Qu'est-ce que la détection et réponse réseau (NDR) ?

La détection et réponse réseau (NDR, de l'anglais Network Detection and Response) est une technologie de cybersécurité qui surveille le trafic réseau pour détecter, investiguer et répondre aux menaces que les autres outils manquent. Plutôt que de comparer des signatures connues, elle applique l'analyse comportementale et le machine learning au trafic lui-même, repérant les schémas qu'une intrusion laisse derrière elle. Cette focalisation sur le comportement lui permet de détecter des menaces sans signature préalable, du mouvement latéral à l'intérieur du réseau aux canaux de commande et contrôle (C2) dissimulés dans le trafic chiffré. Gartner a officiellement défini la catégorie en 2020 et publié son premier Magic Quadrant pour le NDR en 2025. Le NDR trouve sa place parce que les attaquants qui passent au travers de l'endpoint et du périmètre doivent quand même utiliser le réseau, et chacun de leurs mouvements y laisse une trace. Cette page couvre ce qu'est le NDR, comment il fonctionne, le trafic qu'il observe, comment il se compare aux outils axés sur les endpoints et les logs, et où il s'inscrit dans un SOC (Security Operations Center) moderne.

Ce qu'il faut retenir

Le NDR surveille le réseau, pas l'endpoint. Il analyse le trafic pour détecter les menaces, et observe ainsi une activité que les agents sur les endpoints et les logs ne capturent jamais.
Il s'appuie sur le comportement, pas les signatures. Le machine learning et l'analyse comportementale permettent au NDR de détecter des menaces nouvelles, y compris les activités zero-day et les canaux de commande et contrôle dans le trafic chiffré.
La visibilité est-ouest est son point fort. En inspectant le trafic entre les systèmes internes, le NDR expose les mouvements latéraux que les outils périmètriques ne peuvent pas voir.
Il est sans agent. Le NDR lit le trafic mis en miroir depuis des TAP réseau ou des logs de flux, ce qui lui permet de couvrir les appareils non managés, IoT et OT (Operational Technology) qui ne peuvent pas exécuter d'agent.
C'est l'un des trois piliers. Le NDR fonctionne aux côtés de l'EDR (Endpoint Detection and Response) et d'un système de SIEM (Security Information and Event Management) dans ce que Gartner appelle la triade de visibilité du SOC.

Comment fonctionne le NDR

Une plateforme NDR ingère le trafic réseau depuis des capteurs placés à des points clés de l'environnement, en récupérant soit les paquets complets, soit les enregistrements de flux et les métadonnées. Elle établit une ligne de base de ce à quoi ressemble le trafic normal pour chaque appareil, utilisateur et segment, puis surveille les écarts par rapport à cette ligne de base. Parce que le modèle décrit un comportement plutôt que des indicateurs de menaces connus, il signale une activité jamais vue auparavant, pas seulement des attaques reconnues.

La détection s'appuie sur plusieurs méthodes complémentaires. L'analyse comportementale et le machine learning modélisent la façon dont les hôtes et les comptes communiquent habituellement. L'inspection approfondie des paquets (DPI) et l'analyse de flux font remonter les détails des connexions spécifiques. La cyber threat intelligence (CTI) ajoute du contexte sur les infrastructures malveillantes connues. Lorsque quelque chose de suspect apparaît, la plateforme déclenche une alerte priorisée et, selon la configuration, guide l'analyste dans le confinement ou agit directement, en isolant un hôte ou en mettant fin à une session. Elle transfère généralement la réponse à un système de SOAR (Security Orchestration, Automation and Response) ou à un outil EDR pour l'appliquer.

Le NDR est issu de l'ancienne sécurité réseau. Les systèmes de détection d'intrusion (IDS) sont apparus en premier, comparant des signatures pour détecter les attaques connues, mais ils généraient du bruit et étaient relativement faciles à contourner. Les IDS de nouvelle génération ont ajouté des contrôles d'anomalies et de comportements. Le NDR moderne étend cette lignée avec une analyse pilotée par l'IA qui détecte les menaces connues et inconnues, et est bien plus simple à opérer.

Trafic nord-sud et trafic est-ouest

Le NDR surveille deux types de trafic, et le second est ce qui le distingue. Le trafic nord-sud (north-south) traverse le périmètre, en circulant entre le réseau interne et le monde extérieur : c'est là qu'apparaissent les tentatives d'accès initial et les exfiltrations de données. Le trafic est-ouest (east-west) se déplace latéralement entre les systèmes internes, et c'est l'angle mort de la plupart des outils axés sur le périmètre.

Le mouvement latéral est le cas d'usage le plus fort du NDR. Une fois qu'un acteur de la menace a pris pied et utilise des identifiants valides, un poste de travail qui accède soudainement à des serveurs de fichiers qu'il n'a jamais touchés, ou des tentatives d'authentification vers des systèmes en dehors du schéma habituel, semble légitime aux défenses périmètriques et peut être invisible pour les outils d'endpoints lorsque les identifiants sont réels. Sur le réseau, ce comportement se distingue clairement. Ces signaux précèdent souvent le déploiement d'un ransomware de plusieurs jours ou semaines, ce qui fait de la visibilité est-ouest une alerte précoce précieuse.

