EDR chroni urządzenia, na których da się zainstalować agenta, SIEM zbiera i koreluje logi ze wszystkiego, co je wytwarza, a NDR obserwuje ruch sieciowy między wszystkimi urządzeniami — także tymi, na których nie działa żaden agent. Dla działu IT bez centrum operacji bezpieczeństwa (SOC) praktyczna kolejność to zwykle najpierw EDR na każdym zarządzanym urządzeniu końcowym, potem NDR dla ruchu i urządzeń, których EDR nie widzi, a SIEM dopiero wtedy, gdy ktoś ma czas codziennie pisać reguły i czytać logi.
Co obserwuje każde z narzędzi
| EDR | SIEM | NDR | |
|---|---|---|---|
| Obserwuje | Procesy, pliki i pamięć na zarządzanych urządzeniach końcowych | Logi z serwerów, firewalli, usług chmurowych i aplikacji | Ruch sieciowy między hostami, wewnątrz i na zewnątrz |
| Dobrze wyłapuje | Złośliwe oprogramowanie uruchomione na laptopie lub serwerze; zachowania ransomware na hoście | Korelacje między wieloma systemami; długie przechowywanie; raporty audytowe | Beaconing C2, skanowanie, ruch lateralny, nietypowe dane wychodzące |
| Martwe pola | Urządzenia bez agenta: drukarki, kamery, IoT, sterowniki OT, niezarządzane laptopy | Wszystko, co nie zapisuje logów albo zapisuje logi, których nikt nie zbiera | To, co dzieje się wewnątrz hosta bez udziału sieci; treść szyfrowanych danych |
| Nakład pracy | Niski do średniego | Wysoki: parsowanie, reguły i strojenie nigdy się nie kończą | Niski do średniego |
| Typowa podstawa ceny | Za urządzenie końcowe | Za wolumen przyjmowanych danych | Za monitorowane urządzenie, sensor lub przepustowość |
Te trzy narzędzia nakładają się mniej, niż się wydaje. Atakujący, który dostanie się na niezarządzane urządzenie, jest niewidoczny dla EDR, a SIEM zobaczy go tylko wtedy, gdy coś zaloguje jego działania. Ten sam atakujący wciąż musi komunikować się przez sieć — z serwerem command-and-control, z innymi hostami, z miejscem, do którego wysyła dane — i to właśnie widzi NDR. Framework MITRE ATT&CK wymienia ruch lateralny i command and control jako odrębne taktyki atakujących właśnie dlatego, że dzieją się między maszynami.
Od czego zacząć bez SOC
- EDR na każdym zarządzanym urządzeniu końcowym. Blokuje i rejestruje złośliwe działania na hoście, a po wdrożeniu wymaga niewiele codziennej uwagi.
- NDR dla sieci. Obejmuje urządzenia, których EDR nie widzi, pokazuje ruch lateralny między hostami i daje oś czasu incydentu potrzebną do zgłoszeń z NIS2. Wybierz narzędzie, którego alerty same się tłumaczą: bez analityków alert bez podanej przyczyny to alert, którym nikt się nie zajmie.
- SIEM, gdy możesz go obsadzić. SIEM się opłaca, gdy ktoś za niego odpowiada — pisze reguły korelacji, utrzymuje parsery i codziennie przegląda logi. Do tego czasu logi wymagane przez regulatora często da się przechowywać bez pełnego wdrożenia SIEM.
- Rozważ MDR, jeśli potrzebujesz czuwania 24/7. Usługa managed detection and response to ludzie, a nie narzędzie: dostawca przez całą dobę pilnuje alertów z Twojego EDR, NDR lub SIEM.
Pytania przed zakupem NDR
- Czy każdy alert mówi prostym językiem, dlaczego się pojawił?
- Czy podana jest granica false positive i czy da się ją sprawdzić na własnych danych?
- Czy cennik jest opublikowany, czy każde wdrożenie jest wyceniane osobno?
- Gdzie przechowywane są dane z monitoringu i na podstawie jakiej umowy powierzenia?
- Czy narzędzie odczytuje protokoły OT pasywnie, bez odpytywania sterowników?
