Definicja
Czym jest NDR (network detection and response)?
Network detection and response (NDR) to monitoring bezpieczeństwa, który obserwuje ruch między urządzeniami, uczy się, jak wygląda normalne zachowanie, i zgłasza alert, gdy host zaczyna zachowywać się jak napastnik: skanuje sieć, przechodzi na inne maszyny, w regularnych odstępach łączy się z zewnętrznym serwerem albo wysyła na zewnątrz nietypowo dużo danych. Ponieważ analizuje ruch, a nie działa na każdym urządzeniu, obejmuje też maszyny, na których nie da się zainstalować agenta, takie jak drukarki, kamery i sterowniki przemysłowe. Część „response” to to, co z alertem zrobi zespół albo zautomatyzowany playbook.
Fakt, od którego warto zacząć
We wspólnych wytycznych opublikowanych 7 lutego 2024 r. CISA, NSA, FBI i agencje partnerskie zaleciły utrzymywanie punktów odniesienia (baseline) dla normalnej aktywności sieci, użytkowników i administratorów oraz badanie wszystkiego, co od nich odbiega, ponieważ napastnicy działający metodą „living off the land” używają tych samych legalnych narzędzi co administratorzy i wtapiają się w zwykłą pracę firmy.
Co Twój czujnik widzi, a czego nie
Czujnik sieciowy widzi tylko ruch, który do niego trafia. Zaznacz segmenty sieci mirrorowane do agenta NetSenX przez port SPAN lub TAP i zobacz, które sytuacje stają się widoczne, a które zostają w cieniu.
Widocznych sytuacji przy tych segmentach: 8 z 16.
Biuro
Widoczne
- Beaconing C2 z komputera w biurze
- Nietypowe wysyłki ze stacji roboczej
- Ruch z urządzeń biurowych do usług AI (od planu Pro)
- Nowe lub nieznane urządzenie na mapie sieci
Serwery
Widoczne
- Ruch lateralny do serwerów plików
- Przygotowanie ransomware na udziałach sieciowych
- Zgadywanie haseł do serwera
- Archiwum wychodzące do nieznanego celu
Wi-Fi dla gości
Niewidoczne: brak mirrora
- Urządzenie gościa skanujące sieć
Produkcja
Niewidoczne: brak mirrora
- Zapisy do sterownika PLC poza zwykłym wzorcem (od planu Pro)
- Ruch przecinający poziomy sieci zakładu (od planu Pro)
- Aktywność OT poza godzinami pracy (od planu Pro)
Systemy budynku
Niewidoczne: brak mirrora
- Kamera lub sterownik budynku łączący się z zewnętrznym serwerem
- Sterownik budynku skanujący inne urządzenia
Laptopy zdalne
Niewidoczne: brak mirrora
- Beaconing z laptopa poza biurem
- Nietypowe wysyłki z laptopa w domu
Nigdy niewidoczne dla czujnika sieciowego
- Pliki skopiowane na pendrive
- Logowanie prawidłowym, skradzionym hasłem
- Nazwy plików i treść w zaszyfrowanych sesjach
- Treść e-maila, w tym phishing
Pokaż segmenty jako tabelę
| Segment | Co staje się widoczne |
|---|---|
| Biuro (Mirrorowany do agenta NetSenX) | Beaconing C2 z komputera w biurze; Nietypowe wysyłki ze stacji roboczej; Ruch z urządzeń biurowych do usług AI (od planu Pro); Nowe lub nieznane urządzenie na mapie sieci |
| Serwery (Mirrorowany do agenta NetSenX) | Ruch lateralny do serwerów plików; Przygotowanie ransomware na udziałach sieciowych; Zgadywanie haseł do serwera; Archiwum wychodzące do nieznanego celu |
| Wi-Fi dla gości (Mirrorowany do agenta NetSenX) | Urządzenie gościa skanujące sieć |
| Produkcja (Mirrorowany do agenta NetSenX) | Zapisy do sterownika PLC poza zwykłym wzorcem (od planu Pro); Ruch przecinający poziomy sieci zakładu (od planu Pro); Aktywność OT poza godzinami pracy (od planu Pro) |
| Systemy budynku (Mirrorowany do agenta NetSenX) | Kamera lub sterownik budynku łączący się z zewnętrznym serwerem; Sterownik budynku skanujący inne urządzenia |
| Laptopy zdalne (Agent NetSenX na każdym laptopie) | Beaconing z laptopa poza biurem; Nietypowe wysyłki z laptopa w domu |
Laptopy poza biurem są widoczne tylko z agentem na samym laptopie. To, czego czujnik nie widzi, wymaga innego narzędzia: ochrony stacji końcowych dla kopii na USB i programów, dostawcy tożsamości i logów VPN dla logowań, filtra poczty dla phishingu.
