scelga uno strumento che spieghi i suoi avvisi, perché il solo nome di una regola o un punteggio rimanda il generalista ai log grezzi. NetSenX spiega ogni avviso in linguaggio semplice in ogni piano e Le permette di contrassegnare i falsi positivi. Non elimina il bisogno di una persona: indagare e contenere un incidente resta compito del Suo team, del Suo fornitore IT o di una società di risposta agli incidenti.

Per tenere i log di molti sistemi in un unico posto, interrogarli e mettere in relazione gli eventi tra loro. Un SIEM (security information and event management) raccoglie i log di firewall, server, directory, VPN e servizi cloud, li conserva per un periodo stabilito ed esegue ricerche di combinazioni sospette, per esempio un accesso VPN fallito seguito da uno riuscito da un altro Paese. Le aziende lo usano per tre motivi: rilevamento, indagine a posteriori e prove per revisori e autorità che si aspettano una conservazione centralizzata dei log. Il suo punto debole è l'impegno: qualcuno deve scegliere le fonti, scrivere e mettere a punto le ricerche e leggere i risultati, altrimenti il SIEM diventa un archivio costoso. Un SIEM vede solo ciò che i sistemi registrano; non vede il traffico che non lascia log. Il rilevamento di rete copre questa parte, e NetSenX può esportare i suoi avvisi nel Suo SIEM dal piano Business.

Di solito non come primo passo, a meno che un cliente, un revisore o un'autorità chieda esplicitamente la conservazione centralizzata dei log. Un SIEM (security information and event management) ripaga il suo costo quando qualcuno ha il tempo di collegare le fonti, scrivere ricerche e leggere i risultati. Una piccola impresa ottiene spesso più protezione, e prima, con autenticazione a più fattori, protezione degli endpoint, backup offline e un rilevamento che funzioni senza ingegneria dei log. Conservi in ogni caso i log che contano di più in un'indagine: accessi alla posta e all'accesso remoto, log di firewall e VPN e log di sicurezza dei server, archiviati dove un attaccante non possa cancellarli facilmente e con l'ora corretta su ogni dispositivo. Molti servizi cloud conservano per Lei i log di accesso se attiva la funzione. NetSenX tiene un registro di audit in ogni piano e uno storico degli avvisi che dipende dal piano, e se in seguito aggiunge un SIEM, gli avvisi possono esservi esportati dal piano Business.

Non necessariamente: molte piccole e medie imprese ottengono di più da un NDR e da una buona protezione degli endpoint che da un SIEM che nessuno ha il tempo di mettere a punto. Un SIEM (security information and event management) raccoglie e correla i log di molti sistemi: firewall, server, directory, servizi cloud. È potente quando qualcuno scrive e mantiene le sue ricerche, pesante quando nessuno lo fa. L'NDR (network detection and response) fornisce rilevamenti dal traffico di rete senza ingegneria dei log. I due rispondono a domande diverse: il SIEM dice chi ha effettuato l'accesso e dove, l'NDR che cosa hanno fatto i dispositivi in rete. Un SIEM può servire comunque se un revisore, un contratto con un cliente o un'autorità si aspetta la conservazione centralizzata dei log, o quando avrà personale per usarlo. Se ne ha già uno, gli avvisi NDR possono alimentarlo: NetSenX ha l'esportazione verso il SIEM dal piano Business, così i rilevamenti di rete arrivano nel SIEM già spiegati.

Sì, la maggior parte degli strumenti di rilevamento di rete può farlo, ed è di solito meglio che inviare log di rete grezzi. Un SIEM (security information and event management) che riceve avvisi di rete già spiegati acquista una visione che altrimenti non ha, senza il costo di archiviazione e il rumore di ogni record di connessione. Prima di collegarlo, decida quali livelli di avviso vanno al SIEM, chi li legge lì e come i due strumenti condividono un nome host o un indirizzo, così da poter abbinare gli avvisi agli eventi dei log. Con NetSenX, l'esportazione verso il SIEM è inclusa dal piano Business. Nel piano Pro gli avvisi possono uscire anche tramite API, Slack o webhook, e in ogni piano vengono inviati via e-mail e conservati nella dashboard per lo storico avvisi del Suo piano. L'esportazione non cambia ciò che NetSenX vede: resta comportamento di rete, mai il contenuto delle sessioni cifrate.

