NDR no SOC: O Que Seu SIEM Não Vê

Resumo: O NDR (Network Detection and Response) é a ferramenta de segurança que monitora o tráfego de rede em tempo real usando análise comportamental e machine learning para detectar ameaças que o SIEM e o EDR não enxergam — incluindo tráfego criptografado, movimento lateral e ataques contra dispositivos sem agente. Em 2026, com 87% das ameaças operando em canais cifrados e SIEMs cobrindo apenas 21% das técnicas do MITRE ATT&CK, o NDR se tornou a camada essencial da tríade de visibilidade do SOC, reduzindo tempo de investigação e fechando gaps de cobertura que logs e endpoints deixam abertos.

Pontos cegos que o NDR fecha

O Network Detection and Response (NDR) é a ferramenta que monitora o tráfego de rede em tempo real, detecta comportamentos anômalos por análise comportamental e responde a ameaças que o SIEM simplesmente não vê. Enquanto 87% das ameaças exploram canais criptografados e 79% dos ataques em 2026 dispensam malware — operando com credenciais válidas e técnicas de living-off-the-land —, o NDR se tornou a camada de defesa que fecha o buraco entre endpoint e log. Para um SOC que já convive com pontos cegos, o NDR não é luxo: é a diferença entre detectar movimento lateral e descobrir a exfiltração seis meses depois.

Como o NDR funciona na prática

O NDR captura pacotes de rede e metadados (NetFlow, protocolos, IPs de origem e destino, portas, timing) sem depender de agentes instalados nos endpoints. A partir desses dados, modelos de machine learning constroem baselines comportamentais do tráfego da rede. Quando um host interno começa a se comunicar com um endpoint externo suspeito, ou quando um servidor passa a escanear segmentos adjacentes em horários atípicos, o NDR sinaliza o desvio — mesmo que o tráfego esteja criptografado e as credenciais sejam legítimas.

A detecção por análise comportamental é o núcleo. Diferente de assinaturas estáticas que exigem atualização constante, o NDR aprende o que é “normal” na sua rede e flagga o que foge desse padrão. Isso inclui técnicas do MITRE ATT&CK como Remote Services (T1021), Pass the Hash (T1550.002) e Non-Standard Application Layer Protocol (T1071) — técnicas que, em muitos SOCs, só aparecem no log quando o dano já está feito.

Tráfego criptografado: o maior ponto cego

Imagine a seguinte cena: um atacante compromete um workstation com credenciais válidas, estabelece um túnel RDP criptografado para um servidor interno e começa a mover-se lateralmente. O SIEM recebe logs de autenticação — login legítimo. O EDR vê o processo do RDP — processo legítimo. Mas o NDR observa que aquele host específico nunca se conectou àquele destino antes, com aquele volume de dados, naquele intervalo. O comportamento está errado.

O NDR analisa sessões criptografadas sem quebrá-las. As técnicas incluem:

JA3/JA4 fingerprinting — assinaturas únicas do TLS Client Hello que identificam aplicações e famílias de malware independentemente da cifra.
Análise de certificados — certificados autoassinados, autoridades certificadoras incomuns ou certificados que mimetizam serviços legítimos.
Baselines comportamentais — duração de sessão, tamanhos de pacote, padrões de timing e frequência de conexão revelam anomalias mesmo sem acesso ao conteúdo.
Grafos de conexão — mapeamento de quais hosts internos falam com quais endpoints externos, com sinalização de desvios.

O backdoor BPFDoor, usado no vazamento da SK Telecom, exemplifica esse cenário. Operando no nível do kernel com Berkeley Packet Filters, o BPFDoor não gera entradas de log tradicionais enquanto mantém acesso persistente de comando e controle. O NDR detectou os padrões de conexão anômalos — timing incomum, portas não padronizadas, volumes irregulares — mesmo sem ver o conteúdo do tráfego.

NDR versus SIEM: complemento, não concorrência

Um erro comum em equipes de segurança é tratar NDR e SIEM como concorrentes. Na prática, eles cobrem dimensões diferentes da detecção. O relatório CardinalOps de 2025 revelou que SIEMs corporativos falham em detectar 79% das técnicas do MITRE ATT&CK com as regras configuradas de fábrica, e 13% dessas regras são completamente não funcionais. Se você quer aprofundar esse problema, já abordamos a limitação de cobertura do SIEM contra o MITRE ATT&CK em outro artigo.

