NDR, EDR, SIEM, XDR, MDR

NDR is beveiligingssoftware die het netwerkverkeer bekijkt, gedrag signaleert dat op een aanval lijkt en het bewijs levert om te reageren. Firewalls en endpointagents zien elk hun eigen apparaat; NDR ziet hoe hosts met elkaar communiceren: command-and-control-beaconing (C2), scans, laterale beweging en ongebruikelijk uitgaand dataverkeer. NetSenX is een Network Detection and Response-platform (NDR) voor middelgrote organisaties in de EU dat aanvallen herkent aan netwerkgedrag, elke alert in begrijpelijke taal uitlegt en klantgegevens in de EU bewaart.

Network detection and response: beveiligingstools die het verkeer tussen apparaten analyseren om aanvallersgedrag te detecteren en de reactie daarop te ondersteunen. Eerdere producten in deze categorie heetten vaak network traffic analysis (NTA).

Het kopieert het verkeer tussen uw apparaten naar een sensor, leert wat normaal is voor elk apparaat en geeft een melding wanneer er een zich als een aanvaller gaat gedragen. De kopie komt van een spiegelpoort op een switch (SPAN), een kleine hardware-TAP op een kabel of een agent op de hosts die u kiest. De sensor hoeft de inhoud niet te lezen: tijdstip, volume, bestemmingen, poorten, DNS-antwoorden en de onversleutelde delen van de TLS-handshake zijn genoeg om een computer te zien die elke paar minuten een externe server belt, bij veel interne hosts aanklopt, inlogt op servers die hij nooit gebruikte of veel meer data naar buiten stuurt dan gewoonlijk. De respons is wat uw team met de melding doet: onderzoeken, de host isoleren, accounts resetten. Zo werkt NetSenX: het ontsleutelt nooit verkeer, verklaart elke melding in gewone taal op elk abonnement en laat de beslissing over de respons aan u. Apparaten die zwijgen en segmenten die u niet spiegelt, ziet het niet.

EDR draait op elk endpoint en ziet de processen en bestanden op die machine. Een SIEM verzamelt logs van veel systemen en correleert ze. NDR bekijkt het verkeer tussen apparaten en dekt zo ook apparaten waarop geen agent kan draaien en activiteit die geen log achterlaat. De drie vullen elkaar aan.

EDR bewaakt elke computer van binnenuit, NDR bewaakt het verkeer tussen apparaten, XDR brengt meerdere bronnen in één console samen en MDR is een team dat de meldingen voor u in de gaten houdt. EDR (endpoint detection and response) is software op laptops en servers die processen, bestanden en geheugen van die machine ziet. NDR (network detection and response) is een sensor die ziet hoe apparaten met elkaar praten, ook printers, camera's en machines waarop niets te installeren valt. XDR (extended detection and response) is een platform dat signalen van endpoints, e-mail, identiteit, cloud en soms netwerk combineert. MDR (managed detection and response) is helemaal geen software maar een dienst: mensen die de meldingen dag en nacht lezen en ingrijpen. U komt ook SIEM (security information and event management) tegen, dat logs verzamelt. NetSenX is een NDR; het werkt naast de andere en vervangt ze niet.

Nee. NetSenX voegt het netwerkbeeld toe dat endpoint- en logtools missen; het vervangt geen endpointbeveiliging (EDR), antivirus, logaggregatie (SIEM) of een beheerde detectiedienst (MDR). Vanaf het Business-abonnement kunnen alerts worden geëxporteerd naar de SIEM die u al gebruikt.

Vaak wel, omdat EDR en NDR op verschillende plaatsen tekortschieten. EDR (endpoint detection and response) ziet alleen machines waarop de agent draait en gezond is. Het ziet geen printers, camera's, telefoons op de wifi, gebouwsystemen, machines of de laptop van een leverancier, en aanvallers schakelen het vaak als eerste uit op de machine die ze overnemen. NDR (network detection and response) bekijkt het verkeer tussen apparaten en ziet dus nog steeds een gecompromitteerde host die een externe server belt, het netwerk scant of data wegsluist, wat er ook met zijn endpoint-agent gebeurt. Bestaat uw bedrijf uit een handvol laptops met alles in de cloud, dan volstaan EDR en goede back-ups voorlopig misschien. Hebt u een lokaal netwerk met servers en apparaten waarop u niets kunt installeren, dan vult NDR dat gat. NetSenX meldt beaconing, scans, laterale beweging en ongebruikelijk uitgaand volume op elk abonnement, ook Free, zodat u op uw eigen netwerk ziet wat het toevoegt voordat u betaalt.

