FIELD NOTES /
CDM_NDR
介紹 NDR 的定位與功能，並比較 EDR、NDR、XDR、MDR 在監控範圍與使用情境上的差異。
這篇整理 Network Detection and Response 的概念，並把 EDR、NDR、XDR、MDR 放在一起比較，釐清各種 Detection and Response 技術的監控範圍與適合情境。
前言
由於撰寫這篇其實是很久以前了，所以我在介紹時會比當初報告多許多知識。當初在報告時並沒有介紹到 EDR、XDR 等，所以並不是都在報告內有所呈現。
What is NDR
NDR，全名為 Network Detection And Response，負責在網路層中進行威脅偵測、分析與回應，目的在於即時找出潛藏在內部或外部的異常活動或攻擊行為。
通常 NDR 會關係到以下內容：
網路封包分析
深入檢查進出內網的封包，不只看 header，也會看 payload。
行為分析
用 AI/ML 分析設備、用戶或伺服器的平常行為，一旦出現異常，例如 lateral movement、data exfiltration，就觸發警報。
威脅偵測
可以偵測未知攻擊、zero-day、APT、內部威脅等。與傳統 signature-based IDS 不同，NDR 更偏向行為與模式學習。
回應機制
支援即時或自動阻斷攻擊，例如阻斷連線、封鎖 IP、發送 SIEM log、啟用隔離機制等。
DR 全家桶
| 名稱 | 全名 | 核心監控範圍 | 功能重點 | 適合對象 |
|---|---|---|---|---|
| EDR | Endpoint Detection and Response | 終端裝置，如電腦、手機、伺服器 | 監控與回應惡意行為、勒索、內網擴散 | 有大量主機資產的大型企業 |
| NDR | Network Detection and Response | 網路層，如封包、流量、行為模式 | 偵測 lateral movement、未知攻擊、封包異常 | 資料中心、大型企業、混合雲環境 |
| XDR | Extended Detection and Response | 多層整合，如 EDR、NDR、Email、Cloud | 一體化威脅偵測、分析與回應平台 | 想統一管理資安的組織 |
| MDR | Managed Detection and Response | 外包式的 DR 託管資安服務 | 有專人幫你操作、分析、通報甚至回應 | 沒有資安團隊的中小企業 |
逐步介紹
EDR：Endpoint Detection and Response
- 重點：監控單一終端設備行為，例如電腦、手機、伺服器。
- 功能：紀錄檔案活動、程序行為、記憶體異常、勒索加密行為。
- 偵測目標：勒索軟體、惡意程式、PowerShell 攻擊。
- 常見產品：CrowdStrike Falcon、Microsoft Defender for Endpoint、SentinelOne。
NDR：Network Detection and Response
- 重點：監控整個網路流量與裝置間的互動。
- 功能：封包分析、行為建模、C2 通訊偵測、內網橫向移動。
- 偵測目標：未知惡意流量、滲透攻擊、資料外洩。
- 常見產品：Darktrace、Vectra AI、ExtraHop。
XDR：Extended Detection and Response
- 重點：跨平台整合 EDR、NDR、Email、Cloud、Identity。
- 功能：集中分析、威脅狩獵、SOAR 整合、跨域自動化。
- 偵測目標：複合式攻擊鏈、攻擊者在不同領域間移動。
- 常見產品：Palo Alto Cortex XDR、Microsoft Sentinel + Defender、Trend Micro Vision One。
MDR：Managed Detection and Response
- 重點：專業團隊幫你使用 EDR、NDR 或 XDR 系統。
- 功能：24/7 監控、報告產出、事件通報、協助阻斷。
- 偵測目標：任何異常事件，並由團隊協助處理。
- 常見廠商：Rapid7 MDR、CrowdStrike Falcon Complete、IBM Security Services。