# Che cos'è l'NDR (network detection and response)?

> L'NDR spiegato: che cosa osserva, come lavora sul traffico cifrato, in che cosa si distingue da EDR e SIEM e quali sono i suoi limiti.

Source page: https://netsenx.com/it/what-is-ndr

Ultima verifica: 7 novembre 2026

L'NDR (network detection and response) è un monitoraggio di sicurezza che osserva il traffico tra i dispositivi, impara com'è il comportamento normale e genera un avviso quando un host inizia a comportarsi come un attaccante: scansiona la rete, si sposta su altre macchine, contatta un server esterno a intervalli regolari o invia all'esterno volumi di dati insoliti. Poiché analizza il traffico invece di girare su ogni dispositivo, copre anche le macchine su cui non si può installare un agente, come stampanti, telecamere e controllori industriali. La parte «response» è ciò che il team, o un playbook automatizzato, fa con l'avviso.

## Il dato da cui partire

In una guida congiunta pubblicata il 7 febbraio 2024, CISA, NSA, FBI e agenzie partner hanno raccomandato di mantenere baseline dell'attività normale di rete, degli utenti e degli amministratori e di indagare su tutto ciò che se ne discosta, perché gli attaccanti che praticano il «living off the land» usano gli stessi strumenti legittimi degli amministratori e si confondono con la normale operatività.

Fonte: [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)

## Che cosa il Suo sensore vede e che cosa no

Un sensore di rete vede solo il traffico che riceve. Spunti i segmenti della Sua rete replicati verso un agente NetSenX tramite una porta SPAN o TAP e veda quali situazioni diventano visibili e quali restano al buio.

| Segmento | Che cosa diventa visibile |
|---|---|
| Ufficio (Replicato in mirror verso un agente NetSenX) | Beaconing di comando e controllo da un PC dell'ufficio; Invii insoliti da una postazione di lavoro; Traffico dai dispositivi dell'ufficio verso servizi di IA (da Pro); Un dispositivo nuovo o sconosciuto sulla mappa della rete |
| Server (Replicato in mirror verso un agente NetSenX) | Movimento laterale verso i file server; Preparazione di un ransomware sulle cartelle condivise; Tentativi di indovinare password contro un server; Un archivio in uscita verso una destinazione sconosciuta |
| Wi-Fi ospiti (Replicato in mirror verso un agente NetSenX) | Un dispositivo ospite che scansiona la rete |
| Produzione (Replicato in mirror verso un agente NetSenX) | Scritture su un PLC fuori dallo schema abituale (da Pro); Traffico che attraversa i livelli della rete di stabilimento (da Pro); Attività OT fuori dall'orario di lavoro (da Pro) |
| Sistemi dell'edificio (Replicato in mirror verso un agente NetSenX) | Una telecamera o un controllore dell'edificio che contatta l'esterno; Un controllore dell'edificio che scansiona altri dispositivi |
| Portatili da remoto (Agente NetSenX su ogni portatile) | Beaconing da un portatile fuori dall'ufficio; Invii insoliti da un portatile a casa |

### Mai visibile a un sensore di rete

- File copiati su una chiavetta USB
- Un accesso con una password valida rubata
- Nomi e contenuto dei file nelle sessioni cifrate
- Che cosa dice un'e-mail, phishing compreso

I portatili fuori dall'ufficio sono visibili solo con un agente sul portatile stesso. Ciò che un sensore non vede richiede un altro strumento: la protezione degli endpoint per le copie su USB e i programmi, il Suo provider di identità e i log della VPN per gli accessi, il filtro di posta per il phishing.

## Come funziona l'NDR, in quattro passi

Questi quattro passi valgono per qualsiasi prodotto NDR. Il modo in cui ciascuno viene realizzato cambia da fornitore a fornitore.