Meestal eerst EDR, omdat het beschermen van elke computer tegen malware de meer basale behoefte is. EDR (endpoint detection and response) of een goede moderne virusscanner stopt veel gangbare malware op laptops en servers, en dekt samen met meervoudige authenticatie, snelle updates en geteste offline back-ups de aanvallen af die kleine bedrijven het vaakst treffen. NDR (network detection and response) komt daarna, en schuift omhoog op de lijst wanneer u een lokaal netwerk hebt met servers, printers, camera's of productiemachines zonder agent, wanneer een klantcontract of NIS2 vraagt om incidenten te detecteren en te melden, of wanneer u onafhankelijk wilt controleren dat de endpointtool niet de enige getuige is. U hoeft niet blind te kiezen: het Free-abonnement van NetSenX dekt 3 apparaten zonder tijdslimiet, dus u kunt één agent op een spiegelpoort zetten en zien wat het netwerk laat zien voordat u geld uitgeeft.

Nee, niet op zichzelf, al is het een noodzakelijk begin. Virusscanners en endpointbeveiliging stoppen bekende malware op de computers waar ze draaien. Ze helpen niet tegen een gestolen wachtwoord waarmee iemand van buitenaf inlogt, een e-mail die de boekhouding een valse factuur laat betalen, een apparaat waarop geen virusscanner kan draaien, of een indringer die uw eigen beheertools gebruikt, die de virusscanner als legitiem ziet. Een redelijke basis voor een klein bedrijf is meervoudige authenticatie op e-mail en toegang op afstand, snel geïnstalleerde updates, beveiliging op elke computer, offline of onveranderbare en geteste back-ups en een kort geschreven plan wie u belt. Daarna laat netwerkmonitoring zien wat de virusscanner niet ziet: een apparaat dat plots met veel andere praat, elke paar minuten een externe server belt of 's nachts veel data naar buiten stuurt. NetSenX doet dat op elk abonnement; het vervangt uw virusscanner niet.

Gedrag tussen machines, dat een virusscanner op één computer niet kan zien. Vier patronen tellen het meest. Beaconing: een host die met vaste tussenpozen dezelfde externe server belt, zo krijgt de software van een aanvaller zijn opdrachten (command and control, C2). Scannen: één apparaat dat bij veel adressen of poorten aanklopt om uw netwerk in kaart te brengen. Laterale beweging: een werkplek die plots beheersessies opent naar servers die hij nooit gebruikte, vaak met legitieme tools die de virusscanner doorlaat. Ongebruikelijk uitgaand volume: veel meer data dan normaal die een host verlaat, bijvoorbeeld 's nachts. Netwerkdetectie dekt ook apparaten waarop geen virusscanner kan worden geïnstalleerd, zoals printers, camera's en machines. NetSenX meldt deze vier patronen op elk abonnement, ook Free, en verklaart elke melding in gewone taal. Wat er in een computer gebeurt zonder het netwerk te raken, zoals het openen van een kwaadaardig bestand, ziet het niet: dat blijft het werk van de virusscanner of EDR.

Apparaten zonder agent, agents die zijn uitgeschakeld en het verkeerspatroon van een aanval die over meerdere machines is verspreid. EDR (endpoint detection and response) rapporteert van binnenuit elke computer waarop het draait. Het rapporteert niet vanaf een printer, een camerarecorder, een NAS, een gebouwregelaar, de telefoon van een bezoeker of een onbeheerde laptop die iemand inprikte. Het rapporteert niet vanaf een server waarop het is verwijderd of gemanipuleerd. En elke agent ziet één host, zodat een traag patroon dat pas over veel hosts betekenis krijgt makkelijk ontglipt, zoals een machine die tientallen bestandsshares aanraakt of stilletjes elke vijf minuten naar buiten belt. Het netwerk ziet dit allemaal, omdat elk apparaat moet communiceren om schade te doen. NetSenX bekijkt dat verkeer en houdt een netwerkkaart bij van de apparaten die het ziet. Het kijkt niet in een host, daarom vullen de twee tools elkaar aan.

