Czym jest wykrywanie sieci i jak działa?

W trosce o bezpieczeństwo i wydajność, inżynierowie muszą szybko znajdować problemy sieciowe i od razu podejmować próbę naprawienia ich. Jest to wykrywanie i reagowanie sieci (NDR).

NDR to bardzo ważny element strategii bezpieczeństwa organizacji. Czym jednak dokładnie jest?

Funkcja NDR wykorzystuje techniki nieoparte na sygnaturach (w przeciwieństwie do oprogramowania antywirusowego i antymalwarowego) takie jak uczenie maszynowe, w celu wykrywania podejrzanego ruchu który może wskazywać na cyberatak. Rozwiązania NDR analizują dane dotyczące ruchu sieciowego i przepływów w celu zbudowania modeli, które określają standardowy ruch, a następnie wykrywają odchylenia i generują alerty.

Ważną funkcją NDR jest również reagowanie. Reakcje automatyczne (np. wysyłanie poleceń do zapory sieciowej w celu usunięcia podejrzanego ruchu) lub ręczne (np. udostępnianie narzędzi do wyszukiwania zagrożeń) to jego flagowe funkcjonalności.

Triada widoczności Security Operations Center (SOC)

Podczas gdy NDR ma kluczowe znaczenie dla bezpieczeństwa sieci i IT, równie ważne jest posiadanie rozwiązań uzupełniających, razem z którymi stworzy kompleksową ochronę organizacji.

Jedną z koncepcji jest Triada Widoczności SOC. Według niej wdrażanie uzupełniających się narzędzi bezpieczeństwa, które nawzajem rekompensują swoje braki, znacznie zmniejsza szanse że atakującym uda się osiągnąć ich cele.

Trzy filary triady to:

• EDR dla bezpieczeństwa punktów końcowych,
• SIEM do przetwarzania dzienników i korelacji zdarzeń,
• NDR do analizy zachowań z perspektywy sieci.

Pierwszy z nich, SIEM, odpowiada za zarządzanie informacjami dotyczącymi bezpieczeństwa. W dużym krajobrazie dział IT potrzebuje sposobu na gromadzenie wszystkich istotnych dzienników i analizowanie ich. Robienie tego ręcznie jest bardzo czasochłonne i nieopłacalne, dlatego posiadanie rozwiązania SIEM jest niezwykle istotne dla zachowania bezpieczeństwa i oszczędzania zasobów.

Drugi filar, EDR, zapobiega naruszeniom na punktach końcowych. Taka inwazja mogłaby prowadzić do prawdziwej katastrofy, dlatego to jedna z ważniejszych części dobrze zaplanowanej ochrony.

Trzecim filarem jest NDR, czyli wykrywanie i reagowanie sieci. Oprócz włamań sieciowych, rozwiązanie także:

• segreguje problemy,
• ogranicza je do tego, co naprawdę ważne,
• filtruje szumy.

NDR pozwala zespołowi IT dotrzeć do elementów, które naprawdę mają znaczenie i określić ich faktyczny wpływ na krajobraz.

Rozwiązania te wykorzystują techniki analityczne do wykrywania podejrzanego ruchu w sieciach korporacyjnych. Narzędzia stale analizują zapisy ruchu i przepływu, aby budować modele odzwierciedlające standardowe zachowanie.

SIEM i EDR to ważne rozwiązania, jednak pozostawiają martwe punkty w obronie. Jeżeli dodamy do tego NDR, wypełni on luki w zabezpieczeniach sieci.

Stanie się tak, ponieważ każdy zasób w chmurze lub lokalnym centrum danych używa sieci do komunikacji. To sprawia, że NDR jest najlepszym źródłem informacji na temat bezpieczeństwa w hybrydach. Zaawansowane rozwiązania są również w stanie monitorować i analizować zaszyfrowany ruch. Szacuje się, że w ten sposób ukrywa się 90% złośliwego oprogramowania.

Progress Flowmon jest rozwiązaniem, które umożliwia monitorowanie wydajności sieci w oparciu o flowy, co pozwala na śledzenie wykorzystywania przepustowości, zrozumienie struktury ruchu i wskazanie pierwotnej przyczyny problemów z siecią w środowiskach lokalnych, brzegowych i chmurowych.

To znakomite uzupełnienie ochrony każdej organizacji.

Jeśli chcesz dowiedzieć się więcej o rozwiązaniu, skontaktuj się z Tomaszem Domalewskim, który jest opiekunem tego rozwiązania w Bakotechu.