# NDR, EDR, SIEM, XDR, MDR (FAQ)

> 40 pytań o temat: NDR, EDR, SIEM, XDR, MDR, prostym językiem: co sprawdzić, co pokazuje NetSenX i czego czujnik nie widzi.

Source page: https://netsenx.com/pl/faq/tools

## Czym jest NDR (Network Detection and Response)?

NDR to oprogramowanie bezpieczeństwa, które obserwuje ruch sieciowy, wskazuje zachowania wyglądające na atak i dostarcza dowodów potrzebnych do reakcji. Firewall i agent EDR widzą własne urządzenie; NDR widzi, jak hosty komunikują się ze sobą — beaconing C2 (command and control), skanowanie, ruch lateralny i nietypowy transfer danych na zewnątrz. NetSenX to platforma Network Detection and Response (NDR) dla firm mid-market w UE, która wykrywa ataki na podstawie zachowania w sieci, wyjaśnia każdy alert prostym językiem i przechowuje dane klientów w UE.

https://netsenx.com/pl/faq/what-is-ndr-network-detection-and-response

## Co oznacza skrót NDR?

Network detection and response, czyli narzędzia bezpieczeństwa, które analizują ruch między urządzeniami, aby wykrywać zachowania napastnika i wspierać reakcję na nie. Wcześniejsze produkty z tej kategorii często nazywano network traffic analysis (NTA).

https://netsenx.com/pl/faq/what-does-ndr-stand-for

## Jak działa NDR, czyli wykrywanie i reagowanie w sieci?

Kopiuje ruch między urządzeniami do czujnika, uczy się, co jest normalne dla każdego z nich, i zgłasza alert, gdy któreś zaczyna zachowywać się jak napastnik. Kopia pochodzi z portu lustrzanego przełącznika (SPAN), z małego sprzętowego TAP-a na kablu albo z agenta na wybranych hostach. Czujnik nie musi czytać treści: czas, wolumen, cele połączeń, porty, odpowiedzi DNS i nieszyfrowane części uzgadniania TLS wystarczą, by zobaczyć komputer, który co kilka minut łączy się z zewnętrznym serwerem, puka do wielu hostów wewnętrznych, loguje się do serwerów, z których nigdy nie korzystał, albo wysyła na zewnątrz znacznie więcej danych niż zwykle. Reagowanie to to, co Twój zespół robi z alertem: analiza, odizolowanie hosta, zmiana haseł. Tak działa NetSenX: nigdy nie odszyfrowuje ruchu, w każdym planie wyjaśnia każdy alert prostym językiem, a decyzję o reakcji zostawia Tobie. Nie widzi urządzeń, które milczą, ani segmentów, których nie kopiujesz.

https://netsenx.com/pl/faq/how-does-network-detection-and-response-work

## Czym różni się NDR od EDR i SIEM?

EDR działa na każdym urządzeniu końcowym i widzi procesy oraz pliki na tej maszynie. SIEM zbiera logi z wielu systemów i je koreluje. NDR obserwuje ruch między urządzeniami, więc obejmuje też urządzenia, na których nie da się uruchomić agenta, i aktywność, która nie zostawia logów. Te trzy narzędzia się uzupełniają.

https://netsenx.com/pl/faq/what-is-the-difference-between-ndr-edr-and-siem

## Co w prostych słowach oznaczają EDR, NDR, XDR i MDR?

EDR obserwuje każdy komputer od środka, NDR obserwuje ruch między urządzeniami, XDR zbiera kilka źródeł w jednej konsoli, a MDR to zespół, który śledzi alerty za Ciebie. EDR (endpoint detection and response) to oprogramowanie instalowane na laptopach i serwerach, które widzi procesy, pliki i pamięć danej maszyny. NDR (network detection and response) to czujnik, który widzi, jak urządzenia rozmawiają ze sobą, także drukarki, kamery i maszyny, na których nie da się nic zainstalować. XDR (extended detection and response) to platforma łącząca sygnały ze stacji końcowych, poczty, tożsamości, chmury, a czasem z sieci. MDR (managed detection and response) to w ogóle nie oprogramowanie, lecz usługa: ludzie, którzy całą dobę czytają alerty i działają. Spotkasz też SIEM (security information and event management), który zbiera logi. NetSenX to NDR; działa obok pozostałych i ich nie zastępuje.

https://netsenx.com/pl/faq/edr-ndr-xdr-mdr-explained-in-plain-words

## Czy NetSenX zastępuje EDR lub SIEM?

Nie. NetSenX dodaje widok sieci, którego nie mają narzędzia punktów końcowych ani systemy logów; nie zastępuje ochrony punktów końcowych (EDR), antywirusa, agregacji logów (SIEM) ani usługi zarządzanego wykrywania (MDR). Od planu Business alerty można eksportować do używanego już systemu SIEM.

https://netsenx.com/pl/faq/does-netsenx-replace-my-edr-or-siem

## Czy potrzebuję NDR, jeśli mam już EDR?

Często tak, bo EDR i NDR zawodzą w różnych miejscach. EDR (endpoint detection and response) widzi tylko maszyny, na których działa jego sprawny agent. Nie widzi drukarek, kamer, telefonów w Wi-Fi, systemów budynkowych, maszyn ani laptopa podwykonawcy, a napastnicy często wyłączają go jako pierwszy na przejętym komputerze. NDR (network detection and response) obserwuje ruch między urządzeniami, więc nadal widzi przejęty host, który łączy się z zewnętrznym serwerem, skanuje sieć lub wynosi dane, cokolwiek stanie się z jego agentem. Jeśli Twoja firma to kilka laptopów i wszystko w chmurze, EDR i dobre kopie zapasowe mogą na razie wystarczyć. Jeśli masz sieć lokalną z serwerami i urządzeniami, na których nic nie zainstalujesz, NDR wypełnia tę lukę. NetSenX zgłasza beaconing, skanowanie, ruch lateralny i nietypowy wolumen wychodzący w każdym planie, także Free, więc zobaczysz, co dodaje w Twojej sieci, zanim zapłacisz.

