NDRWerkzeuge.
Network Detection and Response macht verdächtige Kommunikation und laterale Bewegung im Netzwerk sichtbar. NDR ergänzt EDR, SIEM und IDS, wenn die relevante Spur zwischen Geräten, Identitäten, Cloud und Netzwerksegmenten verläuft.
Marktbild: hohe Priorität für verteilte oder kritische Netzwerke. Der Markt ist breit und durch NDR-Spezialisten, Netzwerkhersteller und XDR-Plattformen besetzt. Dieser Vergleich umfasst zehn Plattformen.
Netzwerkverhalten einordnen.
NDR ist sinnvoll für Ost-West-Verkehr, unbekannte Geräte, Command-and-Control, Verschlüsselungs- und Protokollanomalien sowie die Vorfallanalyse über mehrere Segmente hinweg.
Benötigt werden Sensoren, Flowdaten oder Packet Capture, DNS und Zoneninformationen. Die Priorisierung wird besser, wenn Asset Owner, Identity-Kontext und EDR-Ereignisse vorliegen.
Was das Netz verrät.
Network Detection and Response (NDR) wertet den Netzverkehr aus, um Angriffe zu erkennen, die auf Endgeräten unsichtbar bleiben: auf Systemen ohne Agent, auf IoT- und OT-Geräten oder bei Angreifern, die gültige Zugangsdaten verwenden. Die Sensoren arbeiten passiv. Sie erhalten eine Kopie des Verkehrs über einen Spiegelport (SPAN) des Switches oder über einen Netzwerk-TAP und greifen nicht in die Verbindungen ein. In virtuellen Umgebungen und in der Cloud übernehmen virtuelle Sensoren, Traffic Mirroring oder Flow Logs diese Rolle.[1,2]
Entscheidend ist die Datenbasis. Flow-Daten wie NetFlow oder IPFIX liefern pro Verbindung, wer mit wem wie lange und mit welcher Datenmenge kommuniziert hat; viele Router und Firewalls erzeugen sie ohnehin. Protokollmetadaten gehen tiefer: Sensoren zerlegen DNS-, HTTP-, TLS- oder SMB-Verkehr und schreiben strukturierte Protokolle, so wie das offene Werkzeug Zeek. Vollständige Paketaufzeichnung (PCAP) speichert den Inhalt selbst und erlaubt die genaue Rekonstruktion eines Vorfalls, braucht aber viel Speicher. Einige Ansätze verzichten auf eigene Sensoren und werten ausschliesslich vorhandene Metadaten aus. In OT-Netzen arbeiten passive Sensoren, die industrielle Protokolle verstehen und Prozesswerte auf Abweichungen prüfen.[3,4,5,6,7]
Für die Erkennung kombinieren die Produkte mehrere Verfahren: Signaturen für bekannte Angriffe, etwa mit Suricata, Verhaltensmodelle, die das normale Kommunikationsmuster jedes Geräts lernen, und Machine Learning für Abweichungen wie seitliche Bewegung, Datenabfluss oder Kommunikation mit Kontrollservern. Für verschlüsselten Verkehr gibt es zwei Wege. Entweder analysiert das System verschlüsselten Verkehr ohne Entschlüsselung, anhand von Metadaten, Zertifikaten und Fingerprints wie JA3, oder es entschlüsselt mit Zugriff auf die Schlüssel. Mehrere Produkte verknüpfen Netzsignale zudem mit Identitätsdaten aus Active Directory oder Entra ID, damit ein Alarm einem Konto zugeordnet werden kann.[8,9,10]
Das «R» in NDR steht für die Reaktion. NDR löst Massnahmen meist über andere Systeme aus: eine Sperre an der Firewall, eine Quarantäne über Network Access Control oder die Isolation eines Endpunkts über EDR. Die Auswertung läuft je nach Produkt als SaaS, im eigenen Rechenzentrum oder air-gapped, was bei sensiblen Netzdaten und OT-Umgebungen ins Gewicht fällt.[3,5]
| Datenbasis | Was sichtbar wird | Aufwand und Grenzen |
