搜索

[14380] 2019-07-22_网藤PRS｜解构NTA的发展与实践之路

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-07-22_网藤PRS｜解构NTA的发展与实践之路 网 藤 P R S ｜ 解 构 N T A 的 发 展 与 实 践 之 路 网 藤 智 能 安 全   F r e e B u f   2 0 1 9 - 0 7 - 2 2 前 言 前 言 随 着 越 来 越 多 的 企 业 将 业 务 迁 移 到 云 端 ， 随 着 越 来 越 多 的 企 业 将 业 务 迁 移 到 云 端 ， D e v O p s 流 程 在 企 业 内 部 逐 渐 开 展 与 深 入 ， 物 联 网 设 备 总 量 呈 现 爆 炸 流 程 在 企 业 内 部 逐 渐 开 展 与 深 入 ， 物 联 网 设 备 总 量 呈 现 爆 炸 式 增 长 ， 仅 限 于 预 防 、 以 外 围 为 重 点 的 安 全 手 段 已 捉 襟 见 肘 。 式 增 长 ， 仅 限 于 预 防 、 以 外 围 为 重 点 的 安 全 手 段 已 捉 襟 见 肘 。 举 个 例 子 ， 企 业 安 全 中 心 要 如 何 检 测 使 用 S M B 枚 举 文 件 共 享 ， 然 后 登 录 并 远 程 执 行 进 程 的 攻 击 者 ？ 或 者 ， 如 果 有 人 使 用 I P 电 话 系 统 录 制 和 窃 取 语 电 话 内 容 ， 安 全 中 心 多 快 可 以 检 测 到 ？ 答 案 隐 藏 在 庞 大 的 网 络 流 量 中 ， 如 果 企 业 安 全 中 心 具 备 了 态 势 感 知 与 可 视 化 等 能 力 ， 即 可 看 穿 网 络 流 量 进 而 定 位 到 真 实 发 生 的 网 络 安 全 事 件 ， 加 快 检 测 与 响 应 的 进 程 ， 降 低 攻 击 活 动 在 企 业 网 络 中 的 存 续 时 间 ， 而 能 够 提 供 答 案 的 网 络 流 量 分 析 解 决 方 案 ， 如 网 藤 P R S 等 在 安 全 界 也 随 即 被 重 视 起 来 。 2 0 1 7 年 ， 网 络 流 量 分 析 （ N T A ） 技 术 入 选 G a r t n e r 《 2 0 1 7 年 1 1 大 顶 尖 信 息 安 全 技 术 》 ， 同 时 也 被 认 为 是 五 种 检 测 高 级 威 胁 的 手 段 之 一 。 随 着 技 术 发 展 的 日 渐 成 熟 ， N T A 技 术 已 经 直 接 或 间 接 成 为 各 类 整 体 威 胁 防 护 解 决 方 案 的 重 要 组 成 。 今 年 2 月 ， G a r t n e r 发 布 了 市 场 上 第 一 份 《 N T A 市 场 指 南 》 ， 正 式 将 N T A 技 术 置 于 前 沿 网 络 安 全 市 场 定 位 。 N T A 的 定 义 的 定 义 G a r t n e r 将 N T A （ N e t w o r k   T r a f f i c   A n a l y s i s ） 网 络 流 量 分 析 技 术 定 义 为 ： 以 网 络 流 量 为 基 础 ， 应 用 人 工 智 能 、 大 数 据 处 理 等 先 进 技 术 ， 基 于 流 量 行 为 的 实 时 分 析 ， 展 示 异 常 事 件 的 客 观 事 实 。 