https://netsenx.com/pl/faq/do-i-need-ndr-if-i-already-have-edr

## EDR czy NDR: co mała firma powinna kupić najpierw?

Zwykle najpierw EDR, bo ochrona każdego komputera przed złośliwym oprogramowaniem to potrzeba bardziej podstawowa. EDR (endpoint detection and response) albo dobry nowoczesny antywirus zatrzymuje wiele typowego malware na laptopach i serwerach, a razem z uwierzytelnianiem wieloskładnikowym, szybkimi aktualizacjami i przetestowanymi kopiami offline pokrywa ataki, które małe firmy widzą najczęściej. NDR (network detection and response) jest następny i przesuwa się w górę listy, gdy masz sieć lokalną z serwerami, drukarkami, kamerami lub maszynami produkcyjnymi bez agenta, gdy umowa z klientem lub NIS2 wymaga wykrywania i zgłaszania incydentów albo gdy chcesz niezależnie sprawdzić, czy narzędzie na stacjach nie jest jedynym świadkiem. Nie musisz wybierać na wiarę: plan Free NetSenX obejmuje 3 urządzenia bez limitu czasu, więc możesz postawić jednego agenta na porcie lustrzanym i zobaczyć, co pokazuje sieć, zanim wydasz pieniądze.

https://netsenx.com/pl/faq/edr-or-ndr-which-should-a-small-company-buy-first

## Czy antywirus wystarczy małej firmie?

Nie sam w sobie, choć to konieczny początek. Antywirus i ochrona stacji końcowych zatrzymują znane złośliwe oprogramowanie na komputerach, na których działają. Nie chronią przed skradzionym hasłem użytym do logowania z zewnątrz, przed e-mailem nakłaniającym księgową do zapłaty fałszywej faktury, na urządzeniach, gdzie antywirusa nie da się uruchomić, ani przed intruzem używającym Twoich własnych narzędzi administracyjnych, które antywirus uznaje za legalne. Rozsądne minimum małej firmy to uwierzytelnianie wieloskładnikowe na poczcie i dostępie zdalnym, szybkie aktualizacje, ochrona każdego komputera, kopie zapasowe offline lub niezmienialne i przetestowane oraz krótki plan, do kogo dzwonić. Dopiero potem monitoring sieci pokazuje to, czego antywirus nie widzi: urządzenie, które nagle rozmawia z wieloma innymi, co kilka minut łączy się z zewnętrznym serwerem albo w nocy wysyła dużo danych. NetSenX robi to w każdym planie; nie zastępuje antywirusa.

https://netsenx.com/pl/faq/is-antivirus-enough-for-a-small-business

## Co wykrywa monitoring sieci, czego nie wykryje antywirus?

Zachowanie między maszynami, którego antywirus na pojedynczym komputerze nie widzi. Liczą się cztery wzorce. Beaconing: host łączący się z tym samym zewnętrznym serwerem w regularnych odstępach, bo tak oprogramowanie napastnika odbiera polecenia (command and control, C2). Skanowanie: jedno urządzenie puka do wielu adresów lub portów, by poznać Twoją sieć. Ruch lateralny: stacja robocza nagle otwiera sesje administracyjne do serwerów, z których nigdy nie korzystała, często za pomocą legalnych narzędzi, które antywirus przepuszcza. Nietypowy wolumen wychodzący: znacznie więcej danych opuszcza host niż zwykle, na przykład w nocy. Monitoring sieci obejmuje też urządzenia, na których antywirusa nie da się zainstalować, jak drukarki, kamery i maszyny. NetSenX zgłasza te cztery wzorce w każdym planie, także Free, i wyjaśnia każdy alert prostym językiem. Nie widzi tego, co dzieje się wewnątrz komputera bez udziału sieci, na przykład otwarcia złośliwego pliku: to pozostaje zadaniem antywirusa lub EDR.

https://netsenx.com/pl/faq/what-does-network-detection-catch-that-antivirus-misses

## Jakie luki zostawia EDR, które widać tylko w sieci?

Urządzenia bez agenta, agentów, których ktoś wyłączył, i obraz ataku rozłożonego na kilka maszyn. EDR (endpoint detection and response) raportuje z wnętrza każdego komputera, na którym działa. Nie zaraportuje z drukarki, rejestratora kamer, serwera NAS, sterownika budynku, telefonu gościa ani niezarządzanego laptopa, który ktoś podłączył. Nie zaraportuje z serwera, z którego go odinstalowano lub przy którym ktoś majstrował. A każdy agent widzi jeden host, więc powolny wzorzec, który ma sens dopiero na wielu hostach, na przykład maszyna dotykająca dziesiątek udziałów plików albo cicho łącząca się na zewnątrz co pięć minut, łatwo przeoczyć. Sieć widzi to wszystko, bo każde urządzenie musi się komunikować, by wyrządzić szkodę. NetSenX obserwuje ten ruch i prowadzi mapę sieci z urządzeniami, które widzi. Nie zagląda do wnętrza hosta, dlatego oba narzędzia się uzupełniają.

