Network detection and response (NDR) usa una combinación de tecnologías y metodologías de ciberseguridad para identificar anomalías y responder ante las amenazas que pudiesen pasar inadvertidas en otras medidas de seguridad.
Índice
Definición de NDR
Network Detection and Response (NDR) es un tipo de solución de ciberseguridad diseñada para ayudar a proteger la infraestructura de la red contra amenazas conocidas y desconocidas. Usa machine learning (ML), monitoreo activo, analíticos de comportamiento y otras capacidades y tecnologías integradas para ayudar a las organizaciones a identificar, aislar y mitigar los riesgos asociados con la red. Originalmente conocido como Network Traffic Analysis (NTA), NDR ha evolucionado con capacidades de seguridad de la red con funciones proactivas.
¿Por qué es necesario NDR?
Los equipos del centro de operaciones de seguridad (SOC) están bajo una inmensa presión para proteger a sus organizaciones contra las ciberamenazas. Conforme las operaciones exploran opciones de despliegue remoto e híbrido, las amenazas evolucionan y proliferan mientras que las fronteras de la red se vuelven menos precisas. NDR le brinda mayor visibilidad y mejores insights sobre su ambiente de la red, ayudándole a mantener una seguridad proactiva.
NDR monitorea y analiza continuamente el tráfico de la red por medio de inspección profunda de paquetes, análisis de comportamiento y machine learning (ML). Detecta anomalías e identifica las amenazas potenciales, integrándose con fuentes de inteligencia de amenazas para una máxima efectividad. Al combinar el monitoreo en tiempo real con una respuesta y mitigación automatizadas, NDR hace posible que los equipos del SOC puedan defender proactivamente contra ciberamenazas sofisticadas y minimizar el impacto de los incidentes de seguridad.
¿Cuáles son los desafíos que NDR puede resolver para los equipos del SOC?
Exceso de alertas, falsas alarmas y riesgos no priorizados
Los SOCs también se ven abrumados por las alertas, incrementando el número de falsas alarmas e incluso ataques que pasan desapercibidos. Incluso con ese incremento, podrían no tener la información necesaria para comprender los incidentes o los riesgos. Si existe mucho ruido o información poco precisa o accionable, es complicado prevenir las amenazas.
NDR aborda estos problemas al monitorear el tráfico web y el comportamiento de los dispositivos dentro de la red. Se puede detectar, analizar y clasificar cualquier actividad alrededor de un dispositivo no gestionado, incluso si no se puede “ver” el dispositivo en sí. Además, las capacidades de correlación de NDR encuentran patrones y unen los puntos para diferenciar de forma más precisa entre las amenazas legítimas y las actividades benignas. Detecte activos no gestionados dentro de su red. Detecte y correlacione lo que de otra forma podrían ser alertas de baja confianza o sin suficiente contexto. Entonces, encuentre a las amenazas y elimine a los atacantes de su red.
Activos no gestionados y no protegidos, e integraciones de IA
Dentro de la red, existen también los activos no gestionados: dispositivos que no cuentan con agentes de seguridad instalados, o cuyas configuraciones de seguridad están desactualizadas o incluso erróneas. De acuerdo con algunas estimaciones, los activos no administrados pueden superar en número a los gestionados en un índice de 2 a 1. Puede resultar complicado parchar y muy rara vez son escaneados para detectar vulnerabilidades.
Algunos es posible que algunos activos no gestionados no puedan escanearse en primer lugar. Cuando se trata de dispositivos más antiguos, los fabricantes podrían tardar en divulgar actualizaciones de seguridad o podrían no lanzar actualizaciones, lo cual se conoce como fin del soporte. Para que los equipos de TI puedan actualizar la seguridad de estos activos, posiblemente deben volver a desplegarlos primero o agregarles licencias, lo cual requiere de esfuerzo y costos que no son fáciles de justificar, incluso si esos dispositivos llegaran a representar un problema de seguridad.
Por todas estas razones, los cibercriminales han desarrollado un gusto por los dispositivos no gestionados. Son excelentes lugares para ocultarse. Los atacantes pueden usar herramientas completamente legítimas y autorizadas para moverse dentro de la red sin llamar la atención usando los dispositivos no gestionados, a veces pasando días, semanas o incluso meses. Al mismo tiempo, los cibercriminales que obtienen acceso a su red podrían usar sus agentes de inteligencia artificial (IA) y modelos en su contra.
