看，NTA(网络流量分析)产品若何演化、创新、固安全！

颁布功夫 2018-05-31

近年来，安全威胁靖】潸加严格,网络安全事务层出不穷:直接影响了美国政治选举的希拉里邮件泄露事务，导致大学生徐玉玉支出了性命价值的高校信息泄露事务，让孟加拉银行损失8100万美元的黑客入侵事务，国际原子能属披露的德国核电站遭逢到的侵扰性网络攻击等等，网络安全受到了前所未有的关注。
 
作为网络安全从业者，随着黑客攻击逐步产业化、服务化和遍及化，GA黄金甲防御机造也在向系统化、智能化迈进，威胁谍报、态势感知、行为分析、追忆取证成为了新的解决伎俩。

然而，16年8月份的黑客组织“影子经济人”盗取NSA大量黑客工具和缝隙利用包事务，后被专家证实，这些在网上被公开售卖的攻击工具，可成功突破国内表一流安全厂商的防火墙，也就是说，我们投入巨大的安全防御系统面对着沉大威胁。
 
在这种情况下，我们火急必要知路这些问题的答案：”攻击者有没有来？来了走没走？走了又带走了什么信息？”更进一步的问题是：攻击者具体什么功夫进入GA黄金甲网络？选取什么伎俩网络网内信息？是否已进入缝隙挖掘阶段？是否已成功利用缝隙？有没有进行权限提升？而可能提供这些问题答案的全流量分析产品在安全业界也随即被器沉起来。
 
2017年6月份，网络流量分析NTA技术入选了Gartner《2017年11大顶尖信息安全技术》。这个国际驰名的权威征询机构是这样解读NTA技术的：NTA解决规划通过监控网络流量、衔接和对象来鉴别恶意的行为迹象。对于那些试图通过基于网络的方式去鉴别绕过天堑安全的高级攻击的企业而言，应该思考使用NTA技术来援手鉴别、治理和分类这些事务，作出辅助决策�Ｄ芄豢闯�,在新的安全局势下，流量分析技术在威胁分析，恶意行为监测上的作用进一步的强化了。现有的安全防护措施每每失效，人们火急必要在常见的网络三�？汀狪PS+IDS+防火墙——的基础上做进一步补充，而凭据“只有有攻击就会有流量产生」剽样的朴素路理，几者结合后极大地提升了防御能力。
 
第一代：侧沉异常流量检测的NTA
 
在以往的NTA类产品价值介绍中，我们�？吹降氖钦庋淖⒚鳎和缌髁糠治鲇兄谕缰卫碚呓型绻婊⑼缬呕⑼缂嗫亍⒘髁壳飨蚍治龅裙ぷ�。GA黄金甲在2012年推出的NTA侧沉于互联网出口的异常流量检测、网络流量散布分析，此产品拥有面向企业网用户和运营商行业的多个型号。
 
第二代：侧沉内网合规审计的NTA
 
近年来，内网威胁问题出现井喷之势，为解决攻击横向扩散问题，GA黄金甲通过多个项目总结与产品融合，在2013年推出了第二代NTA产品(TSOC-NBA网络行为分析)，侧沉于内网的合规流量审计，基于是非灰名单的方式来解决内网秩序问题。

 

第三代：融合表网检测与内网合规，同时兼具追忆取证的NTA
 
以高级持续性威胁（APT）为代表的新型攻击伎俩慢慢鼓起后，对流量分析产品提出了新的要求，既要在网络层面实时、近实时的出现网络流量，又要在受攻击后（数天/数周）进行网络入侵取证。同时随着云推算，大数据等新技术的出现，单元存储和单元推算的成本越来越低，使得选取更大的样本空间，更智能的分析算法的技术在安全产品中得以现实利用，那么”必要采集原始流量，FLOW流信息，利用和谈元数据，持续监测网络衔接对象，分析异常流量，追忆可疑行为，联动威胁谍报应对高级威胁”，就成为了当前NTA类产品演进的一个沉要方向。NTA技术的采集，存储，分析，挖掘，可视化能力也成为了企业感知网络安全事务，应对信息安全挑战的一个靠得住选择。
 

 


正是在这样的汗青机缘下，GA黄金甲的TSOC-NBA再次进行了产品的刷新，在2017年11月推出了第三代NTA，同时也是国内第一款集流量可视化与追忆取证职能于一身的大数据架构全流量分析产品。
 


安全领域持续分化，不休融合，安全领域已细分为十几个大类信息，五十几个幼类，在2016年安全牛统计分析的安全全景图中，网络流量分析类被归到网络空间安全大类中。在2017，2018年的安全全景图中被归类到安全智能类中，所以说，NTA流量分析产品仍在不休进行产品演化，来应对新的利用场景，解决新的安全问题。

 

GA黄金甲一向亲昵关注国际上同类产品的发展与迭代，并对Gartner分析汇报中注明的“SIEM(SOC)类产品为什么必要流分析？将流量数据和日志数据集成后会给SIEM带来哪些突破？”等问题进行了持久的会商与现实场景验证，从而确认：

 

◆参与流分析后，能够拓宽数据源头，能够加强威胁检测和建改能力；
◆参与流分析后，能够通过包捉拿加强网络取证能力；
◆参与流分析后，能够缩短均匀响应功夫；


同时集成了流量信息的SIEM在以下场景的职能会有很大的提升：


◆有网络可见性要求的场景；
◆检测没有特点的攻击；
◆高低文感知；
◆态势感知；
 
就在前不久，GA黄金甲在某用户内网中，通过部署的NTA和SIEM产品，发现了挖矿病毒新变种MsraMiner，通过调查分析，追踪到了此变种挖矿病毒在用户内网主机的习染、传布全过程。文章链接：挖矿病毒新变种MsraMiner让企业内网沦陷为“矿场”�。�
 
正是在这样的理想下，在多个项主张联动规划实际中，网络流量分析产品和态势感知，SOC(SIEM)产品的技术架构不休融合，成为了态势感知产品的流量态势引擎。通过流量分析产品与态势感知产品的无缝结合，在流量态势上加强全天候全方位态势感知能力，真正做到了1+1>2。2017年，作为中国首个进入GartnerSIEM魔力象限的安全治理平台（TSOC-USM），TSOC-NBA作为其沉要组件也被写入了SIEM魔力象限汇报中。