https://netsenx.com/pl/faq/what-does-the-network-show-that-edr-misses

## Co się dzieje, gdy napastnicy wyłączą nasz EDR?

Stacja milknie, a narzędzie na stacji nie zgłosi własnego milczenia, więc potrzebujesz drugiego świadka. Wyłączenie lub odinstalowanie ochrony stacji końcowych to częsty wczesny krok intruzów i operatorów ransomware, wykonywany skradzionymi uprawnieniami administratora albo przez podatny sterownik. Od tej chwili konsola może pokazywać maszynę jako offline albo po prostu przestać dostawać z niej zdarzenia. Pomagają dwie rzeczy. Po pierwsze, traktuj milczącego agenta jak incydent: ustaw w konsoli EDR alert o agentach, które przestały raportować, i sprawdź, kto ma prawo je odinstalować. Po drugie, obserwuj sieć, której napastnik nie wyłączy z tej jednej maszyny. NetSenX nadal widzi zachowanie hosta, cokolwiek stanie się z jego EDR: beaconing, skanowanie, ruch lateralny i nietypowe wysyłanie danych. Nie widzi stanu samego EDR, więc nie powie Ci, że agent przestał działać; powie, co maszyna robi dalej.

https://netsenx.com/pl/faq/what-happens-if-attackers-disable-our-edr

## Jak zauważyć, że ochrona stacji końcowej na serwerze zamilkła?

Zrób z samego milczenia alert w konsoli ochrony stacji i zachowaj niezależny widok z sieci. Większość konsol EDR i antywirusów potrafi zgłaszać agenty, które nie odezwały się przez określony czas; włącz to, kieruj na skrzynkę, którą ktoś czyta, i ustal z góry, co robisz, gdy serwer zamilknie: dzwonisz do właściciela, sprawdzasz, czy to zaplanowana reinstalacja, i patrzysz, co maszyna robiła w sieci. Raz w miesiącu porównuj listę maszyn, które powinny mieć agenta, z tymi, które go mają. Prawo do odinstalowania lub wstrzymania agenta ogranicz do kilku imiennych kont z uwierzytelnianiem wieloskładnikowym. Widok z sieci to drugi świadek: NetSenX nie odczytuje stanu Twojego EDR, ale nadal oznacza serwer, jeśli zaczyna beaconing, skanowanie, ruch lateralny lub nietypowe wysyłanie danych, więc milczący agent nie oznacza cichego ataku.

https://netsenx.com/pl/faq/how-to-notice-when-endpoint-protection-goes-silent

## Czym jest XDR i czy to to samo co NDR?

Nie. XDR (extended detection and response) to platforma, która łączy sygnały z kilku źródeł w jednej konsoli, a NDR (network detection and response) jest jednym z tych możliwych źródeł. Większość produktów XDR powstała wokół agenta na stacjach końcowych i dokłada logi poczty, tożsamości i chmury; jedne dodają dane sieciowe, inne nie. Ma to znaczenie dla urządzeń, na których nie da się uruchomić agenta, takich jak drukarki, kamery, systemy budynkowe, maszyny i urządzenia sieciowe: XDR oparty wyłącznie na stacjach końcowych ich nie widzi, dopóki nie dostanie danych z sieci. Przed zakupem zapytaj, jakie źródła XDR naprawdę przyjmuje w Twojej licencji, a nie w broszurze. NetSenX to NDR: obserwuje ruch między urządzeniami i zgłasza beaconing, skanowanie, ruch lateralny i nietypowy wolumen danych wychodzących w każdym planie, także Free. Nie zastępuje EDR ani platformy XDR, a od planu Business jego alerty można eksportować do SIEM lub XDR, których już używasz.

https://netsenx.com/pl/faq/what-is-xdr-and-is-it-the-same-as-ndr

## Czym jest MDR i czy go potrzebujemy?

MDR (managed detection and response) to usługa, w której zewnętrzny zespół całą dobę śledzi alerty bezpieczeństwa i reaguje za Ciebie; potrzebujesz jej, jeśli nikt w firmie nie zareaguje na alert w nocy ani w weekend. To usługa, a nie narzędzie: dostawca nadal opiera się na czujnikach, takich jak EDR (endpoint detection and response) na Twoich komputerach, a czasem na danych z sieci. Przed podpisaniem umowy sprawdź, co dostawca faktycznie robi o 3:00 w nocy. Izoluje komputer czy tylko wysyła e-mail? Jakie czujniki są w cenie i do kogo należą dane, jeśli odejdziesz? Jak szybko reaguje, na piśmie? Wiele małych firm łączy zamiast tego automatyczne wykrywanie z dyżurem swojego dostawcy IT. NetSenX jest oprogramowaniem, a nie MDR: wykrywa i wyjaśnia alerty o każdej porze, a trafiają one do Twojego zespołu lub dostawcy IT, który decyduje, co dalej.

https://netsenx.com/pl/faq/what-is-mdr-and-do-we-need-it

## Czym różni się MDR od EDR?

EDR to oprogramowanie, MDR to usługa prowadzona przez ludzi. EDR (endpoint detection and response) instaluje się na komputerach i serwerach; obserwuje procesy i pliki, zgłasza alerty i pozwala administratorowi odizolować maszynę. Ktoś nadal musi te alerty czytać i decydować. MDR (managed detection and response) to dostawca, którego analitycy czytają alerty za Ciebie, całą dobę, i reagują w uzgodnionym czasie. Większość usług MDR przynosi lub wymaga własnego EDR, a niektóre biorą też dane z sieci lub chmury. Prawdziwe pytanie brzmi więc nie EDR czy MDR, tylko kto czyta alerty w nocy. Jeśli masz ludzi lub dostawcę IT na dyżurze, EDR i wykrywanie w sieci mogą wystarczyć. Jeśli nikt nie zareaguje poza godzinami pracy, usługa zarządzana wypełnia tę lukę. NetSenX to oprogramowanie do wykrywania, a nie MDR: wyjaśnia każdy alert, by Twój zespół lub dostawca mógł działać.

