Detectie is het deel van beveiliging dat pas gaat werken als de rest heeft gefaald. Iemand is binnen, en de vraag is hoe snel je dat ziet en hoe snel je ingrijpt. De markt heeft daar een alfabet van afkortingen voor bedacht: NDR, EDR, ITDR, XDR. Ze klinken als varianten van hetzelfde, maar ze kijken naar heel verschillende dingen. Dit artikel legt uit wat elk ervan ziet, wat het niet ziet, en welke volgorde voor een organisatie op het Microsoft-platform logisch is.
NDR: kijken naar het netwerk
Network Detection and Response analyseert het verkeer tussen systemen. Het zoekt naar patronen die niet kloppen: een werkstation dat opeens met tientallen servers praat, data die naar een onbekend adres vertrekt, protocollen op plekken waar ze niet horen. NDR is sterk in omgevingen met veel eigen infrastructuur, zoals een fabriek met productiesystemen of een datacenter.
De beperking is fundamenteel: NDR ziet alleen wat over het netwerk gaat dat het bewaakt. Een laptop thuis, een sessie naar Microsoft 365, een aanvaller die met een geldig account inlogt op een clouddienst: daar komt geen netwerksensor aan te pas. Voor organisaties die grotendeels in de cloud werken, is NDR daarom een aanvulling en geen basis.
EDR: kijken naar het apparaat
Endpoint Detection and Response draait op de laptops, desktops en servers zelf. Het ziet welke processen starten, wat ze doen en of dat gedrag lijkt op wat malware en aanvallers doen. Omdat het op het apparaat zit, werkt het overal, ook thuis. Op het Microsoft-platform is dit Defender for Endpoint.
Wat EDR niet ziet, is een aanvaller die geen malware nodig heeft. Wie met een gestolen wachtwoord inlogt op de webmail en daar een doorstuurregel zet, raakt geen enkel apparaat aan.
ITDR: kijken naar identiteit
Identity Threat Detection and Response kijkt naar accounts en hun gedrag. Een inlog vanaf een land waar niemand werkt, een MFA-methode die opeens wordt gewijzigd, een gebruiker die zichzelf beheerdersrechten geeft, een service-account dat interactief inlogt. Dat zijn de signalen van een aanvaller die niet inbreekt, maar inlogt. Omdat het overgrote deel van de aanvallen precies zo begint, is dit voor de meeste organisaties de belangrijkste laag.
In een Microsoft-omgeving komen deze signalen uit Entra ID Protection en Defender for Identity. Ze zijn er vaak al, met de licenties die je hebt. Het probleem is meestal niet de data, maar dat niemand ernaar kijkt.
XDR: alles bij elkaar
Extended Detection and Response is geen nieuwe sensor, maar de laag die de andere bij elkaar brengt. Een verdachte inlog is op zichzelf een grijs signaal. Een verdachte inlog, gevolgd door een nieuw proces op een laptop en een ongebruikelijke datastroom, is een incident. XDR correleert die signalen tot één verhaal en maakt het mogelijk om over alle lagen tegelijk in te grijpen: sessie beëindigen, apparaat isoleren, account blokkeren. Bij Microsoft heet dat Defender XDR, met Sentinel eronder als je verder wilt gaan.
Welke volgorde logisch is
Voor een organisatie die op Microsoft 365 en Entra ID werkt, is de volgorde in de praktijk bijna altijd dezelfde. Eerst identiteit, want daar begint de aanval. Dan endpoints, want daar landt hij. Dan de correlatie die van losse signalen een beeld maakt. Netwerkdetectie komt daarna, en alleen als je infrastructuur hebt die het rechtvaardigt.
Belangrijker dan de volgorde van tools is de vraag wie ernaar kijkt. Detectie zonder respons is een archief. Dat vraagt om mensen die de signalen begrijpen, weten wat normaal is voor jouw organisatie en de bevoegdheid hebben om in te grijpen, ook om drie uur in de nacht. Dat kan een eigen team zijn, of een managed dienst die dat voor je doet.
Preventie blijft goedkoper
Hoe goed de detectie ook is, elke aanval die je voorkomt hoef je niet te zien. Phishing-resistant authenticatie, tijdelijke beheerdersrechten en apparaten die aan eisen moeten voldoen voordat ze toegang krijgen, halen het grootste deel van de aanvallen weg voordat een sensor iets opmerkt. Detectie is er voor de rest, en die rest is precies waar het spannend wordt.