Sophos Network Detection and Response

Sophos Network Detection and Response

Rendere visibili attività di rete che possono sfuggire all’endpoint

Sophos Network Detection and Response (NDR) analizza il traffico di rete alla ricerca di segnali di attacco. La soluzione aggiunge una prospettiva alla protezione endpoint: anche dispositivi non gestiti, connessioni tra sistemi e comunicazioni anomale possono diventare visibili nel segmento di rete monitorato.

Vantaggi principali di Sophos NDR

• Maggiore visibilità di rete: i dati dei flussi aiutano a identificare dispositivi sconosciuti e connessioni sospette.
• Indizi di comunicazione degli aggressori: diversi metodi di rilevamento esaminano, tra l’altro, possibili connessioni di comando e controllo.
• Analisi delle connessioni cifrate: caratteristiche del traffico e metadati TLS possono rivelare anomalie senza decifrare tutti i contenuti.
• Indizi meno frammentati: valutazione e raggruppamento aiutano a dare priorità ai rilevamenti rilevanti.
• Contesto per le indagini: i risultati arricchiscono l’analisi del team XDR o del servizio Sophos MDR.

Caratteristiche e funzionalità principali di Sophos NDR

• Sensore passivo: NDR riceve una copia del traffico tramite una porta SPAN/mirror o una connessione TAP adeguata. Non si trova nel percorso diretto di trasmissione e, come sensore, non blocca le connessioni.
• Distribuzione flessibile: ambienti virtuali supportati, AWS e hardware certificato consentono l’installazione nei punti rilevanti della rete. Il dimensionamento e il numero di sensori dipendono dal traffico monitorato.
• Collaborazione con XDR e MDR: gli indizi di rete possono essere analizzati insieme ad altri dati di sicurezza. Le risposte utilizzano gli strumenti, le integrazioni e le autorizzazioni pertinenti; un sensore NDR da solo non è un centro operativo di sicurezza gestito.

Sophos NDR è concesso in licenza in base a utenti e server. L’appliance virtuale è inclusa nell’abbonamento; l’infrastruttura necessaria e l’hardware aggiuntivo sono separati. Prima della distribuzione, definire quali segmenti il sensore può effettivamente osservare.

Architettura concettuale del sensore NDR

Il sensore ricava informazioni sui flussi di rete dalla copia del traffico e le valuta con più metodi di rilevamento. I risultati rilevanti vengono resi disponibili per l’indagine centralizzata. Si ottiene maggiore visibilità senza introdurre un punto di guasto inline nel percorso dei dati. La posizione passiva non elimina tuttavia la necessità di proteggere e mantenere il sensore stesso.