https://netsenx.com/pl/faq/what-is-the-difference-between-mdr-and-edr

## Jak wybrać dostawcę MDR dla małej firmy?

Wybieraj według tego, co dzieje się o 3:00 w nocy, na piśmie, a nie według broszury. Zadaj każdemu dostawcy pięć pytań. Co dokładnie robicie, gdy widzicie atak: dzwonicie, izolujecie maszynę, zmieniacie hasła czy tylko otwieracie zgłoszenie? Jaki czas reakcji gwarantuje umowa i jak jest mierzony? Jakie czujniki są w cenie: tylko stacje końcowe czy też sieć, poczta, tożsamość i chmura? Gdzie są nasze dane i Wasi analitycy i z jakich podmiotów przetwarzających korzystacie? Co zostaje nam, jeśli odejdziemy? Poproś o przykładowy raport z incydentu i klienta referencyjnego Twojej wielkości. Sprawdź, czy model ceny do Ciebie pasuje: za stację, za użytkownika czy za lokalizację. Czujnik sieciowy może działać obok usługi MDR: alerty NetSenX mogą iść e-mailem w każdym planie, przez Slack lub webhook od planu Pro i do SIEM od planu Business, więc dostawca może je odbierać.

https://netsenx.com/pl/faq/how-to-choose-an-mdr-provider-for-a-small-company

## Zlecić SOC na zewnątrz czy budować własny?

Większość firm poniżej kilkuset osób zleca go na zewnątrz albo radzi sobie bez pełnego SOC, bo całodobowa obsada wymaga kilku przeszkolonych osób, a nie jednej. SOC (security operations centre) to zespół, który śledzi alerty i reaguje, często całą dobę. Budowa własnego oznacza zatrudnienie i utrzymanie analityków na zmiany nocne i weekendowe, zakup i strojenie narzędzi oraz spisanie procedur; dla średniej firmy to duży koszt stały. Zlecenie dostawcy MDR lub MSSP zamienia to w umowę, ale wciąż potrzebujesz kogoś w środku, kto zna firmę i podejmuje decyzje. Wielu pasuje droga środka: automatyczne wykrywanie działające o każdej porze, alerty wyjaśnione na tyle dobrze, by zrozumiał je generalista, dyżur dostawcy IT i firma od reagowania na incydenty pod telefonem. NetSenX pasuje do tej drogi jako oprogramowanie do wykrywania; nie jest SOC i nikt w NetSenX nie śledzi Twoich alertów za Ciebie.

https://netsenx.com/pl/faq/should-we-outsource-the-soc-or-build-one

## Czy potrzebujemy SOC, jeśli mamy jednego administratora IT?

Nie, ale potrzebujesz planu na godziny, gdy tego administratora nie ma. SOC (security operations centre) to zespół śledzący alerty całą dobę; firma z jednym administratorem nie obsadzi go i zwykle nie musi. Potrzebuje czegoś węższego: wykrywania, które działa samo, alertów na tyle krótkich i jasnych, by dało się na nie zareagować, drugiej osoby, która je dostaje, gdy administrator jest nieobecny, i numeru telefonu do firmy od reagowania na incydenty. Zapisz, kto w nagłej sytuacji decyduje o odłączeniu komputera lub łącza internetowego. Utrzymuj podstawy: uwierzytelnianie wieloskładnikowe, aktualizacje, ochronę stacji i kopie offline. NetSenX powstał właśnie na taką sytuację: jeden agent na porcie lustrzanym obserwuje cały segment, każdy alert jest wyjaśniony prostym językiem, a alerty idą e-mailem w każdym planie, więc mogą trafić także do zastępcy albo dostawcy IT.

https://netsenx.com/pl/faq/do-we-need-a-soc-with-only-one-it-administrator

## Czy mały zespół IT poradzi sobie z wykrywaniem w sieci bez SOC?

Tak, jeśli narzędzie wymaga kilku minut dziennie, a nie osobnego analityka. Działa to dzięki mniejszej liczbie jaśniejszych alertów i rutynie. Ustal, kto czyta alerty każdego ranka, kto zastępuje w czasie urlopów i co jest na tyle pilne, by dzwonić do kogoś w nocy. Spisz jednostronicową notatkę reagowania: jak odizolować komputer, kto może zresetować konta, do jakiego dostawcy dzwonić. Raz w miesiącu przeglądaj zamknięte alerty, by zobaczyć, co było normalne i powinno zostać tak oznaczone. Wybierz narzędzie, które wyjaśnia alerty, bo sama nazwa reguły lub wynik odsyła generalistę z powrotem do surowych logów. NetSenX w każdym planie wyjaśnia każdy alert prostym językiem i pozwala oznaczać fałszywe alarmy. Nie usuwa potrzeby człowieka: analiza i powstrzymanie incydentu nadal należą do Twojego zespołu, dostawcy IT lub firmy od reagowania na incydenty.

https://netsenx.com/pl/faq/can-a-small-it-team-run-network-detection-without-a-soc

