标签归档:Gartner

NDR(网络威胁检测及响应)技术介绍

从NTA到NDR,网络威胁响应再升级

NTA (Network Traffic Analysis) 网络流量分析技术,融合了传统的基于规则的检测技术、机器学习和其他高级分析技术,用以检测企业网络中的可疑行为。它于2013年被提出,2016年后逐渐在市场上兴起。据权威机构预测,2026年NTA产品的市场规模可达53亿美元。2016年以来,越来越多的厂商开始在网络流量分析的基础上,强调对高级网络威胁的检测和响应能力,NTA的“2.0版本”——NDR(Network Detection and Response)网络威胁检测及响应技术因此应运而生。

作为全球权威的IT研究与咨询机构,Gartner每年发布的《NTA全球市场指南》代表着全球NTA产品的最高水平和最新趋势,一直是该领域的风向标。2020年,Gartner用全新发布的《NDR全球市场指南》替代了原有的《NTA全球市场指南》,这标志着能在发现网络安全隐患的同时对威胁或异常流量进行追踪溯源,还能联动外围的安全设备进行响应拦截NDR技术,终于取代了NTA技术,真正成为了市场的主流。

入选《NDR全球市场指南》的产品及厂商,必须满足Gartner严格的评选标准:

  • 实时或接近实时的网络原始流量分析能力
  • 南北向、东西向的全方向流量采集、监控和分析能力
  • 能够建立网络行为模型并发现异常,不依赖于传统的签名指纹匹配技术
  • 支持手动或自动的威胁及异常处置能力

2019年,山石智·感(BDS)-智能内网威胁感知系统首次入选NTA指南,已经证明了山石网科在网络威胁及异常流量检测上的强大实力。此次山石智·感(BDS)再度成为中国唯一入选《NDR全球市场指南》的NDR产品,更是在全球舞台上展现了山石网科在产品研发上的前瞻性和领导性

全球权威IT研究与咨询机构Gartner发布了2020年《NDR全球市场指南》,山石网科连续两年成为中国唯一入选厂商。这一新闻引发了业界对NDR(网络威胁检测及响应)技术的新一轮关注热潮。无论用户还是厂商,都迫切地想要了解NDR技术何以被视为“NTA 2.0版本”?NDR产品能给用户带来哪些价值?NDR技术在等保2.0中有无用武之地?

接下来,就让山石网科带你回顾NDR技术的升级之路,深入浅出地为你解读NDR技术的创新之处和巨大价值,让你在最短的时间内搞懂NDR

Question 1:NDR技术对用户的价值体现在哪里?

Answer:NDR技术产品对于用户的网络安全建设将是一个非常重要的补充,也是网络威胁防护能力的一个提升。

利用NDR技术,能够帮助用户尽早地、有效地检测发现一些穿透网络边界防护进入到到内部网络,或是通过BYOD带入等其他途径进入到内部网络的新型变种威胁

因为新型变种威胁从出现,到安全厂商经过研究、特征提取、纳入特征库,再到用户完成特征库的升级更新往往需要一个较长的时间周期,很多网络威胁也正是利用了这个安全防护的空档期进行网络威胁的传播扩散,这种能力滞后所带来的安全风险是致命的。

所以NDR技术对于用户的安全价值就体现在,能够有效、尽早地发现新型变种威胁,并且能够根据业务情况和安全等级,在第一时间完成风险和异常的响应处置,避免威胁的持续传播和扩散。

Question 2:NDR产品和传统的IDS产品的部署方式很相似,它们的差别体现在哪里?
Answer:DR产品与IDS产品在部署方式和应用场景方面是比较类似的,主要的差别还是体现在安全检测技术的运用方面。

IDS产品技术主要是依赖于签名指纹匹配的检测方式,主要是针对当前已知的网络攻击进行检测。同时为了平衡威胁检出率和威胁检测效率的问题,IDS特征库往往会根据业务和资产情况进行不同程度的裁剪,这就意味着IDS产品的检测技术不仅仅是无法检测新型变种威胁,对于一些已知威胁也可能存在漏检的情况。同时对于安全管理员来说,一方面要求安全管理员具备非常全面安全背景和威胁分析能力,另一方面也要求安全管理员能够根据业务和资产的变化,即时调整IDS特征库开启策略。