|---|---|---|
| Flow-Daten (NetFlow, IPFIX) | Wer kommuniziert mit wem, wie lange, wie viel | Gering, oft aus vorhandenen Geräten; keine Inhalte |
| Protokollmetadaten | DNS-Anfragen, HTTP-Pfade, TLS-Zertifikate, Dateinamen | Eigene Sensoren an Übergängen und im Kern |
| Vollständige Pakete (PCAP) | Inhalt und genaue Abfolge eines Vorfalls | Hoher Speicherbedarf, kurze Aufbewahrung |
| Cloud-Flow-Logs und Mirroring | Verkehr zwischen Cloud-Workloads | Je Cloud eigene Quellen und Kosten |
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Sensoren sehen nur einen Teil des Netzes | Ohne Plan bleiben Ost-West-Verkehr im Rechenzentrum und Cloud-Netze aussen vor. Anhand des Netzplans festlegen, welche Segmente Sensoren erhalten, und die Abdeckung regelmässig prüfen.[11] |
| Überlastete Spiegelports | SPAN-Ports verwerfen bei Last Pakete, und der Sensor sieht Lücken. Für kritische Leitungen TAPs oder Paketbroker einsetzen und Paketverluste am Sensor überwachen. |
| Verschlüsselung blendet Inhalte aus | Metadatenanalyse bleibt möglich, Inhaltsprüfung nicht. Festlegen, wo Metadaten genügen und wo eine Entschlüsselung mit Schlüsselzugriff rechtlich und technisch vertretbar ist.[9,5] |
| Lange Lernphase und Fehlalarme | Verhaltensmodelle brauchen Zeit, um Normalbetrieb zu lernen, und melden anfangs viel. Pilotphase mit Abstimmung einplanen und bekannte Systeme wie Scanner und Backup-Server als Ausnahme kennzeichnen.[12] |
| Netzdaten sind Personendaten | Protokolle über Verbindungen und DNS-Anfragen lassen Rückschlüsse auf Personen zu. Zweck, Zugriff und Aufbewahrung vorab mit Datenschutz und Personalvertretung regeln.[11] |
| Alarme ohne Reaktionsweg | Eine Erkennung ohne Anbindung an Firewall, NAC oder EDR bleibt eine Meldung. Reaktionswege und Freigaben für automatische Sperren vor dem Produktivbetrieb festlegen.[2] |
Auswahlfragen
| Frage | Worauf die Antwort hinweisen sollte |
|---|---|
| Welche Datenbasis nutzt das Produkt: Flows, Metadaten oder Pakete? | Klare Angabe je Sensor, mit Speicherbedarf und Aufbewahrungsdauer. |
| Wie wird verschlüsselter Verkehr analysiert? | Beschreibung der Merkmale ohne Entschlüsselung und der Bedingungen, falls entschlüsselt wird. |
| Wie werden Ost-West-Verkehr und Cloud-Netze erfasst? | Virtuelle Sensoren, Traffic Mirroring oder Flow Logs je Cloud, mit Kosten. |
| Welche Reaktionen kann das Produkt auslösen, und über welche Systeme? | Dokumentierte Integrationen mit Firewall, NAC, EDR und SOAR sowie steuerbare Freigaben. |
| Wo werden die Netzdaten gespeichert und verarbeitet? | Betrieb im eigenen Netz, in einer bestimmten Region oder air-gapped, mit klaren Zugriffsrechten des Herstellers. |
| Wie gut deckt das Produkt OT-Protokolle ab? | Liste der unterstützten industriellen Protokolle und passiver Betrieb ohne Rückwirkung.[7] |
Betrieb und Verantwortung
Die Netzwerkabteilung stellt Spiegelports, TAPs und Flow-Export bereit, das SOC betreibt die Erkennung und bearbeitet die Alarme. Für automatische Sperren braucht es eine Absprache zwischen SOC und Netzbetrieb, wer welche Massnahme auslösen darf. Sinnvolle Kennzahlen sind Anteil überwachter Segmente, Paketverlust an Sensoren, Zeit bis zur Bearbeitung eines Alarms und Anteil der Alarme, die zu einer Massnahme führen.