1. **Acquisire** Un sensore riceve una copia del traffico da una porta SPAN o da un TAP, oppure lo legge su un host, e registra i metadati dei flussi: chi si è collegato a chi, quando, quanti dati sono passati e con quale protocollo.
2. **Baseline** Impara che cosa è normale per ogni host e ogni segmento: destinazioni, porte, volumi e orari abituali.
3. **Rilevare** Valuta le deviazioni che corrispondono al comportamento di un attaccante, come scansioni, movimento laterale, beaconing o esfiltrazione di dati. Molti prodotti lavorano sui metadati e sull'handshake TLS, così il traffico cifrato resta utile senza decifrarlo; alcuni invece decifrano il traffico.
4. **Rispondere** Un analista esamina l'avviso, oppure un playbook isola un host o blocca una destinazione. La traccia di ciò che è stato visto e fatto alimenta il rapporto sull'incidente.

## Che cosa fa oggi NetSenX

- Rileva scansioni, movimento laterale, beaconing C2 e volumi di dati in uscita insoliti dal comportamento in rete, in ogni piano, Free compreso.
- Vede i dispositivi senza agente, come stampanti, telecamere e controllori, perché un solo agente su una porta SPAN o un TAP osserva l'intero segmento.
- Analizza il traffico cifrato a partire da tempi, volumi e destinazioni, e dal piano Starter anche dall'handshake TLS, senza mai decifrarlo. L'handshake è visibile solo dove l'agente cattura i pacchetti: su Linux o come sensore su una porta SPAN o TAP, non nella modalità di base usata su macOS.
- Spiega ogni avviso in linguaggio semplice, indicando le caratteristiche di rete che ne hanno determinato il punteggio, ed esegue risposte automatiche solo da playbook che il Suo team scrive o copia dai modelli NetSenX.

## Che cosa NetSenX non fa

NetSenX non vede ciò che accade dentro un host senza passare dalla rete, come un processo che non si collega da nessuna parte; quello è il campo della protezione degli endpoint (EDR). Vede solo i segmenti che Lei monitora. Non decifra mai il traffico, quindi non può leggere il contenuto di una sessione cifrata, e non sostituisce la risposta agli incidenti. Un avviso è un motivo per indagare, non la prova di un'intrusione.

## Domande degli acquirenti

### Che cosa significa NDR?

Network detection and response: strumenti di sicurezza che analizzano il traffico tra i dispositivi per rilevare il comportamento di un attaccante e supportare la risposta. I prodotti precedenti di questa categoria erano spesso chiamati network traffic analysis (NTA).

### Che differenza c'è tra NDR, EDR e SIEM?

L'EDR gira su ogni endpoint e vede i processi e i file di quella macchina. Un SIEM raccoglie i log di molti sistemi e li correla. L'NDR osserva il traffico tra i dispositivi, quindi copre anche quelli su cui non può girare un agente e l'attività che non lascia log. I tre si completano.

### L'NDR funziona sul traffico cifrato?

Sì, entro certi limiti. Tempi, volumi, destinazioni e handshake TLS restano visibili senza decifrare e bastano per individuare beaconing, scansioni o invii insoliti. Senza decifrare, nessun NDR può leggere il contenuto di una sessione. NetSenX non decifra mai.

### L'NDR conviene a una piccola o media impresa?

I team piccoli hanno raramente il tempo di leggere ogni giorno i log del firewall e del DNS, e gli attaccanti che usano strumenti di amministrazione legittimi lasciano poche tracce altrove. L'NDR osserva il traffico di continuo e segnala ciò che si discosta. NetSenX ha un piano Free, così un team può provarlo sulla propria rete prima di pagare.

## Fonti

- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)](https://www.rfc-editor.org/rfc/rfc8446)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)

Questa pagina ha carattere informativo generale e non costituisce consulenza legale. Verifichi i Suoi obblighi con l'autorità nazionale competente o con il Suo consulente legale.

## Pagine correlate

- [NDR, EDR o SIEM](https://netsenx.com/it/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [NDR per piccole e medie imprese](https://netsenx.com/it/ndr-for-small-business)
- [Come capire se qualcuno è nella Sua rete](https://netsenx.com/it/is-someone-inside-your-network)
- [Come rilevare movimento laterale e beaconing C2](https://netsenx.com/it/detect-lateral-movement-c2-beaconing)
- [Analisi del traffico cifrato](https://netsenx.com/it/encrypted-traffic-analysis)
- [Prezzi e piano Free](https://netsenx.com/it/pricing)