# Wat is network detection and response (NDR)?

> NDR uitgelegd: wat het bekijkt, hoe het met versleuteld verkeer werkt, hoe het verschilt van EDR en SIEM, en waar de grenzen liggen.

Source page: https://netsenx.com/nl/what-is-ndr

Laatst gecontroleerd: 7 november 2026

Network detection and response (NDR) is beveiligingsmonitoring die het verkeer tussen apparaten bekijkt, leert hoe normaal gedrag eruitziet en een melding geeft wanneer een host zich als een aanvaller gaat gedragen: het netwerk scant, naar andere machines overstapt, met vaste tussenpozen contact zoekt met een externe server of ongewoon veel data naar buiten stuurt. Omdat NDR het verkeer analyseert in plaats van op elk apparaat te draaien, dekt het ook machines waarop geen agent kan draaien, zoals printers, camera's en industriële besturingen. Het deel 'response' is wat het team, of een geautomatiseerd playbook, met de melding doet.

## Het feit om mee te plannen

In gezamenlijke richtlijnen van 7 februari 2024 adviseerden CISA, de NSA, de FBI en partnerdiensten om baselines bij te houden van normale netwerk-, gebruikers- en beheerdersactiviteit en alles te onderzoeken wat daarvan afwijkt, omdat aanvallers die 'living off the land' toepassen dezelfde legitieme tools gebruiken als beheerders en opgaan in de normale bedrijfsvoering.

Bron: [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)

## Wat uw sensor wel en niet ziet

Een netwerksensor ziet alleen het verkeer dat hij krijgt. Vink de segmenten van uw netwerk aan die via een SPAN- of TAP-poort naar een NetSenX-agent worden gespiegeld, en zie welke situaties zichtbaar worden en welke donker blijven.

| Segment | Wat zichtbaar wordt |
|---|---|
| Kantoor (Gespiegeld naar een NetSenX-agent) | Command-and-control-beaconing vanaf een kantoor-pc; Ongebruikelijke uploads vanaf een werkplek; Verkeer van kantoorapparaten naar AI-diensten (vanaf Pro); Een nieuw of onbekend apparaat op de netwerkkaart |
| Servers (Gespiegeld naar een NetSenX-agent) | Laterale beweging naar de bestandsservers; Voorbereiding van ransomware op netwerkshares; Wachtwoorden raden tegen een server; Een archief dat naar een onbekende bestemming vertrekt |
| Gasten-wifi (Gespiegeld naar een NetSenX-agent) | Een gastapparaat dat het netwerk scant |
| Productie (Gespiegeld naar een NetSenX-agent) | Schrijfacties naar een PLC buiten het gebruikelijke patroon (vanaf Pro); Verkeer dat de niveaus van het fabrieksnetwerk overschrijdt (vanaf Pro); OT-activiteit buiten werktijd (vanaf Pro) |
| Gebouwsystemen (Gespiegeld naar een NetSenX-agent) | Een camera of gebouwregelaar die naar buiten contact zoekt; Een gebouwregelaar die andere apparaten scant |
| Laptops op afstand (NetSenX-agent op elke laptop) | Beaconing vanaf een laptop buiten kantoor; Ongebruikelijke uploads vanaf een laptop thuis |

### Nooit zichtbaar voor een netwerksensor

- Bestanden die naar een USB-stick worden gekopieerd
- Een aanmelding met een geldig, gestolen wachtwoord
- Bestandsnamen en inhoud binnen versleutelde sessies
- Wat een e-mail zegt, phishing inbegrepen

Laptops buiten kantoor zijn alleen zichtbaar met een agent op de laptop zelf. Wat een sensor niet ziet, vraagt om een ander hulpmiddel: endpointbeveiliging voor USB-kopieën en programma's, uw identiteitsprovider en VPN-logboeken voor aanmeldingen, uw mailfilter voor phishing.

## Hoe NDR werkt, in vier stappen

Deze vier stappen gelden voor elk NDR-product. Hoe elke stap wordt uitgevoerd, verschilt per leverancier.