Regulatorischer Bezug
ISO/IEC 27001:2022 adressiert das Thema in Annex A vor allem über 8.16 «Monitoring activities», die Netze, Systeme und Anwendungen auf anomales Verhalten überwacht. NIS2 verlangt in Art. 21 Abs. 2 Bst. b die Bewältigung von Sicherheitsvorfällen, DORA in Art. 10 Mechanismen, die anomale Aktivitäten umgehend erkennen. Der BSI-Baustein DER.1 «Detektion von sicherheitsrelevanten Ereignissen» fordert unter DER.1.A9, anhand des Netzplans festzulegen, welche Segmente zusätzliche Detektionssysteme erhalten, und Übergänge um netzbasierte Intrusion Detection Systeme zu ergänzen. Der IKT-Minimalstandard verlangt unter DE.CM-1 ein kontinuierliches Netzwerkmonitoring.[13,14,15,11,16]
Quellen: [1] cisco.com · [2] fortinet.com · [3] progress.com · [4] zeek.org · [5] extrahop.com · [6] exeon.com · [7] nozominetworks.com · [8] corelight.com · [9] corelight.com · [10] vectra.ai · [11] bsi.bund.de · [12] darktrace.com · [13] isms.online · [14] nis-2-directive.com · [15] digital-operational-resilience-act.com · [16] ncsc.admin.ch
Dreizehn Werkzeuge im Vergleich.
NDR-Produkte werten den Netzverkehr passiv über Spiegelports, TAPs, virtuelle Sensoren oder Flow-Daten aus und erkennen Angriffe an Verhaltensabweichungen, seitlicher Bewegung und auffälliger Kommunikation, auch wenn auf dem Gerät kein Agent läuft. Die Produktformen unterscheiden sich vor allem in der Datenbasis: Einige zeichnen Pakete auf und rekonstruieren Protokolle bis zur Forensik, andere arbeiten mit Metadaten oder NetFlow/IPFIX und analysieren verschlüsselten Verkehr ohne Entschlüsselung. Mehrere Anbieter verbinden Netzsignale mit Identitäts- und Cloud-Daten und bieten Betrieb als SaaS, im eigenen Rechenzentrum oder hybrid an; für OT-Netze gibt es passive Spezialsensoren. Offene Werkzeuge wie Zeek und Suricata liefern Protokollmetadaten und Signaturerkennung und dienen auch kommerziellen Plattformen als Grundlage. Eigentümerwechsel betreffen auch diese Klasse: Thoma Bravo hat die Übernahme von Darktrace am 01.10.2024 abgeschlossen, und Nozomi Networks ist seit der am 28.01.2026 gemeldeten Übernahme eine hundertprozentige Tochter von Mitsubishi Electric.
Ost-West: Ost-West-Verkehr · Verschlüsselt: Analyse verschlüsselten Verkehrs ohne Entschlüsselung · Verhalten/ML: Verhaltens-/ML-Erkennung · PCAP/Forensik: Paketaufzeichnung/Forensik · Cloud: Cloud-Verkehr, z. B. VPC Flow Logs/Traffic Mirroring · Auto-Reaktion: automatische Reaktion oder Integration · On-Prem: On-Prem-Sensoren und -Konsole. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Vectra AI Platform (NDR)
Vectra AI
Netzwerkerkennung für Ost-West- und Nord-Süd-Verkehr, erweitert um Active Directory, Microsoft Entra ID, Microsoft 365, AWS und Azure.
Erfasst Metadaten aus dem gesamten Netzverkehr und analysiert Verhalten und Kommunikationsmuster statt Nutzdaten, auch in verschlüsseltem Verkehr.
