NDR (Network Detection and Response)

Définition

Le NDR (Network Detection and Response) désigne une catégorie de solutions de sécurité qui analysent en continu le trafic réseau, souvent via une capture passive par TAP ou port mirroring, pour détecter des menaces avancées échappant aux défenses périmétriques traditionnelles, comme les mouvements latéraux, l'exfiltration de données, l'usage anormal de protocoles légitimes ou les communications avec une infrastructure de commande et contrôle. Contrairement à un IDS signature-based classique, le NDR s'appuie fortement sur l'analyse comportementale et le machine learning pour établir une base de référence du trafic normal (baseline) et signaler les écarts statistiquement significatifs, permettant de détecter des techniques living-off-the-land utilisant des outils légitimes comme PsExec ou WMI à des fins malveillantes. Les solutions NDR déchiffrent parfois le trafic TLS via inspection SSL ou s'appuient sur l'analyse de métadonnées chiffrées, comme la durée, le volume et les motifs temporels des connexions, pour détecter des anomalies sans casser le chiffrement. Le NDR complète l'EDR, centré sur l'hôte, et le SIEM, centré sur les journaux, dans une architecture de détection en profondeur souvent qualifiée de XDR (Extended Detection and Response) lorsque ces sources sont corrélées. Il est particulièrement pertinent dans les environnements où l'EDR ne peut être déployé, comme les équipements IoT ou les réseaux OT industriels, offrant une visibilité complémentaire indispensable.