Pimealad IT-taristus: Mis on NDR ja kuidas see aitab sinu andmeid kaitsta?

www.gatewatcher.com

Oled investeerinud uue generatsiooni tulemüüri ja sisse lülitanud kõikvõimaliku funktsionaalsuse. Oled arvutitesse ja serveritesse paigaldanud korraliku pahavara kaitse (eesrindlikult oled läinud kohe EDR-i teed). Arvad, et sul on korralik nähtavus sellest, mis sinu taristus toimub?

Kui eelpoolnimetatud lahendused on hästi seadistatud, siis oledki juba paremas seisus kui paljud, kuid siiski on veel katmata nii mõnigi pimeala.

Network detection and response (NDR) on võtmetehnoloogia nende pimealade kaotamiseks - et näha, mis toimub võrguliikluse tasemel, eriti ida-lääne suunalises liikluses.

Selles artiklis räägime:

• Mis on NDR ja mis see ei ole?

• Kellele ja millal on NDR vajalik?

• Mis peab olema tehtud enne NDR-i kaalumist?

• Kuidas valida endale sobiv NDR ja miks meie soovitus on Gatewatcher?

Mis on NDR?

NDR (Network Detection and Response) on küberturbe tehnoloogia, mis jälgib ja analüüsib võrgu liiklust reaalajas, tuvastamaks ohte käitumise, mitte ainult signatuuride alusel. 

See:

• Kogub võrgu metaandmeid (NetFlow, IPFIX, täiskaadrid jms)

• Õpib, mis on sinu keskkonnas "normaalne"

• Otsib kõrvalekaldeid nagu külgliikumine, käsureapõhised rünnakud, andmete väljavool jne.

• Suudab tuvastada ohte ka krüpteeritud liikluses

  
  

Erinevalt traditsioonilistest IDS/IPS süsteemidest ei tugine see ainult teadaolevatele mustritele – NDR mõistab konteksti ja suudab reageerida tundmatutele ohtudele.

Mida NDR ei ole?

NDR ei asenda:

• EDR/XDR-i, mis jälgivad lõppseadmeid

• SIEM-i, mis korreleerib logisid erinevatest süsteemidest

• Tulemüüre või IPS-i, mis rakendavad reegleid või blokivad tuntud ohte

NDR ei blokeeri liiklust iseseisvalt (välja arvatud juhul, kui on integreeritud teise süsteemiga). Selle tugevus on tuvastamine ja nähtavus, millele saab reageerida juba ohu eemaldamise tegevustega.

Kellele on NDR vajalik ja mõistlik?

Väikeettevõttele, kus on 5 sülearvutit ja ruuter – mitte veel. 

Aga kui:

• Sul on 50+ kasutajat, segmenteeritud võrgud või mitu VLAN-i

• Sul on nii pilve- kui on-prem taristut

• Võrgus on IoT, OT või muid mittehallatavaid seadmed (nt kaamerad, HVAC, tööstusautomaatika)

• Pead vastama NIS2 regulatsioonile või ISO 27001 turbestandardile

• Sul puudub nähtavus võrgu sees toimuva üle

  
  

... siis on NDR järgmine loogiline samm. Eriti kasulik väiksematele tiimidele, kellel pole ressursse iga logikirjet käsitsi läbi kammida.

Milliseid probleeme NDR lahendab?

Ründajad ei anna enda tegevusest valjult teada. Nad sisenevad vaikselt läbi nõrkade lülide (phishing, paikamataturvanõrkus jne) ja liiguvad vaikselt võrgusiseselt. 

NDR aitab:

• Tuvastada anomaalset liiklust võrgu sees

• Tuvastada külgliikumist ja skanneerimist

• Leida pahavara ja kompromiteeritud seadmeid

• Paljastada vari-IT ja kahtlased seadmed

• Avastada andmete väljavoolu, sh krüpteeritud kanalites

• Kaitsta vanu või hallatamatuid süsteeme

  
  

Kõige olulisem – NDR vähendab tuvastusaega (dwell time), mis on kriitiline, et peatada rünnak enne suuremat kahju.

LISABOONUS: Oleme näinud praktikas, kuidas NDR aitab sinu senised küberturbe investeeringud kasulikuks muuta, tuvastades seadistusvigu tulemüürides, IDS/IPS lahendustes, veebirakenduse tulemüürides jne. NDR abil on võimalik kiirelt tuvastada, kui lihtsad ründed, mis ei tohiks perimeetri või lõppseadme kaitset läbida, seda seadistusvigade tõttu siiski teevad.

Millal on õige aeg NDR-i rakendada?

NDR ei ole kindlasti sinu esimene küberinvesteering. See tuleb teise või kolmanda kaitsekihi osana.

Mõtle NDR-ile, kui sul on juba:

• Paigaldatud ja seadistatud uue generatsiooni tulemüür (näiteks Stormshield või Clavister) ning VPN

• Lõppkasutajaseadme ja serverikaitse (ideaalis EDR)

Kui sul on nähtavus perimeetris ja lõppseadmetes, aga mitte selles, mis toimub nende vahel, siis on õige aeg.

SOC-i olemasolu ei ole eelduseks – tänapäevased NDR-id, nagu Gatewatcher, pakuvad selgeid vaateid, konteksti ja integratsioone. NDRi eelduseks ei ole SIEMi kasutamine.

Kuidas valida NDR-i ja miks meie valisime ning soovitame Gatewatcherit?

Kõik NDR-id ei ole võrdsed.

Valiku puhul küsi:

• Kui läbipaistev on tuvastusloogika? Kas ma saan uurida, miks midagi tuvastati?

• Kas toetatakse krüpteeritud liikluse analüüsi (TLS 1.3, decryption või TLS fingerprinting)?

• Kui hästi see integreerub SIEM-iga? Kas seda saab kasutada ilma SOC-ita?

• Kas lahendus on Euroopa päritolu, et vältida poliitilisi ja andmekaitse riske?

Replicant IT partner on Gatewatcher – Prantsusmaal loodud ja EL kriitilistes taristutes kasutatav NDR-lahendus.

Meie valisime Gatewatcheri, sest:

• See on läbipaistev ja arusaadav – erinevalt mõnest “mustast kastist”, saab siin süvitsi uurida, miks midagi tuvastati.

• Selle tuvastusmootor ühendab AI ja reeglipõhise lähenemise, võimaldades süstemaatilist analüüsi ja kiirendades oluliselt protsessi võrreldes vaid masinõppe põhiste platvormidega.

• See skaleerub alates väiksematest võrkudest kuni suurorganisatsioonideni.

• Sellel on lihtne ja arusaadav litsentseerimisloogika.

• Gatewatcher vastab Euroopa regulatsioonidele ja andmekaitsenõuetele, ilma USA tehnoloogia geopoliitiliste riskideta.

Kui soovid nähtavust, ohutuvastust ja reageerimisvõimet võrgus, võta ühendust ja testi!

NDR on lahendus, mis on vajalik selleks, et kaotada pimeala ühest olulisemast ründepinna osast - võrgust. Kui perimeetrikaitse (tulemüür) ja lõppkasutajaseadme kaitse (EPP; EDR) on paigas, on aeg mõelda, kuidas tagada nähtavus, ohutuvastus ja reageerimisvõime võrgus. Aeg on mõelda NDRi peale.

Kui soovid testida Gatewatcheri NDRi, võta meiega ühendust!