Waarom NDR onmisbaar wordt in het moderne SOC

Securityteams beschikken tegenwoordig over meer informatie dan ooit. Endpoint Detection & Response (EDR), SIEM, identity security, cloud security en threat intelligence leveren continu signalen over wat er binnen een IT-omgeving gebeurt. Toch blijft er één bron van informatie die soms wordt onderschat: het netwerk.

Juist nu Security Operations Centers steeds meer gebruikmaken van automatisering en Artificial Intelligence (AI), wordt zicht op netwerkverkeer belangrijker. Network Detection & Response (NDR) speelt daarin een belangrijke rol. Niet als vervanging van EDR of SIEM, maar als aanvullende informatiebron waarmee activiteiten zichtbaar worden die vanuit endpoints of logs alleen moeilijk te herkennen zijn.

Een endpoint vertelt niet het hele verhaal

EDR heeft de afgelopen jaren een centrale positie gekregen binnen cybersecurity. Dat is terecht: een EDR-agent kan zeer gedetailleerd inzicht geven in processen, bestanden en activiteiten op een endpoint. Maar niet ieder apparaat kan van zo’n agent worden voorzien. Denk bijvoorbeeld aan routers, switches, netwerkapparatuur, IoT-apparaten en Operational Technology (OT). Ook binnen productieomgevingen, zorginstellingen en logistieke organisaties zijn steeds meer apparaten met het netwerk verbonden waarop geen traditionele securityagent kan worden geïnstalleerd. Daar ontstaat een blinde vlek.

NDR kijkt vanuit een ander perspectief. In plaats van primair te kijken naar wat er óp een systeem gebeurt, analyseert NDR hoe systemen met elkaar communiceren. Afwijkende verbindingen, onverwachte protocollen en ongebruikelijke verkeerspatronen kunnen daardoor zichtbaar worden, ook wanneer het betreffende apparaat zelf geen securityagent heeft.

Het netwerk laat beweging zien

Een aanvaller die eenmaal toegang heeft gekregen tot een systeem, blijft daar doorgaans niet zitten. Het uiteindelijke doel bevindt zich vaak ergens anders in de infrastructuur. Daarom probeert een aanvaller zich verder door het netwerk te bewegen: lateral movement.

Dat kan bijzonder lastig te detecteren zijn. Zeker wanneer aanvallers gebruikmaken van legitieme beheerfuncties en bestaande tools. Dergelijke living-off-the-land-technieken kunnen op een afzonderlijk endpoint lijken op normale beheersactiviteiten. Netwerkgedrag kan een ander beeld geven.

Wanneer een systeem ineens verbinding maakt met servers waarmee het normaal gesproken nooit communiceert, afwijkende protocollen gebruikt of in korte tijd meerdere systemen benadert, ontstaat aanvullende context.

NDR helpt daarmee niet alleen bij het detecteren van een mogelijke aanval, maar vooral bij het begrijpen van de samenhang tussen verschillende activiteiten.

Detectie van data-exfiltratie

Hetzelfde geldt voor het wegsluizen van informatie. Cybercriminelen proberen dataverkeer steeds vaker te laten lijken op normaal netwerkverkeer. Data kan bijvoorbeeld in kleine hoeveelheden worden verstuurd, via ongebruikelijke bestemmingen lopen of worden verborgen in protocollen zoals DNS. Een firewall kan individuele verbindingen toestaan omdat deze technisch gezien aan de ingestelde regels voldoen. NDR kijkt juist naar het gedrag en de patronen achter die verbindingen.

Is deze hoeveelheid verkeer normaal voor dit systeem? Communiceert deze server normaal gesproken met deze bestemming? Waarom ontstaan er ineens honderden DNS-verzoeken met een afwijkend patroon? Juist dat soort vragen maken netwerktelemetrie waardevol voor een SOC.

Van losse alerts naar context

Binnen het SOC van Access42 kijken we daarom niet naar één securityproduct of één type alert. Een endpoint-alert, een afwijkende login of een verdachte netwerkverbinding vertelt afzonderlijk maar een deel van het verhaal. De waarde ontstaat wanneer deze signalen met elkaar in verband worden gebracht. Daarvoor maken wij binnen onze SOC-dienstverlening gebruik van Stellar Cyber. Het platform combineert informatie uit verschillende securitybronnen, waaronder endpoints, identity, logs, cloudomgevingen, threat intelligence en netwerkverkeer. NDR vormt daarin een belangrijke informatiebron.

