Běžně používá paketová data, záznamy toků, metadata protokolů, vzory provozu nebo kombinaci těchto zdrojů.
NDR může odhalit aktivitu napříč systémy, které nepodporují agenty koncových zařízení, což jej činí užitečným v datových centrech, cloudových sítích a prostředích provozních technologií. Může také pomoci analytikům sledovat laterální pohyb nebo provoz command-and-control, za podmínky, že senzory jsou umístěny tam, kde jsou relevantní komunikace viditelné.
Její limity jsou strukturální: všudypřítomné šifrování skrývá obsah payloadu a nutí spoléhat na metadata, načasování a reputaci destinací; cloud a softwarově definované sítě mohou provoz přesouvat kolem pevných senzorů; a behaviorální baseliny potřebují čas naučit, co „normální" v každém prostředí znamená — a budou označovat neobvyklé-ale-legitimní spolu se škodlivým.
Klíčové body
Primární účelDetekovat a vyšetřovat škodlivou či anomální aktivitu ze síťových důkazů.
Typické metodyAnalýza protokolů, behaviorální baseline, signatury, párování informací o hrozbách a korelace provozu.
Návrhová závislostUmístění senzorů, topologie sítě, viditelnost východ–západ, synchronizace času a uchované důkazy podstatně ovlivňují výsledky.
Důležité omezeníŠifrování, asymetrické směrování, cloudová architektura, vysoký objem provozu a aktivita omezená na hostitele mohou viditelnost snížit.