Un IDS basato su firme confronta il traffico con schemi di attacco noti; NetSenX valuta il comportamento di ogni host, così anche una nuova variante di malware senza firma lascia una traccia. Ogni avviso indica in linguaggio chiaro le caratteristiche di rete che ne hanno determinato il punteggio (valori SHAP). NetSenX lavora accanto a IDS, EDR e SIEM: non li sostituisce.

Un IDS o un IPS confronta il traffico con schemi di attacco noti; l'NDR guarda come si comporta ogni dispositivo nel tempo. Un IDS (intrusion detection system) genera un avviso quando il traffico corrisponde a una firma, come un exploit o uno schema di malware noto. Un IPS (intrusion prevention system) fa lo stesso e può scartare il traffico corrispondente, di solito come parte di un firewall. Entrambi funzionano bene con le minacce note e meno quando un attaccante usa strumenti legittimi o una nuova variante senza firma. L'NDR (network detection and response) impara che cosa è normale per ogni host e segnala gli scostamenti: nuovi interlocutori, chiamate regolari verso l'esterno, scansioni, volumi insoliti. Molte aziende usano entrambi. NetSenX è un NDR: valuta il comportamento degli host, spiega ogni avviso in linguaggio semplice e non scarta né blocca traffico, quindi può affiancare l'IPS del Suo firewall senza modificare il percorso di rete.

Un firewall decide quali connessioni sono consentite; l'NDR osserva che cosa accade dentro le connessioni consentite. Un firewall si trova al confine della rete, o tra segmenti, e applica regole: questo indirizzo può raggiungere quel server su questa porta, tutto il resto viene rifiutato. È indispensabile, ma un attaccante che entra con un'e-mail di phishing o una password rubata usa connessioni che il firewall permette, e la maggior parte dei firewall non vede nemmeno il traffico tra dispositivi dello stesso segmento. L'NDR (network detection and response) riceve una copia del traffico e cerca comportamenti: una postazione che all'improvviso parla con molti server, un host che chiama un indirizzo esterno ogni pochi minuti, dati che escono di notte. Servono entrambi. NetSenX non filtra né blocca nulla; avvisa e spiega, e ad agire è Lei o il Suo firewall.

Il monitoraggio NetFlow registra chi ha parlato con chi, l'analisi del traffico studia quei record e l'NDR aggiunge sopra rilevamento e risposta. NetFlow e formati simili sono riepiloghi che router e switch esportano per ogni connessione: indirizzi, porte, ora di inizio, byte e pacchetti. Gli strumenti di monitoraggio ne ricavano grafici della banda e classifiche dei maggiori emittenti, utili per la capacità e la risoluzione dei problemi, ma il giudizio di sicurezza resta a Lei. L'analisi del traffico di rete (network traffic analysis, NTA) era il nome precedente degli strumenti che esaminavano il traffico a fini di sicurezza. L'NDR (network detection and response) è il nome attuale: impara che cosa è normale per ciascun host, genera avvisi sui comportamenti da attaccante e sostiene la risposta con prove. I soli riepiloghi dei flussi perdono dettagli come le risposte DNS o l'handshake TLS. NetSenX legge una propria copia del traffico da un agente o da una porta mirror, invece di basarsi soltanto sui record di flusso esportati.

Nessuno dei due è migliore da solo: le firme sono precise con le minacce note, i metodi comportamentali colgono ciò che non ha ancora una firma, e i buoni strumenti usano entrambi. Una firma riconosce qualcosa di già noto, come l'impronta di un malware o una stringa di exploit, quindi raramente genera falsi allarmi ma si lascia sfuggire le nuove varianti e gli attaccanti che usano i Suoi stessi strumenti di amministrazione. Il rilevamento comportamentale o basato sull'apprendimento automatico confronta l'attività con il normale e può vedere un nuovo strumento che chiama il suo server, ma ha bisogno di tempo per imparare la Sua rete e deve spiegarsi, altrimenti ogni avviso diventa un enigma. Diffidi dell'etichetta: chieda al fornitore che cosa osserva davvero il modello, come riduce i falsi positivi sui Suoi dati e se ogni avviso dice perché è scattato. NetSenX valuta il comportamento degli host e spiega ogni avviso in linguaggio semplice. Non indica un tasso di falsi positivi che non possa sostenere con i Suoi stessi dati.