## Po co firmy używają SIEM?

Żeby trzymać logi z wielu systemów w jednym miejscu, przeszukiwać je i łączyć zdarzenia między nimi. SIEM (security information and event management) zbiera logi z zapór, serwerów, katalogów, VPN i usług chmurowych, przechowuje je przez określony czas i uruchamia wyszukiwania podejrzanych kombinacji, na przykład nieudanego logowania do VPN, po którym następuje udane z innego kraju. Firmy używają go z trzech powodów: wykrywanie, analiza po fakcie i dowody dla audytorów oraz regulatorów, którzy oczekują centralnego przechowywania logów. Jego słabością jest nakład pracy: ktoś musi wybrać źródła, pisać i stroić wyszukiwania i czytać wyniki, inaczej SIEM staje się drogim archiwum. SIEM widzi tylko to, co systemy logują; nie widzi ruchu, który nie zostawia logu. Tę część pokrywa wykrywanie w sieci, a NetSenX może eksportować swoje alerty do Twojego SIEM od planu Business.

https://netsenx.com/pl/faq/why-do-companies-use-a-siem

## Czy mała firma w ogóle potrzebuje SIEM?

Zwykle nie na początek, chyba że klient, audytor lub regulator wprost wymaga centralnego przechowywania logów. SIEM (security information and event management) zarabia na siebie, gdy ktoś ma czas podłączać źródła, pisać wyszukiwania i czytać wyniki. Mała firma często szybciej zyskuje więcej ochrony z uwierzytelniania wieloskładnikowego, ochrony stacji końcowych, kopii offline i wykrywania, które działa bez inżynierii logów. W każdym razie zachowaj logi, które najbardziej liczą się w dochodzeniu: logowania do poczty i dostępu zdalnego, logi zapory i VPN oraz logi bezpieczeństwa serwerów, przechowywane tam, gdzie napastnik nie usunie ich łatwo, i z poprawnym czasem na każdym urządzeniu. Wiele usług chmurowych przechowa logi logowań za Ciebie, jeśli to włączysz. NetSenX prowadzi dziennik audytu w każdym planie i historię alertów zależną od planu, a jeśli później dodasz SIEM, alerty można tam eksportować od planu Business.

https://netsenx.com/pl/faq/does-a-small-business-need-a-siem

## Czy potrzebuję SIEM, jeśli mam NDR?

Niekoniecznie: wiele małych i średnich firm zyskuje więcej na NDR i dobrej ochronie stacji końcowych niż na SIEM, którego nikt nie ma czasu stroić. SIEM (security information and event management) zbiera i koreluje logi z wielu systemów: zapór, serwerów, katalogów, usług chmurowych. Jest potężny, gdy ktoś pisze i utrzymuje jego wyszukiwania, i ciężki, gdy nikt tego nie robi. NDR (network detection and response) daje wykrycia z ruchu sieciowego bez inżynierii logów. Oba odpowiadają na inne pytania: SIEM mówi, kto gdzie się zalogował, a NDR, co urządzenia robiły w sieci. SIEM może być potrzebny i tak, jeśli audytor, umowa z klientem lub regulator oczekuje centralnego przechowywania logów albo gdy masz ludzi, którzy z niego skorzystają. Jeśli już go masz, alerty NDR mogą do niego trafiać: NetSenX ma eksport do SIEM od planu Business, więc wykrycia sieciowe docierają do SIEM już wyjaśnione.

https://netsenx.com/pl/faq/do-i-need-a-siem-if-i-have-ndr

## Czy wykrywanie w sieci może przekazywać alerty do naszego SIEM?

Tak, większość narzędzi do wykrywania w sieci to potrafi i zwykle jest to lepsze niż wysyłanie surowych logów sieciowych. SIEM (security information and event management), który dostaje wyjaśnione alerty sieciowe, zyskuje widok, którego inaczej nie ma, bez kosztów przechowywania i szumu każdego rekordu połączenia. Przed podłączeniem ustal, które poziomy alertów trafiają do SIEM, kto je tam czyta i jak oba narzędzia dzielą nazwę hosta lub adres, by alerty dało się dopasować do zdarzeń z logów. W NetSenX eksport do SIEM jest dostępny od planu Business. W planie Pro alerty mogą też wychodzić przez API, Slack lub webhook, a w każdym planie są wysyłane e-mailem i przechowywane w panelu przez okres historii alertów Twojego planu. Eksport nie zmienia tego, co NetSenX widzi: to nadal zachowanie w sieci, nigdy treść szyfrowanych sesji.

https://netsenx.com/pl/faq/can-network-detection-feed-alerts-into-our-siem

## Czym NetSenX różni się od IDS opartego na sygnaturach?

IDS oparty na sygnaturach porównuje ruch ze znanymi wzorcami ataków; NetSenX ocenia zachowanie każdego hosta, więc nowy wariant złośliwego oprogramowania bez sygnatury i tak zostawia ślad. Każdy alert wskazuje prostym językiem cechy ruchu, które wpłynęły na jego ocenę (wartości SHAP). NetSenX działa obok IDS, EDR i SIEM — nie zastępuje ich.

https://netsenx.com/pl/faq/how-is-netsenx-different-from-a-signature-based-ids

## Czym różni się NDR od IDS lub IPS?

IDS lub IPS porównuje ruch ze znanymi wzorcami ataków; NDR patrzy, jak każde urządzenie zachowuje się w czasie. IDS (intrusion detection system) zgłasza alert, gdy ruch pasuje do sygnatury, na przykład znanego exploita lub wzorca malware. IPS (intrusion prevention system) robi to samo i potrafi odrzucić pasujący ruch, zwykle jako część zapory. Oba dobrze radzą sobie ze znanymi zagrożeniami i gorzej, gdy napastnik używa legalnych narzędzi lub nowego wariantu bez sygnatury. NDR (network detection and response) uczy się, co jest normalne dla każdego hosta, i oznacza odchylenia: nowych rozmówców, regularne połączenia na zewnątrz, skanowanie, nietypowe wolumeny. Wiele firm używa obu. NetSenX to NDR: ocenia zachowanie hostów, wyjaśnia każdy alert prostym językiem i nie odrzuca ani nie blokuje ruchu, więc może działać obok IPS w Twojej zaporze bez zmiany ścieżki sieciowej.