Las soluciones como la detección y respuesta extendidas (EDR), la detección y respuesta de amenazas en identidades (ITDR) y la gestión de la exposición a riesgos cibernéticos no fueron diseñados para encontrar a las amenazas que se ocultan en los activos no administrados o ver dentro del tráfico de la red. NDR cumple con este rol, exponiendo y correlacionando incluso las anomalías más sutiles causadas por las amenazas que de otra forma podrían pasar desapercibidas. Encuentre los activos no gestionados dentro de la red, detecte y correlacione lo que de otra forma serían alertas de baja confianza o sin suficiente contexto, y detenga las amenazas y elimine a los atacantes.
Visibilidad, correlación y seguimiento del camino de ataque limitados
No puede proteger lo que no puede ver. Los atacantes están usando la encriptación para ocultar sus pasos. Es esencial tener visibilidad del tráfico descifrado de la red para prevenir incidentes en la red. NDR le brinda a los equipos del SOC mayor visibilidad sobre lo que está sucediendo en la red por medio de la extracción de metadatos de la red de todo el tráfico, sin importar si es sospechoso o no. Algunas soluciones pueden incluso analizar el tráfico encriptado en la red para ayudar a identificar los riesgos de forma rápida y precisa.
Estos metadatos son correlacionados con amenazas potenciales, permitiéndole visualizar la huella que deja un ataque y cerrar cualquier brecha o punto expuesto. Visualice la cadena completa del ataque, identifique su causa raíz y determine el alcance completo de un incidente a través de todo el stack de seguridad. NDR también brinda una forma de descubrir las vulnerabilidades latentes. Se pueden unir los resultados de herramientas de terceros con el conocimiento de expertos para que las debilidades potenciales sean parchadas de forma preventiva.
Al consolidar su data lake y sus soluciones de ciberseguridad e una sola plataforma de ciberseguridad, los insights obtenidos por NDR pueden aprovecharse de forma más efectiva, particularmente en conjunto con la automatización impulsada con IA. Esto ayuda a su equipo a liberar workloads, acelerar la detección, reducir los costos y los falsos positivos, y mantenerse un paso adelante de los adversarios. Las soluciones NDR que puedan correlacionar datos de múltiples capas tienen mayores posibilidades de aislar amenazas reales, detonando alertas reales que los equipos del SOC puedan abordar sin cuestionarlas.
¿Cuáles son los componentes de una solución NDR?
Las soluciones más proactivas de NDR incorporan poderosos componentes y funcionalidades, incluyendo:
- Modelar el tráfico de la red para que los incidentes extraños destaquen, y la detección sea con base en el comportamiento y no en firmas específicas; esto requiere de analíticos avanzados y ML.
- Entregar un índice consistentemente bajo de falsos positivos una vez que se ha configurado correctamente la solución, de forma que los equipos del SOC puedan confiar en los resultados que obtienen.
- La capacidad de agregar y correlacionar alertas en “incidentes estructurados”, facilitando que los profesionales de seguridad prioricen el riesgo e investiguen las amenazas.
- La capacidad de contener o bloquear amenazas con respuestas automatizadas, optimizando las operaciones de seguridad.
- La capacidad de escalar conforme las redes se expanden y más dispositivos se conectan e interactúan con ellas.
- Mejora continua integrada
Soporte para enfoques zero-trust
Zero Trust es el mejor framework que tenemos actualmente para limitar el acceso a los recursos y activos corporativos, ayudando a las organizaciones a prevenir brechas y ataques. Un reporte de ESG de 2024 reveló que más de dos tercios de las organizaciones están implementando políticas zero-trust.* Para mantenerse un paso adelante de los atacantes, operacionalizar zero trust junto con funcionalidades como NDR es clave. Esto empodera a su equipo con un entendimiento integral de los activos en la red, el comportamiento de los usuarios y el flujo de la información, ayudándole a descubrir y gestionar proactivamente el riesgo.
