Definizione
Che cos'è l'NDR (network detection and response)?
L'NDR (network detection and response) è un monitoraggio di sicurezza che osserva il traffico tra i dispositivi, impara com'è il comportamento normale e genera un avviso quando un host inizia a comportarsi come un attaccante: scansiona la rete, si sposta su altre macchine, contatta un server esterno a intervalli regolari o invia all'esterno volumi di dati insoliti. Poiché analizza il traffico invece di girare su ogni dispositivo, copre anche le macchine su cui non si può installare un agente, come stampanti, telecamere e controllori industriali. La parte «response» è ciò che il team, o un playbook automatizzato, fa con l'avviso.
Il dato da cui partire
In una guida congiunta pubblicata il 7 febbraio 2024, CISA, NSA, FBI e agenzie partner hanno raccomandato di mantenere baseline dell'attività normale di rete, degli utenti e degli amministratori e di indagare su tutto ciò che se ne discosta, perché gli attaccanti che praticano il «living off the land» usano gli stessi strumenti legittimi degli amministratori e si confondono con la normale operatività.
Che cosa il Suo sensore vede e che cosa no
Un sensore di rete vede solo il traffico che riceve. Spunti i segmenti della Sua rete replicati verso un agente NetSenX tramite una porta SPAN o TAP e veda quali situazioni diventano visibili e quali restano al buio.
Situazioni visibili con questi segmenti: 8 su 16.
Ufficio
Visibile
- Beaconing di comando e controllo da un PC dell'ufficio
- Invii insoliti da una postazione di lavoro
- Traffico dai dispositivi dell'ufficio verso servizi di IA (da Pro)
- Un dispositivo nuovo o sconosciuto sulla mappa della rete
Server
Visibile
- Movimento laterale verso i file server
- Preparazione di un ransomware sulle cartelle condivise
- Tentativi di indovinare password contro un server
- Un archivio in uscita verso una destinazione sconosciuta
Wi-Fi ospiti
Non visibile: senza mirror
- Un dispositivo ospite che scansiona la rete
Produzione
Non visibile: senza mirror
- Scritture su un PLC fuori dallo schema abituale (da Pro)
- Traffico che attraversa i livelli della rete di stabilimento (da Pro)
- Attività OT fuori dall'orario di lavoro (da Pro)
Sistemi dell'edificio
Non visibile: senza mirror
- Una telecamera o un controllore dell'edificio che contatta l'esterno
- Un controllore dell'edificio che scansiona altri dispositivi
Portatili da remoto
Non visibile: senza mirror
- Beaconing da un portatile fuori dall'ufficio
- Invii insoliti da un portatile a casa
Mai visibile a un sensore di rete
- File copiati su una chiavetta USB
- Un accesso con una password valida rubata
- Nomi e contenuto dei file nelle sessioni cifrate
- Che cosa dice un'e-mail, phishing compreso
Mostra i segmenti come tabella
| Segmento | Che cosa diventa visibile |
|---|---|
| Ufficio (Replicato in mirror verso un agente NetSenX) | Beaconing di comando e controllo da un PC dell'ufficio; Invii insoliti da una postazione di lavoro; Traffico dai dispositivi dell'ufficio verso servizi di IA (da Pro); Un dispositivo nuovo o sconosciuto sulla mappa della rete |
| Server (Replicato in mirror verso un agente NetSenX) | Movimento laterale verso i file server; Preparazione di un ransomware sulle cartelle condivise; Tentativi di indovinare password contro un server; Un archivio in uscita verso una destinazione sconosciuta |
| Wi-Fi ospiti (Replicato in mirror verso un agente NetSenX) | Un dispositivo ospite che scansiona la rete |
| Produzione (Replicato in mirror verso un agente NetSenX) | Scritture su un PLC fuori dallo schema abituale (da Pro); Traffico che attraversa i livelli della rete di stabilimento (da Pro); Attività OT fuori dall'orario di lavoro (da Pro) |
| Sistemi dell'edificio (Replicato in mirror verso un agente NetSenX) | Una telecamera o un controllore dell'edificio che contatta l'esterno; Un controllore dell'edificio che scansiona altri dispositivi |
| Portatili da remoto (Agente NetSenX su ogni portatile) | Beaconing da un portatile fuori dall'ufficio; Invii insoliti da un portatile a casa |
I portatili fuori dall'ufficio sono visibili solo con un agente sul portatile stesso. Ciò che un sensore non vede richiede un altro strumento: la protezione degli endpoint per le copie su USB e i programmi, il Suo provider di identità e i log della VPN per gli accessi, il filtro di posta per il phishing.