https://netsenx.com/pl/faq/what-is-the-difference-between-ndr-and-an-ids-or-ips

## Czym różni się NDR od zapory sieciowej?

Zapora decyduje, które połączenia są dozwolone; NDR obserwuje, co dzieje się w połączeniach, które przepuszczono. Zapora stoi na brzegu sieci lub między segmentami i egzekwuje reguły: ten adres może łączyć się z tym serwerem na tym porcie, reszta jest odrzucana. Jest niezbędna, ale napastnik, który wejdzie przez e-mail phishingowy lub skradzione hasło, używa połączeń, na które zapora pozwala, a większość zapór w ogóle nie widzi ruchu między urządzeniami w tym samym segmencie. NDR (network detection and response) dostaje kopię ruchu i szuka zachowań: stacji roboczej, która nagle rozmawia z wieloma serwerami, hosta łączącego się z zewnętrznym adresem co kilka minut, danych wychodzących w nocy. Potrzebujesz obu. NetSenX niczego nie filtruje ani nie blokuje; zgłasza i wyjaśnia, a działasz Ty lub Twoja zapora.

https://netsenx.com/pl/faq/what-is-the-difference-between-ndr-and-a-firewall

## Czym różnią się NDR, analiza ruchu sieciowego i monitoring NetFlow?

Monitoring NetFlow zapisuje, kto z kim rozmawiał, analiza ruchu bada te zapisy, a NDR dokłada na wierzchu wykrywanie i reagowanie. NetFlow i podobne formaty to podsumowania, które routery i przełączniki eksportują dla każdego połączenia: adresy, porty, czas rozpoczęcia, bajty i pakiety. Narzędzia monitoringu robią z nich wykresy przepustowości i listy największych nadawców, co pomaga w planowaniu i diagnostyce, ale ocenę bezpieczeństwa zostawia Tobie. Network traffic analysis (NTA) to wcześniejsza nazwa narzędzi, które badały ruch pod kątem bezpieczeństwa. NDR (network detection and response) to nazwa dzisiejsza: uczy się, co jest normalne dla hosta, zgłasza alerty o zachowaniu napastnika i wspiera reakcję dowodami. Same podsumowania przepływów pomijają szczegóły, takie jak odpowiedzi DNS czy uzgadnianie TLS. NetSenX czyta własną kopię ruchu z agenta lub portu lustrzanego, zamiast polegać wyłącznie na eksportowanych rekordach przepływów.

https://netsenx.com/pl/faq/ndr-vs-network-traffic-analysis-vs-netflow-monitoring

## Czy wykrywanie oparte na AI jest lepsze od sygnatur?

Żadne nie jest lepsze samo w sobie: sygnatury są precyzyjne wobec znanych zagrożeń, metody behawioralne łapią to, co jeszcze nie ma sygnatury, a dobre narzędzia używają obu. Sygnatura dopasowuje coś już znanego, na przykład odcisk malware lub ciąg exploita, więc rzadko daje fałszywy alarm, ale przegapia nowe warianty i napastników używających Twoich własnych narzędzi administracyjnych. Wykrywanie behawioralne lub oparte na uczeniu maszynowym porównuje aktywność z tym, co normalne, i może zobaczyć nowe narzędzie łączące się z serwerem napastnika, ale potrzebuje czasu na poznanie Twojej sieci i musi się tłumaczyć, inaczej każdy alert staje się zagadką. Uważaj na etykietę: zapytaj dostawcę, na co model faktycznie patrzy, jak ogranicza fałszywe alarmy na Twoich danych i czy każdy alert mówi, dlaczego powstał. NetSenX ocenia zachowanie hostów i wyjaśnia każdy alert prostym językiem. Nie podaje wskaźnika fałszywych alarmów, którego nie potwierdzą Twoje własne dane.

https://netsenx.com/pl/faq/is-ai-based-detection-better-than-signatures

## Monitoring z agentem czy przez SPAN/TAP: co jest lepsze?

Port lustrzany lub TAP zwykle lepiej sprawdza się dla całego segmentu biura, a agenty dla konkretnych serwerów lub miejsc, gdzie nie da się skopiować ruchu. Przy SPAN (ustawieniu przełącznika kopiującym ruch na jeden port) lub TAP (małym urządzeniu kopiującym ruch na kablu) jeden czujnik widzi każde urządzenie w segmencie, także drukarki, kamery i maszyny, bez instalowania na nich czegokolwiek. Wymaga zarządzalnego przełącznika lub TAP-a i widzi tylko segmenty, które kopiujesz. Agent na hoście widzi ruch tego hosta, gdziekolwiek on jest, także serwery w centrum danych lub chmurze, gdzie nic nie skopiujesz. Wiele firm łączy oba sposoby. NetSenX obsługuje oba: agent na porcie SPAN lub TAP liczy się jako jedno urządzenie dla całego segmentu, a agenty działają na Linuksie i macOS. Odcisk TLS wymaga przechwytywania pakietów, czego podstawowy tryb macOS nie robi.