Het endpoint valt stil, en de endpointtool kan zijn eigen stilte niet melden, dus u hebt een tweede getuige nodig. Endpointbeveiliging uitschakelen of verwijderen is een veelvoorkomende vroege stap van indringers en ransomwaregroepen, met gestolen beheerrechten of via een kwetsbaar stuurprogramma. Vanaf dat moment toont de console de machine misschien als offline, of komen er gewoon geen gebeurtenissen meer binnen. Twee dingen helpen. Ten eerste: behandel een stille agent als een incident, stel in de EDR-console een melding in voor agents die niets meer rapporteren en controleer wie ze mag verwijderen. Ten tweede: bekijk het netwerk, dat de aanvaller vanaf die ene machine niet kan uitzetten. NetSenX blijft het gedrag van de host zien, wat er ook met de EDR gebeurt: beaconing, scans, laterale beweging en ongebruikelijke uploads. De status van de EDR zelf ziet het niet; het vertelt u dus niet dat de agent stopte, maar wel wat de machine daarna doet.

Maak de stilte zelf tot een melding in uw endpointconsole en houd een onafhankelijk zicht vanuit het netwerk. De meeste EDR- en virusscannerconsoles kunnen agents melden die zich een bepaalde tijd niet hebben gemeld; zet dat aan, stuur het naar een mailbox die iemand leest en spreek vooraf af wat u doet als een server stilvalt: de eigenaar bellen, nagaan of het een geplande herinstallatie was en bekijken wat de machine op het netwerk deed. Vergelijk elke maand de lijst van machines die een agent zouden moeten hebben met de machines die er een hebben. Beperk het recht om de agent te verwijderen of te pauzeren tot enkele benoemde accounts met meervoudige authenticatie. Het netwerkzicht is de tweede getuige: NetSenX leest de status van uw EDR niet, maar blijft de server markeren als hij begint met beaconing, scans, laterale beweging of ongebruikelijk uitgaand volume. Een stille agent betekent dus geen stille aanval.

Nee. XDR (extended detection and response) is een platform dat signalen uit verschillende bronnen in één console samenbrengt, terwijl NDR (network detection and response) een van die mogelijke bronnen is. De meeste XDR-producten zijn opgebouwd rond een agent op de endpoints en voegen logs van e-mail, identiteit en cloud toe; sommige nemen netwerkdata op, andere niet. Dat telt bij apparaten waarop geen agent kan draaien, zoals printers, camera's, gebouwsystemen, machines en appliances: een XDR die alleen op endpoints steunt, ziet ze niet zolang er geen netwerkdata binnenkomt. Vraag vóór de aankoop welke bronnen de XDR in uw licentie echt verwerkt, niet in de brochure. NetSenX is een NDR: het bekijkt het verkeer tussen apparaten en meldt beaconing, scans, laterale beweging en ongebruikelijk uitgaand datavolume op elk abonnement, ook Free. Het vervangt geen EDR of XDR-platform, en vanaf het Business-abonnement kunnen de meldingen worden geëxporteerd naar de SIEM of XDR die u al gebruikt.

MDR (managed detection and response) is een dienst waarbij een extern team uw beveiligingsmeldingen dag en nacht bewaakt en namens u reageert; u hebt het nodig als niemand in uw bedrijf 's nachts of in het weekend op een melding kan reageren. Het is een dienst, geen tool: de aanbieder steunt nog steeds op sensoren zoals EDR (endpoint detection and response) op uw computers, en soms op netwerkdata. Controleer vóór het tekenen wat de aanbieder om 3 uur 's nachts werkelijk doet. Isoleert hij een computer of stuurt hij alleen een e-mail? Welke sensoren zijn inbegrepen, en van wie zijn de gegevens als u vertrekt? Hoe snel reageert hij, op papier? Veel kleine bedrijven combineren in plaats daarvan automatische detectie met een piketregeling bij hun IT-leverancier. NetSenX is software, geen MDR: het detecteert en verklaart meldingen op elk uur, en die meldingen gaan naar uw team of IT-leverancier, die beslissen wat er gebeurt.

EDR is software, MDR is een dienst die door mensen wordt geleverd. EDR (endpoint detection and response) wordt op uw computers en servers geïnstalleerd; het bekijkt processen en bestanden, geeft meldingen en laat een beheerder een machine isoleren. Iemand moet die meldingen nog steeds lezen en beslissen. MDR (managed detection and response) is een aanbieder wiens analisten de meldingen voor u lezen, dag en nacht, en binnen een afgesproken tijd reageren. De meeste MDR-diensten brengen hun eigen EDR mee of vereisen er een, en sommige nemen ook netwerk- of clouddata op. De echte vraag is dus niet EDR of MDR, maar wie 's nachts de meldingen leest. Hebt u mensen of een IT-leverancier met piketdienst, dan kunnen EDR en netwerkdetectie volstaan. Kan niemand buiten kantooruren reageren, dan vult een managed service dat gat. NetSenX is detectiesoftware, geen MDR: het verklaart elke melding zodat uw team of leverancier kan handelen.

