EDR beschermt de apparaten waarop u een agent kunt installeren, een SIEM verzamelt en correleert de logs van alles wat logs maakt, en NDR kijkt naar het netwerkverkeer tussen alle apparaten — ook die waarop helemaal geen agent draait. Voor een IT-team zonder security operations center (SOC) is de praktische volgorde meestal: eerst EDR op elk beheerd endpoint, daarna NDR voor het verkeer en de apparaten die EDR niet ziet, en een SIEM zodra iemand de tijd heeft om dagelijks regels te schrijven en logs te lezen.
Wat elk hulpmiddel bewaakt
| EDR | SIEM | NDR | |
|---|---|---|---|
| Bewaakt | Processen, bestanden en geheugen op beheerde endpoints | Logs van servers, firewalls, clouddiensten en applicaties | Netwerkverkeer tussen hosts, intern en naar buiten |
| Ziet goed | Malware die op een laptop of server draait; ransomwaregedrag op de host | Correlaties over veel systemen; lange bewaring; auditrapportages | C2-beaconing, scans, laterale beweging, ongebruikelijke uitgaande data |
| Blinde vlekken | Apparaten zonder agent: printers, camera's, IoT, OT-besturingen, onbeheerde laptops | Alles wat geen log schrijft, of een log schrijft dat niemand verzamelt | Wat er binnen een host gebeurt zonder het netwerk te raken; versleutelde inhoud |
| Beheerinspanning | Laag tot gemiddeld | Hoog: parsen, regels en tunen houden nooit op | Laag tot gemiddeld |
| Gebruikelijke prijsbasis | Per endpoint | Per volume ingelezen data | Per bewaakt apparaat, sensor of bandbreedte |
De drie overlappen minder dan het lijkt. Een aanvaller op een onbeheerd apparaat is onzichtbaar voor EDR, en een SIEM ziet hem alleen als iets zijn activiteit logt. Diezelfde aanvaller moet wel over het netwerk communiceren — met een command-and-controlserver, met andere hosts, met de bestemming van de data — en precies dat ziet NDR. Het framework MITRE ATT&CK noemt laterale beweging en command and control om die reden als aparte tactieken: ze gebeuren tussen machines.
Waarmee u zonder SOC begint
- EDR op elk endpoint dat u beheert. Het blokkeert en registreert kwaadaardige activiteit op de host en vraagt na de uitrol weinig dagelijkse aandacht.
- NDR voor het netwerk. Het dekt de apparaten die EDR niet kan bereiken, toont laterale beweging tussen hosts en levert de incidenttijdlijn die NIS2-meldingen nodig hebben. Kies er een waarvan de meldingen zichzelf uitleggen: zonder analisten is een melding zonder reden een melding die niemand oppakt.
- Een SIEM wanneer u het kunt bemensen. Een SIEM loont als iemand er eigenaar van is: correlatieregels schrijft, parsers onderhoudt en dagelijks logs nakijkt. Tot die tijd kunnen de logs die uw toezichthouder eist vaak zonder volledige SIEM-uitrol worden bewaard.
- Overweeg MDR als u 24/7 bewaking nodig hebt. Een managed detection and response-dienst bestaat uit mensen, niet uit een hulpmiddel: een leverancier bewaakt uw EDR-, NDR- of SIEM-meldingen dag en nacht.
Vragen voordat u een NDR koopt
- Zegt elke melding in begrijpelijke taal waarom ze afging?
- Is er een opgegeven bovengrens voor valse positieven, en kunt u die op uw eigen gegevens controleren?
- Is de prijslijst gepubliceerd, of krijgt elke uitrol een eigen offerte?
- Waar worden de monitoringgegevens opgeslagen, en onder welke verwerkersovereenkomst?
- Leest het OT-protocollen passief, zonder besturingen te benaderen?
Onze vergelijkingen van NDR-leveranciers leggen deze vragen voor aan Darktrace, Vectra AI, ExtraHop en Nozomi Networks, met een bron voor elke uitspraak.