具 体 来 说 ， N T A 是 面 向 O S I （ O p e n   S y s t e m   I n t e r c o n n e c t i o n ） 模 型 2 - 7 层 的 网 络 流 量 检 测 和 响 应 技 术 ， 通 过 对 行 为 的 探 知 和 上 下 文 的 关 联 来 寻 找 并 不 直 观 的 威 胁 ， 并 检 测 低 速 、 潜 伏 的 高 级 持 续 型 攻 击 。 比 如 网 藤 P R S 可 将 网 络 流 量 作 为 检 测 和 调 查 网 络 中 安 全 威 胁 和 异 常 或 恶 意 行 为 的 基 础 数 据 源 ， 融 合 传 统 检 测 技 术 的 规 则 思 想 ， 同 时 应 用 威 胁 情 报 、 统 计 分 析 、 内 容 检 查 、 机 器 学 习 等 多 种 高 级 分 析 技 术 ， 检 测 企 业 网 络 上 的 可 疑 活 动 ， 尤 其 是 失 陷 后 的 痕 迹 。 N T A 通 常 部 署 在 关 键 网 络 区 域 的 南 北 向 （ 跨 越 网 络 边 界 ） / 东 西 向 （ 网 络 中 横 向 移 动 ） 流 量 节 点 进 行 检 测 分 析 。 N T A 相 较 于 传 统 的 网 络 流 量 安 全 解 决 方 案 ， 可 以 解 决 以 下 问 题 ： 仅 监 控 跨 网 的 南 北 向 数 据 ， 而 对 内 部 流 量 的 可 视 化 支 持 极 差 ； 依 赖 于 规 则 、 签 名 等 手 段 ， 无 法 检 测 签 名 库 之 外 不 断 演 进 的 新 型 威 胁 ； 无 法 执 行 事 件 的 调 查 与 响 应 。 解 决 这 些 棘 手 问 题 的 能 力 正 是 N T A 的 价 值 所 在 。 N T A 的 发 展 的 发 展 在 第 一 代 网 络 流 量 分 析 产 品 中 ， 我 们 经 常 可 以 看 到 这 样 的 说 明 ： 网 络 流 量 分 析 有 助 于 网 络 管 理 者 进 行 网 络 规 划 、 网 络 优 化 、 网 络 监 控 、 流 量 趋 势 分 析 等 工 作 。 经 过 多 年 的 发 展 ， 现 在 的 N T A 已 成 为 以 网 藤 P R S 为 代 表 ， 融 合 外 网 检 测 与 内 网 合 规 、 兼 具 追 溯 取 证 、 高 度 集 成 的 第 三 代 解 决 方 案 。
高 速 发 展 的 背 后 存 在 多 方 面 的 历 史 机 遇 与 相 应 的 威 胁 面 扩 张 。 根 据 思 科 的 测 算 ： 2 0 1 7 年 全 球 范 围 内 商 业 互 联 网 流 量 为 1 7 . 2 5   E B / 月 ， 到 2 0 2 2 年 该 数 字 将 增 长 至 4 8 . 7 4   E B / 月 ， 年 复 合 增 长 率 高 达 2 3 % 。 移 动 端 和 物 联 网 设 备 等 领 域 产 生 的 商 业 移 动 数 据 流 量 将 从 2 0 1 7 年 的 1 . 6 2   E B / 月 增 长 到 2 0 2 2 年 的 9 . 2 2   E B / 月 ， 5 年 里 的 年 复 合 增 长 率 达 到 了 惊 人 的 4 2 ％ 。 按 地 理 位 置 分 ， 亚 太 地 区 产 生 的 流 量 占 比 和 增 长 率 均 为 最 高 ， 其 中 又 以 我 国 的 表 现 最 为 突 出 ， 其 背 后 的 原 因 在 于 我 国 互 联 网 、 物 联 网 、 移 动 应 用 等 高 数 据 容 量 产 业 处 于 快 速 发 展 的 状 态 。 这 一 趋 势 加 速 了 每 个 互 联 网 用 户 的 平 均 设 备 和 使 用 服 务 数 量 的 增 长 。 