Kies op wat er om 3 uur 's nachts gebeurt, op papier, niet op de brochure. Stel elke aanbieder vijf vragen. Wat doet u precies als u een aanval ziet: ons bellen, de machine isoleren, accounts resetten of alleen een ticket openen? Welke reactietijd legt het contract vast, en hoe wordt die gemeten? Welke sensoren zijn inbegrepen: alleen endpoints, of ook netwerk, e-mail, identiteit en cloud? Waar staan onze gegevens en uw analisten, en welke subverwerkers gebruikt u? Wat houden wij over als we vertrekken? Vraag om een voorbeeldrapport van een incident en een referentieklant van uw omvang. Controleer of het prijsmodel bij u past: per endpoint, per gebruiker of per locatie. Een netwerksensor kan naast een MDR-dienst draaien: meldingen van NetSenX gaan op elk abonnement per e-mail, vanaf Pro via Slack of een webhook en vanaf Business naar een SIEM, zodat een aanbieder ze kan ontvangen.

De meeste bedrijven onder enkele honderden mensen besteden het uit of doen het zonder volledig SOC, omdat dag-en-nachtbezetting meerdere opgeleide mensen vraagt, niet één. Een SOC (security operations centre) is een team dat meldingen bewaakt en reageert, vaak de klok rond. Zelf opbouwen betekent analisten aannemen en behouden voor nacht- en weekenddiensten, tools kopen en afstellen en procedures schrijven; voor een middelgroot bedrijf zijn dat hoge vaste kosten. Uitbesteden aan een MDR- of MSSP-aanbieder maakt er een contract van, maar intern hebt u nog steeds iemand nodig die het bedrijf kent en beslist. Voor velen past een middenweg: automatische detectie die op elk uur draait, meldingen die ook een generalist begrijpt, een piketregeling bij uw IT-leverancier en een incidentresponsbureau dat vooraf is gecontracteerd. NetSenX past als detectiesoftware in die middenweg; het is geen SOC en niemand bij NetSenX bewaakt uw meldingen voor u.

Nee, maar u hebt wel een plan nodig voor de uren waarop die beheerder er niet is. Een SOC (security operations centre) is een team dat meldingen dag en nacht bewaakt; een bedrijf met één beheerder kan dat niet bemannen en hoeft het meestal ook niet. Wat het nodig heeft is beperkter: detectie die vanzelf draait, meldingen die kort en helder genoeg zijn om op te handelen, een tweede persoon die ze ontvangt als de beheerder afwezig is, en het telefoonnummer van een incidentresponsbureau. Leg vast wie in een noodgeval beslist om een computer of de internetlijn los te koppelen. Houd de basis op orde: meervoudige authenticatie, updates, endpointbeveiliging en offline back-ups. NetSenX is precies voor deze situatie gebouwd: één agent op een spiegelpoort bewaakt een heel segment, elke melding wordt in gewone taal verklaard en meldingen gaan op elk abonnement per e-mail, dus ook naar een vervanger of uw IT-leverancier.

Ja, als de tool minuten per dag vraagt en geen eigen analist. Wat het mogelijk maakt, zijn minder en duidelijkere meldingen en een vaste routine. Spreek af wie elke ochtend de meldingen leest, wie tijdens vakanties vervangt en wat dringend genoeg is om iemand 's nachts te bellen. Schrijf een responsnotitie van één pagina: hoe u een computer isoleert, wie accounts mag resetten, welke leverancier u belt. Loop eens per maand de afgesloten meldingen door om te zien wat normaal was en zo gemarkeerd moet worden. Kies een tool die zijn meldingen verklaart, want een kale regelnaam of score stuurt een generalist terug naar de ruwe logs. NetSenX verklaart elke melding in gewone taal op elk abonnement en laat u vals-positieven markeren. Het neemt de mens niet weg: een incident onderzoeken en indammen blijft het werk van uw team, uw IT-leverancier of een incidentresponsbureau.