Come funziona l'NDR, in quattro passi
Questi quattro passi valgono per qualsiasi prodotto NDR. Il modo in cui ciascuno viene realizzato cambia da fornitore a fornitore.
01Acquisire
Un sensore riceve una copia del traffico da una porta SPAN o da un TAP, oppure lo legge su un host, e registra i metadati dei flussi: chi si è collegato a chi, quando, quanti dati sono passati e con quale protocollo.
02Baseline
Impara che cosa è normale per ogni host e ogni segmento: destinazioni, porte, volumi e orari abituali.
03Rilevare
Valuta le deviazioni che corrispondono al comportamento di un attaccante, come scansioni, movimento laterale, beaconing o esfiltrazione di dati. Molti prodotti lavorano sui metadati e sull'handshake TLS, così il traffico cifrato resta utile senza decifrarlo; alcuni invece decifrano il traffico.
04Rispondere
Un analista esamina l'avviso, oppure un playbook isola un host o blocca una destinazione. La traccia di ciò che è stato visto e fatto alimenta il rapporto sull'incidente.
Che cosa fa oggi NetSenX
- Rileva scansioni, movimento laterale, beaconing C2 e volumi di dati in uscita insoliti dal comportamento in rete, in ogni piano, Free compreso.
- Vede i dispositivi senza agente, come stampanti, telecamere e controllori, perché un solo agente su una porta SPAN o un TAP osserva l'intero segmento.
- Analizza il traffico cifrato a partire da tempi, volumi e destinazioni, e dal piano Starter anche dall'handshake TLS, senza mai decifrarlo. L'handshake è visibile solo dove l'agente cattura i pacchetti: su Linux o come sensore su una porta SPAN o TAP, non nella modalità di base usata su macOS.
- Spiega ogni avviso in linguaggio semplice, indicando le caratteristiche di rete che ne hanno determinato il punteggio, ed esegue risposte automatiche solo da playbook che il Suo team scrive o copia dai modelli NetSenX.
Che cosa NetSenX non fa
NetSenX non vede ciò che accade dentro un host senza passare dalla rete, come un processo che non si collega da nessuna parte; quello è il campo della protezione degli endpoint (EDR). Vede solo i segmenti che Lei monitora. Non decifra mai il traffico, quindi non può leggere il contenuto di una sessione cifrata, e non sostituisce la risposta agli incidenti. Un avviso è un motivo per indagare, non la prova di un'intrusione.
Domande degli acquirenti
Che cosa significa NDR?
Network detection and response: strumenti di sicurezza che analizzano il traffico tra i dispositivi per rilevare il comportamento di un attaccante e supportare la risposta. I prodotti precedenti di questa categoria erano spesso chiamati network traffic analysis (NTA).
Che differenza c'è tra NDR, EDR e SIEM?
L'EDR gira su ogni endpoint e vede i processi e i file di quella macchina. Un SIEM raccoglie i log di molti sistemi e li correla. L'NDR osserva il traffico tra i dispositivi, quindi copre anche quelli su cui non può girare un agente e l'attività che non lascia log. I tre si completano.
L'NDR funziona sul traffico cifrato?
Sì, entro certi limiti. Tempi, volumi, destinazioni e handshake TLS restano visibili senza decifrare e bastano per individuare beaconing, scansioni o invii insoliti. Senza decifrare, nessun NDR può leggere il contenuto di una sessione. NetSenX non decifra mai.
L'NDR conviene a una piccola o media impresa?
I team piccoli hanno raramente il tempo di leggere ogni giorno i log del firewall e del DNS, e gli attaccanti che usano strumenti di amministrazione legittimi lasciano poche tracce altrove. L'NDR osserva il traffico di continuo e segnala ciò che si discosta. NetSenX ha un piano Free, così un team può provarlo sulla propria rete prima di pagare.
Fonti
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)
- MITRE ATT&CK — Lateral Movement (TA0008)
Questa pagina ha carattere informativo generale e non costituisce consulenza legale. Verifichi i Suoi obblighi con l'autorità nazionale competente o con il Suo consulente legale.
Pagine correlate
Provate NetSenX sulla vostra rete
Iniziate con il piano Free per un massimo di 3 dispositivi, oppure prenotate una demo di 20 minuti.