“立德立言,无问西东——拥有美好的德行和与人有益的言辞,才有环顾四周、舍我其谁的青春豪气和资本。在网络安全领域,谁能将南北(流量)、东西(流量)“参透”,谁才能拥有横刀立马的底气和勇气,从容对战高级威胁。”瀚思科技产品副总裁周奕表示。

NTA=高级威胁解决之道

网络流量分析(NTA)的概念是Gartner于2013年首次提出的,位列五种检测高级威胁的手段之一。它融合了传统的基于规则的检测技术,以及机器学习和其他高级分析技术,用以检测企业网络中的可疑行为,尤其是失陷后的痕迹。Gartner强调,NTA是一种功能或能力,而非纯粹的产品。

目前,市场上大多数NTA产品的分析对象是东西流量,因为解决北南流量问题的产品已经有很多,包括IDS、WAF、防火墙等。但是有一个现象值得引起注意,近期NTA产品成了企业用户最关注且需求最迫切的安全产品之一。究其原因,很多用户虽然部署了各种南北向的设备,但是仍然希望通过NTA再次检验或者印证一下南北流量防护的有效性。

传统的“预防加检测”逐渐失效,“持续检测与响应”才能应对今天不断变化的威胁局面。Gartner的最新报告指出:NTA解决方案正在逐步演变为通过采集网络分析以外的更多数据,实现更大范围的威胁检测。

从2013年NTA概念诞生,到2016年NTA开始在中国萌芽,再到近期广泛关注,虽然人们对NTA的熟悉程度逐渐加深,但NTA并非是一个高度标准化的市场,不同的厂商对NTA的理解不同、设计和开发NTA产品的切入点也不同,导致了在应用层面的差异,甚至是误解。

基于此,瀚思科技近期将与Gartner联合发布权威白皮书《与HanSight NTA一同探索网络的真知灼见》,为实现NTA的场景化应用指点迷津。

NTA为何如此重要?

《与HanSight NTA一同探索网络的真知灼见》白皮书中提到NTA融合了多种安全分析技术,可以针对各种不同的应用场景。最初,一些大数据厂商的解决方案中都包含一个NTA功能模块,用于检测网络流量异常。如今,市场上既有单独销售的NTA产品,也有与厂商大数据安全平台整合在一起的NTA。瀚思科技就属于后一类,它提供All-in-One的NTA产品,集所有流量检测技术于一身。

可以将NTA比作瀚思全场景安全平台的“传感器”,它为其后的分析提供了高质量的数据来源。HanSight NTA综合了多种分析技术来检测企业网络上的可疑活动,易于部署,能够指导调查与响应,还实现了与现有SOC(安全运营中心)平台的整合。对于众多安全团队而言,HanSight NTA是一款非常具有吸引力的工具。

NTA为何如此重要?所有检测和响应技术面临的一个重大挑战就是数据源的质量。当SIEM或其他检测与响应解决方案从第三方收集日志和事件信息时,所收集数据的质量是无法预测和控制的。通过监控网络流量和获取用于安全分析的正确遥测数据,NTA检测能够成为现有网络安全解决方案检测结果的补充。HanSight NTA解码网络流量,解析到NetFlow(网络流)和各种应用日志格式中,并保存到大数据平台。

HanSight NTA是瀚思全场景安全平台不可缺少的模块,可以帮助客户检测和识别高级威胁,进行威胁调查和事件响应的取证,从而缩短总体的事件响应时间。HanSight NTA与瀚思的企业级SIEM/UEBA相结合,能够关联更多数据源,提供识别更多威胁模式的分析方法,并通过瀚思的企业级SIEM安全事件管理平台进行事件管理。

NTA是一个发展非常快速的新的安全产品品类,但市场和应用远未成熟。通过广泛的调研,瀚思希望通过与Gartner合作能进一步明确一个真正的NTA到底应该具备哪些基本的能力,以及NTA如何在具体的业务场景中落地。

对于企业客户的安全检测和运营来说,NTA是不可或缺的,是客户在采购和部署安全整体套件时必须重点考虑的部分。NTA可以和企业的大数据安全平台进行有效整合。不可否认,对于NTA的能力和使用,许多企业还在这样或那样的认识误区。瀚思科技与Gartner联合推出此白皮书,也是想正确、清晰地向企业客户传递NTA的功能和价值。

NTA未来走向哪里?

在攻防对抗中,以银行为代表的众多行业客户非常看重安全产品的检测能力,这也是NTA受到关注的一个重要原因。对于大多数企业用户来说,NTA是一个普遍适用的安全产品。NTA与IDS、WAF等产品从功能上看既有交叉,又有区别。用户其实并不会太介意产品之间的“模糊性”,只要是对于提升安全性有实质帮助的产品,用户都有兴趣尝试。

实际上,有效的网络安全分析并不是只应用一种技术。Gartner认为,为保持超前于高级威胁的发展,网络检测、响应和取证解决方案必须要综合多种方法,也就是说,要综合运用多重检测技术,以场景为导向,用不同的技术有针对性地解决不同的问题。现代网络流量分析法的基础建立在将网络流量正确解析成多种格式,利用基于安全用例的跨时代分析技术,保存正确的数据,从而实现完整的取证调查。同时,将全球威胁情报作为补充,洞悉恶意活动,并将可疑行为匹配到确认的威胁,从而提高检测结果的保真度。

NTA厂商的一个角力点是如何提高威胁检测的广度。Gartner指出,聚焦“客户价值”的理念将区分出各厂商的竞争定位。NTA解决方案通过获取网络分析以外的更多数据,可以实现更大范围的威胁检测。各厂商的NTA解决方案在广度、地点和类型上存在差异,而且收集更多威胁数据的方法也不同。像机器学习这样的数据科学技术正成为NTA厂商突出重围的关键点。从NTA自身的能力来看,它必须具备上下文信息的分析能力。为实现在网络分析之外更广更强的威胁检测,数据收集和分析也会有所变化,这将改变NTA解决方案的顶层价值主张。

了解NTA,实现快速的检测、调查与整治,打赢高级威胁之战。

信息化和软件服务网 - 助力数字中国建设 | 责编:夏丽 左右