Perkhidmatan Pemantauan Ancaman Rangkaian (NDR) di Malaysia 2026
Pemantauan ancaman rangkaian, yang dikenali sebagai Pengesanan dan Respons Rangkaian (Network Detection and Response, NDR) atau Analisis Trafik Rangkaian (Network Traffic Analysis, NTA), ialah lapisan pengesanan yang memantau trafik timur-barat (east-west) dalam rangkaian dalaman anda untuk mengenal pasti pergerakan lateral, pemindahan data secara haram (exfiltration), isyarat berkala perintah dan kawalan (command-and-control beaconing, C2) serta teknik canggih yang terlepas daripada EDR pada titik akhir. Bagi syarikat di Malaysia yang sudah mempunyai SIEM dan EDR tetapi masih menjadi mangsa perisian tebusan (ransomware) atau ancaman berterusan termaju (APT), NDR sering menjadi bahagian yang hilang. Panduan ini meliputi cara kerja NDR, kes penggunaan utama, integrasi SOC, kos di pasaran Malaysia serta pemetaan kepada BNM RMiT dan NACSA NCII.
Apakah NDR dan Mengapa Ia Berbeza daripada IDS/IPS?
Pengesanan dan Respons Rangkaian (NDR), yang kadangkala dipanggil Analisis Trafik Rangkaian (NTA), ialah platform yang memantau trafik rangkaian secara pasif untuk mengesan tingkah laku luar biasa, terutamanya trafik timur-barat (trafik antara hos dalaman) yang tidak melalui tembok api perimeter. Pembekal utama termasuk Darktrace, Vectra AI, ExtraHop, Corelight serta modul NDR dalam platform XDR seperti Palo Alto Cortex dan Microsoft Defender for Identity.
NDR berbeza daripada sistem pengesanan dan pencegahan pencerobohan (IDS/IPS) tradisional. IDS/IPS perimeter menyemak trafik berasaskan tandatangan (signature) untuk serangan yang dikenali. NDR menggunakan pembelajaran mesin untuk membina garis dasar trafik normal dan menandakan sisihan, misalnya sebuah stesen kerja yang tiba-tiba mengimbas 254 hos lain dalam subnet (pengimbasan port), atau sebuah pelayan yang membuat pertanyaan DNS dengan kekerapan luar biasa kepada domain yang tidak biasa (isyarat berkala C2).
NDR juga berbeza daripada EDR. EDR melihat apa yang berlaku di dalam titik akhir (proses, perubahan fail, registri), manakala NDR melihat trafik antara titik akhir. Kedua-duanya saling melengkapi: EDR mungkin tidak mengesan penyerang yang menggunakan binari sah (living-off-the-land), tetapi NDR akan melihat pergerakan yang tidak biasa antara hos. Sebaliknya, NDR mungkin tidak melihat penyerang yang sudah berada di dalam sebuah hos dengan akses yang sah.
Kes Penggunaan Teras: Apa yang Dikesan oleh NDR tetapi Terlepas daripada Alat Lain
Terdapat empat kes penggunaan utama NDR dalam konteks Malaysia:
- Pergerakan lateral: penyerang yang sudah masuk (selalunya melalui pancingan data (phishing) atau VPN yang dicuri) bergerak secara melintang. NDR mengesan PsExec, WMI, RDP dan SMB yang tidak normal antara stesen kerja atau pelayan yang biasanya tidak berkomunikasi.
- Isyarat berkala perintah dan kawalan (C2): perisian hasad (malware) menyambung semula ke pelayan penyerang pada selang masa tetap. NDR membaca pola selang masa dan reputasi domain untuk menandakan isyarat itu walaupun ia menggunakan HTTPS yang disulitkan.
- Pemindahan data secara haram: pemindahan data yang besar keluar daripada rangkaian dalaman. NDR mengesan volum luar biasa ke destinasi yang mencurigakan (Mega.nz, Pastebin, IP awan asing), terutamanya daripada hos yang biasanya tidak memuat naik data.
- Ancaman dalaman dan penyalahgunaan hak istimewa: pentadbir yang mengakses sistem di luar skop kerja, atau akaun perkhidmatan yang digunakan untuk log masuk interaktif. NDR boleh mengenal pasti pola akses yang tidak normal.
Seni Bina: Sensor Pasif dan Sensor Sebaris
NDR biasanya dipasang sebagai sensor pasif yang menerima salinan trafik melalui TAP (Test Access Point) atau port SPAN pada suis teras dan suis pengagihan. Ini bermakna tiada kesan terhadap prestasi rangkaian kerana sensor hanya melihat dan tidak campur tangan. Pemasangan tidak memerlukan agen pada titik akhir dan tidak membuka risiko prestasi baharu.