对 于 企 业 端 而 言 ， 这 样 的 高 速 增 长 也 带 来 了 业 务 流 量 的 激 增 。 急 速 增 加 的 流 量 正 在 推 动 各 行 各 业 的 发 展 态 势 ， 同 时 又 将 企 业 等 组 织 机 构 面 临 的 网 络 安 全 形 势 推 向 更 加 严 峻 的 局 面 。 最 能 说 明 问 题 的 是 以 高 级 持 续 性 威 胁 （ A P T ） 为 代 表 的 新 型 攻 击 手 段 渐 渐 兴 起 之 后 ， 企 业 用 户 对 流 量 分 析 产 品 提 出 了 新 的 要 求 ， 既 要 在 网 络 层 面 实 时 、 近 实 时 的 呈 现 网 络 流 量 ， 又 要 在 受 攻 击 后 （ 数 天 / 数 周 ） 进 行 网 络 入 侵 取 证 。 同 时 随 着 云 计 算 、 大 数 据 等 技 术 全 面 铺 开 ， 每 单 位 存 储 和 每 单 位 计 算 的 成 本 越 来 越 低 ， 使 得 能 够 处 理 更 大 样 本 内 容 、 更 智 能 的 分 析 算 法 在 安 全 产 品 中 得 以 实 际 应 用 ， 把 N T A 技 术 的 发 展 引 向 ” 采 集 原 始 流 量 — 流 分 析 — 应 用 协 议 元 数 据 — 持 续 监 测 网 络 对 象 — 分 析 异 常 流 量 — 溯 源 可 疑 行 为 — 联 动 威 胁 情 报 应 对 高 级 威 胁 ” 的 演 进 方 向 。 N T A 技 术 的 采 集 ， 存 储 ， 分 析 ， 挖 掘 ， 可 视 化 能 力 也 成 为 了 企 业 感 知 网 络 安 全 事 件 ， 应 对 信 息 安 全 挑 战 的 一 个 可 靠 选 择 。 不 久 前 ， T r a n s p a r e n c y   M a r k e t   R e s e a r c h 针 对 2 0 1 8 - 2 0 2 6 年 内 的 全 球 网 络 流 量 分 析 市 场 进 行 了 调 研 和 展 望 ， 并 发 布 了 相 关 报 告 。 报 告 指 出 ， 2 0 1 7 年 ， 全 球 范 围 内 的 网 络 流 量 分 析 解 决 方 案 具 有 非 常 大 的 市 场 潜 力 ， 整 体 价 值 约 为 1 5 亿 美 元 左 右 ， 根 据 推 测 ， 在 接 下 来 直 到 2 0 2 6 年 ， 其 每 年 的 增 长 率 将 高 达 1 5 . 2 % ， 也 就 是 说 到 2 0 2 6 年 左 右 ， 其 市 场 规 模 将 接 近 5 3 亿 美 元 左 右 。 未 来 几 年 产 业 向 云 计 算 迁 移 将 成 为 大 势 所 趋 ， 而 基 于 云 的 解 决 方 案 则 需 要 托 管 服 务 ， 这 便 直 接 取 消 了 内 部 I T 技 术 支 持 的 需 要 。 此 外 ， 中 小 微 企 业 的 增 长 可 能 是 未 来 几 年 推 动 N T A 乃 至 整 个 互 联 网 行 业 市 场 发 展 的 关 键 因 素 ， 作 为 一 种 安 全 技 术 ， 其 应 用 和 市 场 前 景 不 可 谓 不 开 阔 。 N T A 的 实 践 的 实 践 目 前 ， N T A 技 术 已 基 本 具 备 了 成 熟 的 响 应 与 监 测 能 力 ， 具 备 多 元 化 网 络 安 全 解 决 方 案 的 企 业 以 及 专 攻 一 门 （ 如 网 络 沙 盒 ） 的 企 业 已 基 本 覆 盖 N T A 市 场 ， 已 经 能 够 实 现 具 体 案 例 具 体 实 施 的 细 化 解 决 方 案 。 