Om logs van veel systemen op één plek te bewaren, ze te doorzoeken en gebeurtenissen over systemen heen te verbinden. Een SIEM (security information and event management) verzamelt logs van firewalls, servers, directory's, VPN's en clouddiensten, bewaart ze een vastgestelde periode en voert zoekopdrachten uit naar verdachte combinaties, zoals een mislukte VPN-aanmelding gevolgd door een geslaagde vanuit een ander land. Bedrijven gebruiken het om drie redenen: detectie, onderzoek achteraf en bewijs voor auditors en toezichthouders die centrale logbewaring verwachten. De zwakte is de inspanning: iemand moet bronnen kiezen, zoekopdrachten schrijven en afstellen en de resultaten lezen, anders wordt de SIEM een duur archief. Een SIEM ziet alleen wat systemen loggen; verkeer dat geen log achterlaat, ziet het niet. Dat deel dekt netwerkdetectie, en NetSenX kan zijn meldingen vanaf het Business-abonnement naar uw SIEM exporteren.

Meestal niet als eerste stap, tenzij een klant, een auditor of een toezichthouder uitdrukkelijk om centrale logbewaring vraagt. Een SIEM (security information and event management) verdient zich terug als iemand tijd heeft om bronnen aan te sluiten, zoekopdrachten te schrijven en resultaten te lezen. Een klein bedrijf haalt vaak sneller meer bescherming uit meervoudige authenticatie, endpointbeveiliging, offline back-ups en detectie die zonder log-engineering werkt. Bewaar in elk geval de logs die bij een onderzoek het meest tellen: aanmeldingen bij e-mail en toegang op afstand, firewall- en VPN-logs en beveiligingslogs van servers, opgeslagen waar een aanvaller ze niet makkelijk kan wissen en met de juiste tijd op elk apparaat. Veel clouddiensten bewaren aanmeldlogs voor u als u dat aanzet. NetSenX houdt op elk abonnement een auditlog bij en een meldingsgeschiedenis die per abonnement verschilt, en voegt u later een SIEM toe, dan kunnen de meldingen er vanaf Business naartoe worden geëxporteerd.

Niet per se: veel kleine en middelgrote bedrijven hebben meer aan NDR plus goede endpointbeveiliging dan aan een SIEM die niemand tijd heeft om bij te stellen. Een SIEM (security information and event management) verzamelt en correleert logs van veel systemen: firewalls, servers, directory's, clouddiensten. Het is krachtig als iemand de zoekopdrachten schrijft en onderhoudt, en log als niemand dat doet. NDR (network detection and response) levert detecties uit netwerkverkeer zonder log-engineering. De twee beantwoorden verschillende vragen: de SIEM vertelt wie waar heeft ingelogd, NDR wat de apparaten op het netwerk deden. Een SIEM kan toch nodig zijn als een auditor, een klantcontract of een toezichthouder centrale logbewaring verwacht, of zodra u mensen hebt die ermee werken. Hebt u er al een, dan kunnen NDR-meldingen erin terechtkomen: NetSenX heeft SIEM-export vanaf het Business-abonnement, zodat netwerkdetecties al verklaard in de SIEM aankomen.

Ja, de meeste netwerkdetectietools kunnen dat, en het is meestal beter dan ruwe netwerklogs sturen. Een SIEM (security information and event management) die verklaarde netwerkmeldingen ontvangt, krijgt een zicht dat hij anders mist, zonder de opslagkosten en de ruis van elk verbindingsrecord. Leg vóór het koppelen vast welke meldingsniveaus naar de SIEM gaan, wie ze daar leest en hoe beide tools een hostnaam of adres delen, zodat meldingen aan loggebeurtenissen gekoppeld kunnen worden. Bij NetSenX zit SIEM-export in het Business-abonnement en hoger. Op het Pro-abonnement kunnen meldingen ook via de API, Slack of een webhook naar buiten, en op elk abonnement worden ze per e-mail verstuurd en in het dashboard bewaard voor de meldingsgeschiedenis van uw abonnement. Exporteren verandert niets aan wat NetSenX ziet: het blijft netwerkgedrag, nooit de inhoud van versleutelde sessies.

Een signature-gebaseerde IDS vergelijkt verkeer met bekende aanvalspatronen; NetSenX beoordeelt het gedrag van elke host, zodat ook een nieuwe malwarevariant zonder signature een spoor achterlaat. Elke alert vermeldt in begrijpelijke taal welke netwerkkenmerken de score bepaalden (SHAP-waarden). NetSenX werkt naast uw IDS, EDR en SIEM en vervangt ze niet.

