什么是NDR

網(wǎng)絡(luò)檢測和響應(yīng) (NDR) 是一門從曾經(jīng)被稱為網(wǎng)絡(luò)流量分析的學(xué)科發(fā)展而來的學(xué)科?；旧?，隨著網(wǎng)絡(luò)流量變得更加復(fù)雜——并且更有可能是惡意的——網(wǎng)絡(luò)流量分析必須采取更加以安全為中心的軌跡。NDR 不依賴人工監(jiān)控器或更簡單的行為分析，而是依賴機器學(xué)習(xí)和自動化來改進威脅搜尋和事件響應(yīng)。

與防火墻等基于規(guī)則的安全工具不同，NDR 專注于非基于簽名的機器學(xué)習(xí)和分析技術(shù)。這些工具必須能夠基于連續(xù)的實時原始流量和流量分析對網(wǎng)絡(luò)行為進行建模，警告可能代表故障或攻擊者的異常行為和流量模式。他們還必須將分析超出傳統(tǒng)范圍，同時監(jiān)控南北和東西流量。

與專注于監(jiān)控入侵者周邊并在檢測到攻擊時發(fā)出警報的傳統(tǒng)入侵檢測系統(tǒng) (IDS) 類似，NDR 解決方案也專注于分析網(wǎng)絡(luò)通信以檢測和調(diào)查威脅。但主要區(qū)別之一是 NDR 包括自動響應(yīng)，例如觸發(fā)防火墻命令以丟棄可疑流量或手動響應(yīng)，例如提供威脅搜尋和事件響應(yīng)信息以進行更深入的挖掘。

確保完整的NDR可見性

優(yōu)化 NDR 工具性能的最佳方法是確保它獲得盡可能多的信息或數(shù)據(jù)包可見性。

根據(jù)Gartner 的網(wǎng)絡(luò)檢測和響應(yīng)市場指南，“網(wǎng)絡(luò)檢測和響應(yīng) (NDR) 仍然是一個“擁擠”的市場，進入門檻很低，因為許多供應(yīng)商可以將常見的分析技術(shù)應(yīng)用于從 SPAN 端口監(jiān)控的流量。

SPAN（代表交換機端口分析器）是網(wǎng)絡(luò)交換機上的專用端口。SPAN 端口將數(shù)據(jù)包鏡像到帶外安全工具（如 NDR）以進行分析。

如果您的 NDR 工具沒有獲得正確的數(shù)據(jù)，它將無法為您的網(wǎng)絡(luò)建立一個良好的基線——這意味著將更難檢測潛在的網(wǎng)絡(luò)異常。我們知道，許多供應(yīng)商考慮從 SPAN 端口鏡像流量并將分析技術(shù)應(yīng)用于輸出，這可能會捕獲潛在的惡意流量。盡管您可能對結(jié)果感到滿意，但您的可見性可能存在漏洞。

以下是 SPAN 的問題：

• 鏡像可以改變數(shù)據(jù)包內(nèi)的信息以及數(shù)據(jù)包時間。

• SPAN 的可用性較低、交換機可以在流量大的時候重新分配優(yōu)先級。

• 當端口超額訂閱時，SPAN 端口可能會丟棄數(shù)據(jù)包。

• SPAN 端口不會超過千兆范圍。

• SPAN 的雙向流量存在額外的安全漏洞。

SPAN 有它的用途。在低帶寬應(yīng)用程序以及不重要的應(yīng)用程序中，SPAN 將很好地發(fā)揮作用。但是，它并不適用于NDR。為了使 NDR 最有效地工作，它需要您提供的所有信息，盡可能準確。然而SPAN 端口無法做到這一點。

卓越的網(wǎng)絡(luò)可見性技術(shù)

當 IT 安全團隊設(shè)計 NDR 部署時，構(gòu)建適當?shù)倪B接和數(shù)據(jù)包可見性最佳實踐對于成功至關(guān)重要。這包括檢測網(wǎng)絡(luò) TAP 以提供完整的數(shù)據(jù)包可見性，以確保沒有威脅或異常隱藏在丟棄的數(shù)據(jù)包或盲點中。

虹科的網(wǎng)絡(luò) TAP 具有單向數(shù)據(jù)二極管電路，可確保生產(chǎn)網(wǎng)絡(luò)和監(jiān)控工具的安全。將網(wǎng)絡(luò) TAP 與網(wǎng)絡(luò)數(shù)據(jù)包代理配對可提供流量減少功能，例如聚合和重復(fù)數(shù)據(jù)刪除，可提高 NDR 工具的性能。提供這種可見性基礎(chǔ)可確保按計劃進行持續(xù)的實時原始流量分析功能。

虹科專注于做我們最擅長的事情——提供簡單易用的創(chuàng)新網(wǎng)絡(luò) TAP 和數(shù)據(jù)包代理，旨在將數(shù)據(jù)包傳送到 NDR 部署。希望為您的 NDR 部署添加安全的 TAP 可見性？

虹科提供完整的網(wǎng)絡(luò)可見性解決方案，包括網(wǎng)絡(luò)TAP，ByPass交換機和匯聚分流設(shè)備。網(wǎng)絡(luò)可見性對保證NTA/NDR工具準確性至關(guān)重要。網(wǎng)絡(luò)可見性方案可以復(fù)制來自網(wǎng)絡(luò)任何部分的相關(guān)數(shù)據(jù)，包括內(nèi)部、云和虛擬環(huán)境中的數(shù)據(jù)。通過網(wǎng)絡(luò)匯聚分流設(shè)備，數(shù)據(jù)可被有效地傳遞到網(wǎng)絡(luò)監(jiān)控，安全和分析解決方案，以確保沒有“盲點”。

往期推薦

【虹科】進階-端到端的網(wǎng)絡(luò)流量監(jiān)控

【虹科】-網(wǎng)絡(luò)監(jiān)控協(xié)議總結(jié)

【虹科】使用nprobe+ntopng監(jiān)控上百個路由器流量

【虹科】-使用Allegro快速分析網(wǎng)絡(luò)負載問題