Verhaltensbasierte KI-Modelle erkennen etwa Missbrauch privilegierter Konten und seitliche Bewegung und priorisieren nur Bedrohungen mit hoher Sicherheit.
Reaktion über Drittwerkzeuge per Klick, etwa CrowdStrike Falcon, Microsoft Defender, SentinelOne, Cortex XSOAR und Splunk SOAR; Eindämmung über Identität, Geräte und Netz.
Bereitstellung im eigenen Rechenzentrum, als SaaS oder hybrid; vorgefertigte Abfragen unterstützen forensische Analysen.
Hybride Umgebung mit Active Directory und Microsoft 365, in der Angriffe über Identitäten und Netz zusammen erkannt werden sollen.
Netz-, Identitäts- und Cloud-Signale laufen in einer Erkennung zusammen, mit dokumentierten Reaktionswegen über EDR und SOAR.
Paketaufzeichnung und Sensorformen sind auf der abgerufenen Produktseite nicht beschrieben.
Darktrace / NETWORK
Darktrace
Erfassung von Verkehr und Aktivität in lokalen, virtuellen und Multi-Cloud-Umgebungen unter einem gemeinsamen Modell, mit Bezügen zu Cloud, OT, Identität und Endpunkt.
Adaptive KI lernt das Netz jeder Organisation von Grund auf und bildet ein Verhaltensprofil aus dem eigenen Verkehr; analysiert werden verschlüsselte und entschlüsselte Daten.
Korreliert Verhalten über Netz, Cloud, Identität und OT, um zu erkennen, wenn eine Folge einzeln legitimer Aktionen eine seitliche Bewegung darstellt.
Autonome, konfigurierbare Reaktionsmassnahmen dämmen Bedrohungen ein; Richtlinien legen fest, wann und wie eingegriffen wird.
Passive Aufnahme von Verkehr aus lokalen und virtuellen Netzen; forensische Artefakte werden über Endpunkte, Cloud, Container und SaaS gesammelt.
Organisation ohne grosses SOC, die Verhaltensabweichungen automatisch eindämmen lassen will.
Die autonome Eindämmung ist über Richtlinien steuerbar und deckt Netz, Cloud und OT ab.
Ob die Analyse verschlüsselten Verkehrs eine Entschlüsselung voraussetzt und wo die Konsole betrieben wird, steht auf der abgerufenen Seite nicht.
ExtraHop RevealX
ExtraHop Networks
NDR, Netzwerk-Performance-Monitoring, Intrusion Detection und Packet Forensics auf einer Plattform für hybride und Multi-Cloud-Netze.
Verbindet Entschlüsselung, paketbasierte Forensik und Machine Learning, um jedes Paket und jede Anwendung zu sehen.
Erkennt seitliche Bewegung, Missbrauch von Zugangsdaten und verschlüsselte Bedrohungen, die sich seitlich im Netz bewegen.
Reaktionsautomatisierung und Integrationen unter anderem mit AWS, CrowdStrike, Gigamon, Netskope und Splunk.
Physische und virtuelle Sensoren; RevealX ist selbst gehostet, als Cloud-Dienst oder in air-gapped Umgebungen nutzbar; Pakete werden mit Kontext für spätere Analysen aufbewahrt.
SOC, das Vorfälle bis auf Paketebene nachvollziehen und Netzbetrieb und Sicherheit auf derselben Datenbasis führen will.
Paketaufzeichnung mit Kontext erlaubt die Rekonstruktion von Vorfällen bis auf Paketebene.
Die Analyse verschlüsselten Verkehrs stützt sich auf Entschlüsselung; dafür braucht es Zugriff auf Schlüssel und klare Regeln zum Datenschutz.
Corelight Open NDR Platform
Corelight
Sichtbarkeit über Ost-West- und Nord-Süd-Verkehr mit physischen Appliances bis über 100 Gbit/s für air-gapped Netze und Cloud-Sensoren für AWS, Azure und GCP.