Een IDS of IPS vergelijkt verkeer met bekende aanvalspatronen; NDR kijkt hoe elk apparaat zich in de tijd gedraagt. Een IDS (intrusion detection system) geeft een melding als verkeer overeenkomt met een signatuur, zoals een bekende exploit of een malwarepatroon. Een IPS (intrusion prevention system) doet hetzelfde en kan het overeenkomende verkeer laten vallen, meestal als onderdeel van een firewall. Beide zijn sterk bij bekende dreigingen en zwakker wanneer een aanvaller legitieme tools gebruikt of een nieuwe variant zonder signatuur. NDR (network detection and response) leert wat normaal is voor elke host en markeert afwijkingen: nieuwe gesprekspartners, regelmatige verbindingen naar buiten, scans, ongebruikelijke volumes. Veel bedrijven gebruiken beide. NetSenX is een NDR: het beoordeelt hostgedrag, verklaart elke melding in gewone taal en laat geen verkeer vallen of blokkeren, zodat het naast de IPS van uw firewall kan draaien zonder uw netwerkpad te wijzigen.

Een firewall beslist welke verbindingen zijn toegestaan; NDR bekijkt wat er gebeurt binnen de verbindingen die zijn toegestaan. Een firewall staat aan de rand van het netwerk, of tussen segmenten, en dwingt regels af: dit adres mag die server op deze poort bereiken, de rest wordt geweigerd. Hij is onmisbaar, maar een aanvaller die binnenkomt via een phishingmail of een gestolen wachtwoord gebruikt verbindingen die de firewall toestaat, en de meeste firewalls zien het verkeer tussen apparaten in hetzelfde segment helemaal niet. NDR (network detection and response) krijgt een kopie van het verkeer en zoekt naar gedrag: een werkplek die plots met veel servers praat, een host die elke paar minuten een extern adres belt, data die 's nachts naar buiten gaat. U hebt beide nodig. NetSenX filtert of blokkeert niets; het meldt en verklaart, en u of uw firewall handelt op de melding.

NetFlow-monitoring legt vast wie met wie praatte, netwerkverkeeranalyse bestudeert die gegevens en NDR voegt daar detectie en respons aan toe. NetFlow en vergelijkbare formaten zijn samenvattingen die routers en switches per verbinding exporteren: adressen, poorten, starttijd, bytes en pakketten. Monitoringtools maken er bandbreedtegrafieken en lijsten van de grootste verzenders van, nuttig voor capaciteit en probleemoplossing, maar het beveiligingsoordeel ligt bij u. Network traffic analysis (NTA) was de eerdere naam voor tools die verkeer vanuit beveiligingsoogpunt bekeken. NDR (network detection and response) is de huidige naam: het leert wat normaal is per host, meldt aanvallersgedrag en ondersteunt de respons met bewijs. Flowsamenvattingen alleen missen details zoals DNS-antwoorden of de TLS-handshake. NetSenX leest zijn eigen kopie van het verkeer van een agent of spiegelpoort, in plaats van alleen te vertrouwen op geëxporteerde flowgegevens.

Geen van beide is op zichzelf beter: signaturen zijn nauwkeurig bij bekende dreigingen, gedragsmethoden vangen wat nog geen signatuur heeft, en goede tools gebruiken beide. Een signatuur herkent iets wat al bekend is, zoals een malwarevingerafdruk of een exploitreeks, en geeft dus zelden een vals alarm, maar mist nieuwe varianten en aanvallers die uw eigen beheertools gebruiken. Gedragsdetectie of detectie op basis van machine learning vergelijkt activiteit met wat normaal is en kan een nieuwe tool zien die naar huis belt, maar heeft tijd nodig om uw netwerk te leren kennen en moet zichzelf verklaren, anders wordt elke melding een raadsel. Wees voorzichtig met het etiket: vraag de leverancier waar het model werkelijk naar kijkt, hoe het vals-positieven op uw data vermindert en of elke melding zegt waarom ze afging. NetSenX beoordeelt hostgedrag en verklaart elke melding in gewone taal. Het noemt geen percentage vals-positieven dat het niet met uw eigen data kan onderbouwen.

Een spiegelpoort of TAP is meestal beter voor een heel kantoorsegment, agents zijn beter voor specifieke servers of plekken waar u geen verkeer kunt spiegelen. Met SPAN (een switchinstelling die verkeer naar één poort kopieert) of een TAP (een klein apparaat dat het verkeer op een kabel kopieert) ziet één sensor elk apparaat in het segment, ook printers, camera's en machines, zonder dat er iets op wordt geïnstalleerd. Daarvoor is een beheerde switch of een TAP nodig, en u ziet alleen de gespiegelde segmenten. Een agent op een host ziet het eigen verkeer van die host, waar die ook staat, ook servers in een datacenter of de cloud waar niets te spiegelen valt. Veel bedrijven combineren beide. NetSenX ondersteunt beide: een agent op een SPAN- of TAP-poort telt als één apparaat voor het hele segment, en agents draaien op Linux en macOS. TLS-fingerprinting vraagt pakketcapture, die de basismodus op macOS niet doet.

