Definitie
Wat is network detection and response (NDR)?
Network detection and response (NDR) is beveiligingsmonitoring die het verkeer tussen apparaten bekijkt, leert hoe normaal gedrag eruitziet en een melding geeft wanneer een host zich als een aanvaller gaat gedragen: het netwerk scant, naar andere machines overstapt, met vaste tussenpozen contact zoekt met een externe server of ongewoon veel data naar buiten stuurt. Omdat NDR het verkeer analyseert in plaats van op elk apparaat te draaien, dekt het ook machines waarop geen agent kan draaien, zoals printers, camera's en industriële besturingen. Het deel 'response' is wat het team, of een geautomatiseerd playbook, met de melding doet.
Het feit om mee te plannen
In gezamenlijke richtlijnen van 7 februari 2024 adviseerden CISA, de NSA, de FBI en partnerdiensten om baselines bij te houden van normale netwerk-, gebruikers- en beheerdersactiviteit en alles te onderzoeken wat daarvan afwijkt, omdat aanvallers die 'living off the land' toepassen dezelfde legitieme tools gebruiken als beheerders en opgaan in de normale bedrijfsvoering.
Wat uw sensor wel en niet ziet
Een netwerksensor ziet alleen het verkeer dat hij krijgt. Vink de segmenten van uw netwerk aan die via een SPAN- of TAP-poort naar een NetSenX-agent worden gespiegeld, en zie welke situaties zichtbaar worden en welke donker blijven.
Zichtbare situaties met deze segmenten: 8 van 16.
Kantoor
Zichtbaar
- Command-and-control-beaconing vanaf een kantoor-pc
- Ongebruikelijke uploads vanaf een werkplek
- Verkeer van kantoorapparaten naar AI-diensten (vanaf Pro)
- Een nieuw of onbekend apparaat op de netwerkkaart
Servers
Zichtbaar
- Laterale beweging naar de bestandsservers
- Voorbereiding van ransomware op netwerkshares
- Wachtwoorden raden tegen een server
- Een archief dat naar een onbekende bestemming vertrekt
Gasten-wifi
Niet zichtbaar: niet gespiegeld
- Een gastapparaat dat het netwerk scant
Productie
Niet zichtbaar: niet gespiegeld
- Schrijfacties naar een PLC buiten het gebruikelijke patroon (vanaf Pro)
- Verkeer dat de niveaus van het fabrieksnetwerk overschrijdt (vanaf Pro)
- OT-activiteit buiten werktijd (vanaf Pro)
Gebouwsystemen
Niet zichtbaar: niet gespiegeld
- Een camera of gebouwregelaar die naar buiten contact zoekt
- Een gebouwregelaar die andere apparaten scant
Laptops op afstand
Niet zichtbaar: niet gespiegeld
- Beaconing vanaf een laptop buiten kantoor
- Ongebruikelijke uploads vanaf een laptop thuis
Nooit zichtbaar voor een netwerksensor
- Bestanden die naar een USB-stick worden gekopieerd
- Een aanmelding met een geldig, gestolen wachtwoord
- Bestandsnamen en inhoud binnen versleutelde sessies
- Wat een e-mail zegt, phishing inbegrepen
Toon de segmenten als tabel
| Segment | Wat zichtbaar wordt |
|---|---|
| Kantoor (Gespiegeld naar een NetSenX-agent) | Command-and-control-beaconing vanaf een kantoor-pc; Ongebruikelijke uploads vanaf een werkplek; Verkeer van kantoorapparaten naar AI-diensten (vanaf Pro); Een nieuw of onbekend apparaat op de netwerkkaart |
| Servers (Gespiegeld naar een NetSenX-agent) | Laterale beweging naar de bestandsservers; Voorbereiding van ransomware op netwerkshares; Wachtwoorden raden tegen een server; Een archief dat naar een onbekende bestemming vertrekt |
| Gasten-wifi (Gespiegeld naar een NetSenX-agent) | Een gastapparaat dat het netwerk scant |
| Productie (Gespiegeld naar een NetSenX-agent) | Schrijfacties naar een PLC buiten het gebruikelijke patroon (vanaf Pro); Verkeer dat de niveaus van het fabrieksnetwerk overschrijdt (vanaf Pro); OT-activiteit buiten werktijd (vanaf Pro) |
| Gebouwsystemen (Gespiegeld naar een NetSenX-agent) | Een camera of gebouwregelaar die naar buiten contact zoekt; Een gebouwregelaar die andere apparaten scant |
| Laptops op afstand (NetSenX-agent op elke laptop) | Beaconing vanaf een laptop buiten kantoor; Ongebruikelijke uploads vanaf een laptop thuis |
Laptops buiten kantoor zijn alleen zichtbaar met een agent op de laptop zelf. Wat een sensor niet ziet, vraagt om een ander hulpmiddel: endpointbeveiliging voor USB-kopieën en programma's, uw identiteitsprovider en VPN-logboeken voor aanmeldingen, uw mailfilter voor phishing.
