Network Detection and Response (NDR) erkennt Bedrohungen anhand des Netzwerkverkehrs: Sensoren analysieren Verkehrsströme, Metadaten und Verhaltensmuster — und schlagen an, wenn sich etwas untypisch bewegt, etwa laterale Ausbreitung, Datenabfluss oder Kommunikation mit Steuerservern.
Die Stärke von NDR: Es sieht auch, was agentenlose Systeme tun — Drucker, IoT- und OT-Geräte, Appliances, fremde Notebooks. Genau dort, wo EDR nicht installiert werden kann, bleibt das Netzwerk die einzige Beobachtungsebene.
Wie arbeitet NDR?
NDR-Systeme lernen das Normalverhalten des Netzes — wer spricht mit wem, wann, wie viel — und erkennen Abweichungen per Verhaltensanalyse und Machine Learning statt nur über Signaturen. Auch verschlüsselter Verkehr liefert auswertbare Merkmale: Verbindungsmuster, Zertifikate, Timing.
Im Verbund mit EDR und Identitätssignalen entsteht ein vollständigeres Bild: Das Netzwerk verrät die Bewegung, der Endpunkt das Werkzeug, die Identität den Akteur. Mikrosegmentierung ergänzt NDR ideal — sie liefert nicht nur Sichtbarkeit über Ost-West-Verkehr, sondern kann Ausbreitung auch direkt verhindern.
Typische NDR-Erkennungen
- Laterale Bewegung: ungewöhnliche Verbindungen zwischen internen Systemen.
- Datenabfluss: untypische Volumina oder Ziele, auch über DNS-Tunnel.
- Command-and-Control-Kommunikation kompromittierter Systeme.
- Auffällige Aktivität agentenloser Geräte — IoT, OT, Appliances.