NDR: detecção e resposta a ameaças na rede

O que é NDR e por que ele surgiu

NDR, sigla para Network Detection and Response, é uma categoria de solução de segurança que monitora continuamente o tráfego da rede para identificar comportamentos suspeitos que passam despercebidos pelas ferramentas tradicionais. Enquanto o antivírus olha para arquivos e processos dentro de cada máquina, e o firewall decide o que pode entrar e sair pelo perímetro, o NDR observa o que acontece entre esses pontos: as conversas entre servidores, estações, dispositivos IoT e serviços em nuvem. É nessa camada intermediária que muitos ataques modernos se movimentam com liberdade.

A categoria ganhou força porque o cenário de ameaças mudou. Ataques atuais raramente dependem de um único malware detectável por assinatura. Invasores usam credenciais válidas roubadas em phishing, ferramentas legítimas do próprio sistema operacional (técnica conhecida como living off the land) e movimentação lateral silenciosa entre máquinas. Nada disso gera alerta em um antivírus convencional, porque tecnicamente não há arquivo malicioso envolvido. Mas há sempre um rastro no tráfego de rede: uma estação que nunca acessou o servidor de banco de dados passa a consultá-lo de madrugada, um volume incomum de dados sai para um destino desconhecido, uma máquina começa a varrer portas das vizinhas.

O NDR existe para enxergar exatamente esses rastros. Ele parte de um princípio simples e poderoso: o atacante pode disfarçar ferramentas e apagar logs, mas não consegue operar sem gerar tráfego. A rede é a única fonte de verdade que o invasor não controla totalmente.

Como o NDR funciona na prática

Uma solução de NDR captura o tráfego da rede — geralmente por espelhamento de porta no switch (SPAN), TAPs de rede ou coleta de metadados de fluxo como NetFlow e IPFIX — e o analisa em tempo real. A primeira etapa é construir uma linha de base do comportamento normal do ambiente: quais máquinas falam com quais, em que horários, com que volume e usando quais protocolos. Esse aprendizado costuma levar de uma a quatro semanas e é feito com apoio de machine learning e análise estatística.

Com a linha de base estabelecida, o sistema passa a sinalizar desvios. Não se trata apenas de comparar contra assinaturas conhecidas, mas de detectar anomalias comportamentais. Entre os padrões que um NDR tipicamente identifica estão:

• Movimentação lateral: uma estação comprometida tentando acessar outras máquinas via SMB, RDP ou WMI fora do padrão habitual;
• Comunicação com servidores de comando e controle (C2): conexões periódicas e regulares (beaconing) para destinos externos suspeitos, mesmo quando cifradas;
• Exfiltração de dados: volumes anormais de upload, uso de túneis DNS ou transferências para serviços de armazenamento não autorizados;
• Reconhecimento interno: varreduras de portas e enumeração de serviços dentro da própria rede;
• Uso indevido de credenciais: autenticações em horários ou origens incompatíveis com o comportamento do usuário.

A parte de "resposta" do nome também importa. Além de alertar, soluções de NDR modernas se integram a firewalls, EDRs e controladores de rede para conter a ameaça automaticamente: isolar a máquina suspeita, bloquear o destino da comunicação ou encerrar a sessão. Essa capacidade reduz drasticamente o tempo entre a detecção e a contenção — janela em que o estrago realmente acontece.

O que o antivírus e o firewall não veem

É comum que gestores de PMEs considerem a segurança "resolvida" porque há antivírus em todas as máquinas e um firewall de borda configurado. Essas ferramentas são necessárias, mas cada uma tem um ponto cego estrutural. O antivírus (e mesmo o EDR, sua evolução) depende de estar instalado no dispositivo. Impressoras, câmeras IP, dispositivos IoT, equipamentos de automação, celulares de visitantes e servidores legados sem suporte a agente ficam completamente fora do radar — e são justamente os alvos preferidos para estabelecer uma cabeça de ponte na rede.

O firewall, por sua vez, enxerga muito bem a fronteira entre a rede interna e a internet, mas costuma ser cego para o tráfego leste-oeste: a comunicação entre máquinas dentro da própria rede. Depois que um invasor compromete uma única estação — via phishing, por exemplo — ele se move internamente sem nunca cruzar o perímetro de novo até o momento da exfiltração. Estudos do setor apontam que atacantes permanecem semanas dentro das redes antes de serem descobertos, e a maior parte desse tempo é gasta exatamente em movimentação interna.

A pergunta que define a necessidade de NDR não é "conseguimos impedir uma invasão?", mas sim "se alguém já estivesse dentro da nossa rede hoje, nós saberíamos?". Para a maioria das empresas sem monitoramento de tráfego, a resposta honesta é não.

Há ainda o fator criptografia. Boa parte do tráfego malicioso hoje viaja cifrado em TLS, o que limita a inspeção de conteúdo. O NDR contorna isso analisando metadados e padrões de comportamento — frequência, volume, destino, características da sessão — que permanecem visíveis mesmo sem abrir o conteúdo das comunicações.

