搜索

[15911] 2020-09-30_网络流量分析技术（NTA）你不知道的事

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-09-30_网络流量分析技术（NTA）你不知道的事 网 络 流 量 分 析 技 术 （ N T A ） 你 不 知 道 的 事 F r e e B u f   2 0 2 0 - 0 9 - 3 0 近 些 年 ， 随 着 企 业 上 云 、 5 G 落 地 、 物 联 网 设 备 激 增 ， 网 络 爆 炸 式 发 展 ， 网 络 流 量 海 量 化 、 复 杂 化 成 为 常 态 ， 如 何 识 别 、 监 测 、 分 析 网 络 流 量 成 为 重 要 研 究 如 何 识 别 、 监 测 、 分 析 网 络 流 量 成 为 重 要 研 究 方 向 和 企 业 关 注 热 点 方 向 和 企 业 关 注 热 点 。 网 络 流 量 监 测 分 析 既 指 特 定 用 途 的 硬 件 设 备 （ 比 如 各 家 安 全 厂 商 提 供 的 N T A / N D R ） ， 也 指 基 于 网 络 层 的 安 全 分 析 技 术 。 不 同 于 主 机 层 、 应 用 层 是 以 日 志 、 请 求 等 为 分 析 对 象 ， 流 量 分 析 面 对 的 是 更 底 层 的 网 络 数 据 包 ， 信 息 元 素 更 多 ， 分 析 更 复 杂 。 2 0 2 0 年 6 月 至 9 月 ， 中 国 信 息 通 信 研 究 院 安 全 研 究 所 联 合 F r e e B u f 咨 询 共 同 完 成 N T A / N D R 类 产 品 调 研 和 测 试 工 作 ， 最 终 输 出 网 络 安 全 产 品 技 术 能 力 验 证 评 估 系 列 报 告 《 中 国 网 络 流 量 监 测 与 分 析 产 品 研 究 报 告 》 （ 2 0 2 0 年 ） 。 其 中 ， 由 中 国 信 息 通 信 研 究 院 安 全 研 究 所 对 国 内 主 流 的 N T A / N D R 产 品 进 行 了 全 面 的 测 试 ， 并 独 立 提 供 报 告 的 测 试 结 果 。 测 试 的 目 的 是 通 过 调 研 与 测 试 国 内 N T A 网 络 流 量 分 析 产 品 的 基 本 技 术 能 力 ， 逐 步 推 进 形 成 国 内 N T A 网 络 流 量 分 析 产 品 国 家 或 行 业 标 准 。 同 时 ， 为 最 终 用 户 提 供 N T A 网 络 流 量 分 析 产 品 选 型 的 参 考 依 据 。 0 1   什 么 是 什 么 是 N T A ? N T A   ( N e t w o r k   T r a f f i c   A n a l y s i s )   网 络 流 量 分 析 ， 最 早 在 2 0 1 3 年 被 提 出 ， 是 一 种 威 胁 检 测 的 新 兴 技 术 。 2 0 1 7 年 6 月 ， 网 络 流 量 分 析 N T A 技 术 入 选 了 G a r t n e r 《 2 0 1 7 年 1 1 大 顶 尖 信 息 安 全 技 术 》 。 这 个 国 际 知 名 的 权 威 咨 询 机 构 是 这 样 解 读 N T A 技 术 的 ： N T A 解 决 方 案 通 过 监 控 网 络 流 量 、 连 接 和 对 象 来 识 别 解 决 方 案 通 过 监 控 网 络 流 量 、 连 接 和 对 象 来 识 别 恶 意 的 行 为 迹 象 。 恶 意 的 行 为 迹 象 。 对 于 那 些 试 图 通 过 基 于 网 络 的 方 式 去 识 别 绕 过 边 界 安 全 的 高 级 攻 击 的 企 业 而 言 ， 可 以 考 虑 使 用 N T A 技 术 来 帮 助 识 别 、 管 理 和 分 类 这 些 事 件 ， 作 出 辅 助 决 策 。 长 按 扫 描 二 维 码 长 按 扫 描 二 维 码 下 载 相 关 测 试 方 案 下 载 相 关 测 试 方 案 N T A 通 过 D F I 和 D P I 技 术 来 分 析 网 络 流 量 ， 通 常 部 署 在 关 键 的 网 络 区 域 对 东 西 向 和 南 北 向 的 流 量 进 行 分 析 ， 既 是 流 量 监 测 与 分 析 技 术 的 落 地 产 品 ， 也 可 以 理 解 为 一 种 功 能 和 能 力 。 