什麼是 NDR（網路偵測與回應）？
網路偵測與回應（NDR）可強化網路安全。了解 NDR 解決方案如何協助有效偵測並回應威脅。
網路偵測與回應（NDR）解決方案可為網路流量提供可視性與威脅偵測能力。本指南將探討 NDR 的功能與優勢，包括異常偵測與事件回應。
了解 NDR 在全面性安全策略中的重要性，以及實作的最佳實務。理解 NDR 對於組織保護其網路免受網路威脅侵害至關重要。
網路偵測與回應（NDR）的演進
起初，企業擷取網路流量是為了測試其網路環境的效能水準。隨著全球各產業與網路中的資料量開始攀升，這項能力逐漸演變為用於網路防禦的資源。
在被稱為網路偵測與回應之前，用於監控網路流量的技術最初稱為網路流量分析（NTA）。雖然 NTA 仍是當今網路安全與安全營運中心（SOC）實務中的重要一環，但其已大幅擴展，以涵蓋網路偵測與安全的各個面向。
如今，像是 SentinelOne’s Singularity™ Endpoint 這類 NDR 解決方案，結合了先進的行為分析、人工智慧（AI）與機器學習（ML），以及雲端技術。所有這些組成部分共同構成現代 NDR 解決方案，對於希望提升偵測能力、識別傳入威脅的風險等級，以及自動化與調查分析和遙測相關任務的組織而言，是相當受歡迎的選擇，讓資安專業人員能專注於分流流程與威脅回應。
網路偵測與回應（NDR）如何運作？
網路偵測與回應解決方案的運作方式，是持續擷取並關聯組織網路中的原始網路流量與活動。系統會從網路邊界收集資料以擷取南北向流量，也會從網路內部的感測器收集資料以擷取東西向流量。
強大的 NDR 會運用 AI 與 ML 演算法，建立對組織正常或典型網路流量的基準理解，並據此捕捉異常的惡意活動。AI 與 ML 也用於建立對手戰術、技術與程序（TTP）的模型，並對應至 MITRE ATT&CK 框架，以精準偵測威脅行為者的行為。
安全團隊也會使用 NDR 進行端對端的攻擊時間軸鑑識，顯示初始的 資料外洩、橫向移動，以及其他已採取的惡意活動，然後再觸發自動化的預防與緩解動作及工作流程。由於 NDR 解決方案會產生如此高保真度的資料，且能關聯情境，因此可大幅減少調查所需的整體時間與工作量。NDR 解決方案最常圍繞以下關鍵技術：
深度學習與機器學習
NDR 解決方案運用機器學習（ML）來產生準確的預測，進而可偵測網路中的未知威脅。通常，ML 會結合行為分析能力，協助資安團隊在入侵指標演變為全面性的網路事件之前加以識別。NDR 解決方案中的機器學習也能實現更快速的分級處理與緩解措施，因為它們會根據真實世界情境持續評估傳入的潛在威脅。
深度學習是典型 NDR 解決方案的另一個組成部分。它是一種 ML 形式，使用人工神經網路來增強 NDR 的能力。深度學習模型可協助安全分析師解讀資料，讓他們能發掘潛藏於系統中的未知威脅。
統計分析
透過統計與啟發式技術，NDR 解決方案可追蹤網路流量模式與資料，並與預先設定的系統「常態」進行比對，以找出外洩與入侵跡象。統計分析的運作方式，是先測量典型／正常流量使用情況作為基準，然後將傳入流量與其比較。接著會識別出落在正常範圍與閾值之外的可疑流量，以供分流處理。
威脅情報饋送
NDR 可經過訓練以利用威脅情報資料串流運作，這些串流包含現有與已識別網路威脅的資訊。這些資料饋送可增強 NDR 解決方案快速針對已知威脅發出警示的能力、提供額外的情境化資訊，並協助判定所發現異常的風險等級。不過，威脅情報饋送確實需要謹慎策展與管理，以確保資料是最新且相關的。
Gartner MQ: Endpoint
See why SentinelOne has been named a Leader four years in a row in the Gartner® Magic Quadrant™ for Endpoint Protection Platforms.
企業如何使用網路偵測與回應（NDR）
隨著分散式網路持續擴展，基於特徵碼的安全工具，例如傳統 SIEM、防毒（AV）、入侵偵測系統（IDS）和入侵防禦系統（IPS），已不足以領先現代網路犯罪分子。如今大多數威脅都沒有既有特徵碼，這意味著安全團隊需要更多能力，才能偵測並因應網路攻擊。透過運用 AI、ML 和行為分析等領先技術，先進的 NDR 解決方案可為組織在其雲端與地端環境中提供更完善的防護。
以下是現代組織在其長期安全策略中，轉向採用 NDR 解決方案的主要業務原因：
持續威脅可視性
透過 NDR 解決方案，安全團隊能在威脅進行橫向移動並造成嚴重損害之前，從整個網路中看見威脅。這種可視性也會持續涵蓋所有連接至網路的使用者、裝置與技術，讓安全團隊得以從鳥瞰視角掌握受保護的網路。
攻擊視覺化
NDR 可為安全團隊提供入侵藍圖，這表示他們能查看整個網路中的詳細威脅時間軸，以便快速界定攻擊範圍並排定行動與資源的優先順序。由於 NDR 會過濾低保真度與不重要的警示，因此能更準確地偵測攻擊生命週期的各個階段，包括持續性、權限提升、憑證存取、橫向移動、資料外洩，以及 control and command （C2）動作。
即時入侵偵測
透過 AI 與 ML，NDR 解決方案可即時運作，以機器速度偵測並阻止網路威脅。這些解決方案能透過原生控制項，針對入侵指標提供自動化回應，在攻擊擴散之前將其阻止。
警示管理
傳統安全解決方案容易產生大量警示與通知，導致安全分析師倦怠並錯失偵測。NDR 解決方案可協助減少誤判與「雜訊」，讓分析師能將時間重新投入於阻止入侵與採取主動式策略。
Protect Your Endpoint
See how AI-powered endpoint security from SentinelOne can help you prevent, detect, and respond to cyber threats in real time.
