NDR

Wat is NDR?

Network Detection and Response (NDR) is een cybersecuritytechnologie die netwerkverkeer continu en passief analyseert om aanvallen, laterale beweging, misbruik van protocollen en andere afwijkingen te detecteren, en die analisten helpt die afwijkingen te onderzoeken en erop te reageren. NDR combineert protocoldecodering, gedragsanalyse, machine learning en dreigingsinformatie, en ziet daardoor activiteit die firewalls en endpointbeveiliging missen. Gartner gaf de markt in 2020 deze naam; daarvoor heette dezelfde categorie network traffic analysis (NTA). In industriële omgevingen is NDR vaak de enige praktische manier om zicht te krijgen op ICS- en OT-netwerken, omdat PLC’s en HMI’s zelden een agent of logging ondersteunen. Met de opkomst van IIoT, Industrie 4.0 en cloud-koppelingen groeit het aantal verbindingen naar OT, en daarmee het belang van die zichtbaarheid.

🧠 Wat detecteert NDR?

NDR richt zich niet op beschikbaarheid of performance, zoals klassieke netwerkmonitoring, maar op securitygedrag in de communicatie. Typische detecties zijn:

• Laterale beweging - een gecompromitteerd systeem dat via RDP, SMB, SSH of WMI andere systemen benadert
• Command-and-control - periodiek uitgaand verkeer (beaconing) naar onbekende bestemmingen
• Protocolmisbruik - onverwachte schrijfopdrachten, programmadownloads of stop-commando’s naar een PLC
• Nieuwe of onbekende apparaten - een laptop of engineering station dat plotseling in een OT-zone verschijnt
• Scanning en verkenning - poortscans of discovery-verkeer binnen productienetwerken
• Data-exfiltratie - ongebruikelijk grote uitgaande datastromen
• Insider threats en misbruik van rechten - legitieme accounts die buiten hun normale patroon handelen

Juist die gedragsgerichte detecties maken NDR sterk tegen living-off-the-land-aanvallen zoals die van Volt Typhoon: er is weinig malware om te vinden, maar de netwerkpaden en het tijdstip wijken wel af van het normale beeld.

⚙️ Hoe werkt een NDR-platform?

Een NDR-platform krijgt een kopie van het netwerkverkeer en verstuurt zelf niets naar het productienetwerk. De gangbare bronnen:

Daarna verloopt de analyse in vaste stappen: verzamelen, protocoldecodering met DPI, opbouwen van een gedragsbaseline, detecteren van afwijkingen met regels, signatures en anomaliedetectie, verrijken met threat intelligence, en tot slot onderzoek en respons. Open-source bouwstenen als Zeek en Suricata vormen de basis van veel platformen; voor industriële protocollen bestaan de ICSNPP-parsers voor Zeek, ontwikkeld door het Idaho National Laboratory en gepubliceerd via de GitHub-organisatie van CISA.

🔄 Wat is het verschil tussen NDR, IDS, IPS, EDR en SIEM?

Een IDS vergelijkt verkeer vooral met bekende signatures, een IPS blokkeert daarnaast inline. NDR voegt daar gedragsanalyse, metadata-historie en onderzoeksmogelijkheden aan toe. Samen met SIEM en EDR vormt NDR de zogenoemde SOC visibility triad: logs, endpoints en netwerk.

XDR combineert meerdere van deze bronnen in één platform; NDR levert daarin de netwerkcomponent.

🏭 Hoe werkt NDR in OT-omgevingen?

OT-netwerken zijn deterministisch, gebruiken legacy protocollen zonder authenticatie en mogen niet verstoord worden. NDR in OT is daarom vrijwel altijd passieve monitoring. OT-specifieke NDR-platformen, bijvoorbeeld van Nozomi, Claroty en Dragos, decoderen daarom industriële protocollen tot op het niveau van commando’s en variabelen:

Daarnaast ondersteunen de meeste platformen ProfiNET. Een firewall ziet alleen dat er verkeer op poort 502 is (tenzij het een industriële firewall met Modbus-inspectie is); NDR ziet bovendien welk register wordt geschreven, door welk systeem, en of dat eerder ooit is gebeurd.

Een tweede belangrijke functie is passieve asset-inventarisatie: uit het verkeer leidt NDR merk, type, firmwareversie en communicatierelaties van apparaten af. Voor veel bedrijven is dat het eerste complete overzicht van hun assets.

🔍 Hoe werkt baselining in de praktijk?

Industriële communicatie is voorspelbaar, waardoor gedragsbaselines in OT beter werken dan in kantoornetwerken. Een baseline legt vast welke systemen met elkaar praten, via welke protocollen en functiecodes, met welke volumes en op welke tijden. Een PLC praat normaal met zijn SCADA-server, de HMI, een vast engineering station en soms een historian of een andere PLC, en verder met niemand.

