Powszechnie używa danych pakietów, rekordów przepływów, metadanych protokołów, wzorców ruchu lub kombinacji tych źródeł.
NDR może ujawniać aktywność na systemach, które nie obsługują agentów punktów końcowych, czyniąc go użytecznym w centrach danych, sieciach chmurowych i środowiskach technologii operacyjnej. Może też pomagać analitykom śledzić ruch boczny lub ruch command-and-control, pod warunkiem że czujniki są umieszczone tam, gdzie istotna komunikacja jest widoczna.
Jego granice są strukturalne: wszechobecne szyfrowanie ukrywa treść ładunku i wymusza poleganie na metadanych, timingu i reputacji destynacji; sieci chmurowe i definiowane programowo mogą przenosić ruch obok stałych czujników; a bazy behawioralne potrzebują czasu, by nauczyć się, co znaczy „normalne" w każdym środowisku — i będą oznaczać niezwykłe, ale legalne obok złośliwego.
Najważniejsze punkty
Główny celWykrywać i badać złośliwą lub anomalną aktywność na podstawie dowodów sieciowych.
Typowe metodyAnaliza protokołów, bazowanie behawioralne, sygnatury, dopasowywanie informacji o zagrożeniach i korelacja ruchu.
Zależność projektowaUmiejscowienie czujników, topologia sieci, widoczność wschód–zachód, synchronizacja czasu i zachowane dowody istotnie wpływają na wyniki.
Istotne ograniczenieSzyfrowanie, routing asymetryczny, architektura chmurowa, wysoka objętość ruchu i aktywność zamknięta w hoście mogą redukować widoczność.