“攻击者有没有来，来了走没走，走了又带走了什么？”网络安全哲学问题让它助你解决！

颁布功夫 2018-05-31

三大终极哲学问题“我是谁？我从哪里来？我要到哪里去？」剽个问题谁也没有法子给出尺度答案，但关于网络信息安全的几大问题，有个产品能够给出极度精准的答案。
 
●攻击者有没有来？
●攻击者是谁？
●来了走没走？
●走了又带走了什么？
●谁(Who)在什么功夫(When)、什么处所(Where)、执行了什么操作(What)？
 
安全圈里关切的这些问题，谁能够给你答案？
 
NTA（网络流量分析）产品能够！
 
NTA类产品若何发现攻击？
 
流量有南北向流量，器材向流量，同样攻击也分为表网到内网的攻击，内网横向渗入攻击，而攻击的直接载体就是失陷主机。

 
●攻击过程：对于攻击者来说，必要做的是肉鸡造作->维持节造->下发号令。（对肉鸡造作，维持节造，下发号令的具体诠释请拜见后文专有名词解析）


●失陷主机发现：发现失陷主机是发现攻击，削减损失的关键！

●攻击者有没有来（入站监测）？——网络嗅探或者口令暴力破解，在流量上会有端口分散度，IP分散度异常的流量行为特点。

●攻击者是谁？——对于流量分析设备来说，提取流量中必要的元数据和谍报进行碰撞匹配，同时通过流量纪录来串接出攻击链路，找到攻击源，是发现攻击者的一个有效伎俩。

●攻击者走没走？——端口上的回连操作，必要对内网资产（不仅仅是沉要的业务系统）的端口使用散布情况，端口服务类型进行持续的监测，形成端口使用基线，只有出现有回连操作行为方式的流量就触发相应的告警。

●攻击者带走了什么（出站监测）？——通常来说，DNS的53端口是防火墙不会封堵的端口，那么利用DNSTuning隧路来拖拽窃取到的数据的确是一个不错的选择。对DNS服务器的流量与衔接进行持续的监测和可疑字段检测，并纪录DNS的所有可疑数据包是目前流量分析设备能够提供的一个有效取证伎俩。
 
NTA类产品常用场景有哪些？
 
NTA产品一方面用于流量趋向分析，威胁分析，恶意行为监测，另一方面NTA通过流量梳理与分析，为网络治理者进行网络规划与优化、网络监控等工作提供数据仓库。无论是流量趋向分析还是恶意流量检测，很沉要的一点是网络取证能力。




下图为流量分析产品常见的利用场景，同时标注了此场景体现出的流量分析设备的价值点。


 
上述场景在分歧的行业，分歧用户处有分歧的名称。
 
 
在金融行业，对失陷主机的分析也会称为主机诺言分析(被金融行业用户称为“诺言库”的特点库是一种特殊的威胁谍报库)。
 
有些场景是特定行业出格关注的，好比流量超常，SYNFLOOD，UDPFLOOD等通例DDOS攻击，对攻击源或僵尸机的溯源是运营商用户关注的焦点。
 
NTA是什么？
GA黄金甲NTA从哪里来？
到哪里去？
 
NTA，即网络流量分析（Networktrafficanalysis），通过监控网络流量、衔接和对象来鉴别恶意的行为迹象。打个譬喻，它就是流量摄影师——痕迹纪录者，纪录流量的每一刻行为，每一步轨迹。而NTA正是通过监测这些“网络流量，衔接，对象”来鉴别绕过了传统天堑防护设备的高级攻击。（对网络流量，衔接，对象的具体描述请见后文专有名词解析）
 
GA黄金甲的NTA产品TSOC-NBA可能监测齐全的网络数据包以及常用的xFlow和谈的FLOW数据，利用多种智能模型，从空间维，功夫维，特点维来分析流量、衔接和对象，来可视化流量近况，梳理接见关系，展示流量随功夫变动趋向。利用自适应的基线进建模型来发现异常流量，通过逻辑关联，统计关联技术将内存中的流量数据，存储中的流量纪录形成流量的实时审计和汗青关联。通过自动化，半自动化的分析机造来梳理网络秩序，同时急剧发现，正确定位恶意的行为。




前些日子，我们对GA黄金甲的NTA(网络流量分析)产品的进行了全面的注明，看，NTA(网络流量分析)产品若何演化、创新、固安全。文章提及了国际权威机构Gartner对NTA类产品的解读，论述了GA黄金甲第三代NTA产品TSOC-NBA进阶成一款集流量可视化和追忆取证职能于一身的流量分析产品的过程。
 
怎么样，你get到了吗？

 

专用名词解析
 
失陷主机：攻击者也叫它肉鸡，在攻击者的眼中，有的肉鸡是攻击工具，好比发起所有肉鸡向特定服务系统提议HTTP要求，DNS要求，UDP要求，SYN要求，执行DDoS攻击；有的肉鸡是他们的“跳板”，是他们的“内部数据仓库”，持续地提供服务器机密数据；有的肉鸡就是他们的提款机，加密肉鸡内部文件后，等肉鸡主人乖乖支付比特币。
 
肉鸡造作：网络嗅探是肉鸡造作的第一步，而端口是关键，网络攻击就是在特定主机的特定端口上传输的恶意流量，有些端口是切入被攻击网络的入口，好比齐全明文传输的TELNET服务的23端口，好比有好多缝隙的FTP服务的21端口。有些端口适合数据拖拽，从被攻击网络中传出机密数据，好比DNS服务。有的端口适合内网横向渗入，好比NSA网络军械库中的永恒之蓝利用的445端口探测活跃主机，好比161端口上的snmp服务，能够提供网络中各类设备的状态信息，139端口也是黑客扫描的沉点端口。
 
维持节造：回连操作也叫与节造主机的心跳衔接，这个衔接端口的成立就比力随机了，一些黑客会使用比力容易影象的端口，好比陆续的数字5678，沉复的数字7777。一些黑客会使用随机算法天生随机端口，这些极度见的端口出现有法规的流量时，就必要沉点关注了。
 
下发号令：也称为C&C指令，C&C服务器的指令通常千变万化，而我们能够分析的是C&C服务器，C&C分为几种：硬编码的IP地址，域名，随机DGA域名，多层高级混合C&C网络，一个比一个复杂，一个比一个难以侦测。
 
网络流量：物理上指的是传输链路上流淌的0，1比特流，在逻辑上被和谈栈分辨为TCP/IP和谈栈的链路层，网络层，传输层，利用层的流量，而对网络流量的监测维度可蕴含整体的流量指标，好比均匀包长，均匀流量，带宽大幼等等。也可指向特定的主机，蕴含单IP的发送流量，接管流量，端口流量散布等等。
 
衔接：可理解为防火墙里的会话，好比TCP衔接，UDP衔接，好比一个蕴含节造通路和数据通路的FTP下载文件的衔接，一个DNS查问与应答的衔接，网络流量分析更多关注的是衔接关系；
 
对象：被衔接关系所直接关联的就是“对象”，对象可所以特定的业务系统，也可所以某个业务区域，抑或是路由器，互换机。