什麼是網路偵測及回應 (NDR)？

SOC 經常被警報通知所淹沒，不僅造成了誤判，更可能漏掉一些攻擊。但即使有這麼多的警報，SOC 可能還是缺乏徹底了解事件或風險所需的資料。假使有太多雜訊，同時又太少準確、精簡、可化為行動的資訊，那就很難查明及防範威脅。

NDR 藉由監控您的網路流量與裝置行為來解決這些難題。任何未受管理裝置的活動都能被偵測、分析並判定為異常，即使無法看到裝置本身。此外，NDR 的交叉關聯能力可以過濾各種行為模式、並串連各種線索，協助您更準確地分辨真正的潛在威脅與無害的活動。找出網路上未受管理的資產，偵測並交叉關聯那些在缺乏充分情境之下可能被判定為「微弱訊號」的低信賴度警報，接著，鎖定威脅並揪出駭客。

網路上經常含有大量未受管理的資產，換句話說，就是未安裝資安代理程式、或者資安組態設定錯誤或過時的裝置。根據一些估計，「未受管理」的資產數量可能遠超過「受管理」的資產數量 (二比一)。這些是很難修補、而且也很少被掃描的漏洞。

有些未受管理的資產甚至掃描不到，尤其是老舊的裝置，其製造商可能久久才推出一次安全更新，或是裝置再也不會收到更新，也就是進入了「終止支援」階段。對 IT 團隊來說，想要升級這些資產的安全性，必須先重新部署這些資產，或者先增加授權，這樣一來得花費一些無端的人力和成本，即使這些裝置已經變成資安上的負債。

基於以上原因，駭客自然容易盯上這些未受管理的裝置，因為它們提供了絕佳的藏匿地點。駭客可藉由完全正常且經過授權的工具，在未受管理的裝置之間遊走而不引起注意，暗中潛伏數天、數週、甚至數個月。同時，已經進入您網路的駭客也可能開始利用您的人工智慧 (AI) 代理和模型訂閱來為自己牟取福利。

端點偵測及回應解決方案 (EDR)、身分威脅偵測及回應 (ITDR)，以及資安曝險管理，並非設計用來偵測未受管理資產當中的潛伏威脅，也無法檢查網路流量的內容。NDR 剛好填補了這個角色，它能發掘甚至交叉關聯那些未被發現的威脅所造成的細微異常情況。找出網路上未受管理的資產，偵測並交叉關聯那些在缺乏充分情境之下可能被判定為「微弱訊號」的低信賴度警報，接著，鎖定威脅並揪出駭客。

您無法保護您看不見的東西，駭客正在利用加密來掩蓋足跡，因此，取得加密網路流量的可視性是防範網路事件不可或缺的要素。NDR 讓 SOC 團隊更清楚掌握網路的狀況，它會擷取「所有」網路流量的 metadata，不論是否可疑。有些解決方案甚至可以分析加密的網路流量，進而準確快速地偵測風險。

藉由交叉關聯這些 metadata 以及潛在的威脅，您就能將攻擊的足跡視覺化，進而消除任何曝險。同時還可看到攻擊的完整過程、找出問題的根源，並判斷事件在整個資安堆疊上的牽涉範圍。此外，NDR 還提供了一種發掘潛在漏洞的方法。有了第三方掃描工具的輸出結果，再配上專家的資安知識，就能預先修補潛在的漏洞。

當您透過單一網路資安平台來將資料湖與網路資安解決方案整合時，來自 NDR 的洞見就能更快、更有效率地發揮效用，尤其是搭配 AI 驅動的自動化。這樣就能幫助您的團隊減輕工作負擔、加快偵測速度、降低成本和誤判，並隨時領先敵人一步。能夠交叉關聯多重防護層資料的 NDR 解決方案，就更有機會過濾出真正的威脅，進而觸發有意義的警報讓 SOC 團隊相信這些警報確實必須處理。