Waar NetSenX past
NetSenX is een Network Detection and Response-platform (NDR) voor middelgrote organisaties in de EU dat aanvallen herkent aan het gedrag van het netwerk, elke melding in begrijpelijke taal uitlegt en klantgegevens in de EU houdt. Het werkt naast EDR en SIEM, niet in plaats daarvan: vanaf het Business-abonnement kunnen meldingen worden geëxporteerd naar het SIEM dat u al gebruikt. Het Free-abonnement dekt tot 3 apparaten zonder tijdslimiet, zodat u ziet wat het vindt voordat u beslist. De details staan op de prijspagina en in de FAQ. Valt u onder NIS2, lees dan hierna de checklist voor NIS2-netwerkmonitoring.
Bronnen
- MITRE ATT&CK — Lateral Movement (TA0008)
- MITRE ATT&CK — Command and Control (TA0011)
- NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems
Geschreven door het NetSenX Team bij TriStiX S.L. Vragen: info@netsenx.com.
Vragen die deze gids beantwoordt
Wat is het verschil tussen NDR, EDR en SIEM?
EDR draait op elk endpoint en ziet de processen en bestanden op die machine. Een SIEM verzamelt logs van veel systemen en correleert ze. NDR bekijkt het verkeer tussen apparaten en dekt zo ook apparaten waarop geen agent kan draaien en activiteit die geen log achterlaat. De drie vullen elkaar aan.
Wat betekenen EDR, NDR, XDR en MDR in gewone woorden?
EDR bewaakt elke computer van binnenuit, NDR bewaakt het verkeer tussen apparaten, XDR brengt meerdere bronnen in één console samen en MDR is een team dat de meldingen voor u in de gaten houdt. EDR (endpoint detection and response) is software op laptops en servers die processen, bestanden en geheugen van die machine ziet. NDR (network detection and response) is een sensor die ziet hoe apparaten met elkaar praten, ook printers, camera's en machines waarop niets te installeren valt. XDR (extended detection and response) is een platform dat signalen van endpoints, e-mail, identiteit, cloud en soms netwerk combineert. MDR (managed detection and response) is helemaal geen software maar een dienst: mensen die de meldingen dag en nacht lezen en ingrijpen. U komt ook SIEM (security information and event management) tegen, dat logs verzamelt. NetSenX is een NDR; het werkt naast de andere en vervangt ze niet.
Wat is XDR, en is dat hetzelfde als NDR?
Nee. XDR (extended detection and response) is een platform dat signalen uit verschillende bronnen in één console samenbrengt, terwijl NDR (network detection and response) een van die mogelijke bronnen is. De meeste XDR-producten zijn opgebouwd rond een agent op de endpoints en voegen logs van e-mail, identiteit en cloud toe; sommige nemen netwerkdata op, andere niet. Dat telt bij apparaten waarop geen agent kan draaien, zoals printers, camera's, gebouwsystemen, machines en appliances: een XDR die alleen op endpoints steunt, ziet ze niet zolang er geen netwerkdata binnenkomt. Vraag vóór de aankoop welke bronnen de XDR in uw licentie echt verwerkt, niet in de brochure. NetSenX is een NDR: het bekijkt het verkeer tussen apparaten en meldt beaconing, scans, laterale beweging en ongebruikelijk uitgaand datavolume op elk abonnement, ook Free. Het vervangt geen EDR of XDR-platform, en vanaf het Business-abonnement kunnen de meldingen worden geëxporteerd naar de SIEM of XDR die u al gebruikt.
Wat is het verschil tussen MDR en EDR?
