NDR : Network Detection and Response
Sécurité
NDR : Network Detection and Response. « Détection et réponse sur le réseau », par analogie avec le vigile qui ne fouille personne mais regarde passer tout le monde dans chaque couloir.
Sources : Une copie du trafic obtenue par port miroir ou dérivation, complétée par des métadonnées de flux NetFlow ou IPFIX (IP Flow Information Export). L'outil voit les conversations sans avoir besoin d'un agent sur chaque machine.
Analyse : Signatures connues, règles de protocole et modèles de comportement habituel. Sur le trafic chiffré, restent les métadonnées : destinations, volumes, rythme, paramètres de négociation TLS.
Réponse : Alerte vers le SIEM, isolement d'un poste, blocage d'une destination via le pare-feu ou le contrôle d'accès réseau. Le « R » du sigle promet beaucoup ; en pratique, il dépend de ce que l'équipe accepte d'automatiser.
Complémentarité : L'EDR voit l'intérieur des postes, le NDR voit ce qui circule entre eux, y compris les imprimantes et caméras qui n'accueillent aucun agent. Les plaquettes promettent une intelligence artificielle omnisciente ; le produit livre surtout une excellente mémoire des flux, ce qui est déjà rare chez les humains.
Ce qui arrive si on s'en passe
Sans observation du trafic interne, un attaquant qui a franchi le périmètre circule d'une machine à l'autre sans témoin : découverte du réseau, connexions latérales, recherche des serveurs d'annuaire. Les équipements qui n'acceptent pas d'agent de sécurité (imprimantes, caméras, automates, appliances) restent entièrement aveugles. Une exfiltration lente, étalée sur des semaines vers une destination inhabituelle, ou un canal caché dans des requêtes de noms, ne déclenche aucune alerte. L'enquête après incident manque aussi de l'historique des flux nécessaire pour établir ce qui est sorti et par où.
Explication de la marmotte
Dans une entreprise, les ordinateurs se parlent sans arrêt entre eux et avec l'extérieur. Un outil peut observer toutes ces conversations, un peu comme un gardien qui surveille les allées et venues dans les couloirs d'un immeuble sans ouvrir les bureaux. Il apprend ce qui est normal : qui parle à qui, à quelle heure, en quelle quantité. Quand une machine se met soudain à visiter tous les bureaux ou à envoyer énormément de données vers un inconnu, il donne l'alerte et peut même la couper du reste.
Où ce terme est utilisé
- EDR : fonctionnement, angles morts et contournements (4 occurrences)
- Menaces réseau, détection et réponse opérationnelle (4 occurrences)
- Gestion réseau, supervision et référentiels d’exploitation (2 occurrences)
- SOC centre des opérations de sécurité : rôle, organisation, mesure (2 occurrences)