目 前 ， 很 多 N T A 产 品 都 集 流 量 收 集 、 分 析 、 报 告 于 一 体 ， 解 决 谁 在 什 么 时 间 、 什 么 地 方 、 执 行 什 么 行 为 等 安 全 流 程 中 的 重 要 问 题 ， 帮 助 企 业 全 面 了 解 网 络 活 动 。 而 N D R 是 一 类 新 的 安 全 解 决 方 案 ， 实 际 能 力 与 N T A 几 乎 相 似 。 0 2   国 内 国 内 N T A 现 状 以 及 本 次 报 告 简 介 现 状 以 及 本 次 报 告 简 介 根 据 《 中 国 互 联 网 发 展 状 况 统 计 报 告 》 ， 截 至 2 0 1 9 年 6 月 ， 我 国 网 民 规 模 达 8 . 5 4 亿 ， 互 联 网 普 及 率 达 6 1 . 2 % 。 此 外 ， 移 动 互 联 网 流 量 大 规 模 增 长 ， 2 0 1 9 年 上 半 年 达 到 5 5 3 . 9 亿 G B ， 而 用 户 月 均 使 用 流 量 为 全 球 水 平 的 1 . 2 倍 。 与 此 同 时 ， 这 些 流 量 成 为 各 种 威 胁 载 体 ， 致 使 攻 防 对 抗 形 态 逐 渐 成 为 局 势 且 愈 演 愈 烈 。 不 管 是 在 企 业 安 全 防 御 者 与 黑 客 的 实 际 对 抗 场 景 中 ， 或 是 规 模 化 攻 防 演 练 过 程 中 ， 都 表 明 企 业 对 于 网 络 流 量 的 监 测 与 分 析 的 需 求 正 在 持 续 增 长 ， 这 也 预 示 着 N T A 网 络 流 量 分 析 可 能 也 会 顺 应 潮 流 ， 在 海 量 数 据 中 实 现 巨 大 增 长 。 以 下 数 据 引 用 于 《 中 国 网 络 流 量 监 测 与 分 析 产 品 研 究 报 告 》 （ 以 下 数 据 引 用 于 《 中 国 网 络 流 量 监 测 与 分 析 产 品 研 究 报 告 》 （ 2 0 2 0 年 ） ， 由 年 ） ， 由 F r e e B u f 咨 询 调 研 完 成 。 咨 询 调 研 完 成 。 N T A / N D R 产 品 部 署 现 状 ： 产 品 部 署 现 状 ： 没 有 部 署   1 0 . 4 % 计 划 部 署   1 8 . 8 % 已 部 署 N T A / N D R   3 9 . 6 % 已 部 署 I D S / N I D S   2 7 . 4 % 部 署 W A F 等 带 有 网 络 流 量 监 测 功 能 的 产 品   2 2 . 8 % 部 署 部 署 N T A / N D R 产 品 的 主 要 原 因 ： 产 品 的 主 要 原 因 ： 资 产 测 绘 与 识 别   8 % 监 测 东 西 、 监 测 南 北 流 量   1 6 % 实 时 分 析 原 始 网 络 数 据 包 流 量 （ N e t F l o w 记 录 等 ）   2 7 % 提 升 可 视 性   1 4 % 提 升 威 胁 分 析 和 溯 源 能 力   3 5 %
企 业 部 署 企 业 部 署 N T A / N D R 产 品 是 否 达 到 预 期 ： 产 品 是 否 达 到 预 期 ： 没 有   2 1 . 3 % 一 般 4 8 . 9 % 符 合 预 期 效 果 2 3 . 7 % 超 出 预 期   7 . 1 % 已 经 部 署 的 已 经 部 署 的 N T A / N D R 产 品 在 攻 防 演 练 中 的 作 用 ： 产 品 在 攻 防 演 练 中 的 作 用 ： 作 用 很 大   4 8 . 3 9 % 作 用 一 般   3 7 . 4 6 % 没 有 作 用   1 4 . 1 5 % N T A / N D R 产 品 在 后 续 开 发 中 需 增 强 哪 些 能 力 ： 产 品 在 后 续 开 发 中 需 增 强 哪 些 能 力 ： 威 胁 溯 源 能 力   2 1 . 1 3 % 全 流 量 存 储 与 监 测   1 8 . 3 8 % 加 密 流 量 分 析   1 3 . 