NDR (Network Detection and Response) – класс средств защиты, которые анализируют сетевой трафик (сырые пакеты и метаданные потоков), строят модель нормального поведения сети, выявляют признаки атак и аномалии и позволяют реагировать на них. В России близкий класс часто называют NTA (Network Traffic Analysis).
Что обнаруживает
- Горизонтальное перемещение злоумышленника.
- Связь с серверами управления вредоносного ПО.
- Эксплуатацию уязвимостей и сканирование.
- Утечку данных и туннелирование.
- Аномальную активность устройств, включая IoT и OT.
Как работает
- Сбор трафика с зеркальных портов (SPAN) или TAP-устройств.
- Разбор протоколов, в том числе анализ метаданных зашифрованного трафика.
- Сигнатуры, поведенческая аналитика и машинное обучение.
- Хранение трафика для расследований.
- Реагирование: блокировки через межсетевые экраны, интеграция с SIEM и SOAR.
Место в защите
NDR дополняет EDR (конечные точки) и SIEM (журналы событий): видит сеть целиком, включая устройства без агентов.
