網絡流量分析工具六大必備功能
公司企業想從網絡流量分析工具 (NTA) 工具中得到什么?高級分析、威脅情報集成、物聯網支持……
說到威脅檢測與響應，了解網絡行為真的十分關鍵。企業戰略集團 (ESG) 調查顯示，87% 的公司企業使用網絡流量分析工具 (NTA) 工具進行威脅檢測與響應，43% 認為 NTA 是威脅檢測與響應的第一道防線。
正如網絡安全界老生常談——“網絡不會說謊”，因為網絡攻擊中惡意軟件分發、命令與控制，以及數據滲漏都要用到網絡通信，有經驗的安全人員運用正確的工具，投入一定時間加以監視，應能發現惡意行為。
所以，NTA 是安全分析與運營的基本工具這一點毋庸置疑。但對安全運營中心 (SOC) 員工而言，最重要的 NTA 功能有哪些呢?針對這一問題，ESG 調查訪問了 347 位網絡安全人員，反饋如下：
(1) 44% 的受訪者認為 NTA 工具必須內置分析功能，幫助分析師改善和加速威脅檢測。這些分析功能可建立在機器學習算法、啟發式方法、腳本等基礎上。重點在于，分析師想要 NTA 工具攝入數據并交付高保真警報，而不是發出刺耳的噪音。
(2) 44% 聲稱，NTA 工具必須提供威脅情報服務和/或集成，以便供分析師比對可疑/惡意網絡行為與野生已知威脅。MITRE ATT&CK 框架 (MAF) 的流行充分例證了威脅情報綜合功能在所有安全工具中的重要性。因此，威脅情報是 NTA 工具從一開始就必須具備的功能。
(3) 38% 稱 NTA 工具必須能夠監視物聯網流量、協議、設備等。該功能目前看來還很新，但預計未來一年到一年半間，物聯網支持將成企業 NTA 工具必備功能。
(4) 37% 認為 NTA 工具必須能夠監視所有聯網節點，在新網絡節點接入時發出警報。換句話說，安全人員想要 NTA 工具默認具備該傳統 NAC 功能，在未受許可設備接入時發出警報。
(5) 37% 稱 NTA 工具要能與其他類型的安全技術健壯集成。根據經驗，NTA 工具應與惡意軟件沙箱、終端檢測與響應 (EDR)、安全信息與事件管理 (SIEM)，以及前面提到的及時準確威脅情報緊密結合。
(6) 37% 稱 NTA 工具必須提供監視云流量和報告威脅與異常的功能。在最近舉辦的 re:Inforce 大會上，亞馬遜公司發布了虛擬專用云 (VPC) 功能，提供云聯網可見性。這就是用戶需要的持續云網絡監視功能。NTA 工具應能在 AWS、微軟 Azure、谷歌云平臺 (GCP) 等云服務上運用這樣的云網絡監視功能，提供端到端網絡安全可見性。
NTA 工具多種多樣，到底該怎樣選擇符合企業需求的那一款呢?CISO 可以從確保 NTA 工具達到或超越上述六大功能開始準備自己的信息邀請書 (RFI) / 征求建議書 (RFP) 過程。
【本文是51CTO專欄作者“李少鵬”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