1 9 % 联 动 威 胁 情 报   6 . 0 9 % 网 络 可 视 化 能 力   1 3 . 7 4 % 基 于 行 为 的 数 据 分 析 能 力   1 3 . 7 4 % A T T & C K 指 标 覆 盖   7 . 1 4 % 流 量 采 集 性   6 . 5 9 % 其 他   0 . 5 5 % 为 了 验 证 和 丰 富 以 上 调 研 结 果 ， 中 国 信 息 通 信 研 究 院 安 全 研 究 所 进 行 了 测 试 工 作 为 了 验 证 和 丰 富 以 上 调 研 结 果 ， 中 国 信 息 通 信 研 究 院 安 全 研 究 所 进 行 了 测 试 工 作 ， 主 要 包 括 功 能 性 测 试 、 性 能 测 试 以 及 产 品 自 身 安 全 测 试 。 涉 及 网 络 流 量 识 别 能 力 、 安 全 分 析 能 力 、 安 全 事 件 处 理 能 力 、 安 全 事 件 溯 源 能 力 、 管 理 能 力 、 日 志 审 计 自 身 安 全 、 平 台 性 能 等 产 品 测 试 项 。 0 3   测 试 方 案 展 示 测 试 方 案 展 示 本 次 评 测 在 中 国 信 息 通 信 研 究 院 安 全 研 究 所 （ 以 下 简 称 中 国 信 通 院 ） 网 络 安 全 实 验 室 利 用 测 试 仪 表 搭 建 的 模 拟 测 试 环 境 中 进 行 ， 并 在 真 实 的 网 络 流 量 数 据 与 业 务 场 景 中 ， 对 参 评 企 业 产 品 的 完 备 性 、 技 术 能 力 、 实 战 能 力 等 开 展 评 测 考 察 ， 主 要 关 注 产 品 的 实 时 流 量 处 理 能 力 和 安 全 分 析 能 力 。 N T A   网 络 流 量 分 析 产 品 模 拟 测 试 环 境 部 署 逻 辑 图 如 下 图 所 示 ： 图 ： 测 试 环 境 部 署 逻 辑 本 次 测 试 环 境 准 备 过 程 包 括 打 流 、 分 流 和 接 收 。 本 次 测 试 环 境 准 备 过 程 包 括 打 流 、 分 流 和 接 收 。 打 流 本 次 测 试 环 境 采 用 P e r f e c t S t o r m   O N E 流 量 发 生 器 进 行 模 拟 网 络 和 攻 击 流 量 ， 为 测 试 提 供 原 始 数 据 ； 分 流 本 次 测 试 通 过 V i s i o n   E 4 0 分 流 器 对 流 量 发 生 器 生 成 的 模 拟 流 量 进 行 分 流 。 N T A 网 络 流 量 分 析 受 测 产 品
受 测 产 品 采 集 口 直 接 与 分 流 器 相 连 ， 接 收 流 量 发 生 器 生 成 的 模 拟 流 向 ， 并 进 行 采 集 、 解 析 和 分 析 ， 并 通 过 可 视 化 界 面 展 示 结 果 。 图 ： 测 试 设 备 现 场 环 境 0 4   是 德 科 技 应 用 与 安 全 测 试 方 案 是 德 科 技 应 用 与 安 全 测 试 方 案 本 次 测 评 采 用 是 德 科 技 本 次 测 评 采 用 是 德 科 技 “ B r e a k P o i n t 测 试 方 案 测 试 方 案 ” 构 建 模 拟 环 境 。 构 建 模 拟 环 境 。 该 方 案 是 一 个 统 一 集 成 的 解 决 方 案 ： 一 个 测 试 例 ， 一 个 G U I ， 多 用 户 同 时 操 作 ， 并 且 在 一 个 测 试 端 口 上 完 成 了 混 合 2 层 至 7 层 ， 攻 击 、 恶 意 代 码 、 病 毒 和 F u z z i n g 流 量 的 能 力 ， 最 后 提 供 一 个 集 成 的 测 试 报 告 。 每 个 季 度 会 进 行 O S 升 级 ； 每 两 个 星 期 进 行 “ A T I ” 发 布 ( 包 括 新 协 议 ， 新 的 攻 击 手 法 和 新 的 软 件 特 性 ) 。 