Lokasi sensor amat penting. Bagi syarikat di Malaysia yang mempunyai rangkaian kampus dan pusat data (DC), anda biasanya memerlukan: (1) sensor pada perimeter (trafik utara-selatan atau north-south) untuk zon penampan (DMZ) dan laluan keluar internet, (2) sensor pada suis teras DC untuk trafik timur-barat antara pelayan, (3) sensor pada lapisan pengagihan untuk trafik antara cawangan atau jabatan, dan secara pilihan (4) sensor pada awan peribadi maya (VPC) untuk persekitaran AWS dan Azure.
Versi yang lebih canggih menambah respons sebaris: apabila ancaman dikesan, NDR boleh meminta tembok api atau kawalan akses rangkaian (NAC) memutuskan sesi atau mengasingkan hos. Namun, respons sebaris menambah risiko (positif palsu boleh menyekat trafik yang sah), jadi kebanyakan pelaksanaan di Malaysia kekal pasif dengan eskalasi secara manual.
Integrasi dengan SOC dan SIEM
NDR tidak menggantikan SIEM atau SOC. Ia ialah satu sumber amaran tambahan yang perlu diintegrasikan ke dalam aliran kerja SOC sedia ada. Apabila NDR menghasilkan amaran, amaran itu perlu dimajukan ke SIEM untuk korelasi dengan log lain (siapa yang log masuk, proses apa yang berjalan, amaran EDR yang berkaitan), kemudian disaring oleh penganalisis SOC mengikut buku panduan yang sama seperti amaran lain.
Integrasi yang berkesan memerlukan pemetaan yang jelas: setiap amaran NDR perlu mempunyai tahap keterukan (rendah/sederhana/tinggi/kritikal), pemilik (siapa yang menyiasat), perjanjian tahap perkhidmatan atau SLA (kelajuan respons) dan buku panduan (langkah-langkah respons). Tanpa semua ini, amaran NDR akan tertimbus dalam hingar SIEM.
Bagi syarikat yang tiada SOC dalaman, pembekal MDR yang menyediakan NDR sebagai sebahagian daripada pakej akan menguruskan integrasi ini. Pelanggan menerima amaran yang sudah disaring dengan konteks lengkap dan syor tindakan.
Kos di Pasaran Malaysia 2026
Harga NDR di Malaysia pada 2026 berbeza-beza mengikut bilangan sensor, jumlah hos yang dipantau serta sama ada anda membeli platform sahaja atau termasuk perkhidmatan penganalisis (NDR terurus).
| Skala Pelaksanaan | Bilangan Sensor | Hos Dipantau | Julat Kos (RM/tahun) |
|---|---|---|---|
| PKS, 1 lokasi | 1–2 sensor | 100–500 | 80,000 – 180,000 |
| Perusahaan, 1 DC | 3–5 sensor | 500–2,000 | 180,000 – 400,000 |
| Berbilang DC dan cawangan | 6–15 sensor | 2,000–10,000 | 350,000 – 900,000 |
| Bank/syarikat berkaitan kerajaan (GLC) multinasional | 20+ sensor | 10,000+ | 800,000 – 2,500,000+ |
| NDR terurus (SOC pembekal) | Termasuk dalam pakej | — | +30–60% di atas kos platform |
Pemetaan kepada BNM RMiT dan NACSA NCII
BNM RMiT seksyen 10 (Keselamatan Siber) memerlukan pemantauan keselamatan berterusan dan keupayaan mengesan ancaman canggih. Juruaudit BNM yang lebih berpengalaman semakin kerap bertanya tentang liputan timur-barat, bukan sahaja tembok api perimeter. Walaupun NDR tidak disebut secara khusus dalam RMiT, dalam amalan, institusi kewangan peringkat pertama di Malaysia sudah memasang NDR sebagai sebahagian daripada SOC mereka yang matang.
Bagi pengendali NCII di bawah Akta Keselamatan Siber 2024, NACSA menjangkakan keupayaan pengesanan ancaman yang merangkumi seluruh kitaran serangan, bukan hanya titik akhir. NDR semakin lazim dalam dokumen postur keselamatan yang diserahkan kepada NACSA semasa audit pematuhan.
Apabila menulis dokumen pematuhan, letakkan NDR sebagai sebahagian daripada lapisan 'Kesan' (Detect) dalam rangka kerja NIST CSF, bersama EDR (pengesanan titik akhir) dan SIEM (pengesanan log). Ini menunjukkan postur pertahanan berlapis (defense-in-depth) yang dijangkakan oleh pengawal selia Malaysia yang moden.