https://netsenx.com/pl/faq/agent-based-or-span-tap-based-network-monitoring

## Czy NDR działa na ruchu szyfrowanym?

Tak, w pewnych granicach. Czas, wolumen, cele połączeń i handshake TLS pozostają widoczne bez deszyfrowania i wystarczą, by zauważyć beaconing, skanowanie albo nietypowe wysyłanie danych. Bez deszyfrowania żadne NDR nie odczyta treści sesji. NetSenX nigdy nie deszyfruje.

https://netsenx.com/pl/faq/does-ndr-work-on-encrypted-traffic

## Czy NDR widzi ruch do chmury i aplikacji SaaS?

Częściowo: widzi połączenia Twoich urządzeń z usługami chmurowymi i SaaS, ale nie to, co dzieje się w ich wnętrzu. Z sieci biurowej NDR (network detection and response) widzi, które hosty łączą się z którymi dostawcami chmury, jak często i ile danych wysyłają, więc serwer wysyłający w nocy duże archiwum na nieznane konto magazynu wyróżnia się. Nie widzi aktywności w samej aplikacji SaaS: reguły skrzynki utworzonej w usłudze pocztowej, pliku udostępnionego publicznie z dysku w chmurze ani logowania skradzionym hasłem z innego kraju. To zapisuje się w logach audytu i logowań dostawcy, które warto włączyć i przeglądać. Poza widokiem jest też ruch laptopów w domu, który nie przechodzi przez Twoją sieć, chyba że działa na nich agent. NetSenX w każdym planie pokazuje cele chmurowe w kolejce do przeglądu na mapie sieci, a nietypowy wolumen wychodzący jako alert.

https://netsenx.com/pl/faq/can-ndr-see-cloud-and-saas-traffic

## Czy NDR blokuje ataki, czy tylko alarmuje?

Zależy od produktu; NetSenX alarmuje i rekomenduje, a sam nie blokuje ruchu. Niektóre produkty NDR stoją na ścieżce ruchu lub współpracują z zaporami, by automatycznie zrywać połączenia. To może zatrzymać atak, ale może też zatrzymać linię produkcyjną przy fałszywym alarmie, dlatego automatyczne blokowanie zwykle ogranicza się do wąskich, dobrze sprawdzonych przypadków. Czujnik na porcie lustrzanym, bo tak wdraża się większość NDR, dostaje tylko kopię ruchu i sam niczego nie zablokuje; reakcja idzie przez zaporę, przełącznik, narzędzie na stacji lub człowieka. NetSenX wyjaśnia każdy alert, oferuje ręczne działania reagowania od planu Starter i automatyczne rekomendacje reakcji od planu Pro, a nigdy sam nie blokuje ruchu. Decyzja o odizolowaniu maszyny, zablokowaniu adresu czy zresetowaniu kont zostaje po stronie Twojego zespołu, dlatego każde działanie trafia do dziennika audytu.

https://netsenx.com/pl/faq/can-ndr-block-attacks-or-only-alert

## Jak zbudować inwentarz urządzeń na podstawie ruchu sieciowego?

Obserwuj sieć przez pewien czas i zapisuj każde urządzenie, które wysyła ruch, z nazwą, jaką ogłasza, adresem i listą rozmówców. Urządzenia ujawniają się, gdy proszą o adres (DHCP), rozwiązują nazwy (DNS), ogłaszają się w sieci lokalnej lub łączą z serwerami. Czujnik na porcie lustrzanym zbiera to pasywnie, niczego nie skanując, co ma znaczenie dla delikatnych urządzeń, takich jak drukarki, kamery i maszyny. Porównaj wynik z listą, którą Twoim zdaniem masz: nieznane urządzenia, zapomniane serwery i prywatny sprzęt zwykle pojawiają się w pierwszych dniach. Potem przypisz każdemu urządzeniu właściciela i zdecyduj, czy powinno tam być. NetSenX prowadzi mapę sieci w każdym planie, także Free: urządzenia widziane w LAN, ich ogłaszane nazwy, pierwsze i ostatnie wystąpienie oraz kto z kim rozmawia. Widzi tylko monitorowane segmenty, a urządzenie, które nigdy nie wysyła ruchu, się nie pojawi.

https://netsenx.com/pl/faq/how-to-build-an-asset-inventory-from-network-traffic

## Czy mapa sieci pokazuje urządzenia, które nigdy nie wysyłają ruchu?

Nie. Pasywna mapa sieci zna tylko urządzenia, które coś wysyłają w monitorowanym segmencie, więc całkowicie milczące urządzenie pozostaje niewidoczne. W praktyce niewiele urządzeń milczy zupełnie: większość prosi o adres, rozwiązuje nazwy, szuka aktualizacji lub od czasu do czasu odpowiada w sieci, więc pojawia się w ciągu godzin lub dni. Te, które się nie pojawiają, są zwykle wyłączone, odłączone, w segmencie, którego nie kopiujesz, albo celowo ciche. Aby zamknąć tę lukę, porównaj mapę z innymi źródłami: tablicą podłączonych portów przełącznika, dzierżawami serwera DHCP, dokumentami zakupów i obchodem budynku. Aktywne skanowanie znajduje milczące urządzenia, które odpowiadają na zapytanie, ale używaj go ostrożnie wobec drukarek i sprzętu przemysłowego. NetSenX buduje mapę sieci pasywnie w każdym planie i nigdy nie odpytuje urządzeń, co jest bezpieczne dla delikatnego sprzętu i oznacza, że milczącego urządzenia na mapie nie ma.

https://netsenx.com/pl/faq/does-a-network-map-show-devices-that-never-send-traffic