Ja, binnen grenzen. Timing, volume, bestemmingen en de TLS-handshake blijven zonder ontsleuteling zichtbaar en zijn genoeg om beaconing, scans of ongewone uploads op te merken. Zonder ontsleuteling kan geen enkele NDR de inhoud van een sessie lezen. NetSenX ontsleutelt nooit.

Gedeeltelijk: het ziet de verbindingen van uw apparaten met cloud- en SaaS-diensten, niet wat er binnen die diensten gebeurt. Vanuit het kantoornetwerk ziet NDR (network detection and response) welke hosts met welke cloudaanbieders verbinden, hoe vaak en hoeveel data ze versturen, zodat een server die 's nachts een groot archief naar een onbekend opslagaccount uploadt opvalt. Wat het niet ziet, is activiteit in de SaaS-applicatie zelf: een mailboxregel die in uw e-maildienst is aangemaakt, een bestand dat openbaar is gedeeld vanuit een clouddrive of een aanmelding met een gestolen wachtwoord vanuit een ander land. Dat staat in de audit- en aanmeldlogs van de aanbieder, die u moet aanzetten en bekijken. Verkeer van laptops thuis dat nooit over uw netwerk gaat, blijft ook buiten beeld, tenzij er een agent op draait. NetSenX toont op elk abonnement cloudbestemmingen in een beoordelingswachtrij op de netwerkkaart, en ongebruikelijk uitgaand volume als melding.

Dat hangt van het product af; NetSenX meldt en adviseert, en blokkeert zelf geen verkeer. Sommige NDR-producten zitten in het verkeerspad of werken met firewalls samen om verbindingen automatisch te verbreken. Dat kan een aanval stoppen, en bij een vals-positief ook uw productielijn, daarom blijft automatisch blokkeren meestal beperkt tot smalle, goed geteste gevallen. Een sensor op een spiegelpoort, zoals de meeste NDR wordt ingezet, krijgt alleen een kopie van het verkeer en kan zelf niets blokkeren; de respons loopt via uw firewall, switch, endpointtool of een mens. NetSenX verklaart elke melding, biedt handmatige responsacties vanaf het Starter-abonnement en automatische responsadviezen vanaf Pro, en blokkeert nooit zelf verkeer. De beslissing om een machine te isoleren, een adres te blokkeren of accounts te resetten blijft bij uw team, en daarom komt elke actie in het auditlog terecht.

Bekijk het netwerk een tijdje en noteer elk apparaat dat verkeer verstuurt, met de naam die het aankondigt, het adres en met wie het praat. Apparaten verraden zich wanneer ze een adres vragen (DHCP), namen opzoeken (DNS), zich op het lokale netwerk aankondigen of met servers verbinden. Een sensor op een spiegelpoort verzamelt dit passief, zonder iets te scannen, wat telt voor kwetsbare apparaten zoals printers, camera's en machines. Vergelijk het resultaat met de lijst die u denkt te hebben: onbekende apparaten, vergeten servers en privéapparatuur duiken meestal in de eerste dagen op. Geef daarna elk apparaat een eigenaar en beslis of het er hoort. NetSenX houdt op elk abonnement, ook Free, een netwerkkaart bij: apparaten die op het LAN zijn gezien, hun aangekondigde namen, eerste en laatste waarneming en wie met wie praat. Het ziet alleen bewaakte segmenten, en een apparaat dat nooit verkeer verstuurt, verschijnt niet.

Nee. Een passieve netwerkkaart kent alleen apparaten die iets versturen op een bewaakt segment, dus een volledig stil apparaat blijft onzichtbaar. In de praktijk zijn maar weinig apparaten helemaal stil: de meeste vragen een adres, zoeken namen op, kijken of er updates zijn of antwoorden af en toe op het netwerk, en verschijnen daardoor binnen uren of dagen. De apparaten die niet verschijnen, staan meestal uit, zijn losgekoppeld, zitten in een segment dat u niet spiegelt of zijn bewust stil. Om dat gat te dichten, vergelijkt u de kaart met andere bronnen: de tabel met aangesloten switchpoorten, de leases van de DHCP-server, uw aankoopgegevens en een ronde door het gebouw. Actief scannen vindt stille apparaten die antwoorden als ze worden aangesproken, maar gebruik het voorzichtig bij printers en industriële apparatuur. NetSenX bouwt zijn netwerkkaart op elk abonnement passief op en ondervraagt nooit apparaten; dat is veilig voor kwetsbare apparatuur en betekent ook dat een stil apparaat niet op de kaart staat.

