Sophos Network Detection and Response

Sophos Network Detection and Response

Netzwerkaktivität sichtbar machen, die am Endpoint unbemerkt bleiben kann

Sophos Network Detection and Response (NDR) untersucht Netzwerkverkehr auf Hinweise auf Angriffe. Die Lösung ergänzt den Endpoint-Schutz um eine weitere Perspektive: Auch nicht verwaltete Geräte, Verbindungen zwischen Systemen und auffällige Kommunikation können im beobachteten Netzwerksegment sichtbar werden.

Hauptvorteile von Sophos NDR

• Zusätzliche Sicht auf das Netzwerk: Netzwerkflussdaten helfen, unbekannte Geräte und verdächtige Verbindungen zu erkennen.
• Hinweise auf Angreiferkommunikation: Verschiedene Erkennungsverfahren untersuchen unter anderem mögliche Command-and-Control-Verbindungen.
• Analyse verschlüsselter Verbindungen: Verkehrsmerkmale und TLS-Metadaten können Auffälligkeiten zeigen, ohne sämtliche Inhalte zu entschlüsseln.
• Weniger verstreute Hinweise: Bewertung und Gruppierung unterstützen die Priorisierung relevanter Erkennungen.
• Kontext für Untersuchungen: Ergebnisse können die Analyse durch Ihr XDR-Team oder den Sophos-MDR-Service ergänzen.

Wichtige Merkmale und Funktionen von Sophos NDR

• Passiver Sensor: NDR erhält eine Kopie des Verkehrs über einen SPAN-/Mirror-Port oder eine geeignete TAP-Anbindung. Es sitzt nicht im direkten Übertragungsweg und blockiert als Sensor keine Verbindungen.
• Flexible Bereitstellung: Unterstützte virtuelle Umgebungen, AWS und zertifizierte Hardware ermöglichen den Einsatz an relevanten Netzwerkpunkten. Dimensionierung und Anzahl der Sensoren richten sich nach dem beobachteten Verkehr.
• Zusammenarbeit mit XDR und MDR: Netzwerkhinweise lassen sich mit weiteren Sicherheitsdaten untersuchen. Reaktionen erfolgen über die jeweiligen Werkzeuge, Integrationen und Berechtigungen; ein NDR-Sensor allein ist kein betreutes Security Operations Center.

Sophos NDR wird anhand von Benutzern und Servern lizenziert. Die virtuelle Appliance ist Bestandteil der Subscription; erforderliche Infrastruktur und zusätzliche Hardware sind davon zu unterscheiden. Vor dem Einsatz sollten Sie festlegen, welche Segmente der Sensor tatsächlich sehen kann.

Konzeptuelle Architektur des NDR-Sensors

Aus der Verkehrskopie erzeugt der Sensor Netzwerkflussinformationen und bewertet sie mit mehreren Erkennungsverfahren. Relevante Ergebnisse werden für die zentrale Untersuchung bereitgestellt. Damit entsteht zusätzliche Transparenz, ohne einen Inline-Ausfallpunkt in den Datenweg einzubauen. Die passive Position bedeutet jedoch nicht, dass der Sensor selbst keine Absicherung oder Wartung benötigt.