Mengenal Network Detection and Response (NDR) dan Cara Memantau Ancaman Jaringan

Ketika perangkat berhasil dikuasai penyerang, informasi dari endpoint tidak selalu cukup untuk mengetahui apa yang terjadi selanjutnya. Lalu lintas jaringan dapat memberikan petunjuk tambahan, seperti perangkat mana yang saling terhubung, layanan yang digunakan, dan adanya pola komunikasi yang tidak biasa. Network Detection and Response (NDR) memanfaatkan data itu untuk membantu tim keamanan menemukan aktivitas mencurigakan tanpa harus memasang agent ada setiap perangkat.

Executive Summary

• Network Detection and Response (NDR) menganalisis telemetri jaringan menggunakan analitik perilaku dan machine learning untuk mendeteksi ancaman tanpa agen lokal.

• NDR melengkapi deteksi berbasis signature dengan mempelajari pola komunikasi normal di jaringan.

• Memantau lalu lintas perimeter (north-south) sekaligus pergerakan antarsegmen internal (east-west).

• Menjadi pilar jaringan dalam SOC Visibility Triad bersama SIEM dan EDR.

• Mendukung analis SOC dalam memvalidasi alert, mempercepat investigasi, dan memandu penahanan insiden.

Apa Itu Network Detection and Response (NDR)?

NDR adalah kategori keamanan yang menganalisis paket dan metadata lalu lintas jaringan untuk mendeteksi aktivitas yang menyimpang dari kebiasaan. Gartner meresmikan penamaan NDR pada Market Guide 2020 menggantikan istilah Network Traffic Analysis. Kategori ini memiliki Magic Quadrant tersendiri sejak 2025, dengan edisi terbaru pada Mei 2026. Ulasan pengguna tersedia di Gartner Peer Insights.

Sistem deteksi keamanan siber tradisional umumnya mengandalkan signature untuk mengenali serangan yang sudah terdata. Pendekatan ini terbatas saat menghadapi teknik baru yang belum memiliki pola signature yang dikenali. Sebaliknya, NDR mempelajari pola komunikasi yang umum terjadi di jaringan untuk menemukan aktivitas yang menyimpang dari kebiasaan.

NDR biasanya menerima salinan lalu lintas jaringan dari SPAN port, network TAP, atau traffic mirroring di cloud. Karena sensor bekerja di luar jalur komunikasi utama (out-of-band), proses analisis umumnya tidak mengganggu lalu lintas aplikasi. Namun, kapasitas sensor dan perangkat jaringan tetap perlu disesuaikan dengan volume lalu lintas jaringan yang dipantau.

NDR dapat memantau lalu lintas north-south yang melewati perimeter sekaligus komunikasi east-west antarsegmen jaringan. Dengan pendekatan ini, tim SOC tetap dapat melihat aktivitas pada perangkat yang tidak dapat dipasangi agen, seperti perangkat IoT atau server lama, selama komunikasinya melewati titik pemantauan.

Bagaimana Cara Kerja NDR Memantau Lalu Lintas Jaringan?

Platform NDR mengolah data jaringan melalui tahapan terstruktur, mencakup akuisisi lalu lintas, pemodelan perilaku, dan penyediaan konteks untuk tindakan respons.

Mengambil Data dari Lalu Lintas Jaringan

Sensor NDR dipasang di jaringan fisik maupun cloud untuk menerima salinan paket dari SPAN port, network TAP, atau traffic mirroring. Karena menyimpan paket mentah dalam volume besar tidak efisien, platform NDR juga memanfaatkan data aliran seperti NetFlow atau IPFIX yang jauh lebih ringkas. Dari sini, sensor membaca informasi koneksi seperti alamat IP sumber dan tujuan, port, protokol, volume data, hingga durasi sesi. Data ini memberi tim SOC visibilitas atas komunikasi antarperangkat, bahkan ketika log di perangkat target tidak tersedia atau pencatatannya terganggu.

