IDS vs IPS vs NDR: ¿Cuál es la diferencia y qué información recibe el SOC?
IDS vs IPS vs NDR se realiza mapeando el flujo, los tiempos, los protocolos, DNS/TLS/HTTP y la conexión con el activo. Un paquete o una única conexión son pruebas parciales, por lo que se construye una secuencia y se verifica con fuentes adicionales.
El tráfico de red proporciona una perspectiva que no depende únicamente del punto final. Permite identificar quién habló con quién, con qué protocolo, en qué orden y con qué volumen, pero requiere una comprensión de los límites de la visibilidad y el cifrado. Este artículo se centra en IDS vs IPS vs NDR y está dirigido a principiantes en ciberseguridad y tomadores de decisiones técnicos. El objetivo es proporcionar una metodología que pueda aplicarse en la práctica, en una entrevista profesional y en un entorno de trabajo, sin limitarse a una definición de diccionario.
El desafío principal es que los datos son casi siempre parciales. Los cinco componentes del flujo, el tiempo de inicio, la duración y el volumen, el nombre de DNS y los metadatos de TLS pueden indicar una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la investigación en torno a una pregunta de investigación, la evidencia requerida y un criterio claro para la finalización.
El escenario práctico en el artículo es: una tabla comparativa basada en cinco escenarios. Todos los ejemplos son datos de laboratorio o descripciones de procesos. Cuando se trata de Pruebas de Penetración, Web o Nube, solo se debe trabajar con aprobación explícita, un alcance definido y la capacidad de detener la prueba.
