看，NTA(网络流量分析)产物如何演化、创新、固宁静！

宣布时间 2018-05-31

近年来，宁静威胁形势愈加严峻,网络宁静事件层出不穷:直接影响了美国政治选举的希拉里邮件泄露事件，导致大学生徐玉玉支付了生命代价的高校信息泄露事件，让孟加拉银行损失8100万美元的黑客入侵事件，国际原子能属披露的德国核电站遭受到的扰乱性网络攻击等等，网络宁静受到了前所未有的关注。
 
作为网络宁静从业者，随着黑客攻击逐渐工业化、服务化和普及化，我们的防御机制也在向体系化、智能化迈进，威胁情报、态势感知、行为分析、追溯取证成为了新的解决手段。

然而，16年8月份的黑客组织“影子经济人”偷取NSA大量黑客工具和漏洞利用包事件，后被专家证实，这些在网上被果然售卖的攻击工具，可乐成突破国内外一流宁静厂商的防火墙，也就是说，我们投入巨大的宁静防御体系面临着重大威胁。
 
在这种情况下，我们迫切需要知道这些问题的答案：”攻击者有没有来 ？来了走没走 ？走了又带走了什么信息 ？”更进一步的问题是：攻击者具体什么时间进入我们的网络 ？接纳什么手段收集网内信息 ？是否已进入漏洞挖掘阶段 ？是否已乐成利用漏洞 ？有没有进行权限提升 ？而能够提供这些问题答案的全流量分析产物在宁静业界也随即被重视起来。
 
2017年6月份，网络流量分析NTA技术入选了Gartner《2017年11大顶尖信息宁静技术》。这个国际知名的权威咨询机构是这样解读NTA技术的：NTA解决方案通过监控网络流量、连接和工具来识别恶意的行为迹象。对于那些试图通过基于网络的方式去识别绕过界限宁静的高级攻击的企业而言，应该考虑使用NTA技术来资助识别、管理和分类这些事件，作出辅助决策� ？梢钥闯�,在新的宁静形势下，流量分析技术在威胁分析，恶意行为监测上的作用进一步的强化了。现有的宁静防护措施屡屡失效，人们迫切需要在常见的网络三� ？汀狪PS+IDS+防火墙——的基础上做进一步增补，而凭据“只要有攻击就会有流量发生”这样的朴素原理，几者结合后极大地提升了防御能力。
 
第一代：偏重异常流量检测的NTA
 
在以往的NTA类产物价值介绍中，我们� ？吹降氖钦庋乃得鳎和缌髁糠治鲇兄谕绻芾碚呓型绻婊⑼缬呕⑼缂嗫亍⒘髁壳魇品治龅仁虑�。东森平台在2012年推出的NTA偏重于互联网出口的异常流量检测、网络流量漫衍分析，此产物具有面向企业网用户和运营商行业的多个型号。
 
第二代：偏重内网合规审计的NTA
 
近年来，内网威胁问题泛起井喷之势，为解决攻击横向扩散问题，东森平台通过多个项目总结与产物融合，在2013年推出了第二代NTA产物(TSOC-NBA网络行为分析)，偏重于内网的合规流量审计，基于黑白灰名单的方式来解决内网秩序问题。

 

第三代：融合外网检测与内网合规，同时兼具追溯取证的NTA
 
以高级连续性威胁（APT）为代表的新型攻击手段渐渐兴起后，对流量分析产物提出了新的要求，既要在网络层面实时、近实时的泛起网络流量，又要在受攻击后（数天/数周）进行网络入侵取证。同时随着云计算，大数据等新技术的泛起，单元存储和单元计算的成本越来越低，使得接纳更大的样本空间，更智能的分析算法的技术在宁静产物中得以实际应用，那么”需要收罗原始流量，FLOW流信息，应用协议元数据，连续监测网络连接工具，分析异常流量，追溯可疑行为，联动威胁情报应对高级威胁”，就成为了当前NTA类产物演进的一个重要偏向。NTA技术的收罗，存储，分析，挖掘，可视化能力也成为了企业感知网络宁静事件，应对信息宁静挑战的一个可靠选择。
 

 


正是在这样的历史机遇下，东森平台的TSOC-NBA再次进行了产物的厘革，在2017年11月推出了第三代NTA，同时也是国内第一款集流量可视化与追溯取证功效于一身的大数据架构全流量分析产物。
 


宁静领域连续分化，不停融合，宁静领域已细分为十几个大类信息，五十几个小类，在2016年宁静牛统计分析的宁静全景图中，网络流量分析类被归到网络空间宁静大类中。在2017，2018年的宁静全景图中被归类到宁静智能类中，所以说，NTA流量分析产物仍在不停进行产物演化，来应对新的应用场景，解决新的宁静问题。

 

东森平台一直密切关注国际上同类产物的生长与迭代，并对Gartner分析陈诉中说明的“SIEM(SOC)类产物为什么需要流分析 ？将流量数据和日志数据集成后会给SIEM带来哪些突破 ？”等问题进行了恒久的讨论与实际场景验证，从而确认：

 

◆加入流分析后，可以拓宽数据源头，可以加强威胁检测和修正能力；
◆加入流分析后，可以通过包捕捉加强网络取证能力；
◆加入流分析后，可以缩短平均响应时间；


同时集成了流量信息的SIEM在以下场景的功效会有很大的提升：


◆有网络可见性要求的场景；
◆检测没有特征的攻击；
◆上下文感知；
◆态势感知；
 
就在前不久，东森平台在某用户内网中，通过部署的NTA和SIEM产物，发现了挖矿病毒新变种MsraMiner，通过视察分析，追踪到了此变种挖矿病毒在用户内网主机的熏染、流传全过程。文章链接：挖矿病毒新变种MsraMiner让企业内网沦陷为“矿场”�。�
 
正是在这样的理念下，在多个项目的联动方案实践中，网络流量分析产物和态势感知，SOC(SIEM)产物的技术架构不停融合，成为了态势感知产物的流量态势引擎。通过流量分析产物与态势感知产物的无缝结合，在流量态势上增强全天候全方位态势感知能力，真正做到了1+1>2。2017年，作为中国首个进入GartnerSIEM魔力象限的宁静管理平台（TSOC-USM），TSOC-NBA作为其重要组件也被写入了SIEM魔力象限陈诉中。