L'NDR (Network Detection and Response) cerca le minacce nel traffico di rete – complementare all'EDR, che guarda gli endpoint: alcune cose si vedono solo sul filo (un dispositivo IoT senza agent, il movimento laterale, il beaconing verso un C2).
La sfida moderna è che quasi tutto il traffico è cifrato – non puoi leggerne il contenuto. L'NDR aggira il problema con l'analisi senza decifrare:
- fingerprinting TLS (JA3/JA4): il modo in cui un client negozia il TLS è una firma – molti malware hanno handshake riconoscibili anche dentro HTTPS
- analisi comportamentale e dei metadati: volumi, tempistiche, destinazioni, pattern di beaconing (le connessioni regolari a intervalli fissi che tradiscono un C2), dimensioni dei flussi che suggeriscono esfiltrazione
- rilevamento di anomalie rispetto al normale della rete
Gli strumenti open source: Zeek (l'analizzatore di rete per eccellenza), Suricata (anche IDS/IPS), e i dati che confluiscono nel SIEM per la correlazione con endpoint e identità. È il pezzo che risponde alla domanda "cosa sta uscendo dalla mia rete che non dovrebbe?" – parente del controllo dell'egress, ma in chiave di rilevamento invece che di blocco.