Network Security Monitoring mit Metadaten auf Basis von Zeek, IDS-Alarme auf Basis von Suricata und statische Dateianalyse mit YARA.
Kombiniert Machine Learning, Verhaltensanalyse, Signaturen und Threat Intelligence; Encrypted Traffic Collection zeigt Bedrohungen in verschlüsseltem Verkehr ohne Entschlüsselung, etwa über JA3(S).
Konnektoren für gängige SIEM-, XDR-, SOAR- und Cloud-Plattformen, darunter CrowdStrike; integrierte Reaktionsabläufe.
Betrieb im eigenen Netz, als SaaS, hybrid oder Multi-Cloud; Smart PCAP zeichnet Pakete gezielt auf.
SOC, das offene Netzwerkmetadaten im eigenen SIEM auswerten und mit Paketdaten belegen will.
Offene Formate auf Basis von Zeek und Suricata machen die Netzdaten in vielen Werkzeugen nutzbar.
Der Nutzen der reichhaltigen Metadaten hängt von eigener Analyse- und SOC-Fähigkeit oder einem passenden SIEM ab.
Nozomi Networks Guardian
Nozomi Networks (Mitsubishi Electric)
Passive Netzwerküberwachung für OT- und IoT-Umgebungen mit Inventar aller Geräte.
Analysiert Verkehr fortlaufend und prüft Pakete mit Protokollkontext, um ungewöhnliche Änderungen von Prozessvariablen zu erkennen.
Erfasst das normale Verhalten jedes Geräts in Echtzeit und meldet Sicherheitsbedrohungen und Prozessanomalien.
Integrationen und priorisierte Behebungsvorschläge unterstützen die Reaktion.
Passive Sensoren im eigenen Netz für Umgebungen mit strengen Vorgaben; Verwaltung über die Central Management Console vor Ort oder über Vantage Cloud.
Energieversorger oder Produktionsbetrieb, der Steuerungsnetze ohne Eingriff in den Prozess überwachen will.
Protokollkenntnis für industrielle Netze erlaubt die Erkennung von Prozessanomalien neben Cyberangriffen.
Schwerpunkt OT und IoT; Analyse verschlüsselten Unternehmensverkehrs und Cloud-Verkehrs ist auf den abgerufenen Seiten nicht beschrieben.
Cisco Secure Network Analytics (früher Stealthwatch)
Cisco
Sichtbarkeit über das private Netz mit Erkennung verdächtiger seitlicher Bewegung; Cloud-Telemetrie wie AWS VPC Flow Logs und Azure NSG Flow Logs über den Telemetry Broker.
Wertet Flow-Telemetrie aus; der Flow Sensor erzeugt Telemetrie aus Spiegelport oder Netzwerk-TAP.
Machine Learning und Verhaltensmodelle; Encrypted Traffic Analytics erkennt Malware in verschlüsseltem Verkehr ohne Entschlüsselung.
Automatische Reaktion über Cisco XDR, Richtlinien zusammen mit der Identity Services Engine (ISE) und Auswertung mit Splunk.
Manager, Flow Collector und Flow Sensor als Hardware oder virtuelle Maschine; die frühere SaaS-Variante Secure Cloud Analytics ist seit 13.11.2023 nicht mehr bestellbar, ihre Funktionen führt Cisco in Cisco XDR weiter.
Campus- und Rechenzentrumsnetz mit Cisco-Infrastruktur, in dem vorhandene NetFlow-Daten für die Erkennung genutzt werden sollen.
Nutzt Flow-Daten der vorhandenen Netzinfrastruktur und analysiert verschlüsselten Verkehr ohne Entschlüsselung.
Paketaufzeichnung ist auf den abgerufenen Seiten nicht beschrieben; Flow-Daten liefern weniger Details für die Forensik.