Mengenali Pola Aktivitas yang Tidak Biasa

Mesin NDR memetakan pola komunikasi normal di seluruh jaringan untuk mengenali penyimpangan dari pola normal. Ketika server database mengirim data dalam volume besar ke alamat IP yang tidak dikenali, NDR langsung menandai aktivitas ini sebagai anomali eksfiltrasi. Pada lalu lintas data terenkripsi, sensor NDR tetap dapat mendeteksi kejanggalan melalui metadata komunikasi, seperti ukuran paket dan parameter TLS, tanpa perlu membaca isi data yang dikirim.

Membantu Merespons Ancaman di Jaringan

Saat NDR mendeteksi serangan berisiko tinggi, sistem meneruskan notifikasi ke SIEM atau SOAR sesuai alur penanganan insiden yang berlaku. NDR dapat menginstruksikan firewall atau Network Access Control (NAC) untuk mengisolasi host bermasalah secara otomatis. Analis juga dapat menelusuri riwayat metadata dan paket tersimpan untuk melacak kronologi insiden.

Melalui tahapan tersebut, telemetri jaringan memberikan konteks tambahan yang dibutuhkan untuk melengkapi catatan lokal di endpoint. Data lalu lintas ini membantu analis melihat komunikasi antarperangkat secara utuh dan menentukan prioritas penanganan insiden secara lebih terarah.

Baca juga: Apa yang Membuat Security Operations Center (SOC) Benar-Benar Efektif?

Bagaimana NDR Melengkapi EDR dan SIEM?

Arsitektur cyber security modern biasanya mengacu pada SOC Visibility Triad. Konsep ini berakar dari gagasan SOC nuclear triad yang dicetuskan Anton Chuvakin pada 2015, lalu dirumuskan dalam riset Gartner Maret 2019 oleh Anton Chuvakin bersama Augusto Barros dan Anna Belak. Sebagaimana diulas dalam penjelasan Rapid7 tentang SOC Visibility Triad, kerangka ini memadukan SIEM untuk log peristiwa, EDR untuk proses host, serta NDR untuk lalu lintas jaringan.

Ketiga teknologi ini saling melengkapi. EDR mencatat eksekusi host namun terbatas pada sistem ber-agent. SIEM mengorelasikan log namun rentan jika pencatatan dimatikan penyerang. NDR melengkapi keterbatasan tersebut dengan mengamati arus data saat perangkat berkomunikasi.

Ancaman Apa Saja yang Dapat Dideteksi NDR?

Aktivitas penyerang di jaringan menghasilkan pola lalu lintas jaringan yang dapat dikenali. Analis memetakan deteksi jaringan terhadap teknik dalam Kerangka MITRE ATT&CK untuk menelusuri tahapan intrusi secara sistematis.

Aktivitas Perpindahan dari Satu Komputer ke Komputer Lain

Setelah memperoleh akses awal, threat actor memperluas jangkauan lewat pergerakan lateral (lateral movement) menggunakan protokol seperti Server Message Block (SMB) atau Remote Desktop Protocol (RDP). NDR mengenali anomali ini, misalnya ketika akun pengguna biasa tiba-tiba membuka koneksi administratif berulang ke server internal, sesuatu yang menyimpang dari kebiasaannya.

Komunikasi dengan Server yang Dikendalikan Penyerang

Komputer yang sudah disusupi malware biasanya melapor secara rutin ke server milik penyerang untuk menunggu perintah baru, pola yang disebut C2 beaconing. NDR menangkapnya dari keteraturan polanya, misalnya sebuah workstation menghubungi server luar yang sama setiap 60 detik dengan ukuran paket yang nyaris selalu sama. Karena NDR dapat mengamati kapan komunikasi terjadi dan berapa banyak data yang dikirim tanpa membaca isi pesan, pola ini tetap dapat terdeteksi walaupun komunikasinya terenkripsi TLS.