結論
依賴基於特徵碼的方法與已知入侵指標的傳統威脅偵測工具，已不足以阻止現代網路攻擊者。傳統防毒、入侵偵測與防護系統（IDPS），以及部分防火牆等工具，如今在效能上已受到限制，因為大多數威脅都是新的、正在出現的，且沒有預先識別的特徵碼。像是勒索軟體、進階持續性威脅（APTs）、商務電子郵件入侵（BEC）等威脅，都能繞過這些傳統解決方案。
隨著組織因人工智慧、機器學習與行為分析的應用而轉向網路偵測與回應解決方案，他們便能在面對複雜威脅行為者時保持領先，並透過如 Singularity™ Endpoint platform 這樣的全面性解決方案，長期建立更主動的防禦姿態。NDR 的設計目的，是透過持續分析，將大量原始網路流量與資料與正常行為進行比對來偵測威脅。由於它們可協助安全團隊促成更快速且更準確的回應，同時支援有效的威脅狩獵，因此 NDR 已成為當今組織廣泛信賴的解決方案。
網路偵測與回應常見問題
網路偵測與回應是一種安全解決方案，可監看網路流量中的異常模式、異常情況或已知攻擊行為。它會檢查封包、流量記錄和中繼資料，涵蓋地端、雲端及混合環境。
當它發現威脅時——例如橫向移動或資料外洩——便會發出警示，並提供情境資訊，協助您快速調查與控制事件。
NDR 工具會連接網路 tap、SPAN 連接埠或封包代理設備，以收集原始流量與流量資料。它會套用行為分析、威脅情報，有時也會使用機器學習來找出偏差——未經核准的通訊協定、異常掃描或命令與控制呼叫。
一旦可疑事件被標記，作業手冊便會引導分類處理、威脅狩獵，以及自動化或手動的控制動作。
現代網路相當複雜：微分段雲端、遠端使用者與加密流量，都可能讓僅靠端點工具無法看見威脅。NDR 會追蹤跨區段與跨通訊協定的流量，以彌補這些缺口。
這表示您可以發現進行橫向移動的隱匿入侵者、加密的惡意軟體下載或未授權裝置——因此您不必僅依賴日誌或端點感測器來揭露每一項威脅。
使用 NDR，您可獲得：對內部流量更深入的可視性、快速偵測隱匿攻擊，以及更豐富的調查情境資訊。您將能看見 EDR 無法偵測到的橫向移動與加密威脅。自動化警示與回應作業手冊可加快控制速度。
此外，持續監控可協助您驗證網路分段與合規性，縮短潛伏時間並限制入侵影響。
EDR 著重於端點行為——主機上的程序、檔案與登錄變更。SIEM 會從您的整體技術堆疊擷取日誌與事件，以進行關聯分析與報告。 XDR 將來自端點、網路、雲端與身分的遙測整合到單一主控台中。
NDR 則聚焦於網路流量本身，填補加密或未受管理區段中的盲點。結合使用時，它們可提供分層式偵測與回應。
NDR 工具可捕捉橫向移動、暴力破解或未授權存取嘗試、DNS 通道、命令與控制回呼、資料外洩、ARP 欺騙，以及異常的通訊協定使用。它們也能發現異常流量、隱藏式 beaconing，以及政策違規——例如未受保護的影子 IT 服務——讓您找出繞過防火牆的自動化攻擊與手動入侵。
當 NDR 標記可疑流量時，它會提供封包擷取、工作階段詳細資料與威脅情境資訊——包括相關的 IP 位址、程序名稱或使用者帳戶。自動化作業手冊可封鎖惡意 IP、隔離受感染區段，或限制可疑流量。分析師會使用即時流量圖與鑑識時間軸來追蹤攻擊路徑，從而更快完成控制、修復並恢復正常流量。
請選擇具備高精準度封包擷取、加密流量分析，以及支援雲端與容器網路的 NDR。請尋找能學習您基準線的行為分析、內建威脅情報來源，以及與您的 SOAR 或 SIEM 無縫整合的能力。
自動化回應工作流程、可自訂偵測，以及詳細的鑑識儀表板，可協助您的團隊進行威脅狩獵並迅速採取行動。
SentinelOne 的 NDR 可利用 AI 分析東西向與南北向流量行為，自動隔離並檢疫網路流量威脅。它使用其全球威脅遙測資料來發現異常。當它偵測到事件時，Singularity XDR 可採取行動、修補弱點，並在需要時啟動回復。
您也可以透過 SentinelOne 的 SOAR 服務及其 NDR 支援，強化威脅調查。
深入了解 端點安全
以超越人力所能及的更快速度與更大規模阻止威脅的端點安全。
單一智慧平台，為您的攻擊面提供卓越可視性，以及涵蓋端點、伺服器到行動裝置的全企業預防、偵測與回應。