FortiNDR
Fortinet
NDR für IT- und OT-Netze mit virtuellen Sensoren für AWS, Azure, GCP, ESXi und KVM.
KI-basierte Erkennungen werten den Netzverkehr aus, etwa auf seitliche Bewegung.
Analysten können betroffene IP-Adressen über die FortiGate sperren lassen.
Integration mit NGFW, EDR, SIEM und SOAR sowie lokale Anbindung an die Fortinet Security Fabric.
Wahl zwischen Betrieb im eigenen Netz, geeignet für OT und air-gapped Umgebungen, und FortiNDR Cloud als SaaS.
Organisation mit FortiGate-Firewalls, die Erkennung im Netz direkt mit Sperrungen an der Firewall verbinden will.
Erkennung und Sperrung lassen sich über die vorhandenen FortiGate-Firewalls direkt verbinden.
Paketaufzeichnung und Analyse verschlüsselten Verkehrs ohne Entschlüsselung sind auf der abgerufenen Produktseite nicht beschrieben.
Arista NDR (AVA)
Arista Networks
Abdeckung vom Kern und Perimeter bis zu IoT und Cloud; Sensoren laufen als Software auf dem Switch, als eigenständige Hardware, virtuell oder in der Cloud.
Verarbeitet Rohpakete und modelliert Verhalten und Merkmale von Entitäten im Netz.
Überwachtes und unüberwachtes Machine Learning sowie Ausreisser-Erkennung; AVA-Sensoren führen eine forensische Aufzeichnung vergangener Aktivitäten.
Integrationsunterlagen für CrowdStrike, SentinelOne, Zscaler und Microsoft Sentinel; Erkenntnisse gehen an IT- und Sicherheitsteams.
Daten bleiben am Ort der Erfassung; mit föderiertem Machine Learning verbleiben Kundendaten in der eigenen Infrastruktur.
Netz mit Arista-Switches, in dem die vorhandene Switching-Infrastruktur als Sensorik dienen soll.
Sensoren können direkt auf vorhandenen Switches laufen, und die Daten bleiben in der eigenen Infrastruktur.
Ost-West-Abdeckung und Analyse verschlüsselten Verkehrs sind auf der abgerufenen Produktseite nicht ausdrücklich beschrieben.
Progress Flowmon (Anomaly Detection System)
Progress Software
Netzwerkerkennung und Performance-Monitoring auf Basis von Flow-Daten als Teil des Progress-Portfolios für Infrastrukturbetrieb.
Nutzt vorhandene Infrastruktur als Sensoren, die NetFlow, IPFIX, sFlow, jFlow oder NetStream liefern, ergänzt um eigene Flowmon-Probes.
Machine Learning, adaptive Baselines, Heuristiken und Verhaltensmuster erkennen Datenabfluss, Aufklärung und seitliche Bewegung.
Automatische Reaktion etwa über Cisco ISE per pxGrid mit Quarantäne der IP-Adresse; Anbindung per Syslog, SNMP, REST-API oder Skripten an SIEM.
Flowmon Packet Investigator zeichnet Pakete automatisch auf und analysiert sie bei Bedarf oder bei Ereignissen.
Mittelgrosses Netz, das vorhandene NetFlow-Daten nutzen und Netzbetrieb und Sicherheit mit einem Werkzeug abdecken will.
Flow-Daten vorhandener Geräte genügen für den Einstieg, Paketaufzeichnung kommt bei Bedarf hinzu.
Ob die Analyse verschlüsselten Verkehrs ohne Entschlüsselung erfolgt und wie Cloud-Flow-Logs eingebunden werden, beschreibt die abgerufene Seite nicht.
ExeonTrace
Exeon Analytics
NDR-Plattform aus der Schweiz, die Bedrohungen allein auf Basis von Metadaten erkennt.
Bereitstellung ohne Agenten und ohne Sensoren; die Analyse stützt sich auf vorhandene Metadaten und bleibt von Verschlüsselung unberührt.