Pengiriman Data dalam Jumlah atau Pola yang Tidak Biasa

NDR mengawasi volume transfer data, tujuan pengiriman, durasi sesi, dan waktu pengiriman untuk mendeteksi eksfiltrasi ke luar perimeter. Platform ini juga mengenali penyelundupan data lewat DNS tunneling, yaitu ketika sebuah perangkat yang biasanya hanya mengirim sedikit kueri DNS per jam tiba-tiba membangkitkan ribuan kueri, itu tanda ada data yang sedang diselundupkan lewat kanal DNS.

Aktivitas Pemindaian dan Pencarian Perangkat di Jaringan

Tahap pengintaian biasanya diawali dengan pemindaian jaringan (network scanning) untuk mencari host yang rentan. NDR mengenali penyisiran ini ketika satu perangkat mengirim permintaan sambungan beruntun ke puluhan alamat IP atau port dalam waktu singkat, seperti mengetuk setiap pintu untuk mencari yang tidak terkunci. Peringatan dini ini memberi tim Anda kesempatan bertindak sebelum pemindaian berlanjut ke tahap eksploitasi.

Telemetri dari pola komunikasi tersebut membantu analis merekonstruksi jalannya insiden. Berbekal konteks jaringan yang akurat, tim incident response bisa memfokuskan investigasi dan mengisolasi sistem yang terdampak dengan tepat, tanpa menebak-nebak.

Kendati demikian, efektivitas deteksi berbagai ancaman tersebut sangat bergantung pada bagaimana platform NDR digelar serta dikelola pada infrastruktur organisasi Anda.

Baca juga: MITRE ATT&CK Framework: Arsitektur Deteksi dan Cara Mengukur Cakupan SOC yang Sebenarnya

Apa Tantangan Menerapkan NDR di Lingkungan Enterprise?

Jaringan enterprise yang menghubungkan ribuan workstation, server, dan beban kerja cloud menghasilkan volume lalu lintas jaringan yang sangat besar. Perencanaan sensor NDR harus memperhitungkan kapasitas komputasi yang memadai agar sistem monitoring tidak kewalahan saat terjadi lonjakan lalu lintas jaringan.

Tantangan berikutnya adalah mengonfigurasi pola lalu lintas jaringan normal di awal penerapan. NDR belajar dari apa yang dianggap normal, jadi kalau penyetelan awalnya tidak disesuaikan dengan operasional Anda, aktivitas rutin bisa disalahartikan sebagai serangan. Contohnya backup data skala besar di malam hari yang terlihat seperti eksfiltrasi data, atau update sistem serentak yang terlihat seperti pemindaian jaringan.

Analis perlu tahu seperti apa lalu lintas jaringan normalnya, supaya bisa membedakan aktivitas TI yang sah, misalnya lonjakan lalu lintas data file server, dari ancaman nyata seperti pergerakan lateral.

Analis perlu mengetahui perangkat yang menggunakan setiap alamat IP dan pola lalu lintas data hariannya agar bisa mengenali aktivitas yang memang bagian dari operasional TI, seperti lonjakan lalu lintas data file server saat backup, dan membedakannya dari aktivitas mencurigakan seperti pergerakan lateral.

Meskipun tantangan operasional dan teknis tersebut tidak sedikit, data yang dikumpulkan NDR tetap menjadi aset vital bagi tim SOC saat merespons insiden keamanan.

Bagaimana Data NDR Membantu Tim SOC Menangani Insiden?

Setelah NDR memicu notifikasi ancaman, analis SOC memakai telemetri jaringan untuk memastikan apakah insiden tersebut benar-benar terjadi atau sekadar false positive. Data komunikasi antarperangkat mempercepat evaluasi awal, analis tidak perlu lagi mengumpulkan log secara manual dari setiap perangkat satu per satu.

