观安观鉴流量审计系统
首页
业务安全需求一、潜在安全威胁业务安全需求二、传统安全设备能力有限业务安全需求三、安全建设新趋势“检测能力"
指用于发现那些逃过防御网络的攻击，该方面的关键目标是降低威胁造成的"停摆时间”以及其他潜在的损失。检测能力非常关键，因为必须假设攻击已经混入正常业务流量之中。
检测对象，从“攻击特征” 转向 "真实通信行为”
投资方向，从"边界防护” 转向 "流量与行为分析能力”
产品介绍Gartner:2017年6月份，网络流量分析技术(NTA)入选了Gartner 《2017年11大顶尖信息安全技术》
Gartner作为国际知名的权威咨询机构指出：NTA解决方案通过监控网络流量、网络连接和网络对象来识别恶意的行为迹象。对于绕过网络边界安全进行高级持续攻击的识别，建议考虑使用NTA技术来帮助企业识别、管理和分类这些事件，并辅助进行安全决策。
通过镜像方式采集网络边界流量，对流量进行协议解析、文件还原、资产识别；基于流量特征检测、威胁情报匹配、协议行为分析、敏感信息检测和沙箱文件分析等技术手段识别已知、未知威胁；系统可对原始流量包、解析后的协议数据、还原文件及告警事件进行按需存储，方便事件溯源取证；系统可以与态势平台、UEBA、通报预警系统、网络防护设备等第三方平台对接，实现威胁检测、数据共享、告警通知、联动响应，推动企业完善网络安全生命周期管理闭环。
产品实现思路产品理念
重视安全检测能力，在攻防演习、挖矿等场景发挥作用，和观安态势、UEBA平台完美搭配（有用）
提供运维人员感兴趣的安全视图和报表，提供低成本的产品运营模式（好用）。
产品介绍 - 功能架构
核心功能 - 流量识别2、应用层协议解释深度解释支持50+-通用协议、数据库协议、VPN协议、工控物联网协议等
3、加密流量解释（证书日志、RSA私钥导入），不支持DHE、ECDHE等加密算法 (密钥每次都变)
4、支持7种协议中文件还原（HTTP、FTP、邮件等）
5、文件还原类型支持50+，支持自定义扩展文件类型。
核心功能 - 资产识别2、资产服务被动识别-被动识别资产以及服务，包括Web服务、数据库服务邮件服务、远程操作服务、认证服务、文件传输服务等。旁路部署业务无影响，访问过必有痕迹。
3、API服务被动识别-域名资产以及上面的API服务
核心功能 - 资产识别
核心功能 - 威胁检测3、行为分析引擎：DGA、ICMP隧道、DNS隧道、协议暴力破解等
4、威胁情报引擎：IP/URL/DOMAIN/FileHash
5、自定义规则引擎：流量审计功能
核心功能 - 安全可视
核心功能 - 分析溯源
核心功能 - 数据共享2、处置：内置于观镜联动、旁路阻断、
加白名单等
3、数据共享：通过syslog、kafka发送告警信息（支持告警等级、引擎类别过滤）或网络日志（支持日志类型过滤），也支持OpenAPI对关键信息的访问（事件、日志、流量包、文件还原
、资产服务、APl、设备状态等）
应用场景 - HW场景&日常攻防HW是典型的事件驱动，也是推广网络安全产品最好的时机之一。在此场景下，客户(防守方)关注的是如何得分?
↓ 防守方得分
采用工具或手段
工具使用
监测发现
· 应用层漏洞利用
· 系统层漏洞利用
· 弱口令攻击
· 网站木马攻击
· 搭建隐蔽通道
追踪溯源
追溯朔源到攻击者信息-根据攻击主机或控制主机的可信度、路径长度、路径还原完整度和复杂度酌情给分。
Hw不同阶段采用观安网安不同产品
HW案例 - 不同阶段防护侧重点不同
应用场景 - 挖矿检测业务场景
1、合规驱动
2021年9月24日，国家发改委等11部门发布《关于整治虚拟货币"挖矿”活动的通知》，严禁新增虚拟货币挖矿”项目，加快存量项目有序退出
各地通管局发文：
与通管局合作，借力向通报企业推NTA
2、业务驱动
对于运营商如果政企客户的主机被入侵用作挖矿，会影响整个通信带宽甚至硬盘
移动每年的试点示范项目。
与运营商合作，除了IT部门，还可以与政企客户合作，主打挖矿检测这个点。
挖矿检测效果示意图
应用场景 - 合规2、业务驱动
通过网络流量审计及安全态势感知平台。相关能力建设，整体提升基础电信企业办公网络、邮件系统安全防护水平。针对办公网络的木马远程控制、非法外联外部攻击入侵以及邮箱系统的异常登录、异常外发、异常下载等行为开展常态化监测，及时发现清除木马，封堵后门，消除重大安全隐患。
典型部署 - 独立部署
将NTA一体机部署至核心交换机旁边，可以接收所有内网流量，监测内网安全态势，发现恶意文件传播、木马、蠕虫、Web攻击、远程控制等多种威胁;可将发现的恶意IP或URL下发策略到防火墙或者其他相应处置设备上，进行威胁处置，实现内网网络安全态势监控。
典型部署 - 分布式部署
此外，骨干网大流量场景也适用于分布式部署方式。
NTA经典成功案例 - 运营商行业项目背景
健全企业内网安全运维能力，尽快形成完整的内网信息安全防护管理体系，提高综合服务支撑能力为工作重点，实现在实战中提升网络安全防护和应急处置响应为目的。
客户需求
面对安全新痛点，满足业务系统集中化规划演进路线和新形势下安全威胁监测面临的挑战要求，需建设基于大数据分析的智能化量监测与审计系统。
2、通过流量监测与审计系统旁路部署，旁路采集汇聚交换机及核心交换机镜像流量，自动采集流量进行分析和检测，全部自动化分析处理。
2、提出了多种适用于流量场景下的安全分析模型，同时利用观安信息在大数据分析方面的技术能力，合力形成了安全大数据分析技术，使得观安信息能够将自身的安全业务能力充分落地到系统建设中。
NTA经典成功案例 - 政府行业项目背景
1、某大数据中心为贯彻落实国家大数据发展的方针政策，承担政务数据、行业数据、社会数据的融合工作，开展大数据挖掘、分析;指导区级各部门数据管理工作，配合相关部门开展全区数据安全、网络安全建设，全面推进全区政务信息系统整合，构建全区数据资源服务体系。
客户需求
1、加强信息系统边界的检测能力，快速有效的发现各种恶意行为
2、加强对oday漏洞、已知漏洞的识别能力，提升预警能力
3、加强关联分析能力，采取合理技术手段，通过关联分析发现攻击行为。
1、通过流量监测与审计系统旁路，实现对海量网络流量的采集，同时结合DP技术对采集到的2~7层网络流量进行识别，对第7层协议进行深度包识别和解析拆分。支持HTTP、TLS、SSH、DNs和DHCP等数十种协议的深度解析。
2、针对异常流量，通过模型库里的许多不同算法和特征提取，训练后生成的不同的模型数据，最终给出威胁概率。
2、记录威胁的来源、攻击手段、攻击过程、攻击目标、攻击影响等信息，实现对攻击的过程分析和溯源分析，确定内部主机的遭受的威胁程度。
客户价值
产品推荐
