Ten kierunek myślenia podchwycił Gartner, tworząc koncept zwany Triadą Widoczności SOC, opierającą się na trzech uzupełniających się filarach. Dwa z nich to SIEM oraz wykrywanie i reagowanie na punktach końcowych (Endpoint Detection & Response – EDR). Trzeci nazwano NDR (Network Detection & Response – sieciowe wykrywanie i reagowanie), który wcześniej nazywany był po prostu analizą ruchu sieciowego. NDR dodaje perspektywę sieciową i tym samym uzupełnia Triadę Widoczności SOC.

Ideą triady jest siła wynikająca ze zróżnicowania: możliwości każdego rozwiązania niwelują słabości pozostałych dwóch. EDR jest tylko spojrzeniem na punkty końcowe, SIEM może przetwarzać różne logi (i nawet używać danych sieciowych jako źródła), a NDR zapewnia kompleksową perspektywę sieciową. Aby lepiej zrozumieć, w jaki sposób NDR pasuje do triady, rozważmy następujący przykład. Podczas podróży służbowej laptop pracownika został zainfekowany przez ransomware. Po powrocie i podłączeniu do sieci firmowej ransomware poszukuje podatnych urządzeń. W końcu atakujący odkrywają podatność i udaje im się niezauważenie zdobyć dane dostępowe. Dzięki nim uzyskują dostęp do wrażliwych danych prywatnych, które mogą zaszyfrować lub wykraść dzieląc je na mniejsze części i wysyłając w niewinnie wyglądającej komunikacji ICMP. Teraz EDR i SIEM powinny wykryć takie działania, jednak nie zawsze tak się dzieje i dlatego ciągle pojawiają się informacje o nowych atakach ransomware.

W takich przypadkach sprawdza się podejście zorientowane na monitorowanie sieci. Na każdym etapie ataku, przeciwnik zostawia ślady w ruchu sieciowym, które są niezwykle trudne do zamaskowania. One pozwalają NDR dodać znaczący poziom rzetelności do triady. Mimo że w żadnym wypadku nie zastępuje EDR lub SIEM, NDR jest kluczowym składnikiem w warstwowym systemie bezpieczeństwa, który jest potrzebny, by walczyć ze współczesnymi zagrożeniami.

Dodatkowe informacje: Jeżeli jesteś zainteresowany produktami Flowmon lub udziałem w Programie Partnerskim Flowmon napisz do naszego zespołu w Polsce: poland@flowmon.com.

Artykuł Triada Widoczności SOC: wezwanie do podejścia skoncentrowanego na sieci pochodzi z serwisu CRN.