NDR: o que é Network Detection and Response

NDR (Network Detection and Response)

NDR (Network Detection and Response) monitora tráfego de rede via espelhamento de portas (SPAN/TAP), agente em sensor passivo ou metadados de NetFlow/IPFIX. Aplica machine learning sobre padrões de comunicação para detectar movimento lateral, exfiltração de dados, beaconing de C2 e ataques que não tocam endpoint (network-only). É especialmente relevante em ambiente OT/ICS, onde colocar agent em PLC não é viável, e em data center onde tráfego leste-oeste entre VMs nunca passa por firewall de perímetro. Líderes incluem Vectra, ExtraHop, Darktrace, Corelight e TXOne EdgeIPS.

Onde NDR vê o que EDR não vê

EDR só enxerga o que acontece no host onde o agent está instalado. Em ambiente OT, atacante move-se entre RTUs, PLCs e HMIs sem nunca tocar endpoint corporativo — invisível para EDR. Em data center, máquinas legadas sem agent são alvo preferencial. NDR cobre exatamente esse blindspot: vê o tráfego, não o host. Combinado com EDR e SIEM em arquitetura XDR ou SOAR, NDR fecha a triangulação de detecção em ataques sofisticados (APT, ransomware operado por humano).

Quando NDR é prioridade alta

Ambiente OT/ICS sem visibilidade de tráfego industrial; data center com lateralização não monitorada; suspeita ou histórico de APT/ransomware operado por humano; setor regulado (ANEEL 964, NIS2) que exige monitoramento de rede. Nestes casos, NDR não é luxo — é controle base.

Como a Tripla atua nesse tema

A Tripla opera NDR em ambientes OT industriais via TXOne EdgeIPS (sondas passivas que entendem Modbus, OPC UA, S7) e em data center via parceiros líderes do quadrante NDR Gartner. Integração nativa com CyberWatch MDR 24x7 garante que alertas virem casos investigados. Cases reais em mineração, energia e siderurgia mostram detecção de movimento lateral entre IT e OT que ferramentas isoladas perderiam.

Solução Tripla