对 G a r t n e r 《 N T A 市 场 指 南 》 中 罗 列 的 国 外 知 名 厂 商 旗 下 安 全 产 品 ， 比 如 F i r e E y e 的 S m a r t V i s i o n ， C i s c o 的 S t e a l t h w a t c h ， 以 及 国 内 代 表 性 厂 商 解 决 方 案 ， 如 网 藤 P R S 等 产 品 进 行 功 能 梳 理 ， 可 以 看 到 成 熟 的 产 品 一 般 具 备 以 下 特 点 ， 或 支 持 相 关 能 力 ： 1 、 网 络 全 流 量 存 储 与 检 索 解 析 后 的 全 流 量 网 络 协 议 数 据 会 基 于 大 数 据 技 术 进 行 存 储 ， 形 成 数 据 仓 库 以 支 持 快 速 检 索 的 能 力 ， 以 满 足 对 实 时 数 据 的 在 线 分 析 与 离 线 分 析 技 术 。 2 、 攻 击 行 为 检 测 通 过 对 协 议 进 行 特 征 识 别 ， 检 测 通 用 攻 击 行 为 的 能 力 ， 如 W e b 攻 击 、 应 用 层 攻 击 、 端 口 / 服 务 扫 描 攻 击 等 。 3 、 异 常 行 为 检 测 对 协 议 数 据 进 行 行 为 分 析 ， 注 重 协 议 上 下 文 的 关 联 性 ， 大 量 应 用 机 器 学 习 、 数 据 分 析 等 新 技 术 识 别 异 常 行 为 与 高 级 风 险 。 4 、 基 线 式 检 测
以 海 量 数 据 为 基 础 ， 构 建 安 全 基 线 场 景 ， 利 用 离 线 分 析 技 术 ， 检 测 低 速 及 潜 伏 型 安 全 威 胁 。 5 、 数 据 智 能 安 全 分 析 基 于 保 留 的 原 始 流 量 数 据 ， 结 合 数 据 挖 掘 、 人 工 智 能 等 相 关 大 数 据 技 术 ， 更 加 智 能 地 洞 悉 信 息 与 网 络 安 全 态 势 ， 更 主 动 、 弹 性 地 去 应 对 新 型 复 杂 的 威 胁 和 未 知 多 变 的 风 险 。 6 、 溯 源 与 调 查 取 证 应 用 大 数 据 解 析 与 检 索 技 术 ， 对 协 议 上 下 文 与 协 议 内 容 进 行 调 查 取 证 ， 快 速 定 位 风 险 事 件 与 协 议 事 件 的 关 系 。 7 、 可 视 化 威 胁 狩 猎 应 用 可 视 化 分 析 技 术 ， 关 联 异 常 事 件 的 综 合 信 息 ， 降 低 安 全 支 出 ， 提 升 安 全 可 见 性 。 从 这 些 产 品 的 既 往 发 展 路 径 以 及 对 未 来 的 发 展 规 划 ， 可 总 结 出 N T A 技 术 与 整 个 行 业 呈 现 出 以 下 几 种 发 展 趋 势 ： 1 、 对 、 对 N T A 的 功 能 需 求 进 一 步 增 加 。 的 功 能 需 求 进 一 步 增 加 。 尤 其 在 以 高 持 续 性 威 胁 （ A P T ） 为 代 表 的 新 式 攻 击 手 段 兴 起 后 ： 既 要 在 网 络 层 面 实 时 的 呈 现 网 络 流 量 ， 又 要 在 受 到 攻 击 后 尽 快 进 行 网 络 入 侵 取 证 。 于 是 “ 采 集 原 始 流 量 — 流 分 析 — 应 用 协 议 元 数 据 — 持 续 监 测 网 络 对 象 — 分 析 异 常 流 量 — 溯 源 可 疑 行 为 — 联 动 威 胁 情 报 应 对 高 级 威 胁 “ 成 为 N T A 今 后 发 展 的 一 个 重 要 方 向 。 