数 据 链 路 层 测 试 数 据 链 路 层 测 试 ( L 2   T e s t s ) ， 通 过 发 送 数 据 链 路 层 （ L 2 ） 流 量 并 分 析 相 关 数 据 ， 用 来 测 试 系 统 的 数 据 链 路 层 （ L 2 ） 层 转 发 功 能 和 性 能 ； 网 络 层 测 试 网 络 层 测 试 ( L 3   T e s t s ) ， 通 过 发 送 网 络 层 （ L 3 ） 流 量 并 分 析 相 关 数 据 ， 用 来 测 试 系 统 的 网 络 层 （ L 3 ） 层 转 发 功 能 和 性 能 等 ； 传 输 层 测 试 传 输 层 测 试 ( L 4   T e s t s ) ， 通 过 发 送 传 输 层 （ L 4 ） 流 量 并 分 析 ， 用 来 测 试 设 备 传 输 层 （ L 4 ） 的 相 关 数 据 ， 如 T C P 的 新 建 连 接 数 、 并 发 连 接 数 等 ， 可 以 用 来 评 估 防 火 墙 、 负 载 均 衡 、 入 侵 防 御 / 检 测 等 设 备 及 相 关 系 统 的 功 能 及 性 能 等 ； 应 用 层 测 试 应 用 层 测 试 ( L 7   T e s t s ) ， 通 过 可 视 化 编 辑 的 方 式 ， 模 拟 超 过 3 0 0 多 种 的 真 实 应 用 协 议 ， 可 以 构 建 出 非 常 复 杂 的 真 实 网 络 流 量 ， 部 分 协 议 列 表 ： H T T P ， F T P ， R T S P ， S I P ， S M T P ， P O P 3 ， T e l n e t ， D N S ， S N M P v 1 ， I P P ， N e t B I O S ， P P L i v e ， Q Q L i v e ， M S N P ， N e t F l i x ， S t r e a m i n g ， N F S ， R P C B I N D ， R P C   M o u n t ， R s h   ( R e m o t e   S h e l l ) ，   S M B ， S M B v 2 ， V m w a r e ， V m o t i o n   W e b M i m i c ， C i t r i x ， V m w a r e   V m o t i o n ，   D C E / R P C ， D C E / R P C E n d p o i n t ， M a p p e r ，   D C E / R P C   E x c h a n g e   D i r e c t o r y ， D C E / R P C ， M A P I ， S A P ， R D P ， R F B ， R l o g i n ， F i n g e r ， I D E N T ， I P M I   ( I n t e l l i g e n t P l a t f o r m   M g m t .   I n t e r f a c e ) ， L D A P ， L P D   ( L i n e   P r i n t e r   D e a m o n ) ，   N T P   R e x e c   ( R e m o t e   E x e c ) ， R u s e r ， S N M P v 2 c ，   S N M P v 2 c ， S u n R P C ， S y s l o g ， T i m e ， B I C C   ( B e a r e r   I n d e p e n d e n t   C a l l   C o n t r o l ) ， G t a l k ， G t a l k -   U D P H e l p e r ， H . 2 2 5 ， H . 2 2 5 ， R A S ， H . 2 4 5 ， H . 