Verhaltensanalyse und Machine-Learning-Algorithmen erkennen neue Bedrohungen wie APTs und Ransomware sowie seitliche Bewegung.
Integration in bestehende Sicherheitswerkzeuge, ergänzt SIEM und EDR; Vorfallsreaktion mit KI-Automatisierung.
Betrieb im eigenen Netz, in Private oder Public Cloud oder air-gapped; Datenverarbeitung vollständig vor Ort möglich.
Schweizer Betreiber kritischer Infrastruktur, der NDR ohne Sensor-Hardware und mit Datenhaltung im Land betreiben will.
Der sensorlose Ansatz auf Basis vorhandener Metadaten senkt den Aufwand für Hardware und Netzumbauten.
Ohne Pakete und eigene Sensoren hängt die Erkennungstiefe von Qualität und Umfang der vorhandenen Metadaten ab.
Gatewatcher AIONIQ
Gatewatcher
NDR-Plattform mit den Komponenten Sensor, Detection Center und Decision Center für IT-, OT- und Cloud-Umgebungen.
Passive, vollständige Erfassung des Netzverkehrs mit Deep Packet Inspection; Bereitstellung ohne Agenten und ohne Eingriff in bestehende Infrastruktur.
Verhaltensanalyse und Protokollkenntnis erkennen Bedrohungen, auch in verschlüsselten Flüssen auf Basis verfügbarer Metadaten.
SOC-Analysten greifen auf alle Daten und Metadaten der Netzanalyse zu und wechseln zwischen Ansichten.
Hardwarebasierter und virtueller Betrieb; der Hersteller führt zertifizierte Produkte und spricht von souveräner Netzbeobachtung.
Behörde oder Betreiber kritischer Infrastruktur, der eine souveräne Netzüberwachung auf eigener Hardware verlangt.
Europäische Entwicklung mit eigenem zertifiziertem TAP und Betrieb auf eigener Hardware.
Integrationen für automatische Reaktion und Cloud-Sensorik sind auf den abgerufenen Seiten nicht konkret beschrieben; die zertifizierende Stelle wird nicht genannt.
Zeek
Zeek Project
Quelloffene Plattform zur Netzwerküberwachung, frei und für den Produktiveinsatz verfügbar.
Beobachtet den Verkehr passiv, ohne ihn zu beeinflussen, und schreibt detaillierte Transaktionsprotokolle in Echtzeit.
Liefert Protokollmetadaten und Dateiinhalte als Grundlage für eigene Erkennungslogik und Threat Hunting.
Die Ausgaben sind für manuelle Prüfung und für die Übernahme in SIEM-Systeme gedacht.
Betrieb auf eigener Hardware; Lizenz im BSD-Stil.
Security-Team, das eine eigene Netzwerk-Telemetrie für SIEM und Threat Hunting aufbauen will.
Offenes, weit verbreitetes Datenformat für Netzwerkmetadaten, das viele kommerzielle Werkzeuge verstehen.
Ohne eigene Reaktion, Verhaltensmodelle oder Verwaltungsoberfläche; Auswertung und Betrieb liegen beim eigenen Team.
Security Onion
Security Onion Solutions
Freie Plattform für Threat Hunting, Network Security Monitoring und Log-Management.
Bündelt freie Werkzeuge wie Suricata, Zeek und den Elastic Stack in einer Distribution.
Signaturbasierte Erkennung mit Suricata, Protokollmetadaten und Dateiextraktion mit Zeek oder Suricata sowie Dateianalyse.
Netz- und Hostdaten laufen in einer gemeinsamen Such- und Analyseoberfläche zusammen.
Vollständige Paketaufzeichnung mit Stenographer oder Suricata; Quellcode einsehbar unter der Elastic License 2.0.
Kleines SOC oder Ausbildungsumgebung, die eine vollständige Netzüberwachung ohne Lizenzkosten aufbauen will.
Signaturerkennung, Metadaten und vollständige Paketaufzeichnung sind in einer frei verfügbaren Distribution vereint.
