網絡流量分析技術（NTA）你不知道的事

是德科技快訊 2020-09-30 00:00

Wi?Fi 6怎么玩？瑞薩RA6Wx雙頻SoC開發實戰 一站式破解芯片研發全流程痛點，西門子 EDA Forum 2026等你來

近些年，隨著企業上云、5G落地、物聯網設備激增，網絡爆炸式發展，網絡流量海量化、復雜化成為常態，如何識別、監測、分析網絡流量成為重要研究方向和企業關注熱點。網絡流量監測分析既指特定用途的硬件設備（比如各家安全廠商提供的NTA/NDR），也指基于網絡層的安全分析技術。不同于主機層、應用層是以日志、請求等為分析對象，流量分析面對的是更底層的網絡數據包，信息元素更多，分析更復雜。

2020年6月至9月，中國信息通信研究院安全研究所聯合FreeBuf咨詢共同完成NTA/NDR類產品調研和測試工作，最終輸出網絡安全產品技術能力驗證評估系列報告《中國網絡流量監測與分析產品研究報告》（2020年）。

其中，由中國信息通信研究院安全研究所對國內主流的NTA/NDR產品進行了全面的測試，并獨立提供報告的測試結果。測試的目的是通過調研與測試國內NTA網絡流量分析產品的基本技術能力，逐步推進形成國內NTA網絡流量分析產品國家或行業標準。同時，為最終用戶提供NTA網絡流量分析產品選型的參考依據。

長按掃描二維碼

下載相關測試方案

什么是NTA?

NTA (Network Traffic Analysis) 網絡流量分析，最早在2013年被提出，是一種威脅檢測的新興技術。2017年6月，網絡流量分析NTA技術入選了Gartner《2017年11大頂尖信息安全技術》。這個國際知名的權威咨詢機構是這樣解讀NTA技術的： NTA解決方案通過監控網絡流量、連接和對象來識別惡意的行為跡象。對于那些試圖通過基于網絡的方式去識別繞過邊界安全的高級攻擊的企業而言，可以考慮使用NTA技術來幫助識別、管理和分類這些事件，作出輔助決策。

NTA通過DFI和DPI技術來分析網絡流量，通常部署在關鍵的網絡區域對東西向和南北向的流量進行分析，既是流量監測與分析技術的落地產品，也可以理解為一種功能和能力。目前，很多NTA產品都集流量收集、分析、報告于一體，解決誰在什么時間、什么地方、執行什么行為等安全流程中的重要問題，幫助企業全面了解網絡活動。而NDR是一類新的安全解決方案，實際能力與NTA幾乎相似。

國內NTA現狀以及本次報告簡介

根據《中國互聯網發展狀況統計報告》，截至2019年6月，我國網民規模達8.54億，互聯網普及率達61.2%。此外，移動互聯網流量大規模增長，2019年上半年達到553.9億GB，而用戶月均使用流量為全球水平的1.2倍。與此同時，這些流量成為各種威脅載體，致使攻防對抗形態逐漸成為局勢且愈演愈烈。

不管是在企業安全防御者與黑客的實際對抗場景中，或是規模化攻防演練過程中，都表明企業對于網絡流量的監測與分析的需求正在持續增長，這也預示著NTA網絡流量分析可能也會順應潮流，在海量數據中實現巨大增長。

以下數據引用于《中國網絡流量監測與分析產品研究報告》（2020年），由FreeBuf咨詢調研完成。

▲ 向上滑動查看

NTA/NDR產品部署現狀：

沒有部署 10.4%

計劃部署 18.8%

已部署NTA/NDR 39.6%

已部署IDS/NIDS 27.4%

部署WAF等帶有網絡流量監測功能的產品 22.8%

部署NTA/NDR產品的主要原因：

資產測繪與識別 8%

監測東西、監測南北流量 16%

實時分析原始網絡數據包流量（NetFlow記錄等） 27%

提升可視性 14%

提升威脅分析和溯源能力 35%

企業部署NTA/NDR產品是否達到預期：

沒有 21.3%

一般48.9%

符合預期效果23.7%

超出預期 7.1%

已經部署的NTA/NDR產品在攻防演練中的作用：

作用很大 48.39%

作用一般 37.46%

沒有作用 14.15%

NTA/NDR產品在后續開發中需增強哪些能力：

威脅溯源能力 21.13%

全流量存儲與監測 18.38%

加密流量分析 13.19%

聯動威脅情報 6.09%

網絡可視化能力 13.74%

基于行為的數據分析能力 13.74%

ATT&CK指標覆蓋 7.14%

流量采集性 6.59%

其他 0.55%

為了驗證和豐富以上調研結果，中國信息通信研究院安全研究所進行了測試工作，主要包括功能性測試、性能測試以及產品自身安全測試。涉及網絡流量識別能力、安全分析能力、安全事件處理能力、安全事件溯源能力、管理能力、日志審計自身安全、平臺性能等產品測試項。

測試方案展示

本次評測在中國信息通信研究院安全研究所（以下簡稱中國信通院）網絡安全實驗室利用測試儀表搭建的模擬測試環境中進行，并在真實的網絡流量數據與業務場景中，對參評企業產品的完備性、技術能力、實戰能力等開展評測考察，主要關注產品的實時流量處理能力和安全分析能力。