所以NDR技术产品和IDS产品的差别就在于对于新型威胁的检出能力和安全运维效率方面,NDR技术不依赖于特征库,也不基于某个特定业务或资产对象,而是通过对于流量变化的监测来发现风险和异常,不需要安全管理员经常性的调整安全策略,极大的提高了安全运维效率,减少了人为操作所带来的安全隐患。

Question 3:能不能简单解释一下NDR技术,它的哪些功能是必须的?

Answer:Gartner对于NDR技术给出了较为明确清晰的定义,这也是Gartner在选择NDR技术推荐厂商及产品的严格标准,NDR技术主要强调新型网络威胁和高级网络威胁的检测和即时响应能力

首先是对分析对象和实时性要求。NDR技术能够自主采集穿过边界的南北向流量和内网的东西向流量,不依赖于防火墙、SIEM等其他产品组件,并且能够针对原始网络流量进行实时或接近实时的分析,以检测发现流量中的风险和异常,再通过分析结果和取证信息,定位到风险和异常的主机对象。

然后是流量分析技术的要求。NDR技术不能够只是依赖于签名指纹匹配的传统网络威胁检测技术,而是针对原始网络流量一定时间的学习、训练和优化,形成相对准确且能动态调整的网络流量行为模型,以行为模型作为网络风险和异常判定的标准基线,在配合其他网络威胁检测技术,进行精细化溯源定位

最后是威胁处置方面的要求。承载NDR技术的网络安全产品需要具备和其他安全产品的联动能力,解决分布在不同区域的网络风险和异常问题,并且能够根据客户的业务情况和安全等级,由客户自由选择自动或手动进行威胁及异常响应处置。

Question 4:Gartner去年发布的是《NTA全球市场指南》,今年变成了《NDR全球市场指南》,请问是什么原因引发了这个变化?

Answer:NTA技术是NDR技术的前身,NDR技术在继承NTA技术的威胁检测能力的同时,又突出强调了影响处置能力。这个变化最本质的驱动力还是来自于客户,因为对于客户来说,无论部署什么安全产品,使用什么安全技术,最终的目的还是为了解决网络安全问题,同时还能最大程度的降低安全运维的成本,降低对网络安全管理员的能力要求,缓解其安全运维工作压力。

玩笑式地举个例子,去年的NTA技术相当于你去医院,医生只告诉你:“上呼吸道感染导致气管、支气管黏膜或胸膜受炎症;异物、物理或化学性刺激引起声门关闭、呼吸肌收缩、肺内压升高,声门张开,肺内空气喷射而出,并伴随声音;出现体内阴阳平衡失调。感受外邪,机能活动亢进,出现阳盛阴衰的热证证候。”求此刻你的心理阴影面积。

而今年的NDR技术相当于你去医院,医生告诉你:“感冒、上火、吃点感冒药多喝热水。” 如此说来,是什么引起这种变化就显而易见了。

Question 5:最后谈个接地气的话题。今年我们正式进入了等保2.0时代,相比等保1.0,等保2.0在防护思路上有着巨大的进步,那么NDR这样的技术在等保2.0中有用武之地吗?

Answer:这个答案是肯定的,在网络威胁检测及防范方面,等保2.0相比于等保1.0特别强调了新型网络攻击的行为分析能力,这也表明等保2.0要求各单位在进行网络安全建设时,要突破传统网络安全技术的限制,利用新型的网络安全技术去应对新型的网络攻击。

在等保2.0中,安全区域边界-入侵防范的控制项明确要求三级等保单位应具备以下能力:1.应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为;2.应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为;3.应采取技术措施对网络行为进行分析,实现对网络攻击特别是新型网络攻击行为的分析;4.当检测到攻击行为时,记录攻击源IP、攻击类型、攻击目标、攻击时间,在发生严重入侵时间时应提供报警。

