Jellemzően csomagadatokat, flow-rekordokat, protokoll-metaadatokat, forgalmi mintákat vagy ezek kombinációját használja.
Az NDR feltárhat olyan rendszereken átívelő tevékenységet, amelyek nem támogatják a végpontagenteket — ezért hasznos adatközpontokban, felhőhálózatokban és operációstechnológiai környezetekben. Az elemzőknek is segíthe követni a laterális mozgást vagy a parancs- és vezérlési forgalmat, feltéve hogy a szenzorok ott vannak elhelyezve, ahol a releváns kommunikáció látható.
A korlátai strukturálisak: a mindenütt jelen lévő titkosítás elrejti a hasznos teher tartalmát, és metaadatokra, időzítésre és célreputációra kényszeríti a támaszkodást; a felhő- és szoftveresen definiált hálózatok a rögzített szenzorok mellett elvezethetik a forgalmat; a viselkedési alapvonalaknak pedig idő kell, hogy megtanulják, mit jelent a „normál" az egyes környezetekben — és a szokatlan, de legitim tevékenységet is jelölni fogják a rosszindulatú mellett.
Legfontosabb pontok
Elsődleges célRosszindulatú vagy anomális tevékenység észlelésa és kivizsgálása hálózati bizonyítékokból.
Tipikus módszerekProtokollelemzés, viselkedési alapvonal-készítés, szignatúrák, fenyegetésfelderítési egyeztetés és forgalomkorreláció.
Tervezési függőségA szenzorelyezés, a hálózati topológia, a kelet–nyugati láthatóság, az időszinkron és a megőrzött bizonyítékok lényegesen befolyásolják az eredményeket.
Fontos korlátA titkosítás, az aszimmetrikus útválasztás, a felhőarchitektúra, a nagy forgalom és a hoszton belül maradó tevékenység csökkentheti a láthatóságot.