# Czym jest NDR (network detection and response)?

> NDR w prostych słowach: co obserwuje, jak działa na ruchu szyfrowanym, czym różni się od EDR i SIEM oraz czego nie potrafi.

Source page: https://netsenx.com/pl/what-is-ndr

Ostatnia weryfikacja: 7 listopada 2026

Network detection and response (NDR) to monitoring bezpieczeństwa, który obserwuje ruch między urządzeniami, uczy się, jak wygląda normalne zachowanie, i zgłasza alert, gdy host zaczyna zachowywać się jak napastnik: skanuje sieć, przechodzi na inne maszyny, w regularnych odstępach łączy się z zewnętrznym serwerem albo wysyła na zewnątrz nietypowo dużo danych. Ponieważ analizuje ruch, a nie działa na każdym urządzeniu, obejmuje też maszyny, na których nie da się zainstalować agenta, takie jak drukarki, kamery i sterowniki przemysłowe. Część „response” to to, co z alertem zrobi zespół albo zautomatyzowany playbook.

## Fakt, od którego warto zacząć

We wspólnych wytycznych opublikowanych 7 lutego 2024 r. CISA, NSA, FBI i agencje partnerskie zaleciły utrzymywanie punktów odniesienia (baseline) dla normalnej aktywności sieci, użytkowników i administratorów oraz badanie wszystkiego, co od nich odbiega, ponieważ napastnicy działający metodą „living off the land” używają tych samych legalnych narzędzi co administratorzy i wtapiają się w zwykłą pracę firmy.

Źródło: [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)

## Co Twój czujnik widzi, a czego nie

Czujnik sieciowy widzi tylko ruch, który do niego trafia. Zaznacz segmenty sieci mirrorowane do agenta NetSenX przez port SPAN lub TAP i zobacz, które sytuacje stają się widoczne, a które zostają w cieniu.

| Segment | Co staje się widoczne |
|---|---|
| Biuro (Mirrorowany do agenta NetSenX) | Beaconing C2 z komputera w biurze; Nietypowe wysyłki ze stacji roboczej; Ruch z urządzeń biurowych do usług AI (od planu Pro); Nowe lub nieznane urządzenie na mapie sieci |
| Serwery (Mirrorowany do agenta NetSenX) | Ruch lateralny do serwerów plików; Przygotowanie ransomware na udziałach sieciowych; Zgadywanie haseł do serwera; Archiwum wychodzące do nieznanego celu |
| Wi-Fi dla gości (Mirrorowany do agenta NetSenX) | Urządzenie gościa skanujące sieć |
| Produkcja (Mirrorowany do agenta NetSenX) | Zapisy do sterownika PLC poza zwykłym wzorcem (od planu Pro); Ruch przecinający poziomy sieci zakładu (od planu Pro); Aktywność OT poza godzinami pracy (od planu Pro) |
| Systemy budynku (Mirrorowany do agenta NetSenX) | Kamera lub sterownik budynku łączący się z zewnętrznym serwerem; Sterownik budynku skanujący inne urządzenia |
| Laptopy zdalne (Agent NetSenX na każdym laptopie) | Beaconing z laptopa poza biurem; Nietypowe wysyłki z laptopa w domu |

### Nigdy niewidoczne dla czujnika sieciowego

- Pliki skopiowane na pendrive
- Logowanie prawidłowym, skradzionym hasłem
- Nazwy plików i treść w zaszyfrowanych sesjach
- Treść e-maila, w tym phishing

Laptopy poza biurem są widoczne tylko z agentem na samym laptopie. To, czego czujnik nie widzi, wymaga innego narzędzia: ochrony stacji końcowych dla kopii na USB i programów, dostawcy tożsamości i logów VPN dla logowań, filtra poczty dla phishingu.

## Jak działa NDR, w czterech krokach

Te same cztery kroki dotyczą każdego produktu NDR. Różni się sposób, w jaki poszczególni dostawcy je realizują.

1. **Zbieranie** Sensor dostaje kopię ruchu z portu SPAN lub TAP albo odczytuje go na hoście i zapisuje metadane przepływów: kto z kim się łączył, kiedy, ile danych przesłano i jakim protokołem.
2. **Punkt odniesienia** System uczy się, co jest normalne dla każdego hosta i segmentu: zwykłe cele połączeń, porty, wolumeny i pory dnia.
3. **Wykrywanie** Ocenia odchylenia pasujące do zachowań napastnika, takich jak skanowanie, ruch boczny (lateral movement), beaconing czy wyprowadzanie danych. Wiele produktów pracuje na metadanych i handshake'u TLS, więc ruch szyfrowany pozostaje użyteczny bez deszyfrowania; niektóre zamiast tego deszyfrują ruch.
4. **Reakcja** Analityk bada alert albo playbook izoluje hosta lub blokuje cel połączenia. Zapis tego, co zauważono i zrobiono, trafia do raportu z incydentu.

