網(wǎng)絡(luò)行為分析解決方案白皮書

1、 網(wǎng)絡(luò)行為分析解決方案白皮書啟明星辰 目錄網(wǎng)絡(luò)行為分析需求分析產(chǎn)品簡介功能特點技術(shù)優(yōu)勢典型應(yīng)用用戶價值需求分析隨著“云物大智移”的發(fā)展，安全問題與新的應(yīng)用，新的場景融合的情況日趨增多，網(wǎng)絡(luò)的復(fù)雜性，脆弱性，無序性問題日趨嚴(yán)重，網(wǎng)絡(luò)運維人員需要一款網(wǎng)絡(luò)流量分析產(chǎn)品，為網(wǎng)絡(luò)運維與管理提供高質(zhì)量的數(shù)據(jù)支撐，提升精細(xì)化網(wǎng)絡(luò)運維與管理能力。網(wǎng)絡(luò)安全攻擊中的新型/變形病毒、蠕蟲、木馬、高級持續(xù)威脅等攻擊難以通過傳統(tǒng)的基于特征匹配，時間點檢測的安全防御手段預(yù)先發(fā)現(xiàn)這些潛在攻擊。一直要到有重大攻擊、大量數(shù)據(jù)泄露、大量病毒散播或非法占用資源嚴(yán)重時才會收到告警，所以發(fā)現(xiàn)網(wǎng)絡(luò)異常的時間節(jié)點至關(guān)重要。通過NBA產(chǎn)品，

2、及早發(fā)現(xiàn)網(wǎng)絡(luò)流量異常，降低網(wǎng)絡(luò)安全事故損失。網(wǎng)絡(luò)安全法的發(fā)布與實施讓網(wǎng)絡(luò)安全行業(yè)從合規(guī)驅(qū)動走向了強制驅(qū)動，NBA產(chǎn)品可提供歷史流量數(shù)據(jù)，具有追溯歷史行為、追溯取證功能。加強USM的分析深度，成為USM產(chǎn)品的有效補充。將流量數(shù)據(jù)和日志數(shù)據(jù)集成后會給USM帶來很多突破：拓寬數(shù)據(jù)源頭，可以加強威脅檢測和修正能力；集成了流量信息的USM在上下文感知、態(tài)勢感知、有網(wǎng)絡(luò)可見性要求場景的功能會有很大的提升。產(chǎn)品簡介產(chǎn)品簡介泰合網(wǎng)絡(luò)行為分析系統(tǒng)是啟明星辰自主研發(fā)的以深度流分析技術(shù)為基礎(chǔ)，結(jié)合DPI、SNMP等技術(shù)的大數(shù)據(jù)架構(gòu)流量分析產(chǎn)品，為客戶透視網(wǎng)絡(luò)流量分布情況、智能化檢測網(wǎng)絡(luò)流量異常情況、精細(xì)化流量追溯取

3、證管理，實現(xiàn)客戶網(wǎng)絡(luò)流量的安全可視化、秩序可視化。針對于單獨銷售NBA的用戶場景，可根據(jù)用戶的網(wǎng)絡(luò)情況進(jìn)行單級單機部署或者單級分布式部署，單級分布式部署可考慮將分布式流采集器FC部署在下級分支機構(gòu)，然后將采集內(nèi)容轉(zhuǎn)發(fā)給泰合NBA進(jìn)行可視化呈現(xiàn)和流量分析。針對于作為USM流模塊銷售的用戶場景，可部署多臺NBA，并構(gòu)建一個USM總中心連接若干NBA分中心的部署模式。USM中心進(jìn)行全網(wǎng)的管理，呈現(xiàn)，監(jiān)督各個分中心的工作。功能特點精細(xì)化追溯取證：支持基于規(guī)則的歷史流量的相關(guān)性分析。支持基于流量屬性字段以及已有過濾器條件查詢或追溯。支持自動抓取告警的原始pcap包，從而實現(xiàn)攻擊回放，攻擊取證功能。智能化

4、檢測流量異常：基于威脅情報的預(yù)警：惡意域名預(yù)警，惡意IP預(yù)警，惡意URL預(yù)警。基于自學(xué)習(xí)基線的流量行為異常檢測：支持8大類49小類異常流量檢測策略（Ddos攻擊，蠕蟲事件，網(wǎng)絡(luò)誤用，流量超常，協(xié)議比例異常，流量分布異常等）?；跇I(yè)務(wù)合規(guī)規(guī)則的流行為監(jiān)測：內(nèi)置多個場景（互聯(lián)監(jiān)控，外聯(lián)行為，內(nèi)聯(lián)行為，權(quán)限繞過等）。透視流分布：便捷的策略選取式機制：內(nèi)置51條流量梳理策略，流量屬性37個，相關(guān)屬性字段多達(dá)29個。靈活的流量事件的全文檢索能力：支持正則表達(dá)式和關(guān)鍵字的快速搜索。全面的流量宏觀展示與趨勢分析能力：分析角度包括時間，空間，流量統(tǒng)計字段三個維度。技術(shù)優(yōu)勢網(wǎng)絡(luò)拓?fù)渥詣訕?gòu)建無需手動連線，自動構(gòu)建

5、網(wǎng)絡(luò)拓?fù)潢P(guān)系圖業(yè)務(wù)訪問關(guān)系自動發(fā)現(xiàn)采用數(shù)據(jù)挖掘分析技術(shù)，智能梳理業(yè)務(wù)各個資產(chǎn)間的訪問關(guān)系。資產(chǎn)持續(xù)監(jiān)控建立IP基線，發(fā)現(xiàn)新出現(xiàn)的源目的IP。持續(xù)監(jiān)測IP地址網(wǎng)絡(luò)信息、活躍狀態(tài)、協(xié)議流量分布、應(yīng)用信息、會話信息等。威脅預(yù)警獲取內(nèi)外部相關(guān)的威脅情報信息，用于關(guān)聯(lián)分析和實時監(jiān)測。強大的數(shù)據(jù)檢索與交互能力支持全文檢索技術(shù)，可以結(jié)合時間和關(guān)鍵詞進(jìn)行搜索，實時展示搜索結(jié)果。采用多位一體的檢測手段基于先驗知識的規(guī)則，基于周期性、時間窗口的自學(xué)習(xí)行為基線，基于特征指紋的特征檢測技術(shù)，基于黑白名單的檢測技術(shù)四種技術(shù)相結(jié)合來智能化檢測異常。獨創(chuàng)加強型vFlow對數(shù)據(jù)包內(nèi)容進(jìn)行基于擴展NetFlow的流量分析技術(shù)的處理，轉(zhuǎn)換成啟明星辰獨有的vFlow。大數(shù)據(jù)技術(shù)架構(gòu)采用了業(yè)界領(lǐng)先的數(shù)據(jù)處理、分析與存儲架構(gòu)，使得NBA成為一款能夠支撐長時間大流量的分析系統(tǒng)。典型應(yīng)用用戶價值針對網(wǎng)絡(luò)空間的無序化現(xiàn)狀，精細(xì)化網(wǎng)絡(luò)運維與管理，構(gòu)建有秩序的網(wǎng)絡(luò)。及早發(fā)現(xiàn)網(wǎng)絡(luò)流量異常，降低網(wǎng)絡(luò)安全事故損失，提升用