Détecter les menaces dans le trafic chiffré

La majorité du trafic est désormais chiffrée, et la plupart des menaces se cachent à l'intérieur de ce chiffrement, ce qui rend moins efficaces les outils qui dépendent de la lecture du contenu des paquets. Le NDR gère cela en analysant la forme des communications chiffrées plutôt qu'en les déchiffrant. Il examine les métadonnées de connexion telles que les adresses, les ports, les détails des certificats, la durée des sessions et les volumes de données. Il établit l'empreinte du client et du serveur derrière un handshake TLS, une technique connue sous le nom de JA3 et JA4, pour repérer les logiciels qui ne correspondent à rien de légitime. Il mesure le timing et l'entropie pour détecter les callbacks réguliers des malwares en mode balise (beaconing). Rien de tout cela ne nécessite de casser le chiffrement, de sorte que le NDR reste efficace là où la seule inspection approfondie des paquets atteint ses limites.

NDR vs EDR, SIEM et XDR

Le NDR est souvent comparé aux autres technologies de détection aux côtés desquelles il opère. La distinction se résume aux données que chacun surveille, et aux angles morts que chacun laisse.

[TABLE : NDR comparé à l'EDR, au SIEM et à l'XDR]

Ces trois outils fondamentaux forment ce que Gartner appelle la triade de visibilité du SOC : le SIEM pour les logs, l'EDR pour les endpoints, et le NDR pour le réseau. L'idée est simple. Aucune source unique ne voit tout, et les attaquants exploitent les lacunes entre les outils. Les menaces qui opèrent en dessous du niveau qu'un agent d'endpoint peut voir, ou qui ne génèrent jamais de log, doivent quand même traverser le réseau, où le NDR les observe. L'XDR (Extended Detection and Response) s'appuie ensuite sur ces sources en les corrélant en incidents unifiés, le NDR fournissant le signal réseau.

Ce que le NDR apporte à une équipe de sécurité

La valeur du NDR se concrétise de plusieurs façons :

Une couverture que les autres outils n'ont pas. La surveillance sans agent atteint chaque appareil connecté au réseau, y compris les systèmes non managés et les appareils IoT ou OT que les outils d'endpoints ne peuvent pas protéger.
Des alertes moins nombreuses et de meilleure qualité. Parce que les meilleures plateformes modélisent le comportement actif des attaquants plutôt que les anomalies brutes, elles font remonter des détections à haute fidélité au lieu de noyer les analystes dans le bruit.
Une investigation plus rapide. Le NDR corrèle l'activité dans le temps, les utilisateurs et les systèmes, reconstituant une attaque pour que les analystes puissent voir ce qu'un hôte a fait avant et après une alerte.
Le soutien à la confiance zéro (Zero Trust). En vérifiant en continu le trafic interne par rapport au comportement attendu, le NDR contribue à s'assurer qu'aucun appareil ni session n'est implicitement approuvé, et signale les écarts par rapport à la politique de segmentation.

Comment le NDR est déployé

Les capteurs NDR fonctionnent généralement hors bande (out-of-band), en analysant une copie du trafic acheminée par un TAP réseau ou un port miroir de commutateur (SPAN). Cela n'ajoute pas de latence et ne peut pas perturber le réseau si un capteur tombe en panne, mais cela signifie que la plateforme contient les menaces en s'intégrant avec un pare-feu, un commutateur ou un EDR plutôt qu'en bloquant les paquets elle-même. Un déploiement en ligne (inline), où le capteur se trouve directement dans le chemin du trafic, peut bloquer le trafic malveillant de façon autonome mais introduit de la latence et un point de défaillance potentiel. La plupart des entreprises choisissent la surveillance hors bande pour une couverture large et n'ajoutent des capteurs inline qu'aux points de passage critiques où le blocage immédiat justifie ce compromis.

Avis d'expert : le réseau est un signal parmi d'autres

Le trafic réseau vous dit quelque chose qu'aucune autre source ne peut. Il est aussi, seul, seulement une partie de l'histoire. Une alerte NDR indiquant qu'un serveur contacte une infrastructure inconnue est précieuse, mais elle devient bien plus utile lorsqu'une équipe peut la relier à l'endpoint qui a lancé le processus, à l'identité qui s'est authentifiée, et au renseignement sur l'infrastructure contactée. Lue de façon isolée, un signal réseau montre que quelque chose ne va pas ; lue en contexte, elle montre ce qui se passe et ce qu'il faut faire.

C'est ainsi que Sekoia aborde la télémétrie réseau. Sekoia est un éditeur européen de cybersécurité, et sa plateforme AI SOC unifiée traite les détections réseau comme une entrée parmi plusieurs, corrélée avec les signaux endpoint, identité et cloud et enrichie par le renseignement de son équipe interne Threat Detection & Research (TDR). Les détections sont mappées sur le framework MITRE ATT&CK, de sorte qu'un mouvement latéral observé sur le réseau se connecte à l'intrusion plus large plutôt que de rester un événement isolé. Pour les équipes qui souhaitent une couverture réseau sans gérer un appliance séparé et cloisonné, intégrer le signal réseau dans une plateforme de détection plus large maintient l'investigation en un seul endroit.

Pour être clair sur le périmètre : un appliance NDR dédié d'un éditeur spécialisé ira plus loin dans l'analyse pure des paquets qu'une plateforme généraliste, et certains environnements ont genuinement besoin de cette profondeur. Ce qu'une plateforme SOC unifiée offre en contrepartie, c'est la corrélation : le réseau devient un signal fiable parmi une image plus complète d'une attaque. En tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia convient également aux organisations qui ont besoin que leur trafic et leurs données de détection soient traités sous une gouvernance européenne.