NDR
Netzwerk-Erkennung und -Reaktion
Network Detection and Response
NDR überwacht den Netzwerkverkehr, modelliert normales Verhalten und erkennt Abweichungen, die auf laterale Bewegung, Datenabfluss oder Command-and-Control hindeuten. Während EDR den Endpunkt sieht, sieht NDR die Verbindungen dazwischen — auch von Geräten, auf denen sich kein Agent installieren lässt. Beide Perspektiven zusammen ergeben erst ein vollständiges Bild.
Historie. NDR ging aus der Network Traffic Analysis (NTA) hervor, die zunächst auf Mustererkennung im Datenverkehr setzte. Mit zunehmender Verschlüsselung und der Erkenntnis, dass Endpunkt-Agenten nie lückenlos ausgerollt sind, verschob sich der Fokus von der reinen Analyse hin zu Erkennung und Reaktion auf Netzwerkebene.
Fakten. NDR wertet typischerweise Metadaten und Flussdaten aus, zunehmend ergänzt um Verhaltensmodelle, und ist besonders stark bei der Sichtbarkeit der „Ost-West“-Kommunikation innerhalb eines Netzes — also der seitlichen Bewegung nach einer Erstkompromittierung. Gerade in Umgebungen mit OT, medizinischer IT oder unverwalteten Geräten, auf denen kein EDR läuft, ist NDR oft die einzige verlässliche Sichtquelle.
Ausblick & Empfehlung. Mit der wachsenden Zahl vernetzter, nicht patchbarer Geräte gewinnt die agentenlose Netzsicht an Bedeutung. NDR ersetzt EDR nicht, sondern schließt dessen blinde Flecken. Im XIEM-Modell ist die Netzwerk-Sicherheitsüberwachung von Beginn an Bestandteil der Sentry-Stufe — bewusst auch für Umgebungen, in denen Endpunkt-Agenten an Grenzen stoßen.