Stel dat EDR afwijkend gedrag op een endpoint constateert. Netwerktelemetrie kan vervolgens aanvullende vragen beantwoorden. Heeft het systeem daarna contact gezocht met andere systemen? Is er communicatie geweest met een onbekende externe bestemming? Zijn er aanwijzingen voor lateral movement? Is er ongebruikelijk veel data verstuurd?

Door die informatie te combineren ontstaat context. En context is uiteindelijk veel waardevoller dan nog een alert.

NDR als voedingsbron voor AI

Dat wordt nog belangrijker wanneer AI een grotere rol krijgt binnen Security Operations. Een AI-model kan immers alleen goede conclusies trekken wanneer het beschikt over voldoende betrouwbare en relevante informatie. Wanneer een SOC uitsluitend endpoint- en logdata gebruikt, ontbreekt een belangrijk gedeelte van wat daadwerkelijk binnen de infrastructuur gebeurt. Netwerktelemetrie kan bijvoorbeeld informatie toevoegen over afwijkende protocollen, ongebruikelijke verkeersstromen, lateral movement en communicatie met externe infrastructuur.

Door netwerkdata te combineren met endpoint-, identity-, cloud- en logdata kan AI verbanden leggen die vanuit één databron moeilijk zichtbaar zijn. Daarmee verandert ook de rol van AI binnen het SOC. Het gaat niet simpelweg om AI die alerts analyseert. De interessante ontwikkeling is dat AI steeds meer kan ondersteunen bij het onderzoeken van een complete aanval: signalen verzamelen, verbanden leggen, hypotheses toetsen en bepalen welke gebeurtenissen daadwerkelijk aandacht van een securityanalist nodig hebben.

Op weg naar het Agentic SOC

Access42 spreekt in dat kader over het Agentic SOC: een SOC waarin AI-agents zelfstandig delen van het detectie- en onderzoeksproces kunnen uitvoeren. Dat betekent niet dat de menselijke securityanalist verdwijnt. Integendeel. Het doel is juist om analisten minder tijd te laten besteden aan het verzamelen en handmatig correleren van informatie. AI en automatisering kunnen een groot deel van dat voorbereidende werk uitvoeren, waarna analisten zich kunnen richten op validatie, onderzoek, besluitvorming en response.

Daarvoor moet zo’n AI-agent wel een compleet beeld krijgen van de omgeving. Een SOC dat alleen weet wat endpoints melden, mist apparaten waarop geen agent draait en ziet slechts beperkt wat er tussen systemen gebeurt. Voeg netwerktelemetrie toe en het beeld wordt aanzienlijk rijker. Daarom zien wij NDR niet als een losstaand securityproduct, maar als een essentieel onderdeel van een bredere detection & response-strategie.

Technologie alleen is niet genoeg

Meer telemetry betekent overigens niet automatisch betere security. Een organisatie kan tientallen securityproducten implementeren en alsnog moeite hebben om incidenten tijdig te herkennen. Het probleem is vaak niet een gebrek aan data, maar het ontbreken van samenhang. Daar ligt wat ons betreft de echte ontwikkeling van moderne Security Operations.

EDR vertelt wat er op endpoints gebeurt. Identity-oplossingen vertellen wie toegang probeert te krijgen. SIEM verzamelt en analyseert logs. Threat intelligence geeft context over bekende dreigingen. NDR laat zien hoe systemen daadwerkelijk met elkaar communiceren. Door deze informatie samen te brengen ontstaat een veel completer beeld van een mogelijke aanval. AI kan vervolgens helpen om uit die enorme hoeveelheid informatie de relevante verbanden naar boven te halen.

Van detecteren naar begrijpen

De toekomst van het SOC draait daarom niet om zoveel mogelijk alerts verzamelen. Het draait om het sneller beantwoorden van een veel belangrijkere vraag: Wat gebeurt hier daadwerkelijk?

Daarvoor zijn verschillende perspectieven nodig. Endpoint, identity, cloud én netwerk. NDR geeft daarbij zicht op een onderdeel dat andere securitytechnologieën niet altijd volledig kunnen waarnemen: de communicatie tussen systemen.

In combinatie met XDR, automatisering en AI ontstaat daarmee een SOC dat niet alleen afwijkingen detecteert, maar steeds beter begrijpt hoe verschillende gebeurtenissen onderdeel kunnen zijn van dezelfde aanval. En juist wanneer AI meer verantwoordelijkheid krijgt binnen detectie, onderzoek en response, wordt de kwaliteit en breedte van de onderliggende telemetry belangrijker.

Want uiteindelijk geldt ook voor een AI-gedreven SOC een eenvoudige regel:

Je kunt alleen analyseren wat je kunt zien.