Una porta mirror o un TAP è di solito la scelta migliore per un intero segmento d'ufficio, gli agenti per server specifici o luoghi dove non si può copiare il traffico. Con lo SPAN (un'impostazione dello switch che copia il traffico su una porta) o un TAP (un piccolo dispositivo che copia il traffico di un cavo), un solo sensore vede ogni dispositivo del segmento, comprese stampanti, telecamere e macchine, senza installarvi nulla. Servono uno switch gestito o un TAP, e si vedono solo i segmenti copiati. Un agente su un host vede il traffico di quell'host ovunque si trovi, compresi server in un data center o nel cloud dove non si può copiare nulla. Molte aziende combinano i due. NetSenX li supporta entrambi: un agente su una porta SPAN o TAP conta come un solo dispositivo per l'intero segmento, e gli agenti girano su Linux e macOS. L'impronta TLS richiede la cattura dei pacchetti, che la modalità di base su macOS non esegue.

Sì, entro certi limiti. Tempi, volumi, destinazioni e handshake TLS restano visibili senza decifrare e bastano per individuare beaconing, scansioni o invii insoliti. Senza decifrare, nessun NDR può leggere il contenuto di una sessione. NetSenX non decifra mai.

In parte: vede le connessioni dei Suoi dispositivi verso i servizi cloud e SaaS, non ciò che accade al loro interno. Dalla rete dell'ufficio, l'NDR (network detection and response) vede quali host si collegano a quali fornitori cloud, con che frequenza e quanti dati inviano, quindi un server che di notte carica un grosso archivio su un account di archiviazione sconosciuto si nota. Non vede l'attività dentro l'applicazione SaaS stessa: una regola di casella creata nel Suo servizio di posta, un file condiviso pubblicamente da un'unità cloud o un accesso con una password rubata da un altro Paese. Questi dati stanno nei log di audit e di accesso del fornitore, che conviene attivare e consultare. Resta fuori vista anche il traffico dei portatili a casa che non passa mai dalla Sua rete, a meno che non vi giri un agente. NetSenX mostra in ogni piano le destinazioni cloud in una coda di revisione sulla mappa di rete, e i volumi in uscita insoliti come avviso.

Dipende dal prodotto; NetSenX avvisa e raccomanda, e non blocca il traffico da solo. Alcuni prodotti NDR stanno sul percorso del traffico o si integrano con i firewall per interrompere automaticamente le connessioni. Questo può fermare un attacco, ma anche la Sua linea di produzione per un falso positivo, perciò il blocco automatico di solito si limita a casi ristretti e ben collaudati. Un sensore su una porta mirror, che è il modo in cui si installa la maggior parte degli NDR, riceve solo una copia del traffico e da solo non può bloccare nulla; la risposta passa dal Suo firewall, dallo switch, dallo strumento sugli endpoint o da una persona. NetSenX spiega ogni avviso, offre azioni di risposta manuali dal piano Starter e raccomandazioni di risposta automatiche dal piano Pro, e non blocca mai il traffico di sua iniziativa. La decisione di isolare una macchina, bloccare un indirizzo o reimpostare gli account resta al Suo team, ed è anche per questo che ogni azione finisce nel registro di audit.

Osservi la rete per un certo periodo e registri ogni dispositivo che invia traffico, con il nome che annuncia, il suo indirizzo e i suoi interlocutori. I dispositivi si rivelano quando chiedono un indirizzo (DHCP), risolvono nomi (DNS), si annunciano sulla rete locale o si collegano a server. Un sensore su una porta mirror raccoglie tutto questo in modo passivo, senza scansionare nulla, il che conta per dispositivi delicati come stampanti, telecamere e macchine. Confronti il risultato con l'elenco che pensa di avere: dispositivi sconosciuti, server dimenticati e apparecchi personali di solito compaiono nei primi giorni. Poi assegni un responsabile a ogni dispositivo e decida se deve restare. NetSenX tiene una mappa di rete in ogni piano, Free compreso: i dispositivi visti sulla LAN, i nomi che annunciano, prima e ultima comparsa e chi parla con chi. Vede solo i segmenti monitorati, e un dispositivo che non invia mai traffico non compare.

No. Una mappa di rete passiva conosce solo i dispositivi che inviano qualcosa su un segmento monitorato, quindi un dispositivo del tutto silenzioso resta invisibile. In pratica pochissimi dispositivi tacciono completamente: la maggior parte chiede un indirizzo, risolve nomi, cerca aggiornamenti o risponde in rete di tanto in tanto, e quindi compare entro ore o giorni. Quelli che non compaiono di solito sono spenti, scollegati, su un segmento che non copia o volutamente silenziosi. Per colmare la lacuna, confronti la mappa con altre fonti: la tabella delle porte dello switch, i lease del server DHCP, i Suoi documenti di acquisto e un giro per l'edificio. La scansione attiva trova i dispositivi silenziosi che rispondono quando interrogati, ma la usi con cautela su stampanti e apparecchiature industriali. NetSenX costruisce la mappa di rete in modo passivo in ogni piano e non interroga mai i dispositivi: è sicuro per le apparecchiature delicate e significa che un dispositivo silenzioso non compare sulla mappa.