## Co NetSenX robi już dziś

- Wykrywa skanowanie, ruch boczny, beaconing C2 i nietypowy wolumen danych wychodzących na podstawie zachowania w sieci, w każdym planie, także w Free.
- Widzi urządzenia bez agenta, takie jak drukarki, kamery i sterowniki, bo jeden agent na porcie SPAN lub TAP obserwuje cały segment.
- Analizuje ruch szyfrowany na podstawie czasu, wolumenu i celów połączeń, a od planu Starter także handshake'u TLS, i nigdy go nie deszyfruje. Handshake jest widoczny tylko tam, gdzie agent przechwytuje pakiety: na Linuksie lub jako czujnik na porcie SPAN albo TAP, nie w trybie podstawowym używanym na macOS.
- Wyjaśnia każdy alert prostym językiem, wymieniając cechy ruchu, które wpłynęły na jego ocenę, a automatyczne reakcje uruchamia wyłącznie z playbooków, które Twój zespół napisze albo skopiuje z szablonów NetSenX.

## Czego NetSenX nie robi

NetSenX nie widzi tego, co dzieje się wewnątrz hosta bez udziału sieci, na przykład procesu, który nigdzie się nie łączy; to obszar ochrony punktów końcowych (EDR). Widzi tylko segmenty, które monitorujesz. Nigdy nie deszyfruje ruchu, więc nie odczyta treści szyfrowanej sesji, i nie zastępuje reagowania na incydenty. Alert to powód do sprawdzenia, a nie dowód włamania.

## Pytania kupujących

### Co oznacza skrót NDR?

Network detection and response, czyli narzędzia bezpieczeństwa, które analizują ruch między urządzeniami, aby wykrywać zachowania napastnika i wspierać reakcję na nie. Wcześniejsze produkty z tej kategorii często nazywano network traffic analysis (NTA).

### Czym różni się NDR od EDR i SIEM?

EDR działa na każdym urządzeniu końcowym i widzi procesy oraz pliki na tej maszynie. SIEM zbiera logi z wielu systemów i je koreluje. NDR obserwuje ruch między urządzeniami, więc obejmuje też urządzenia, na których nie da się uruchomić agenta, i aktywność, która nie zostawia logów. Te trzy narzędzia się uzupełniają.

### Czy NDR działa na ruchu szyfrowanym?

Tak, w pewnych granicach. Czas, wolumen, cele połączeń i handshake TLS pozostają widoczne bez deszyfrowania i wystarczą, by zauważyć beaconing, skanowanie albo nietypowe wysyłanie danych. Bez deszyfrowania żadne NDR nie odczyta treści sesji. NetSenX nigdy nie deszyfruje.

### Czy NDR ma sens w małej lub średniej firmie?

Małe zespoły rzadko mają czas codziennie czytać logi firewalla i DNS, a napastnicy używający legalnych narzędzi administracyjnych zostawiają niewiele innych śladów. NDR obserwuje ruch bez przerwy i zgłasza to, co odbiega od normy. NetSenX ma plan Free, więc zespół może sprawdzić go we własnej sieci, zanim zapłaci.

## Źródła

- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)](https://www.rfc-editor.org/rfc/rfc8446)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)

Ta strona ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Swoje obowiązki warto potwierdzić we właściwym organie krajowym lub u doradcy prawnego.

## Powiązane strony

- [NDR, EDR czy SIEM](https://netsenx.com/pl/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [NDR dla małych i średnich firm](https://netsenx.com/pl/ndr-for-small-business)
- [Jak sprawdzić, czy ktoś jest w Twojej sieci](https://netsenx.com/pl/is-someone-inside-your-network)
- [Jak wykryć ruch lateralny i beaconing C2](https://netsenx.com/pl/detect-lateral-movement-c2-beaconing)
- [Analiza zaszyfrowanego ruchu](https://netsenx.com/pl/encrypted-traffic-analysis)
- [Cennik i plan Free](https://netsenx.com/pl/pricing)