NDR en línea vs. NDR fuera de banda
Los sensores en línea de NDR mejoran las operaciones de seguridad al estar, como insinúa su nombre, dentro del flujo de tráfico de la red, a diferencia de los enfoques más tradicionales de NDR. NDR en línea puede descifrar, analizar y responder automáticamente ante comportamientos sospechosos. Este enfoque interactivo y en tiempo real para la protección de la red es la opción ideal, brindándole a los equipos del SOC las herramientas, velocidad y eficiencia necesarias para proteger proactivamente sus ambientes.
El NDR fuera de banda está menos involucrado, ya que los sensores se encuentran fuera del tráfico de la red. Este enfoque es más pasivo, revisando de forma más discreta el tráfico de la red. NDR fuera de banda era recomendado para ambientes más sensibles, como aquellos con requerimientos estrictos de cumplimiento o necesidades muy específicas de desempeño. Sin embargo, debido a que es un enfoque más aislado y en silos, ha pasado a ser obsoleto.
¿Cuáles son los beneficios de las soluciones NDR?
Integración e interoperabilidad sin fricciones
NDR puede integrarse a ambientes con configuraciones preexistentes de seguridad, incluyendo firewalls, EDR, XDR y sistemas SIEM (gestión de información y eventos de seguridad). Los playbooks dedicados, servicios gestionados y soporte para vendors ayuda a su equipo del SOC a asegurar una integración sin complicaciones. Esto prepara el camino para una mejor correlación de información y visibilidad de riesgos.
Rápida respuesta a incidentes y priorización de riesgos
NDR le permite actuar más rápido que sus adversarios, gestionando proactivamente los riesgos conocidos y desconocidos en la red con mayor velocidad y precisión. Los workflows automatizados ayudan a los equipos del SOC a organizar y priorizar las alertas de seguridad, aliviando la carga, la fatiga y la confusión causados por un exceso de alertas, además de liberar recursos. Los insights contextualizados y consolidados de los incidentes de seguridad les permitirán responder más rápido, abordando las vulnerabilidades antes de que pueda suceder cualquier daño.
Reducción del número de falsos positivos
Al hacer cumplir controles de acceso estrictos y al monitorear los activos, comportamientos y flujos de datos en la red, NDR ayuda a los equipos del SOC a detectar y prevenir movimientos laterales y escalamientos de privilegios no autorizados. Menos falsos positivos significa poder concentrarse en los eventos que requieren atención más urgente.
Alineación con zero trust
La implementación de NDR ayuda a las organizaciones a adoptar la seguridad zero trust, controlando la información sensible y los accesos a datos, activos y la red. Al constantemente monitorear el comportamiento de los usuarios y las actividades de los dispositivos, NDR facilita la detección de acciones riesgosas y hace cumplir las políticas de acceso, reduciendo la probabilidad de que suceda un acceso no autorizado.
Escalabilidad y adaptación ante las últimas amenazas
NDR permite que los equipos del SOC continuamente optimicen sus operaciones, escalando con ellos al mismo tiempo que reduce el desgaste. Los insights detallados de riesgo presentan oportunidades para anticipar y adaptarse ante las nuevas amenazas. Esto es crucial debido a que las tecnologías, y el mismo panorama de la red, están cambiando constantemente. Mantener el paso ya no es suficiente.
¿Cómo funcionan las soluciones de NDR con IA?
Los actores maliciosos están abusando del potencial de la IA, haciendo del cibercrimen más peligroso. Al mismo tiempo, la IA puede ayudar a fortalecer sus defensas. Puede aprovecharla para la inteligencia de amenazas, la gestión de activos y perfiles, predecir caminos de ataque, y para guiar la remediación, incluyendo en NDR, EDR y XDR, para operar e innovar de forma más segura.
IA y ML son el corazón de NDR, transformando cómo los equipos del SOC gestionan los riesgos y protegen los ambientes en la red. Estas tecnologías permiten que las organizaciones cambien de un enfoque de seguridad reactiva a uno proactivo, fortaleciendo la protección en tiempo real mientras se adaptan a los cambios en sus ambientes, los comportamientos de sus usuarios y los métodos de ataque.
Los workflows automatizados de respuesta y el data lake de seguridad consolidado empoderan a los equipos del SOC para actuar más rápido que los atacantes, abordando riesgos y mitigando amenazas antes de que escalen. La interoperabilidad sin fricciones con soluciones XDR, EDR, SIEM y SOAR también puede asegurar que su seguridad de la red nunca está en silos o desconectada. En su lugar, puede gestionarse holísticamente a través de cada capa de su ambiente.