主 流 产 品 采 用 旁 路 部 署 镜 像 流 量 ， 实 时 采 集 并 深 度 解 析 流 量 信 息 ， 采 用 大 数 据 技 术 实 现 全 流 量 存 储 与 海 量 数 据 快 速 检 索 。 2 、 、 N T A 将 吸 收 机 器 学 习 技 术 ， 实 现 基 于 行 为 的 网 络 流 量 异 常 检 测 ， 而 非 基 于 签 名 的 传 统 方 法 。 将 吸 收 机 器 学 习 技 术 ， 实 现 基 于 行 为 的 网 络 流 量 异 常 检 测 ， 而 非 基 于 签 名 的 传 统 方 法 。 基 于 边 界 和 签 名 的 防 护 思 路 已 经 无 法 抵 御 当 代 网 络 犯 罪 分 子 使 用 的 复 杂 攻 击 手 段 。 机 器 学 习 非 常 适 合 用 于 理 解 和 检 测 大 规 模 的 流 量 异 常 行 为 ， 能 够 快 速 适 应 企 业 环 境 中 的 变 化 条 件 。 基 于 机 器 学 习 实 现 的 N T A 采 集 、 存 储 、 分 析 、 挖 掘 以 及 可 视 化 能 力 将 成 为 企 业 感 知 网 络 安 全 事 件 并 进 行 应 对 的 可 靠 选 择 。 3 、 集 成 能 力 和 可 扩 展 性 将 成 为 评 定 、 集 成 能 力 和 可 扩 展 性 将 成 为 评 定 N T A 解 决 方 案 的 重 要 因 素 。 解 决 方 案 的 重 要 因 素 。 对 于 企 业 而 言 ， S I E M （ 安 全 信 息 与 事 件 管 理 ） 能 够 有 效 覆 盖 大 多 数 网 络 分 析 场 景 ， 而 网 络 和 主 机 活 动 信 息 是 很 多 传 统 安 全 产 品 难 以 提 供 的 内 容 。 因 此 ， N T A 与 传 统 S I E M 解 决 方 案 实 现 无 缝 融 合 ， 形 成 “ 采 集 — 分 析 ” 的 一 体 化 模 式 ， 实 现 1 + 1 > 2 的 目 标 是 未 来 的 重 点 发 展 方 向 。 4 、 溯 源 能 力 的 强 弱 将 决 定 、 溯 源 能 力 的 强 弱 将 决 定 N T A 发 挥 的 效 能 。 发 挥 的 效 能 。 在 不 到 十 年 的 时 间 里 ， 数 据 中 心 的 速 度 与 规 模 提 高 了 1 0 0 倍 。 随 着 越 来 越 多 企 业 将 业 务 迁 往 云 端 以 及 未 来 6 到 1 8 个 月 内 即 将 开 始 全 面 部 署 的 5 G 移 动 网 络 ， 预 计 实 时 流 量 将 达 到 4 0 0   G b E 。 应 对 海 量 数 据 并 从 中 对 威 胁 进 行 溯 源 的 能 力 变 得 非 常 重 要 ， 如 何 着 眼 于 无 尽 的 网 络 流 量 并 分 析 东 西 流 量 活 动 ， 检 测 设 备 或 应 用 的 “ 入 侵 指 标 ” 以 及 难 以 监 控 的 服 务 是 行 业 的 努 力 方 向 之 一 。 从 国 内 企 业 安 全 实 践 出 发 ， 只 有 在 以 下 几 个 方 面 均 较 为 完 备 的 解 决 方 案 才 能 解 决 动 态 的 网 络 安 全 风 险 。
