NDR in der Mythos-Ära: Richard Bejtlich über Netzwerkerke…

Richard Bejtlich erklärt, warum Network Detection and Response in der heutigen Bedrohungslandschaft unverzichtbar ist. Erfahren Sie, wie NDR über Alarme…

Warum reichen Alarme nicht aus?

Die meisten Sicherheitsteams ertrinken in Benachrichtigungen. Trotz unzähliger Tools und Datenquellen bleiben grundlegende Fragen offen: Was ist wirklich passiert? Welche Beweise haben wir? Und wie stellen wir sicher, dass wir nichts übersehen? Richard Bejtlich, ein Veteran der Cybersicherheit, argumentiert, dass der Schlüssel in der Netzwerkerkennung liegt. Er nennt es NDR – Network Detection and Response.

Alarme sind nur der Anfang. Sie sagen Ihnen, dass etwas passiert ist, aber nicht das vollständige Bild. NDR hingegen liefert den Kontext, den Analysten brauchen, um Angriffe zu verstehen. Ohne diese Tiefe tappen Sie im Dunkeln.

Was NDR anders macht

NDR sammelt und analysiert Netzwerkverkehr kontinuierlich – nicht nur, wenn ein Alarm ausgelöst wird. Das bedeutet, Sie können zurückblicken und sehen, wie ein Eindringling sich bewegt hat. Sie erkennen Muster, die einzelne Alarme niemals zeigen würden.

Bejtlich betont: „Viele Teams verlassen sich zu sehr auf Endpunktdaten. Aber Netzwerktelemetrie ist oft die einzige Quelle, die Angreifer nicht manipulieren können.“ Ein konkretes Beispiel: Bei einem Vorfall in einem Fortune-500-Unternehmen half NDR, eine laterale Bewegung aufzudecken, die von sieben verschiedenen Endpunkten ausging – kein Endpunkt-Tool hätte das allein erkannt.

Das ist der Unterschied zwischen fragmentierten Hinweisen und einer zusammenhängenden Geschichte.

Mythos: Netzwerksichtbarkeit ist tot

Ein häufiges Argument gegen NDR lautet: „Verschlüsselung macht Netzwerkanalyse nutzlos.“ Bejtlich widerspricht entschieden. Ja, der Verkehr ist verschlüsselt – aber Metadaten wie Verbindungsdauer, Paketgrößen, Ziel-IPs und Timing verraten enorm viel. Angreifer müssen kommunizieren, und dabei hinterlassen sie Spuren.

Sie glauben, Verschlüsselung sei eine Mauer? Denken Sie um. Es ist eher ein Nebel – und NDR kann durch diesen Nebel hindurchsehen, indem es Verhaltensmuster erkennt. Ein plötzlicher Datenabfluss zu einer unbekannten IP? NDR schlägt Alarm, auch ohne den Inhalt zu entschlüsseln.

Praktische Tipps für den Einstieg

Wenn Sie NDR einführen möchten, beginnen Sie klein. Fokussieren Sie sich auf kritische Assets und expandieren Sie dann. Bejtlich empfiehlt: „Stellen Sie sicher, dass Ihre NDR-Lösung offene Standards unterstützt. Sonst binden Sie sich an einen Anbieter, und das ist gefährlich.“

Außerdem: Schulen Sie Ihr Team. NDR ist kein Allheilmittel – es erfordert Analysten, die die Daten interpretieren können. Kombinieren Sie NDR mit Endpoint Detection für maximale Abdeckung.

Die Zukunft der Erkennung

NDR ist nicht neu, aber es gewinnt an Bedeutung, da Angriffe raffinierter werden. Bejtlich sieht eine Entwicklung hin zu KI-gestützter Analyse, die Anomalien in Echtzeit erkennt. „Die nächste Generation von NDR wird proaktiv sein, nicht reaktiv“, sagt er.

Für Sie als Sicherheitsverantwortlichen heißt das: Jetzt ist der Zeitpunkt, sich mit NDR vertraut zu machen, bevor die nächste Welle von Angriffen kommt. Die Mythos-Ära der Cybersicherheit ist real – aber mit den richtigen Werkzeugen können Sie nicht nur überleben, sondern auch gewinnen.

Mehr zu diesem Thema finden Sie in unseren Artikeln zu Incident Response und Bedrohungsjagd.