Typische afwijkingen die opvallen:

• Programmadownload vanaf een onbekend systeem - in MITRE ATT&CK for ICS techniek T0843 Program Download; MITRE adviseert te alarmeren als de bron niet op de lijst met goedgekeurde engineering stations staat
• Schrijfopdrachten buiten een onderhoudsvenster - het patroon van FrostyGoop, dat in januari 2024 via Modbus TCP de verwarming van circa 600 flatgebouwen in Lviv uitschakelde
• Een HMI die DNS-verzoeken naar internet doet - vrijwel altijd verdacht
• Verkeer dat zones overslaat - een IT-werkplek die rechtstreeks met een PLC praat, in strijd met het Purdue Model

Dezelfde metadata gebruiken analisten voor threat hunting: actief zoeken naar sporen die geen alarm gaven. Machine learning en andere AI-technieken helpen bij clustering en prioritering, maar leveren ook false positives op. Onderhoud, firmware-updates en leveranciersonderhoud zien er voor een algoritme uit als aanvallen; koppeling met change management en menselijke beoordeling blijven daarom nodig.

🧭 Hoe implementeert u NDR in een OT-netwerk?

1. Bepaal de meetpunten - begin bij de overgangen tussen IT en OT en tussen zones; per zone één TAP of SPAN-poort op de kernswitch is vaak een goed begin
2. Kies passieve sensoren - geen inline-apparatuur in het besturingsnetwerk; controleer of de sensor alle gebruikte protocollen decodeert
3. Laat de baseline leren - reken op enkele weken en neem ten minste één volledige productiecyclus mee, inclusief geplande stops
4. Valideer met de procesmensen - laat operators en engineers bepalen welke afwijkingen legitiem zijn voordat alarmen naar het SOC gaan
5. Koppel aan SIEM en SOC - stuur alerts naar de SIEM en een OT SOC, met duidelijke afspraken wie mag ingrijpen in OT
6. Oefen de respons - automatisch blokkeren in OT kan een proces stilleggen; leg in het incidentresponsplan vast welke acties handmatig blijven

🔐 Welke normen en wetten vragen om netwerkdetectie?

Zonder detectie kan een organisatie de meldtermijnen van de Cyberbeveiligingswet nauwelijks halen: u moet een incident eerst opmerken voordat de klok gaat lopen. NDR past daarbij in Defense in Depth en Zero Trust: segmentatie en microsegmentatie beperken verkeer, NDR controleert of de regels in de praktijk ook worden nageleefd. Binnen IEC 62443 en OT-convergentie levert NDR zo het bewijs dat zones en conduits werken.

❓ Veelgestelde vragen

Waar staat NDR voor?

NDR staat voor Network Detection and Response. Het is een categorie securitytools die netwerkverkeer analyseert om aanvallen en afwijkingen te detecteren en onderzoek en respons te ondersteunen. Tot 2020 heette dezelfde markt bij Gartner network traffic analysis (NTA).

Is NDR veilig voor PLC’s en andere OT-apparatuur?

Ja, mits NDR passief wordt ingezet via een TAP of SPAN-poort. De sensor luistert alleen mee en stuurt geen verkeer naar PLC’s of HMI’s, waardoor het proces niet wordt beïnvloed. Sommige platformen bieden optioneel actieve queries aan apparaten; die zet u in OT alleen bewust en gecontroleerd aan.

Kan NDR versleuteld verkeer analyseren?

NDR kan bij versleuteld verkeer, zoals TLS of OPC UA met encryptie, de inhoud niet lezen zonder ontsleuteling. Wel blijven metadata bruikbaar: wie met wie communiceert, certificaten, pakketgroottes, timing en volumes. In OT is het meeste verkeer nog onversleuteld, waardoor NDR daar juist veel inzicht geeft.

Heb ik naast NDR nog een SIEM en EDR nodig?

Ja, NDR vervangt een SIEM of EDR niet maar vult ze aan. EDR ziet processen op endpoints, een SIEM correleert logs, en NDR ziet het netwerk, inclusief apparaten waarop geen agent kan draaien. Samen vormen ze de drie bronnen waarop een SOC zijn detectie baseert.

Hoe lang duurt het leren van een NDR-baseline?

Een NDR-baseline in OT vraagt doorgaans enkele weken leertijd. Belangrijk is dat de leerperiode ten minste één volledige productiecyclus en normale onderhoudsactiviteiten bevat. Daarna moeten operators de baseline beoordelen, omdat verdacht verkeer dat al aanwezig was anders als normaal wordt aangeleerd.

Wat is het verschil tussen NDR en een IDS?

Een IDS vergelijkt netwerkverkeer vooral met signatures van bekende aanvallen en geeft losse alerts. NDR combineert signatures met gedragsanalyse en bewaart metadata of pakketten, zodat analisten ook onbekende aanvallen kunnen vinden en een incident achteraf kunnen reconstrueren. In OT wordt de term IDS nog vaak gebruikt voor wat in feite een NDR-platform is.

📌 Samengevat

NDR analyseert netwerkverkeer passief om aanvallen, laterale beweging en protocolmisbruik te detecteren, en is in OT vaak de enige manier om zicht te krijgen op PLC’s en andere apparaten zonder agent. Met protocoldecodering tot op functiecodeniveau, gedragsbaselines en koppeling aan SIEM en SOC ondersteunt NDR de monitoringeisen van IEC 62443, NIST en de Cyberbeveiligingswet.