¿Dónde puedo obtener ayuda con la detección y respuesta en la red (NDR)?
Tener la solución NDR correcta es la clave, pero necesita tener la capacidad de predecir la cadena completa de ataque, identificar la causa raíz y el alcance completo de los incidentes, y aplicar proactivamente medidas de detección y respuesta entre capas. Trend Vision One™ XDR for Networks ofrece todo esto e insights detallados de su red y las amenazas que se ocultan entre capas, asegurando que cumple con normativas y eliminando los puntos ciegos.
Una vez que tiene la visión de alto nivel, puede lograr una defensa resiliente y continua con acciones nativas en línea, playbook automáticos y/o respuestas integradas de terceros por medio de acciones de respuesta a través de las capas de seguridad.
*Fuente: Grady, J. (2024, February 14). Trends in Zero Trust: Strategies and practices remain fragmented, but many are seeing success. TechTarget. https://www.techtarget.com/esg-global/survey-results/trends-in-zero-trust-strategies-and-practices-remain-fragmented-but-many-are-seeing-success/
Joe Lee es Vice Presidente de Gestión de Producto en Trend Micro, donde lidera el desarrollo y la estrategia global y de productos para soluciones empresariales de email y redes.
Preguntas Frecuentes
¿Qué es NDR en seguridad?
Network Detection and Response (NDR) es una solución de ciberseguridad que monitorea el tráfico en la red para identificar, prevenir y responder ante ciberataques.
¿Es NDR mejor que EDR?
Ninguno es “mejor”. Endpoint detection and response (EDR) protege a los endpoints como computadoras o teléfonos. Network detection and response (NDR) protege redes completas.
¿Qué significa NDR en seguridad?
NDR significa detección y respuesta en la red. NDR es una solución de ciberseguridad que monitorea el tráfico de la red para detectar anomalías y posibles ciberamenazas.
¿Cuál sería un ejemplo de detección y respuesta en la red?
Ejemplos de herramientas de detección y respuesta en la red (NDR) incluyen software de detección de malware, sistemas de detección de amenazas internas y herramientas de detección de phishing.
¿Cuál es el propósito de NDR?
El propósito de NDR es identificar, detectar y responder ante ciberataques potenciales y otras amenazas en las redes de TI.
¿Cuál es la diferencia entre un firewall y la detección y respuesta en la red?
Los firewalls son defensas perimetrales que evitan que los actores maliciosos accedan a los sistemas sin autorización. NDR detecta las amenazas que evaden al firewall.
¿Qué es la detección de amenazas en la red?
Network Threat Detection, o la detección de amenazas en la red, es un proceso de ciberseguridad que monitorea el tráfico de la red para identificar y detectar ciberataques y ciberamenazas en tiempo real.
¿Cuáles son los 4 tipos de seguridad en la red?
Los 4 tipos principales de seguridad para la red son firewalls, redes privadas virtuales (VPNs), sistemas de detección y prevención de intrusiones (IDPS) y controles de acceso y autorización.
¿Cuáles son los 5 tipos de riesgos de ciberseguridad más importantes?
Los 5 riesgos más importantes actualmente son los ataques de ransomware y malware, estafas de phishing, brechas de datos, amenazas internas, y ataques DDoS (distributed denial-of-service).
¿Para qué se usa NDR?
NDR (detección y respuesta en la red) es una solución de ciberseguridad que se usa para identificar, prevenir y proactivamente responder a las ciberamenazas potenciales en el tráfico en la red.
Artículos Relacionados
Trend 2025 Cyber Risk Report
Desde el Evento hasta el Insight: Desglosando un Escenario de Business Email Compromise (BEC) en B2B
Comprendiendo las Etapas Iniciales de las Amenazas Web Shell y VPN: Un Análisis de MXDR
The Forrester Wave™: Enterprise Detection and Response Platforms, Q2 2024
Es Hora de Actualizar su Solución de EDR
La Amenaza Silenciosa: La Herramienta EDRSilencer de los Equipos Rojos Disrumpe las Soluciones de Seguridad de Endpoints
Modernice su Estrategia Federal de Ciberseguridad con FedRAMP
Líder en el Cuadrante Mágico™ de Gartner® 2025 para Plataformas de Protección de Endpoints (EPP)