Pertimbangan Praktikal untuk PKS Malaysia
Bagi PKS di Malaysia yang masih membangunkan keupayaan keselamatan, NDR kadangkala dianggap keterlaluan, dan dalam beberapa kes anggapan itu betul. Jika anda belum mempunyai EDR pada setiap titik akhir, pengesahan berbilang faktor (MFA) universal dan SIEM asas, NDR bukan keutamaan tertinggi. Bina asas dahulu.
Namun, jika anda sudah mempunyai semua yang di atas dan masih kerap mengalami insiden (terutamanya pergerakan lateral atau ransomware), NDR merupakan pelaburan seterusnya yang logik. Banyak insiden ransomware di Malaysia pada 2024–2026 melibatkan penyerang yang sudah berada di dalam rangkaian selama lebih daripada 30 hari, bergerak secara melintang tanpa pernah dikesan oleh EDR, kerana mereka menggunakan binari sah dan tidak menjana amaran pada titik akhir. NDR akan mengesan pergerakan yang tidak biasa itu.
Pilihan pelaksanaan untuk PKS: (a) membeli platform NDR pilihan dan mengupah jurutera rangkaian untuk memasang dan menala (kos awal yang tinggi, kemudian operasi dalaman), (b) melanggan NDR terurus daripada pembekal di Malaysia (kos langganan, tetapi tiada pasukan dalaman diperlukan), atau (c) menerima NDR sebagai sebahagian daripada pakej MDR yang lebih luas (selalunya paling menjimatkan kos untuk PKS).
Bacaan Lanjut dan Perkhidmatan nCrypt
Soalan Lazim
Apakah perbezaan antara NDR dengan IDS/IPS warisan?
IDS/IPS warisan (Snort, Suricata kendiri, Cisco Firepower) menggunakan tandatangan untuk serangan yang dikenali, terutamanya pada perimeter (utara-selatan). NDR menggunakan pembelajaran mesin untuk membina garis dasar tingkah laku dan menandakan sisihan, serta menumpukan perhatian kepada trafik timur-barat (antara hos dalaman). NDR lebih baik dalam mengesan penyerang yang sudah masuk, manakala IDS/IPS lebih baik dalam mengesan eksploitasi yang dikenali pada perimeter.
Adakah NDR diperlukan jika saya sudah mempunyai EDR pada semua titik akhir?
Ya, kerana EDR dan NDR mengesan jenis tingkah laku yang berbeza. EDR melihat di dalam titik akhir (proses, fail, registri). NDR melihat antara titik akhir (siapa berkomunikasi dengan siapa dan berapa kerap). Penyerang yang menggunakan binari sah sedia ada (PowerShell, PsExec dan SMB) selalunya terlepas daripada EDR tetapi kelihatan pada NDR sebagai pergerakan yang tidak biasa.
Bolehkah NDR melihat trafik HTTPS yang disulitkan?
NDR moden boleh mengesan banyak pola ancaman dalam HTTPS tanpa menyahsulit, melalui analisis metadata (saiz paket, masa, cap jari JA3, sijil). Untuk penyahsulitan penuh, anda perlu menjalankan pemeriksaan SSL (memerlukan infrastruktur pemintasan TLS), yang menambah kerumitan pematuhan PDPA. Kebanyakan pelaksanaan di Malaysia menjalankan NDR tanpa penyahsulitan penuh.
Berapa lamakah masa yang diperlukan untuk melaksanakan NDR?
Lazimnya 4–8 minggu: minggu 1–2 untuk merancang penempatan sensor dan persediaan TAP/SPAN, minggu 3–4 untuk pemasangan dan garis dasar awal, minggu 5–6 untuk penalaan positif palsu dan minggu 7–8 untuk beroperasi sepenuhnya dengan integrasi SOC yang penuh.
Apakah pembekal NDR yang paling biasa di Malaysia?
Yang paling kerap dijumpai ialah Darktrace (kuat dalam pengesanan berasaskan pembelajaran mesin), Vectra AI (kuat dalam tingkah laku penyerang), ExtraHop (kuat dalam protokol perbankan), Corelight (berasaskan Zeek, popular untuk SOC yang matang) serta modul NDR dalam Cortex XDR atau Microsoft Defender bagi syarikat yang berada dalam ekosistem pembekal tersebut.
Berbincang dengan Pasukan nCrypt
Pasukan kami yang sejajar dengan CREST membantu institusi kewangan, agensi kerajaan dan PKS Malaysia merancang ujian penembusan, pematuhan dan respons insiden. Dapatkan sebut harga atau tempah perbincangan percuma hari ini.