## Czy NDR ma sens w małej lub średniej firmie?

Małe zespoły rzadko mają czas codziennie czytać logi firewalla i DNS, a napastnicy używający legalnych narzędzi administracyjnych zostawiają niewiele innych śladów. NDR obserwuje ruch bez przerwy i zgłasza to, co odbiega od normy. NetSenX ma plan Free, więc zespół może sprawdzić go we własnej sieci, zanim zapłaci.

https://netsenx.com/pl/faq/is-ndr-worth-it-for-a-small-or-mid-sized-company

## O co pytać, oceniając produkt NDR?

Zapytaj o cenę, o to, czego produkt od Ciebie wymaga, czego nie widzi i jak uzasadnia alert, a potem przetestuj go we własnej sieci. Cena: czy jest opublikowana i co jest jednostką, urządzenie, czujnik czy gigabit? Wdrożenie: czy potrzebny jest sprzęt w każdej lokalizacji, czy jeden czujnik na porcie lustrzanym obejmie segment? Widoczność: które segmenty, ruch szyfrowany, chmura i laptopy zdalne; poproś dostawcę, by jasno powiedział, co jest poza widokiem. Alerty: czy każdy wyjaśnia, dlaczego powstał, słowami zrozumiałymi dla Twojego zespołu? Fałszywe alarmy: jak mierzony jest wskaźnik i na czyich danych? Dane: gdzie są przechowywane, kim są podmioty przetwarzające, co dostajesz z powrotem przy odejściu? Reakcja: czy blokuje, czy tylko alarmuje? Potem uruchom go na kilka tygodni na prawdziwym ruchu. NetSenX publikuje ceny i ma plan Free bez limitu czasu właśnie na taki test.

https://netsenx.com/pl/faq/what-to-ask-when-evaluating-an-ndr-product

## Jak sprawdzić, czy nasze wykrywanie w sieci naprawdę działa?

Wywołaj nieszkodliwe wersje zachowań, które powinno wychwycić, na własnym hoście testowym i sprawdź, jakie alerty się pojawiają i jak szybko. Zacznij prosto i uprzedź o teście każdego, kto mógłby zareagować. Skanowanie portów z zapasowego laptopa w Twojej własnej podsieci powinno zostać oznaczone. Skrypt, który przez godzinę co kilka minut łączy się z tym samym zewnętrznym serwerem testowym, naśladuje beaconing. Skopiowanie w nocy dużego archiwum z serwera testowego na zewnętrzne konto magazynu naśladuje kradzież danych. Zapisz, co zrobiłeś, kiedy i co narzędzie zgłosiło, a potem przeczytaj treść alertu: czy kolega wiedziałby, co zrobić? Powtarzaj po większych zmianach w sieci lub narzędziu. Breach and attack simulation (BAS) automatyzuje takie testy. NetSenX ma BAS od planu Business; w każdym planie możesz ręcznie przeprowadzić takie testy wobec wykryć, które zgłasza.

https://netsenx.com/pl/faq/how-to-test-that-network-detection-actually-works

## Czym jest symulacja włamań i ataków (BAS) i czy średnia firma jej potrzebuje?

Breach and attack simulation (BAS) to oprogramowanie, które bezpiecznie naśladuje zachowanie napastnika w Twojej sieci, abyś mógł sprawdzić, czy narzędzia bezpieczeństwa to zauważają. Zamiast czekać na prawdziwy atak lub coroczny test penetracyjny, uruchamia kontrolowane scenariusze, takie jak skanowanie, połączenie z serwerem testowym czy symulowany transfer danych, i zapisuje, które z nich Twoje narzędzia wykryły. Średnia firma zyskuje najwięcej, gdy musi pokazać audytorom lub klientom, że wykrywanie działa, a nie tylko że jest zainstalowane, albo po zmianie sieci lub narzędzi. Jeśli nie masz jeszcze narzędzia do wykrywania, najpierw kup wykrywanie: symulacja, której nikt nie wykrył, dowodzi tylko tego. Test penetracyjny wykonywany przez ludzi nadal znajduje rzeczy, których BAS nie znajdzie, jak słabe hasła czy błędne konfiguracje. NetSenX ma symulację włamań i ataków od planu Business, więc możesz testować jego własne wykrycia.

https://netsenx.com/pl/faq/what-is-breach-and-attack-simulation

## Jak często testować wykrywanie symulowanymi atakami?

Przeprowadzaj mały test po każdej istotnej zmianie i pełniejszy co najmniej raz na kwartał oraz przed audytem. Wykrywanie psuje się po cichu: ktoś wymienia przełącznik i nie konfiguruje ponownie portu lustrzanego, agent staje po aktualizacji, pojawia się segment, którego nikt nie monitoruje. Krótki test po każdej zmianie to wyłapie. Kwartalna runda głównych scenariuszy, takich jak skanowanie, beaconing, ruch lateralny i duży transfer na zewnątrz, pokazuje, czy coś się rozjechało, i daje datowane dowody dla audytorów, ubezpieczycieli i klientów. Prowadź prosty dziennik: data, scenariusz, oczekiwany alert, faktyczny alert, czas do alertu, dalsze kroki. Uprzedź zespół i dostawców przed testem, by nikt przez pomyłkę nie odizolował maszyny. NetSenX ma symulację włamań i ataków od planu Business; w innych planach te same scenariusze możesz przeprowadzić ręcznie.

https://netsenx.com/pl/faq/how-often-should-we-test-detection-with-simulated-attacks

FAQ: https://netsenx.com/pl/faq