NDR, EDR e SIEM: papéis complementares, não concorrentes

Existe confusão frequente entre as siglas, e vale esclarecer os papéis. O EDR (Endpoint Detection and Response) monitora o que acontece dentro de cada dispositivo: processos, alterações de registro, execução de scripts. O SIEM (Security Information and Event Management) centraliza e correlaciona logs de diversas fontes. O NDR cobre a camada de rede. Juntos, formam o que o mercado chama de tríade de visibilidade do SOC — cada um enxerga o que os outros não conseguem.

Na prática, os três se reforçam. Um alerta de beaconing detectado pelo NDR ganha contexto quando o EDR mostra qual processo abriu aquela conexão na máquina de origem. O SIEM amarra os dois eventos à conta de usuário envolvida e ao histórico de autenticações. Sem o NDR, porém, há um cenário recorrente e perigoso: o dispositivo comprometido não tem agente de EDR (ou o agente foi desabilitado pelo atacante — tática cada vez mais comum), e o incidente simplesmente não aparece em lugar nenhum.

1. EDR: visibilidade profunda no endpoint, mas só onde há agente instalado e funcional;
2. NDR: visibilidade de tudo que trafega, incluindo dispositivos sem agente, sem depender de software no alvo;
3. SIEM: correlação e retenção histórica, dependente da qualidade das fontes que o alimentam.

Para uma PME, isso não significa que é obrigatório comprar as três plataformas de uma vez. Significa entender qual ponto cego é mais crítico no seu ambiente e priorizar de acordo — decisão que depende do perfil da operação, como veremos a seguir.

Quando o NDR faz sentido para uma PME

NDR nasceu no mundo corporativo de grande porte, com appliances caros e equipes de SOC dedicadas. Mas o cenário mudou: soluções entregues como serviço, sensores virtuais e modelos de precificação por faixa de banda ou número de dispositivos tornaram a tecnologia acessível a empresas médias. Ainda assim, não é o primeiro investimento de segurança que uma PME deve fazer. Antes dele vêm fundamentos: backup testado, MFA, patches em dia, EDR nos endpoints críticos e um firewall bem configurado.

O NDR passa a fazer sentido quando alguns sinais aparecem no ambiente. Vale considerar a tecnologia se a sua empresa se encaixa em dois ou mais destes cenários:

• Possui servidores internos com dados sensíveis (ERP, banco de dados de clientes, arquivos financeiros) cujo comprometimento pararia a operação;
• Tem parque relevante de dispositivos sem agente possível: equipamentos industriais, IoT, impressoras multifuncionais, sistemas legados;
• Atende requisitos de conformidade (LGPD, ISO 27001, exigências de clientes corporativos) que pedem capacidade de detecção e resposta a incidentes;
• Já sofreu incidente de segurança e não conseguiu reconstruir como o atacante se movimentou;
• Opera em setor visado, como saúde, contabilidade, jurídico ou logística, onde ransomware tem alvo preferencial.

Um ponto decisivo para PMEs é o modelo de operação. NDR gera alertas que precisam ser triados e investigados por gente qualificada — comprar a ferramenta sem ter quem a opere resulta em um painel ignorado. Por isso, para empresas sem equipe de segurança dedicada, o caminho mais racional é o NDR gerenciado: a tecnologia instalada no ambiente, com monitoramento e resposta conduzidos por um parceiro especializado, funcionando na prática como uma extensão do time interno.

Como a Duk apoia sua empresa nessa jornada

A decisão de adotar NDR não deveria começar pela ferramenta, e sim por um diagnóstico honesto: quais são os ativos críticos, quais pontos cegos existem hoje e qual a maturidade atual dos controles básicos. É esse trabalho de avaliação que evita tanto o investimento prematuro quanto a falsa sensação de segurança de quem confia apenas em antivírus e firewall.

A Duk Informática & Cloud acompanha essa jornada de ponta a ponta. Com mais de 18 anos de experiência e mais de 550 empresas atendidas, nossa equipe estrutura a segurança em camadas na ordem certa: fundamentos primeiro, visibilidade e detecção na sequência, sempre dimensionando a solução ao porte e ao risco real do negócio. Como Microsoft Gold Partner e com data center próprio em Alphaville, integramos monitoramento de rede, proteção de endpoints e resposta a incidentes em um modelo gerenciado com suporte 24/7 e SLA — o que significa que os alertas não ficam esperando alguém olhar: há uma equipe investigando e agindo.

Se a pergunta "saberíamos se alguém já estivesse dentro da nossa rede?" ficou sem resposta confortável, esse é o momento de conversar. Um diagnóstico de visibilidade de rede é o primeiro passo para transformar a segurança da sua empresa de reativa em preventiva — antes que seja um incidente a forçar essa mudança.