Die Elastic License 2.0 untersagt unter anderem das Anbieten als gehosteten oder verwalteten Dienst für Dritte; Betrieb und Skalierung liegen beim eigenen Team.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Trellix NDR: NDR-Produkt von Trellix
- NETSCOUT Omnis Cyber Intelligence: NDR-Plattform von NETSCOUT auf Basis von Paketdaten
- Stellar Cyber Open XDR (NDR-Modul): NDR als Teil einer Open-XDR-Plattform; Sensorik und Cloud-Abdeckung auf der abgerufenen Seite kaum beschrieben
- Rhebo Industrial Protector: netzbasiertes IDS mit Anomalieerkennung für OT-Netze aus Deutschland; Sensorik und Betrieb auf der abgerufenen Seite nicht beschrieben
- TrendAI Vision One Network Security, Palo Alto Networks Cortex XDR: Netzwerkanalyse als Teil von XDR-Plattformen
- Claroty, Armis: OT- und Asset-Sichtbarkeit mit Netzwerkanalyse; eher Klasse OT-Security bzw. Asset-Management
Erst sehen,
dann alarmieren.
- Sensorplatzierung aus den Zonen ableiten: Rechenzentrums-Kern, Übergänge zwischen Segmenten, Internetausgang und Cloud-Verbindungen. Verschlüsselter Verkehr wird über Metadaten bewertet, daher gehören DNS- und Flowdaten dazu.
- Im Lernmodus Baselines für Server, Dienstkonten und bekannte Administrationspfade erfassen. Bekannte Scanner und Backup-Verkehr früh kennzeichnen.
- Befunde mit Asset Owner und EDR-Ereignis anreichern und per Ticket oder SIEM-Anbindung zustellen. Ein Befund ohne Empfänger zählt nicht als Erkennung.
- Laterale Bewegung nach der Einführung regelmässig mit einem Purple-Team-Test nachstellen und die Erkennungslücken je Zone festhalten.
- Anteil der Netzwerkzonen mit Sensorabdeckung, bezogen auf die kritischen Zonen
- Median der Zeit von der Erkennung bis zur Triage durch das SOC
- Anteil der Tests zur lateralen Bewegung, die erkannt wurden
Das SOC bewertet und bearbeitet die Befunde; Netzwerkbetrieb liefert Sensorpunkte und Zoneninformationen. Die Asset Owner entscheiden über Massnahmen an ihren Systemen.
ISO/IEC 27001:2022 Annex A 8.16 (Überwachungstätigkeiten) und 8.20 (Netzwerksicherheit) stützen den Einsatz.
DORA Art. 10 Abs. 1 verlangt von Finanzunternehmen Mechanismen zur umgehenden Erkennung anomaler Aktivitäten; NIS2 Art. 21 Abs. 2 lit. b nennt die Bewältigung von Sicherheitsvorfällen.
NDR liest ohne vorgelagerte Entschlüsselung nicht den Inhalt verschlüsselter Verbindungen mit. Es bewertet Verhalten, Zeitmuster und Metadaten und liefert deshalb Hinweise, die ein Mensch mit Kontext einordnen muss.
Telemetrie weiterführen.
IDS und IPS verhindert oder alarmiert an definierten Kontrollpunkten. SIEM korreliert Ereignisse. EDR zeigt den Endpunkt. ITDR ergänzt die Identität. NDR verbindet die Bewegung im Netz.
- TLS-Verschlüsselung, fehlende Sensorik und unklare Zonen begrenzen die Sicht.
- Ohne Asset Owner und Ticketweg bleiben Befunde im SOC liegen.
- Teste laterale Bewegung, einen unbekannten Dienst und die Übergabe an SIEM oder EDR. Erkennung, Kontext und Bearbeitungsweg müssen nachvollziehbar sein.
Security Tool Navigator · Gebiet 05
Im Gebiet Network Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Network Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.