Nasze porównania dostawców NDR stosują te pytania do Darktrace, Vectra AI, ExtraHop i Nozomi Networks, ze źródłem przy każdym twierdzeniu.
Gdzie pasuje NetSenX
NetSenX to platforma Network Detection and Response (NDR) dla średnich organizacji w UE, która wykrywa ataki na podstawie zachowania sieci, wyjaśnia każdy alert prostym językiem i przechowuje dane klientów w UE. Działa obok EDR i SIEM, a nie zamiast nich: od planu Business alerty można eksportować do SIEM, którego już używasz. Plan Free obejmuje do 3 urządzeń bez limitu czasu, więc możesz zobaczyć, co znajduje, zanim podejmiesz decyzję. Szczegóły są w cenniku i w FAQ. Jeśli dotyczy Cię NIS2, następna lektura to lista kontrolna monitoringu sieci pod NIS2.
Źródła
- MITRE ATT&CK — Lateral Movement (TA0008)
- MITRE ATT&CK — Command and Control (TA0011)
- NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems
Autor: zespół NetSenX w TriStiX S.L. Pytania: info@netsenx.com.
Pytania, na które odpowiada ten przewodnik
Czym różni się NDR od EDR i SIEM?
EDR działa na każdym urządzeniu końcowym i widzi procesy oraz pliki na tej maszynie. SIEM zbiera logi z wielu systemów i je koreluje. NDR obserwuje ruch między urządzeniami, więc obejmuje też urządzenia, na których nie da się uruchomić agenta, i aktywność, która nie zostawia logów. Te trzy narzędzia się uzupełniają.
Co w prostych słowach oznaczają EDR, NDR, XDR i MDR?
EDR obserwuje każdy komputer od środka, NDR obserwuje ruch między urządzeniami, XDR zbiera kilka źródeł w jednej konsoli, a MDR to zespół, który śledzi alerty za Ciebie. EDR (endpoint detection and response) to oprogramowanie instalowane na laptopach i serwerach, które widzi procesy, pliki i pamięć danej maszyny. NDR (network detection and response) to czujnik, który widzi, jak urządzenia rozmawiają ze sobą, także drukarki, kamery i maszyny, na których nie da się nic zainstalować. XDR (extended detection and response) to platforma łącząca sygnały ze stacji końcowych, poczty, tożsamości, chmury, a czasem z sieci. MDR (managed detection and response) to w ogóle nie oprogramowanie, lecz usługa: ludzie, którzy całą dobę czytają alerty i działają. Spotkasz też SIEM (security information and event management), który zbiera logi. NetSenX to NDR; działa obok pozostałych i ich nie zastępuje.
Czym jest XDR i czy to to samo co NDR?
Nie. XDR (extended detection and response) to platforma, która łączy sygnały z kilku źródeł w jednej konsoli, a NDR (network detection and response) jest jednym z tych możliwych źródeł. Większość produktów XDR powstała wokół agenta na stacjach końcowych i dokłada logi poczty, tożsamości i chmury; jedne dodają dane sieciowe, inne nie. Ma to znaczenie dla urządzeń, na których nie da się uruchomić agenta, takich jak drukarki, kamery, systemy budynkowe, maszyny i urządzenia sieciowe: XDR oparty wyłącznie na stacjach końcowych ich nie widzi, dopóki nie dostanie danych z sieci. Przed zakupem zapytaj, jakie źródła XDR naprawdę przyjmuje w Twojej licencji, a nie w broszurze. NetSenX to NDR: obserwuje ruch między urządzeniami i zgłasza beaconing, skanowanie, ruch lateralny i nietypowy wolumen danych wychodzących w każdym planie, także Free. Nie zastępuje EDR ani platformy XDR, a od planu Business jego alerty można eksportować do SIEM lub XDR, których już używasz.
Czym różni się MDR od EDR?
