De traditionele cyclus van cybersecurity, waarbij verdedigers hun systemen verbeteren en aanvallers daarop reageren, is voorbij. Tegenwoordig lopen aanvallers die gebruikmaken van kunstmatige intelligentie de verdediging vaak voor. Volgens het CrowdStrike Global Threat Report is ongeveer 79% van de aanvallen tegenwoordig malwarevrij, waarbij aanvallers vooral vertrouwen op het stelen van credentials en DLL side-loading om detectie op endpoints te omzeilen.

Daarnaast nemen kwetsbaarheden aan de perimeter toe; het aantal inbraken via firewalls en VPN-gateways steeg met 19%, aldus het Verizon Data Breach Investigations Report. Zodra een aanvaller toegang heeft, kan deze zich binnen enkele seconden verspreiden. Modellen zoals Claude Mythos versnellen dit proces verder door snel onbekende kwetsbaarheden te ontdekken en te exploiteren, waardoor de tijd tussen ontdekking en volledige compromittering vrijwel verdwijnt.

Beveiligingspraktijken moeten zich daarom aanpassen en prioriteit geven aan snelle containment en analyse van gedrag na compromittering. Dit vereist detectiemogelijkheden in real-time die verder gaan dan alleen hostniveau. Meerlaagse netwerkdetectie speelt hierin een cruciale rol door de verdediging uit te breiden voorbij de endpoint, maar de effectiviteit hiervan hangt sterk af van de kwaliteit van de onderliggende data.

Endpoint-, identiteits- en cloudplatforms bieden elk een waardevol perspectief op de beveiliging, maar opereren vaak geïsoleerd, waardoor zichtbaarheid ontbreekt en aanvallers hier misbruik van kunnen maken. Zo kan een aanvaller een werkstation compromitteren, gebruikmaken van blinde vlekken tussen endpoint- en identiteitsystemen om credential theft te verbergen, zich lateraal verplaatsen naar cloudinfrastructuur en data exfiltreren voordat het SOC dit detecteert. Daarom is een uniforme en gecorreleerde telemetrie over deze domeinen essentieel om het volledige aanvalspatroon te onthullen.

Network Detection and Response (NDR) valideert, verrijkt en verbindt deze afzonderlijke signalen met behulp van netwerkdata. Omdat deze data buiten de band wordt verzameld, blijft deze onveranderlijk, zelfs als lokale agents uitvallen of door aanvallers worden uitgeschakeld. NDR legt het verkeer binnen de gehele organisatie vast, registreert elke communicatie, transactie en datatransfer en levert daarmee onweerlegbaar bewijs voor de verdedigers om adequaat te reageren. Bijvoorbeeld, wanneer een identiteitsoplossing een ongebruikelijke login signaleert, kan netwerkdata bevestigen of die account ongeautoriseerde databasequeries heeft uitgevoerd. Bij een endpoint-waarschuwing over credentialtoegang helpt netwerkdata vaststellen of er een poging tot laterale beweging is geweest.

De meeste organisaties beschikken al over enige netwerkzichtbaarheid, zoals legacy intrusion detection systemen (IDS), packet capture appliances of NetFlow-logs. Deze werken echter vaak geïsoleerd en zijn niet snel genoeg om moderne aanvallen effectief te bestrijden. NDR vervangt deze gefragmenteerde legacytools door een geïntegreerde workflow waarin signatures, pakketanalyse en flow-logs worden samengebracht. Dit vermindert de cognitieve belasting voor analisten aanzienlijk, doordat meerdere geïntegreerde detectielagen samen zorgen voor betrouwbare bewijslast. Signature-based detectie en threat intelligence bieden snelle validatie van bekende exploits en detecteren communicatie met bekende kwaadwillende infrastructuur, maar om post-exploitatie-activiteiten te identificeren is een meerlaagse aanpak noodzakelijk.