Kleine teams hebben zelden tijd om elke dag firewall- en DNS-logs te lezen, en aanvallers die legitieme beheertools gebruiken laten elders weinig sporen na. NDR bekijkt het verkeer continu en meldt wat afwijkt. NetSenX heeft een Free-abonnement, zodat een team het op het eigen netwerk kan uitproberen voordat het betaalt.

Vraag hoe het is geprijsd, wat het van u vraagt, wat het niet ziet en hoe het een melding onderbouwt, en test het op uw eigen netwerk. Prijs: is die gepubliceerd, en wat is de eenheid, een apparaat, een sensor of een gigabit? Uitrol: is er hardware nodig op elke locatie, of dekt één sensor op een spiegelpoort een segment? Zicht: welke segmenten, versleuteld verkeer, cloud en laptops op afstand; laat de leverancier duidelijk zeggen wat buiten beeld blijft. Meldingen: legt elke melding uit waarom ze afging, in woorden die uw team begrijpt? Vals-positieven: hoe wordt het percentage gemeten, en op wiens data? Gegevens: waar worden ze opgeslagen, wie zijn de subverwerkers, wat krijgt u terug als u vertrekt? Respons: blokkeert het, of meldt het alleen? Laat het daarna een paar weken op echt verkeer draaien. NetSenX publiceert zijn prijzen en heeft voor die test een Free-abonnement zonder tijdslimiet.

Wek onschuldige versies op van het gedrag dat ze moet herkennen, op een eigen testhost, en controleer welke meldingen verschijnen en hoe snel. Begin eenvoudig en kondig de test aan bij iedereen die zou kunnen reageren. Een poortscan vanaf een reservelaptop op uw eigen subnet moet worden gemeld. Een script dat een uur lang elke paar minuten dezelfde externe testserver belt, bootst beaconing na. 's Nachts een groot archief van een testserver naar een extern opslagaccount kopiëren, bootst datadiefstal na. Noteer wat u deed, wanneer, en wat de tool meldde, en lees daarna de meldingstekst: zou een collega weten wat te doen? Herhaal dit na grote wijzigingen aan netwerk of tool. Breach and attack simulation (BAS) automatiseert zulke tests. NetSenX bevat BAS vanaf het Business-abonnement; op elk abonnement kunt u zulke tests handmatig uitvoeren tegen de detecties die het meldt.

Breach and attack simulation (BAS) is software die het gedrag van een aanvaller veilig op uw netwerk nabootst, zodat u kunt nagaan of uw beveiligingstools het opmerken. In plaats van te wachten op een echte aanval of de jaarlijkse penetratietest voert het gecontroleerde scenario's uit, zoals een scan, een verbinding met een testserver of een gesimuleerde dataoverdracht, en legt het vast welke uw tools hebben gedetecteerd. Een middelgroot bedrijf heeft er het meeste aan wanneer het auditors of klanten moet laten zien dat detectie werkt, en niet alleen dat ze is geïnstalleerd, of na wijzigingen aan netwerk of tools. Hebt u nog geen detectietool, koop dan eerst detectie: een simulatie die niemand ziet, bewijst alleen dat. Een penetratietest door mensen vindt nog steeds dingen die BAS niet vindt, zoals zwakke wachtwoorden of verkeerde configuraties. NetSenX bevat breach and attack simulation vanaf het Business-abonnement, zodat u zijn eigen detecties kunt testen.

Doe een kleine test na elke belangrijke wijziging, een uitgebreidere minstens eens per kwartaal en een extra vóór een audit. Detectie gaat geruisloos stuk: een switch wordt vervangen en de spiegelpoort niet opnieuw ingesteld, een agent stopt na een update, er komt een segment bij dat niemand bewaakt. Een korte test na elke wijziging vangt dat op. Een kwartaalronde van de belangrijkste scenario's, zoals scannen, beaconing, laterale beweging en een grote uitgaande overdracht, laat zien of er iets is verschoven en geeft u gedateerd bewijs voor auditors, verzekeraars en klanten. Houd een eenvoudig logboek bij: datum, scenario, verwachte melding, werkelijke melding, tijd tot de melding en opvolging. Breng uw team en leveranciers vóór de test op de hoogte, zodat niemand per vergissing een machine isoleert. NetSenX bevat breach and attack simulation vanaf het Business-abonnement; op de andere abonnementen kunt u dezelfde scenario's handmatig doorlopen.