Jak działa NDR, w czterech krokach
Te same cztery kroki dotyczą każdego produktu NDR. Różni się sposób, w jaki poszczególni dostawcy je realizują.
01Zbieranie
Sensor dostaje kopię ruchu z portu SPAN lub TAP albo odczytuje go na hoście i zapisuje metadane przepływów: kto z kim się łączył, kiedy, ile danych przesłano i jakim protokołem.
02Punkt odniesienia
System uczy się, co jest normalne dla każdego hosta i segmentu: zwykłe cele połączeń, porty, wolumeny i pory dnia.
03Wykrywanie
Ocenia odchylenia pasujące do zachowań napastnika, takich jak skanowanie, ruch boczny (lateral movement), beaconing czy wyprowadzanie danych. Wiele produktów pracuje na metadanych i handshake'u TLS, więc ruch szyfrowany pozostaje użyteczny bez deszyfrowania; niektóre zamiast tego deszyfrują ruch.
04Reakcja
Analityk bada alert albo playbook izoluje hosta lub blokuje cel połączenia. Zapis tego, co zauważono i zrobiono, trafia do raportu z incydentu.
Co NetSenX robi już dziś
- Wykrywa skanowanie, ruch boczny, beaconing C2 i nietypowy wolumen danych wychodzących na podstawie zachowania w sieci, w każdym planie, także w Free.
- Widzi urządzenia bez agenta, takie jak drukarki, kamery i sterowniki, bo jeden agent na porcie SPAN lub TAP obserwuje cały segment.
- Analizuje ruch szyfrowany na podstawie czasu, wolumenu i celów połączeń, a od planu Starter także handshake'u TLS, i nigdy go nie deszyfruje. Handshake jest widoczny tylko tam, gdzie agent przechwytuje pakiety: na Linuksie lub jako czujnik na porcie SPAN albo TAP, nie w trybie podstawowym używanym na macOS.
- Wyjaśnia każdy alert prostym językiem, wymieniając cechy ruchu, które wpłynęły na jego ocenę, a automatyczne reakcje uruchamia wyłącznie z playbooków, które Twój zespół napisze albo skopiuje z szablonów NetSenX.
Czego NetSenX nie robi
NetSenX nie widzi tego, co dzieje się wewnątrz hosta bez udziału sieci, na przykład procesu, który nigdzie się nie łączy; to obszar ochrony punktów końcowych (EDR). Widzi tylko segmenty, które monitorujesz. Nigdy nie deszyfruje ruchu, więc nie odczyta treści szyfrowanej sesji, i nie zastępuje reagowania na incydenty. Alert to powód do sprawdzenia, a nie dowód włamania.
Pytania kupujących
Co oznacza skrót NDR?
Network detection and response, czyli narzędzia bezpieczeństwa, które analizują ruch między urządzeniami, aby wykrywać zachowania napastnika i wspierać reakcję na nie. Wcześniejsze produkty z tej kategorii często nazywano network traffic analysis (NTA).
Czym różni się NDR od EDR i SIEM?
EDR działa na każdym urządzeniu końcowym i widzi procesy oraz pliki na tej maszynie. SIEM zbiera logi z wielu systemów i je koreluje. NDR obserwuje ruch między urządzeniami, więc obejmuje też urządzenia, na których nie da się uruchomić agenta, i aktywność, która nie zostawia logów. Te trzy narzędzia się uzupełniają.
Czy NDR działa na ruchu szyfrowanym?
Tak, w pewnych granicach. Czas, wolumen, cele połączeń i handshake TLS pozostają widoczne bez deszyfrowania i wystarczą, by zauważyć beaconing, skanowanie albo nietypowe wysyłanie danych. Bez deszyfrowania żadne NDR nie odczyta treści sesji. NetSenX nigdy nie deszyfruje.
Czy NDR ma sens w małej lub średniej firmie?
Małe zespoły rzadko mają czas codziennie czytać logi firewalla i DNS, a napastnicy używający legalnych narzędzi administracyjnych zostawiają niewiele innych śladów. NDR obserwuje ruch bez przerwy i zgłasza to, co odbiega od normy. NetSenX ma plan Free, więc zespół może sprawdzić go we własnej sieci, zanim zapłaci.
Źródła
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)
- MITRE ATT&CK — Lateral Movement (TA0008)
Ta strona ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Swoje obowiązki warto potwierdzić we właściwym organie krajowym lub u doradcy prawnego.
Powiązane strony
Wypróbuj NetSenX we własnej sieci
Zacznij od planu Free dla maksymalnie 3 urządzeń albo umów 20-minutowe demo.