A tríade de visibilidade do SOC — SIEM, NDR e EDR — foi introduzida pelo Gartner em 2019 e continua sendo a arquitetura de referência para detecção abrangente. Nessa tríade:

SIEM agrega logs de endpoints, aplicações e firewalls. Detecta ameaças por regras de correlação e fornece auditoria e compliance. Mas depende que o evento gere um log.
EDR monitora o endpoint via agente. Detecta malware, ataques fileless e atividades no nível do processo. Mas não funciona em dispositivos sem agente.
NDR monitora o tráfego de rede sem agentes. Captura movimento lateral, tráfego criptografado e dispositivos não gerenciados. Mas não vê o que acontece dentro do endpoint.

Quando integrados, o NDR envia alertas enriquecidos para o SIEM, que adiciona contexto de logs. O EDR fornece visibilidade endpoint que o NDR não alcança. Organizações que operam com a tríade completa relatam redução do tempo de investigação de 40 minutos para 3 a 11 minutos por alerta.

Cinco decisões no deploy de NDR

Implementar NDR não é plugar um sensor e esperar. As decisões tomadas na fase de planejamento determinam se a ferramenta vira ativo estratégico ou caixa de falsos positivos. Baseado em boas práticas documentadas pelo NetWitness e Corelight, essas são as cinco que mais importam:

1. Defina 2-3 casos de uso antes de plugar

Não instale NDR com o objetivo vago de “melhorar a visibilidade”. Escolha prioridades concretas: detectar exfiltração de dados, monitorar tráfego east-west entre data centers, ou cobrir dispositivos IoT/OT sem agentes. Começar com poucos casos de uso permite afinação focada, validação rápida e provas de valor para stakeholders.

2. Posicione sensores onde o tráfego passa

Sensores SPAN/TAP nos pontos de agregação — core switches, firewalls internos, links WAN — são o mínimo. Para ambientes cloud, posicione VPC flow logs e mirror de tráfego nos gateways. O erro mais comum é cobrir só o tráfego north-south (perímetro) e ignorar o east-west (interno), que é onde acontece 90% do movimento lateral.

3. Integre com SIEM e SOAR desde o dia zero

NDR operando em silo é metade do potencial. Configure alertas do NDR como fonte de eventos no SIEM para correlação. Conecte ao SOAR para automação de resposta — bloqueio de IP no firewall, isolamento de host, notificação ao analista. A integração bidirecional é o que transforma dados de rede em resposta operacional.

4. Capture de pacotes para forense

Detectar é metade. Investigar é a outra. Full-packet capture (FPC) permite reconstruir sessões completas, comprovar ou refutar exfiltração de dados e fornecer evidências para resposta a incidentes e compliance. Não é necessário capturar tudo indefinidamente — configure janelas de retenção baseadas no risco e nos requisitos regulatórios.

5. Afine continuamente — não configure e esqueça

Redes mudam, ameaças evoluem, baselines precisam de recalibração. Defina um ciclo de revisão mensal para limiar de detecção, agrupamento de alertas e modelos de machine learning. Reduza falsos positivos com base em dados históricos e incorpore novos comportamentos legítimos à baseline. Afinação contínua é o que separa um NDR útil de um gerador de ruído.

Preparação do SOC antes do NDR

A ferramenta mais sofisticada do mundo não salva um processo de operação quebrado. Antes de adicionar NDR ao stack, o SOC precisa resolver problemas que já abordamos em SOCs Quebrando: Por Que IA Não Resolve Sem Supervisão Humana: maturidade de processos, capacity real dos analistas e playbooks de resposta testados.

Treinamento específico de analistas é não negociável. Segundo a SANS Institute, 73% das equipes de segurança apontam falsos positivos como o principal desafio de detecção, e entre 42% e 63% dos alertas não são investigados. O NDR reduz volume, mas o analista precisa saber pivotar entre dados de rede, endpoint e identidade para fechar a investigação. Treinamento deve cobrir reconstrução de sessões, enriquecimento contextual de alertas e correlação manual entre fontes.

KPIs: medindo o valor do NDR

Não mede o valor do NDR pela quantidade de alertas. Mede pelo impacto na operação. Os indicadores que importam:

KPI	O que mostra	Meta típica
MTTD (Mean Time to Detect)	Velocidade de detecção pós-comprometimento	Redução de 30%+ vs. SIEM solo
MTTR (Mean Time to Respond)	Tempo da detecção à ação de contenção	Redução de 20%+ com SOAR integrado
Taxa de falsos positivos	Eficiência da afinação e priorização	Below 15% dos alertas totais
Cobertura de tráfego	Proporção de caminhos monitorados	95%+ dos segmentos críticos
Tempo de investigação por alerta	Produtividade do analista	Redução de 70% com enriquecimento automático