什么是网络检测和响应(NDR)？

网络检测和响应 (NDR) 解决方案旨在使用人工智能 (AI)、机器学习 (ML) 和数据分析来检测企业网络上的网络威胁。这些工具通过持续分析跨越企业边界的网络北/南流量以及东西横向流量来构建正常行为模型，然后使用这些模型来识别异常或可疑的流量模式。

NDR 解决方案还应包含发出警报以外的事件响应功能。这可能包括自动更新防火墙规则以阻止可疑流量或提供有助于事件调查和 威胁搜寻的功能。

NDR 解决方案的必要性

大多数网络攻击都发生在网络上，这对防御者来说既好又坏。一方面，可以通过网络级防御来检测和缓解网络攻击。另一方面，普通组织网络的复杂性和规模以及网络威胁行为者的日益复杂使得难以从合法流量中挑选出攻击。

深入的网络可见性和高级威胁预防和检测功能对于保护企业免受网络威胁至关重要。传统的、基于签名的检测方法通常无法有效应对现代威胁，给组织留下一种错误的安全感。NDR 安全解决方案提供组织所需的额外网络级安全和威胁防御功能层。

NDR 如何工作？

NDR 解决方案应该能够通过战略性放置的传感器监控南北和东西向的交通流。这提供了深度网络可见性，支持 NDR 解决方案的其他功能，包括：

• 网络事件检测： NDR 解决方案超越基于签名的检测，使用人工智能 (AI)、机器学习 (ML) 和数据分析来分析网络流量。这使他们能够检测模式并识别网络流量中的异常情况，从而检测可疑或恶意流量。
• 调查： NDR 安全解决方案监控网络流量并提取可能指向异常或可疑连接的模式。NDR 解决方案使用此信息生成自动响应，并提供给 安全运营中心 (SOC) 分析师以促进他们的事件调查活动。
• 情报管理：网络检测和响应解决方案可能会消耗来自组织内部和外部的威胁情报。此情报用于帮助检测网络流量中的潜在威胁，并可作为融合安全架构的一部分与其他安全解决方案共享。
• 源创建： NDR 解决方案的主要作用是为 SOC 分析师提供对当前安全状况和网络威胁的洞察。NDR 将创建安全警报提要，指示可疑和潜在的恶意网络流量。
• 威胁预防：除了提醒安全分析师注意潜在威胁外，NDR 解决方案还可以自动主动采取行动，防止 网络攻击 得逞。这可能包括使用防火墙和其他安全解决方案来阻止可疑或已知不良流量到达其目的地，从而中断攻击。

NDR 如何增强您的安全性？

传统的网络安全解决方案通常以检测为重点，并使用基于签名的检测功能。在保护企业免受现代网络威胁时，这两者都是责任。

许多遗留安全解决方案中使用的基于签名的检测方案，例如传统的防病毒和入侵检测系统(IDS)，在检测现代威胁方面不再有效。网络犯罪分子通常使用旨在区分不同活动的恶意软件，这意味着签名一旦生成就会过时。NDR 解决方案使用高级 AI 检测功能来识别和响应甚至尚不存在签名的新型网络威胁。

NDR 提供企业网络内部的可见性，使分析人员能够确定受影响的资产并将其异常行为关联起来，从而为攻击者的策略、技术和程序提供指标。指标用于破坏和遏制攻击，并指导损害评估和恢复操作。