Hoe NDR werkt, in vier stappen
Deze vier stappen gelden voor elk NDR-product. Hoe elke stap wordt uitgevoerd, verschilt per leverancier.
01Vastleggen
Een sensor krijgt een kopie van het verkeer via een SPAN-poort of TAP, of leest het op een host, en legt flowmetadata vast: wie met wie verbinding maakte, wanneer, hoeveel data er ging en via welk protocol.
02Baseline
Het leert wat normaal is voor elke host en elk segment: de gebruikelijke bestemmingen, poorten, volumes en tijdstippen.
03Detecteren
Het beoordeelt afwijkingen die passen bij aanvallersgedrag, zoals scannen, lateral movement, beaconing of data-exfiltratie. Veel producten werken met metadata en de TLS-handshake, zodat versleuteld verkeer zonder ontsleuteling bruikbaar blijft; sommige ontsleutelen het verkeer in plaats daarvan.
04Reageren
Een analist onderzoekt de melding, of een playbook isoleert een host of blokkeert een bestemming. Het verslag van wat er gezien en gedaan is, gaat naar het incidentrapport.
Wat NetSenX vandaag doet
- Detecteert scans, lateral movement, C2-beaconing en ongewoon uitgaand datavolume op basis van netwerkgedrag, op elk abonnement, Free inbegrepen.
- Ziet apparaten zonder agent, zoals printers, camera's en besturingen, omdat één agent op een SPAN- of TAP-poort het hele segment bekijkt.
- Analyseert versleuteld verkeer op basis van timing, volume en bestemmingen, vanaf het Starter-abonnement ook op basis van de TLS-handshake, en ontsleutelt het nooit. De handshake is alleen zichtbaar waar de agent pakketten vastlegt: op Linux of als sensor op een SPAN- of TAP-poort, niet in de basismodus op macOS.
- Legt elke melding uit in begrijpelijke taal, met de netwerkkenmerken die de score bepaalden, en voert automatische reacties alleen uit vanuit playbooks die uw team schrijft of kopieert uit NetSenX-sjablonen.
Wat NetSenX niet doet
NetSenX ziet niet wat er binnen een host gebeurt zonder het netwerk te raken, zoals een proces dat nergens verbinding mee maakt; dat is het terrein van endpointbeveiliging (EDR). Het ziet alleen de segmenten die u monitort. Het ontsleutelt verkeer nooit, dus het kan de inhoud van een versleutelde sessie niet lezen, en het vervangt geen incidentrespons. Een melding is een reden om te onderzoeken, geen bewijs van een inbraak.
Vragen van kopers
Waar staat NDR voor?
Network detection and response: beveiligingstools die het verkeer tussen apparaten analyseren om aanvallersgedrag te detecteren en de reactie daarop te ondersteunen. Eerdere producten in deze categorie heetten vaak network traffic analysis (NTA).
Wat is het verschil tussen NDR, EDR en SIEM?
EDR draait op elk endpoint en ziet de processen en bestanden op die machine. Een SIEM verzamelt logs van veel systemen en correleert ze. NDR bekijkt het verkeer tussen apparaten en dekt zo ook apparaten waarop geen agent kan draaien en activiteit die geen log achterlaat. De drie vullen elkaar aan.
Werkt NDR op versleuteld verkeer?
Ja, binnen grenzen. Timing, volume, bestemmingen en de TLS-handshake blijven zonder ontsleuteling zichtbaar en zijn genoeg om beaconing, scans of ongewone uploads op te merken. Zonder ontsleuteling kan geen enkele NDR de inhoud van een sessie lezen. NetSenX ontsleutelt nooit.
Is NDR de moeite waard voor een mkb-bedrijf?
Kleine teams hebben zelden tijd om elke dag firewall- en DNS-logs te lezen, en aanvallers die legitieme beheertools gebruiken laten elders weinig sporen na. NDR bekijkt het verkeer continu en meldt wat afwijkt. NetSenX heeft een Free-abonnement, zodat een team het op het eigen netwerk kan uitproberen voordat het betaalt.
Bronnen
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)
- MITRE ATT&CK — Lateral Movement (TA0008)
Deze pagina is algemene informatie en geen juridisch advies. Controleer uw verplichtingen bij uw nationale toezichthouder of uw juridisch adviseur.
Gerelateerde pagina's
Probeer NetSenX op uw eigen netwerk
Begin met het Free-abonnement voor maximaal 3 apparaten, of boek een demo van 20 minuten.