导读 NTA 是安全分析与运营的基本工具这一点毋庸置疑,但对安全运营中心 (SOC) 员工而言,最重要的 NTA 功能有哪些呢?针对这一问题,ESG 调查访问了 347 位网络安全人员,反馈如下。

公司企业想从网络流量分析工具 (NTA) 工具中得到什么?高级分析、威胁情报集成、物联网支持……

说到威胁检测与响应,了解网络行为真的十分关键。企业战略集团 (ESG) 调查显示,87% 的公司企业使用网络流量分析工具 (NTA) 工具进行威胁检测与响应,43% 认为 NTA 是威胁检测与响应的第一道防线。

正如网络安全界老生常谈——“网络不会说谎”,因为网络攻击中恶意软件分发、命令与控制,以及数据渗漏都要用到网络通信,有经验的安全人员运用正确的工具,投入一定时间加以监视,应能发现恶意行为。

所以,NTA 是安全分析与运营的基本工具这一点毋庸置疑。但对安全运营中心 (SOC) 员工而言,最重要的 NTA 功能有哪些呢?针对这一问题,ESG 调查访问了 347 位网络安全人员,反馈如下:

(1) 44% 的受访者认为 NTA 工具必须内置分析功能,帮助分析师改善和加速威胁检测。这些分析功能可建立在机器学习算法、启发式方法、脚本等基础上。重点在于,分析师想要 NTA 工具摄入数据并交付高保真警报,而不是发出刺耳的噪音。

(2) 44% 声称,NTA 工具必须提供威胁情报服务和/或集成,以便供分析师比对可疑/恶意网络行为与野生已知威胁。MITRE ATT&CK 框架 (MAF) 的流行充分例证了威胁情报综合功能在所有安全工具中的重要性。因此,威胁情报是 NTA 工具从一开始就必须具备的功能。

(3) 38% 称 NTA 工具必须能够监视物联网流量、协议、设备等。该功能目前看来还很新,但预计未来一年到一年半间,物联网支持将成企业 NTA 工具必备功能。

(4) 37% 认为 NTA 工具必须能够监视所有联网节点,在新网络节点接入时发出警报。换句话说,安全人员想要 NTA 工具默认具备该传统 NAC 功能,在未受许可设备接入时发出警报。

(5) 37% 称 NTA 工具要能与其他类型的安全技术健壮集成。根据经验,NTA 工具应与恶意软件沙箱、终端检测与响应 (EDR)、安全信息与事件管理 (SIEM),以及前面提到的及时准确威胁情报紧密结合。

(6) 37% 称 NTA 工具必须提供监视云流量和报告威胁与异常的功能。在最近举办的 re:Inforce 大会上,亚马逊公司发布了虚拟专用云 (VPC) 功能,提供云联网可见性。这就是用户需要的持续云网络监视功能。NTA 工具应能在 AWS、微软 Azure、谷歌云平台 (GCP) 等云服务上运用这样的云网络监视功能,提供端到端网络安全可见性。

NTA 工具多种多样,到底该怎样选择符合企业需求的那一款呢?CISO 可以从确保 NTA 工具达到或超越上述六大功能开始准备自己的信息邀请书 (RFI) / 征求建议书 (RFP) 过程。

原文来自:http://zhuanlan.51cto.com/art/201907/600299.htm

本文地址:https://www.linuxprobe.com/network-traffic-analysis.html编辑:王华超,审核员:逄增宝

Linux命令大全:https://www.linuxcool.com/

Linux系统大全:https://www.linuxdown.com/

红帽认证RHCE考试心得:https://www.rhce.net/