Korelasi data jaringan dengan riwayat peristiwa di SIEM memperkaya investigasi. Misalnya, data aliran paket bisa menunjukkan apakah sebuah login yang janggal ternyata berlanjut ke pengiriman data keluar jaringan, sehingga tim tahu persis langkah penahanan apa yang perlu diambil.

Penerapan Pemantauan Jaringan Bersama Layanan SOC Cisometric

Pemanfaatan NDR menuntut penempatan sensor yang tepat dan keahlian analis dalam mengevaluasi anomali lalu lintas jaringan. Tanpa tim operasional yang bersiaga, temuan anomali jaringan berisiko menumpuk tanpa penanganan terarah.

Layanan SOC Cisometric membantu integrasi pemantauan jaringan ke dalam operasional keamanan melalui empat pilar kapabilitas:

• Continuous Threat Monitoring: Memantau telemetri jaringan, log, dan aktivitas endpoint 24/7/365 untuk mengidentifikasi serta memvalidasi alert yang mengindikasikan ancaman.

• Adaptive Detection dan Baseline: Menyesuaikan aturan deteksi dan profil komunikasi normal dengan pola operasional organisasi untuk menekan false positive tanpa mengabaikan anomali penting.

• Cross-Telemetry Correlation: Mengorelasikan aliran telemetri jaringan dengan peristiwa SIEM dan data endpoint untuk memahami alur kronologi insiden secara utuh.

• Rapid Incident Response: Menyediakan panduan respons taktis berdasarkan temuan investigasi, mencakup isolasi host bermasalah dan pembatasan akses untuk mencegah penyebaran ancaman.

Sebagai penyedia layanan keamanan siber terdaftar di BSSN dan tersertifikasi ISO 27001, Cisometric didukung personel bersertifikasi global seperti CISSP dan CEH. Konsultasikan kebutuhan pemantauan dan evaluasi keamanan jaringan organisasi Anda melalui kontak Cisometric.

FAQ

Apa perbedaan mendasar antara NDR dan NIDS atau NIPS tradisional?

NIDS dan NIPS tradisional berfokus pada signature untuk mengenali serangan yang sudah diketahui, dan NIPS bekerja inline sehingga dapat memblokir lalu lintas secara langsung. NDR menerima salinan lalu lintas secara pasif (out-of-band) dan memakai analitik perilaku serta machine learning untuk menemukan anomali. Respons dijalankan lewat integrasi, misalnya dengan firewall atau pengendali akses jaringan.

Apakah organisasi masih membutuhkan NDR jika sudah menerapkan EDR?

EDR berfokus pada pemantauan proses dan memori host yang terpasang agent. NDR melengkapi visibilitas dengan memantau lalu lintas data yang melewati sensor, mencakup perangkat tanpa agent seperti perangkat IoT, server lama, dan sistem pihak ketiga yang tidak mendukung instalasi agent lokal.

Bagaimana NDR menganalisis ancaman pada lalu lintas jaringan yang terenkripsi?

Sebagian solusi NDR memanfaatkan analisis metadata lalu lintas terenkripsi seperti jeda waktu, ukuran paket, dan parameter jabat tangan TLS tanpa memerlukan dekripsi muatan data sensitif.

Di mana sensor NDR ditempatkan dalam jaringan perusahaan?

Sensor umumnya dipasang pada switch distribusi inti, perimeter jaringan, dan segmen pusat data melalui SPAN port atau network TAP. Pada lingkungan cloud, penempatan memanfaatkan traffic mirroring untuk menduplikasi lalu lintas ke target pemantauan.

Apakah penerapan NDR dapat memperlambat kinerja lalu lintas jaringan bisnis?

Pada penerapan out-of-band, sensor menganalisis salinan lalu lintas sehingga tidak berada di jalur komunikasi aplikasi bisnis. Dampak performa tetap perlu diperhitungkan saat menentukan desain dan kapasitas pemantauan.