EDR to oprogramowanie, MDR to usługa prowadzona przez ludzi. EDR (endpoint detection and response) instaluje się na komputerach i serwerach; obserwuje procesy i pliki, zgłasza alerty i pozwala administratorowi odizolować maszynę. Ktoś nadal musi te alerty czytać i decydować. MDR (managed detection and response) to dostawca, którego analitycy czytają alerty za Ciebie, całą dobę, i reagują w uzgodnionym czasie. Większość usług MDR przynosi lub wymaga własnego EDR, a niektóre biorą też dane z sieci lub chmury. Prawdziwe pytanie brzmi więc nie EDR czy MDR, tylko kto czyta alerty w nocy. Jeśli masz ludzi lub dostawcę IT na dyżurze, EDR i wykrywanie w sieci mogą wystarczyć. Jeśli nikt nie zareaguje poza godzinami pracy, usługa zarządzana wypełnia tę lukę. NetSenX to oprogramowanie do wykrywania, a nie MDR: wyjaśnia każdy alert, by Twój zespół lub dostawca mógł działać.
Czy potrzebuję NDR, jeśli mam już EDR?
Często tak, bo EDR i NDR zawodzą w różnych miejscach. EDR (endpoint detection and response) widzi tylko maszyny, na których działa jego sprawny agent. Nie widzi drukarek, kamer, telefonów w Wi-Fi, systemów budynkowych, maszyn ani laptopa podwykonawcy, a napastnicy często wyłączają go jako pierwszy na przejętym komputerze. NDR (network detection and response) obserwuje ruch między urządzeniami, więc nadal widzi przejęty host, który łączy się z zewnętrznym serwerem, skanuje sieć lub wynosi dane, cokolwiek stanie się z jego agentem. Jeśli Twoja firma to kilka laptopów i wszystko w chmurze, EDR i dobre kopie zapasowe mogą na razie wystarczyć. Jeśli masz sieć lokalną z serwerami i urządzeniami, na których nic nie zainstalujesz, NDR wypełnia tę lukę. NetSenX zgłasza beaconing, skanowanie, ruch lateralny i nietypowy wolumen wychodzący w każdym planie, także Free, więc zobaczysz, co dodaje w Twojej sieci, zanim zapłacisz.
Jakie luki zostawia EDR, które widać tylko w sieci?
Urządzenia bez agenta, agentów, których ktoś wyłączył, i obraz ataku rozłożonego na kilka maszyn. EDR (endpoint detection and response) raportuje z wnętrza każdego komputera, na którym działa. Nie zaraportuje z drukarki, rejestratora kamer, serwera NAS, sterownika budynku, telefonu gościa ani niezarządzanego laptopa, który ktoś podłączył. Nie zaraportuje z serwera, z którego go odinstalowano lub przy którym ktoś majstrował. A każdy agent widzi jeden host, więc powolny wzorzec, który ma sens dopiero na wielu hostach, na przykład maszyna dotykająca dziesiątek udziałów plików albo cicho łącząca się na zewnątrz co pięć minut, łatwo przeoczyć. Sieć widzi to wszystko, bo każde urządzenie musi się komunikować, by wyrządzić szkodę. NetSenX obserwuje ten ruch i prowadzi mapę sieci z urządzeniami, które widzi. Nie zagląda do wnętrza hosta, dlatego oba narzędzia się uzupełniają.
Czy potrzebuję SIEM, jeśli mam NDR?
Niekoniecznie: wiele małych i średnich firm zyskuje więcej na NDR i dobrej ochronie stacji końcowych niż na SIEM, którego nikt nie ma czasu stroić. SIEM (security information and event management) zbiera i koreluje logi z wielu systemów: zapór, serwerów, katalogów, usług chmurowych. Jest potężny, gdy ktoś pisze i utrzymuje jego wyszukiwania, i ciężki, gdy nikt tego nie robi. NDR (network detection and response) daje wykrycia z ruchu sieciowego bez inżynierii logów. Oba odpowiadają na inne pytania: SIEM mówi, kto gdzie się zalogował, a NDR, co urządzenia robiły w sieci. SIEM może być potrzebny i tak, jeśli audytor, umowa z klientem lub regulator oczekuje centralnego przechowywania logów albo gdy masz ludzi, którzy z niego skorzystają. Jeśli już go masz, alerty NDR mogą do niego trafiać: NetSenX ma eksport do SIEM od planu Business, więc wykrycia sieciowe docierają do SIEM już wyjaśnione.