网络行为分析解决方案白皮书.docx

? ? ? ? ? ? ? 网络行为分析解决方案白皮书 启明星辰 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?  目录 网络行为分析 需求分析 产品简介 功能特点 技术优势 典型应用 用户价值 ? 需求分析 随着“云物大智移”的发展，安全问题与新的应用，新的场景融合的情况日趋增多，网络的复杂性，脆弱性，无序性问题日趋严重，网络运维人员需要一款网络流量分析产品，为网络运维与管理提供高质量的数据支撑，提升精细化网络运维与管理能力。网络安全攻击中的新型/变形病毒、蠕虫、木马、高级持续威胁等攻击难以通过传统的基于特征匹配，时间点检测的安全防御手段预先发现这些潜在攻击。一直要到有重大攻击、大量数据泄露、大量病毒散播或非法占用资源严重时才会收到告警，所以发现网络异常的时间节点至关重要。通过NBA产品，及早发现网络流量异常，降低网络安全事故损失。网络安全法的发布与实施让网络安全行业从合规驱动走向了强制驱动，NBA产品可提供历史流量数据，具有追溯历史行为、追溯取证功能。加强USM的分析深度，成为USM产品的有效补充。将流量数据和日志数据集成后会给USM带来很多突破：拓宽数据源头，可以加强威胁检测和修正能力；集成了流量信息的USM在上下文感知、态势感知、有网络可见性要求场景的功能会有很大的提升。 ? 产品简介 产品简介 泰合网络行为分析系统是启明星辰自主研发的以深度流分析技术为基础，结合DPI、SNMP等技术的大数据架构流量分析产品，为客户透视网络流量分布情况、智能化检测网络流量异常情况、精细化流量追溯取证管理，实现客户网络流量的安全可视化、秩序可视化。 针对于单独销售NBA的用户场景，可根据用户的网络情况进行单级单机部署或者单级分布式部署，单级分布式部署可考虑将分布式流采集器FC部署在下级分支机构，然后将采集内容转发给泰合NBA进行可视化呈现和流量分析。 针对于作为USM流模块销售的用户场景，可部署多台NBA，并构建一个USM总中心连接若干NBA分中心的部署模式。USM中心进行全网的管理，呈现，监督各个分中心的工作。 ? 功能特点 精细化追溯取证： 支持基于规则的历史流量的相关性分析。 支持基于流量属性字段以及已有过滤器条件查询或追溯。 支持自动抓取告警的原始pcap包，从而实现攻击回放，攻击取证功能。 智能化检测流量异常： 基于威胁情报的预警：恶意域名预警，恶意IP预警，恶意URL预警。 基于自学习基线的流量行为异常检测：支持8大类49小类异常流量检测策略（Ddos攻击，蠕虫事件，网络误用，流量超常，协议比例异常，流量分布异常等）。 基于业务合规规则的流行为监测：内置多个场景（互联监控，外联行为，内联行为，权限绕过等）。 透视流分布： 便捷的策略选取式机制：内置51条流量梳理策略，流量属性37个，相关属性字段多达29个。 灵活的流量事件的全文检索能力：支持正则表达式和关键字的快速搜索。 全面的流量宏观展示与趋势分析能力：分析角度包括时间，空间，流量统计字段三个维度。 ? 技术优势 网络拓扑自动构建 无需手动连线，自动构建网络拓扑关系图 业务访问关系自动发现 采用数据挖掘分析技术，智能梳理业务各个资产间的访问关系。 资产持续监控 建立IP基线，发现新出现的源目的IP。持续监测IP地址网络信息、活跃状态、协议流量分布、应用信息、会话信息等。 威胁预警 获取内外部相关的威胁情报信息，用于关联分析和实时监测。 强大的数据检索与交互能力 支持全文检索技术，可以结合时间和关键词进行搜索，实时展示搜索结果。 采用多位一体的检测手段 基于先验知识的规则，基于周期性、时间窗口的自学习行为基线，基于特征指纹的特征检测技术，基于黑白名单的检测技术四种技术相结合来智能化检测异常。 独创加强型vFlow 对数据包内容进行基于扩展NetFlow的流量分析技术的处理，转换成启明星辰独有的vFlow。 大数据技术架构 采用了业界领先的数据处理、分析与存储架构，使得NBA成为一款能够支撑长时间大流量的分析系统。 ? 典型应用 用户价值 针对网络空间的无序化现状，精细化网络运维与管理，构建有秩序的网络。 及早发现网络流量异常，降低网络安全事故损失，提升用户智能检测能力。 流追溯精细化，高性能的检索和分析能力，可回溯任意时间段内的历史事件信息，提供安全问题的追溯和取证能力。 增强USM的分析深度，对流行为和安全事件进行交叉分析。? ? ? ? ? ? ? ? ?