NDR技术能够完全覆盖这个控制项要求,在针对新型网络威胁的检测发现、溯源取证响应处置方面的能力甚至超过了这个控制的要求。

山石网科创新产品入选 2019 Gartner NTA 指南

山石网科携山石智·感——智能内网威胁感知系统,成为《指南》中唯一中国网络安全厂商,被Gartner认可为全球范围内具有代表性的NTA产品提供商。山石网科获中国厂商唯一殊荣 2月28日,Gartner发布了《网络流量分析(NTA)市场指南》,山石网科携山石智·感——智能内网威胁感知系统,成为《指南》中唯一的中国网络安全厂商,被Gartner认可为全球范围内具有代表性的NTA产品提供商。 

《指南》中收录的大多是专注在NTA领域的创新型厂商,山石网科和思科是为数不多的综合型网络安全厂商。

能够入选这一新兴技术品类指南,再次证明了山石网科在基于人工智能的网络安全威胁检测领域前瞻创新能力,以及全球市场的突出表现,得到了业界认可。什么是NTA

“NTA是一种功能和能力,而非纯粹的一个产品。”——Gartner

NTA (Network Traffic Analysis) 网络流量分析,最早在2013年被提出,是一种威胁检测的新兴技术,2016年逐渐在市场上兴起。

根据Gartner的定义,NTA——融合了传统的基于规则的检测技术,以及机器学习和其他高级分析技术,用以检测企业网络中的可疑行为,尤其是失陷后的痕迹。NTA通过DFI和DPI技术来分析网络流量,通常部署在关键的网络区域对东西向和南北向的流量进行分析,而不会试图对全网进行监测。

NTA做为五种检测高级威胁的手段之一,连续两年被Gartner选为十一大信息安全技术之一。在NTA入选11大技术的解说词中,Gartner说到——“NTA解决方案通过监测网络的流量、连接和对象来识别恶意的行为迹象。对于那些试图通过基于网络的方式去识别绕过边界安全的高级攻击的企业而言,可以考虑将NTA作为一种备选方案。”

随着人们越来越关注威胁检测与响应,出现了很多新兴的威胁检测技术,包括欺骗技术,以及同在11大技术之列的NTA、EDR,还有UEBA,等等。山石智·感 :国内首款获奖NTA网络安全产品 2017年,山石网科发布山石智·感,是国内首个引入NTA技术理念的网络安全产品,产品同时也融入了山石网科在利用人工智能领域,发现高级威胁上积累多年的工程技术。 

山石智·感自2017年发布之后,在多次勒索病毒爆发初期,业界尚未明确病毒特征时,利用山石网科的人工智能技术,通过分析内网通信流量和主机访问行为,发现异常高危网络行为、刻画异常互访链条、定位高危主机。

“当下,在不可预测的网络安全领域,保护核心信息,对所有企业来说都是一项重大挑战,”山石网科首席技术官兼联合创始人刘向明表示,“借助山石网科基于人工智能的NTA解决方案,山石网科可为企业的核心资产和信息提供全面、有效的安全防护。”

山石智·感:智能内网威胁感知系统 山石智·感是智能的内网威胁感知系统,设计目标是发现和定位精心伪装或绕过网络边界防护,进入用户内部网络的高级威胁。 

山石智·感通过旁路部署监听服务器区的核心交换机流量,利用人工智能、行为分析、蜜罐等多种技术手段,检测内网中的网络威胁,定位风险服务器,最终完成内网风险的评估。

山石智·感发布以来,得到了国内外金融、大企业、教育、政府等客户的广泛认可。山石网科AI基因 山石智·感产品继承了山石网科多年来在利用人工智能领域,积累的高级网络威胁的工程技术经验。早在2013年,山石网科发布智能下一代防火墙时(产品型号:iNGFW),就引入了利用机器智能学习技术,建立了网络通信基线。通过多维度分析发现异常访问,定位高级威胁。 

基于iNGFW的技术创新,山石网科在2014年入选Gartner魔力象限时,就位列前瞻性维度全球第三