2 4 8 ， M M S ， M M 1 ， R T C P ， R T P ， S C C P ， S k y p e ， S k y p e   U D P   H e l p e r ， S T U N ， S T U N v 2 ， T R - 0 6 9 ( C P E   M a n a g e m e n t ) ， T F T P ，   N N T P ， R s y n c ， G o p h e r ， F I X ， F I X T ， H T T P S -   S i m u l a t e d ， S S H ， B G P ， R I P v 1 ， S M P P ， C h a r g e n ， D a y t i m e ， D i s c a r d ， E c h o ， O W A M P   C o n t r o l ， T W A M P   C o n t r o l ， T W A M P   T e s t   M o d b u s ； 服 务 器 测 试 服 务 器 测 试   ( R e a l   s e r v e r   t e s t   m o d u l e ) ， 可 以 用 来 测 试 真 实 的 服 务 器 ， 支 持 的 协 议 有 D N S ， H T T P ， H T T P s ， P O P 3 ， S M T P ， I M A P ， M S - S Q L ， M y S Q L ， S M B 等 ； 数 据 报 文 回 放 测 试 数 据 报 文 回 放 测 试   ( L 2 / L 4   T r a f f i c   R e p l a y   m o d u l e ) ， 回 放 用 户 L 2 到 L 4 的 网 络 流 量 抓 包 ， 支 持 T C P / U D P 多 路 流 且 有 状 态 的 同 时 回 放 安 全 攻 击 病 毒 测 试 安 全 攻 击 病 毒 测 试 ( S e c u r i t y   M o d u l e ) ， 通 过 发 送 和 分 析 超 过 8 0 0 0 多 种 有 C V E - I D ，   B u g T r a q I D ， O S V D 等 的 真 实 应 用 攻 击 ， 借 助 1 8 0 多 种 的 逃 逸 手 段 ， 用 来 评 估 入 侵 防 御 、 入 侵 检 测 、 防 火 墙 等 安 全 系 统 的 防 护 能 力 等 ； 3 G / L T E 测 试 测 试 ， 通 过 模 拟 3 G / L T E 用 户 端 （ U E s 和 e N o d e B s ） 和 P D N 端 ， 来 对 S G S N 和 G G S N 等 3 G 关 键 核 心 网 组 件 、 M M E 和 S G W ， 支 持 G T P 、 S C T P 、 S 1 A P 等 L T E 关 键 核 心 网 组 件 进 行 性 能 和 安 全 测 试 ； 协 议 模 糊 性 测 试 协 议 模 糊 性 测 试   ( F u z z i n g ) ， 通 过 F u z z e r i n g 技 术 发 送 和 分 析 协 议 字 段 异 常 报 文 ( c h e c k s u m ， p r o t o c o l   o p t i o n s 等 )   ， 用 来 评 测 相 关 设 备 和 系 统 的 安 全 性 、 健 壮 性 等 。 长 按 扫 描 二 维 码 长 按 扫 描 二 维 码 下 载 相 关 测 试 方 案 下 载 相 关 测 试 方 案
关 于 是 德 科 技 关 于 是 德 科 技 是 德 科 技 （ N Y S E ： K E Y S ） 是 一 家 领 先 的 技 术 公 司 ， 致 力 于 帮 助 企 业 、 服 务 提 供 商 和 政 府 客 户 加 速 创 新 ， 创 造 一 个 安 全 互 联 的 世 界 。 从 设 计 仿 真 、 原 型 验 证 、 生 产 测 试 到 网 络 和 云 环 境 的 优 化 ， 是 德 科 技 提 供 了 全 方 位 的 测 试 与 分 析 解 决 方 案 ， 帮 助 客 户 深 入 优 化 网 络 ， 进 而 将 其 电 子 产 品 以 更 低 的 成 本 、 更 快 地 推 向 市 场 。 我 们 的 客 户 遍 及 全 球 通 信 生 态 系 统 、 航 空 航 天 与 国 防 、 汽 车 、 能 源 、 半 导 体 和 通 用 电 子 终 端 市 场 。 2 0 1 9   财 年 ， 是 德 科 技 收 入 达   4 3   亿 美 元 。 更 多 信 息 ， 请 访 问   w w w . k e y s i g h t . c o m   。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理