1. **Vastleggen** Een sensor krijgt een kopie van het verkeer via een SPAN-poort of TAP, of leest het op een host, en legt flowmetadata vast: wie met wie verbinding maakte, wanneer, hoeveel data er ging en via welk protocol.
2. **Baseline** Het leert wat normaal is voor elke host en elk segment: de gebruikelijke bestemmingen, poorten, volumes en tijdstippen.
3. **Detecteren** Het beoordeelt afwijkingen die passen bij aanvallersgedrag, zoals scannen, lateral movement, beaconing of data-exfiltratie. Veel producten werken met metadata en de TLS-handshake, zodat versleuteld verkeer zonder ontsleuteling bruikbaar blijft; sommige ontsleutelen het verkeer in plaats daarvan.
4. **Reageren** Een analist onderzoekt de melding, of een playbook isoleert een host of blokkeert een bestemming. Het verslag van wat er gezien en gedaan is, gaat naar het incidentrapport.

## Wat NetSenX vandaag doet

- Detecteert scans, lateral movement, C2-beaconing en ongewoon uitgaand datavolume op basis van netwerkgedrag, op elk abonnement, Free inbegrepen.
- Ziet apparaten zonder agent, zoals printers, camera's en besturingen, omdat één agent op een SPAN- of TAP-poort het hele segment bekijkt.
- Analyseert versleuteld verkeer op basis van timing, volume en bestemmingen, vanaf het Starter-abonnement ook op basis van de TLS-handshake, en ontsleutelt het nooit. De handshake is alleen zichtbaar waar de agent pakketten vastlegt: op Linux of als sensor op een SPAN- of TAP-poort, niet in de basismodus op macOS.
- Legt elke melding uit in begrijpelijke taal, met de netwerkkenmerken die de score bepaalden, en voert automatische reacties alleen uit vanuit playbooks die uw team schrijft of kopieert uit NetSenX-sjablonen.

## Wat NetSenX niet doet

NetSenX ziet niet wat er binnen een host gebeurt zonder het netwerk te raken, zoals een proces dat nergens verbinding mee maakt; dat is het terrein van endpointbeveiliging (EDR). Het ziet alleen de segmenten die u monitort. Het ontsleutelt verkeer nooit, dus het kan de inhoud van een versleutelde sessie niet lezen, en het vervangt geen incidentrespons. Een melding is een reden om te onderzoeken, geen bewijs van een inbraak.

## Vragen van kopers

### Waar staat NDR voor?

Network detection and response: beveiligingstools die het verkeer tussen apparaten analyseren om aanvallersgedrag te detecteren en de reactie daarop te ondersteunen. Eerdere producten in deze categorie heetten vaak network traffic analysis (NTA).

### Wat is het verschil tussen NDR, EDR en SIEM?

EDR draait op elk endpoint en ziet de processen en bestanden op die machine. Een SIEM verzamelt logs van veel systemen en correleert ze. NDR bekijkt het verkeer tussen apparaten en dekt zo ook apparaten waarop geen agent kan draaien en activiteit die geen log achterlaat. De drie vullen elkaar aan.

### Werkt NDR op versleuteld verkeer?

Ja, binnen grenzen. Timing, volume, bestemmingen en de TLS-handshake blijven zonder ontsleuteling zichtbaar en zijn genoeg om beaconing, scans of ongewone uploads op te merken. Zonder ontsleuteling kan geen enkele NDR de inhoud van een sessie lezen. NetSenX ontsleutelt nooit.

### Is NDR de moeite waard voor een mkb-bedrijf?

Kleine teams hebben zelden tijd om elke dag firewall- en DNS-logs te lezen, en aanvallers die legitieme beheertools gebruiken laten elders weinig sporen na. NDR bekijkt het verkeer continu en meldt wat afwijkt. NetSenX heeft een Free-abonnement, zodat een team het op het eigen netwerk kan uitproberen voordat het betaalt.

## Bronnen

- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)](https://www.rfc-editor.org/rfc/rfc8446)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)

Deze pagina is algemene informatie en geen juridisch advies. Controleer uw verplichtingen bij uw nationale toezichthouder of uw juridisch adviseur.

## Gerelateerde pagina's

- [NDR, EDR of SIEM](https://netsenx.com/nl/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [NDR voor het mkb](https://netsenx.com/nl/ndr-for-small-business)
- [Hoe u ziet of er iemand in uw netwerk zit](https://netsenx.com/nl/is-someone-inside-your-network)
- [Laterale beweging en C2-beaconing detecteren](https://netsenx.com/nl/detect-lateral-movement-c2-beaconing)
- [Versleuteld verkeer analyseren](https://netsenx.com/nl/encrypted-traffic-analysis)
- [Prijzen en het Free-abonnement](https://netsenx.com/nl/pricing)