NTA 網絡流量分析產品模擬測試環境部署邏輯圖如下圖所示：

圖：測試環境部署邏輯

本次測試環境準備過程包括打流、分流和接收。

打流

本次測試環境采用PerfectStorm ONE流量發生器進行模擬網絡和攻擊流量，為測試提供原始數據；

分流

本次測試通過Vision E40分流器對流量發生器生成的模擬流量進行分流；

NTA網絡流量分析受測產品

受測產品采集口直接與分流器相連，接收流量發生器生成的模擬流向，并進行采集、解析和分析，并通過可視化界面展示結果。

圖：測試設備現場環境

是德科技應用與安全測試方案

本次測評采用是德科技“BreakPoint測試方案”構建模擬環境。該方案是一個統一集成的解決方案：一個測試例，一個GUI，多用戶同時操作，并且在一個測試端口上完成了混合2層至7層，攻擊、惡意代碼、病毒和Fuzzing流量的能力，最后提供一個集成的測試報告。每個季度會進行OS升級；每兩個星期進行“ATI”發布(包括新協議，新的攻擊手法和新的軟件特性)。

▲ 向上滑動查看

數據鏈路層測試(L2 Tests)，通過發送數據鏈路層（L2）流量并分析相關數據，用來測試系統的數據鏈路層（L2）層轉發功能和性能；

網絡層測試(L3 Tests)，通過發送網絡層（L3）流量并分析相關數據，用來測試系統的網絡層（L3）層轉發功能和性能等；

傳輸層測試(L4 Tests)，通過發送傳輸層（L4）流量并分析，用來測試設備傳輸層（L4）的相關數據，如TCP的新建連接數、并發連接數等，可以用來評估防火墻、負載均衡、入侵防御/檢測等設備及相關系統的功能及性能等；

應用層測試(L7 Tests)，通過可視化編輯的方式，模擬超過300多種的真實應用協議，可以構建出非常復雜的真實網絡流量，部分協議列表：HTTP，FTP，RTSP，SIP，SMTP，POP3，Telnet，DNS，SNMPv1，IPP，NetBIOS，PPLive，QQLive，MSNP，NetFlix，Streaming，NFS，RPC BIND，RPC Mount，Rsh (Remote Shell)， SMB，SMBv2，Vmware，Vmotion WebMimic，Citrix，Vmware Vmotion， DCE/RPC，DCE/RPC Endpoint，Mapper， DCE/RPC Exchange Directory，DCE/RPC，MAPI，SAP，RDP，RFB，Rlogin，Finger，IDENT，IPMI (Intelligent Platform Mgmt. Interface)，LDAP，LPD (Line Printer Deamon)， NTP Rexec (Remote Exec)，Ruser，SNMPv2c， SNMPv2c，Sun RPC，Syslog，Time，BICC (Bearer Independent Call Control)，Gtalk，Gtalk- UDP Helper，H.225，H.225，RAS，H.245，H.248，MMS，MM1，RTCP，RTP，SCCP，Skype，Skype UDP Helper，STUN，STUNv2，TR-069 (CPE Management)，TFTP， NNTP，Rsync，Gopher，FIX，FIXT，HTTPS- Simulated，SSH，BGP，RIPv1，SMPP， Chargen，Daytime，Discard，Echo，OWAMP Control，TWAMP Control，TWAMP Test Modbus；

服務器測試 (Real server test module)，可以用來測試真實的服務器，支持的協議有DNS，HTTP，HTTPs，POP3，SMTP，IMAP，MS-SQL，MySQL，SMB等；

數據報文回放測試 (L2/L4 Traffic Replay module)，回放用戶L2到L4的網絡流量抓包，支持TCP/UDP多路流且有狀態的同時回放；

安全攻擊病毒測試(Security Module)，通過發送和分析超過8000多種有CVE-ID， BugTraqID，OSVD等的真實應用攻擊，借助180多種的逃逸手段，用來評估入侵防御、入侵檢測、防火墻等安全系統的防護能力等；

3G/LTE測試，通過模擬3G/LTE用戶端（UEs和eNodeBs）和PDN端，來對SGSN和GGSN等3G關鍵核心網組件、MME和SGW，支持GTP、SCTP、S1AP等LTE關鍵核心網組件進行性能和安全測試；

協議模糊性測試 (Fuzzing)，通過Fuzzering技術發送和分析協議字段異常報文(checksum，protocol options等) ，用來評測相關設備和系統的安全性、健壯性等。

長按掃描二維碼

下載相關測試方案

關于是德科技

是德科技（NYSE：KEYS）是一家領先的技術公司，致力于幫助企業、服務提供商和政府客戶加速創新，創造一個安全互聯的世界。從設計仿真、原型驗證、生產測試到網絡和云環境的優化，是德科技提供了全方位的測試與分析解決方案，幫助客戶深入優化網絡，進而將其電子產品以更低的成本、更快地推向市場。我們的客戶遍及全球通信生態系統、航空航天與國防、汽車、能源、半導體和通用電子終端市場。2019 財年，是德科技收入達 43 億美元。更多信息，請訪問 www.keysight.com 。

* 請將網址復制到瀏覽器中打開