Folosește în mod obișnuit date de pachete, înregistrări de flux, metadate de protocol, tipare de trafic sau o combinație a acestor surse.
NDR poate revela activitate pe sisteme care nu suportă agenți de endpoint, făcându-l util în centre de date, rețele cloud și medii de tehnologie operațională. Poate ajuta și analiștii să urmărească mișcarea laterală sau traficul de comandă și control, cu condiția ca senzorii să fie poziționați acolo unde comunicațiile relevante sunt vizibile.
Limitele sale sunt structurale: criptarea omniprezentă ascunde conținutul payload-ului și forțează dependența de metadate, temporizare și reputația destinației; cloud-ul și rețelele software-defined pot muta traficul pe lângă senzori fixi; iar baselinile comportamentale au nevoie de timp pentru a învăța ce înseamnă „normal” în fiecare mediu — și vor semnala atât neobișnuitul-dar-legitim, cât și malițiosul.
Puncte esențiale
Scop principalDetectarea și investigarea activității malițioase sau anormale din dovezi de rețea.
Metode tipiceAnaliza protocoalelor, stabilirea profilurilor de bază ale comportamentului, semnături, potrivirea informațiilor despre amenințări și corelarea traficului.
Dependență de proiectareAmplasarea senzorilor, topologia rețelei, vizibilitatea est-vest, sincronizarea timpului și dovezile păstrate afectează material rezultatele.
Limitare importantăCriptarea, rutarea asimetrică, arhitectura cloud, volumul mare de trafic și activitatea limitată la o gazdă pot reduce vizibilitatea.