EDR is software, MDR is een dienst die door mensen wordt geleverd. EDR (endpoint detection and response) wordt op uw computers en servers geïnstalleerd; het bekijkt processen en bestanden, geeft meldingen en laat een beheerder een machine isoleren. Iemand moet die meldingen nog steeds lezen en beslissen. MDR (managed detection and response) is een aanbieder wiens analisten de meldingen voor u lezen, dag en nacht, en binnen een afgesproken tijd reageren. De meeste MDR-diensten brengen hun eigen EDR mee of vereisen er een, en sommige nemen ook netwerk- of clouddata op. De echte vraag is dus niet EDR of MDR, maar wie 's nachts de meldingen leest. Hebt u mensen of een IT-leverancier met piketdienst, dan kunnen EDR en netwerkdetectie volstaan. Kan niemand buiten kantooruren reageren, dan vult een managed service dat gat. NetSenX is detectiesoftware, geen MDR: het verklaart elke melding zodat uw team of leverancier kan handelen.
Heb ik NDR nodig als ik al EDR heb?
Vaak wel, omdat EDR en NDR op verschillende plaatsen tekortschieten. EDR (endpoint detection and response) ziet alleen machines waarop de agent draait en gezond is. Het ziet geen printers, camera's, telefoons op de wifi, gebouwsystemen, machines of de laptop van een leverancier, en aanvallers schakelen het vaak als eerste uit op de machine die ze overnemen. NDR (network detection and response) bekijkt het verkeer tussen apparaten en ziet dus nog steeds een gecompromitteerde host die een externe server belt, het netwerk scant of data wegsluist, wat er ook met zijn endpoint-agent gebeurt. Bestaat uw bedrijf uit een handvol laptops met alles in de cloud, dan volstaan EDR en goede back-ups voorlopig misschien. Hebt u een lokaal netwerk met servers en apparaten waarop u niets kunt installeren, dan vult NDR dat gat. NetSenX meldt beaconing, scans, laterale beweging en ongebruikelijk uitgaand volume op elk abonnement, ook Free, zodat u op uw eigen netwerk ziet wat het toevoegt voordat u betaalt.
Welke gaten laat EDR die alleen het netwerk laat zien?
Apparaten zonder agent, agents die zijn uitgeschakeld en het verkeerspatroon van een aanval die over meerdere machines is verspreid. EDR (endpoint detection and response) rapporteert van binnenuit elke computer waarop het draait. Het rapporteert niet vanaf een printer, een camerarecorder, een NAS, een gebouwregelaar, de telefoon van een bezoeker of een onbeheerde laptop die iemand inprikte. Het rapporteert niet vanaf een server waarop het is verwijderd of gemanipuleerd. En elke agent ziet één host, zodat een traag patroon dat pas over veel hosts betekenis krijgt makkelijk ontglipt, zoals een machine die tientallen bestandsshares aanraakt of stilletjes elke vijf minuten naar buiten belt. Het netwerk ziet dit allemaal, omdat elk apparaat moet communiceren om schade te doen. NetSenX bekijkt dat verkeer en houdt een netwerkkaart bij van de apparaten die het ziet. Het kijkt niet in een host, daarom vullen de twee tools elkaar aan.
Heb ik een SIEM nodig als ik NDR heb?
Niet per se: veel kleine en middelgrote bedrijven hebben meer aan NDR plus goede endpointbeveiliging dan aan een SIEM die niemand tijd heeft om bij te stellen. Een SIEM (security information and event management) verzamelt en correleert logs van veel systemen: firewalls, servers, directory's, clouddiensten. Het is krachtig als iemand de zoekopdrachten schrijft en onderhoudt, en log als niemand dat doet. NDR (network detection and response) levert detecties uit netwerkverkeer zonder log-engineering. De twee beantwoorden verschillende vragen: de SIEM vertelt wie waar heeft ingelogd, NDR wat de apparaten op het netwerk deden. Een SIEM kan toch nodig zijn als een auditor, een klantcontract of een toezichthouder centrale logbewaring verwacht, of zodra u mensen hebt die ermee werken. Hebt u er al een, dan kunnen NDR-meldingen erin terechtkomen: NetSenX heeft SIEM-export vanaf het Business-abonnement, zodat netwerkdetecties al verklaard in de SIEM aankomen.