1 、 采 用 大 数 据 架 构 ， 基 于 全 流 量 存 储 实 现 数 据 仓 库 ： 、 采 用 大 数 据 架 构 ， 基 于 全 流 量 存 储 实 现 数 据 仓 库 ： 网 藤 P R S 采 用 大 数 据 技 术 架 构 ， 高 速 、 可 靠 智 能 分 解 O S I 2 - 7 层 全 网 络 流 量 ； 数 据 检 索 引 擎 支 持 对 海 量 数 据 快 速 索 引 能 力 ； 协 议 数 据 全 存 储 ， 为 攻 击 溯 源 与 离 线 分 析 提 供 基 础 数 据 能 力 ， 同 时 满 足 《 网 安 法 》 对 网 络 日 志 留 存 不 少 于 六 个 月 的 要 求 。 支 持 集 群 式 管 理 ， 保 障 系 统 的 高 性 能 、 高 可 用 。 2 、 通 过 、 通 过 A I 赋 能 实 现 智 能 化 威 胁 检 测 模 型 赋 能 实 现 智 能 化 威 胁 检 测 模 型 整 合 智 能 安 全 模 型 、 统 计 分 析 模 型 与 安 全 规 则 签 名 等 多 种 方 式 ， 实 现 流 量 实 时 检 测 ， 识 别 网 络 流 量 中 异 常 轨 迹 和 攻 击 行 为 ； 解 决 提 升 传 统 安 全 检 出 （ 如 w e b s h e l l 等 ） 与 新 型 攻 击 事 件 （ 如 隐 蔽 通 信 等 ） ； 对 海 量 数 据 进 行 智 能 建 模 ， 应 用 离 线 分 析 技 术 ， 识 别 高 级 安 全 风 险 ， 如 基 线 检 测 、 A P T 攻 击 等 。
3 、 可 对 攻 击 链 进 行 全 场 景 化 分 析 、 可 对 攻 击 链 进 行 全 场 景 化 分 析 网 藤 P R S 通 过 多 点 攻 击 事 件 的 追 踪 关 联 ， 结 合 攻 击 链 安 全 模 型 ， 摒 除 单 维 依 赖 ， 依 据 风 险 的 属 性 及 危 害 ， 对 风 险 威 胁 进 行 量 化 评 估 ， 帮 助 企 业 快 速 定 位 预 警 信 息 。 4 、 支 持 网 路 攻 击 的 全 线 回 溯 ， 狩 猎 已 知 和 未 知 风 险 、 支 持 网 路 攻 击 的 全 线 回 溯 ， 狩 猎 已 知 和 未 知 风 险 基 于 攻 击 链 场 景 的 分 析 模 式 ， 将 海 量 攻 击 事 件 作 为 分 析 依 据 ， 梳 理 出 潜 在 的 异 常 事 件 ， 提 供 I o C 调 查 分 析 画 布 ， 结 合 大 数 据 分 析 技 术 与 攻 击 场 景 建 模 ， 清 晰 展 示 实 体 行 为 轨 迹 ， 实 现 攻 击 事 件 快 速 回 溯 。 5 、 基 于 资 产 测 绘 的 智 能 可 视 化 管 理 、 基 于 资 产 测 绘 的 智 能 可 视 化 管 理 网 藤 P R S 采 用 被 动 数 据 解 析 与 主 动 资 产 补 全 模 式 ， 识 别 细 粒 度 资 产 ； 自 动 绘 制 资 产 档 案 管 理 ， 建 立 资 产 基 线 ， 覆 盖 企 业 资 产 盲 点 ， 为 企 业 构 建 自 动 化 资 产 管 理 体 系 。 结 语 结 语 网 络 攻 击 态 势 正 逐 渐 走 向 产 业 化 、 服 务 化 和 普 及 化 ， 面 临 不 断 变 化 的 动 态 威 胁 ， 安 全 防 御 机 制 也 在 向 体 系 化 、 智 能 化 迈 进 ， 威 胁 情 报 、 态 势 感 知 、 行 为 分 析 、 追 溯 取 证 成 为 了 新 的 解 决 手 段 ， N T A 技 术 的 检 测 与 响 应 能 力 已 成 为 企 业 进 行 全 盘 考 虑 时 优 先 考 虑 的 两 个 抓 手 。 * 本 文 作 者 ： 本 文 作 者 ： 网 藤 智 能 安 全 ， 转 载 请 注 明 来 自 网 藤 智 能 安 全 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理