I team piccoli hanno raramente il tempo di leggere ogni giorno i log del firewall e del DNS, e gli attaccanti che usano strumenti di amministrazione legittimi lasciano poche tracce altrove. L'NDR osserva il traffico di continuo e segnala ciò che si discosta. NetSenX ha un piano Free, così un team può provarlo sulla propria rete prima di pagare.

Chieda come viene prezzato, che cosa richiede da Lei, che cosa non vede e come giustifica un avviso, e lo provi sulla Sua rete. Prezzo: è pubblicato e qual è l'unità, un dispositivo, un sensore o un gigabit? Installazione: serve hardware in ogni sede o un sensore su una porta mirror copre un segmento? Visibilità: quali segmenti, traffico cifrato, cloud e portatili remoti; chieda al fornitore di dire chiaramente che cosa resta fuori vista. Avvisi: ognuno spiega perché è scattato, con parole che il Suo team capisce? Falsi positivi: come si misura il tasso e su quali dati? Dati: dove vengono conservati, chi sono i sub-responsabili, che cosa riceve indietro se se ne va? Risposta: blocca o si limita ad avvisare? Poi lo faccia girare per qualche settimana su traffico reale. NetSenX pubblica i suoi prezzi e ha un piano Free senza limiti di tempo proprio per questa prova.

Generi versioni innocue dei comportamenti che dovrebbe cogliere, su un host di test di Sua proprietà, e controlli quali avvisi compaiono e con quale rapidità. Inizi in modo semplice e avvisi del test chiunque potrebbe reagire. Una scansione delle porte da un portatile di riserva contro la Sua stessa sottorete dovrebbe essere segnalata. Uno script che per un'ora chiama ogni pochi minuti lo stesso server di test esterno imita il beaconing. Copiare di notte un grosso archivio da un server di test verso un account di archiviazione esterno imita un furto di dati. Annoti che cosa ha fatto, quando e che cosa ha segnalato lo strumento, poi rilegga il testo dell'avviso: un collega saprebbe che cosa fare? Ripeta dopo ogni cambiamento importante della rete o dello strumento. La simulazione di violazioni e attacchi (breach and attack simulation, BAS) automatizza questi test. NetSenX include la BAS dal piano Business; in ogni piano può eseguire a mano test come questi sui rilevamenti che genera.

La simulazione di violazioni e attacchi (breach and attack simulation, BAS) è un software che imita in sicurezza il comportamento di un attaccante sulla Sua rete, così può verificare se i Suoi strumenti di sicurezza se ne accorgono. Invece di aspettare un attacco reale o il penetration test annuale, esegue scenari controllati, come una scansione, una chiamata a un server di test o un trasferimento di dati simulato, e registra quali sono stati rilevati. Un'azienda media ne trae il massimo quando deve dimostrare a revisori o clienti che il rilevamento funziona, e non solo che è installato, oppure dopo aver cambiato rete o strumenti. Se non ha ancora uno strumento di rilevamento, acquisti prima il rilevamento: una simulazione che nessuno rileva dimostra solo questo. Un penetration test svolto da persone trova comunque cose che la BAS non vede, come password deboli o configurazioni errate. NetSenX include la simulazione di violazioni e attacchi dal piano Business, per testare i suoi stessi rilevamenti.

Esegua un piccolo test dopo ogni cambiamento significativo, uno più completo almeno una volta a trimestre e un altro prima di un audit. Il rilevamento si guasta in silenzio: si sostituisce uno switch senza riconfigurare la porta mirror, un agente si ferma dopo un aggiornamento, compare un segmento che nessuno monitora. Un breve test dopo ogni cambiamento lo rivela. Un giro trimestrale degli scenari principali, come scansione, beaconing, movimento laterale e un grande trasferimento in uscita, mostra se qualcosa è cambiato e Le dà prove datate per revisori, assicuratori e clienti. Tenga un registro semplice: data, scenario, avviso atteso, avviso ottenuto, tempo all'avviso, seguito. Avvisi il team e i fornitori prima del test, così nessuno isola una macchina per errore. NetSenX include la simulazione di violazioni e attacchi dal piano Business; negli altri piani può eseguire a mano gli stessi scenari.