日前，全球IT研究與咨詢機構(gòu)Gartner®發(fā)布了2022年《Market Guide for Network Detection and Response》(《網(wǎng)絡(luò)檢測和響應(yīng)(NDR)全球市場指南》)(以下簡稱《指南》)，斗象科技被列入該指南。
斗象科技PRS-NTA全流量安全計算分析平臺(簡稱PRS)，以旁路方式實時采集、協(xié)議解析和存儲網(wǎng)絡(luò)全流量日志，基于大數(shù)據(jù)和人工智能等技術(shù)，構(gòu)建新一代以數(shù)據(jù)計算分析為核心的威脅檢測與響應(yīng)平臺，對潛在的異常行為與隱蔽風(fēng)險進行檢測、分析和回溯取證，助力企業(yè)提升安全運營效率，降低運營成本。
▲PRS功能架構(gòu)圖
《指南》中指出：“網(wǎng)絡(luò)流量檢測和響應(yīng)(NDR)市場仍以22.5%的速度增長，并擴展到IaaS基礎(chǔ)設(shè)施等新的應(yīng)用場景。安全和風(fēng)險管理者應(yīng)優(yōu)先考慮將NDR作為威脅檢測工具的補充，重點關(guān)注其他控制措施未涵蓋的漏報、誤報和異常檢測。”
在《指南》中，Gartner表示有競爭力的NDR解決方案必須包含以下能力：
1、支持實時或近實時的原始網(wǎng)絡(luò)流量包或協(xié)議日志分析(例如網(wǎng)絡(luò)會話IPFIX、協(xié)議日志/元數(shù)據(jù));
2、監(jiān)聽和分析南北向流量(客戶端與服務(wù)器之間的流量)，與東西向流量(當(dāng)它在整個網(wǎng)絡(luò)中橫向移動產(chǎn)生的流量);
3、能夠識別正常網(wǎng)絡(luò)流量，并高亮顯示南北向和東西向流量中超出正常范圍的可疑流量;
4、提供行為檢測技術(shù)(非基于簽名的檢測)，如檢測網(wǎng)絡(luò)異常的機器學(xué)習(xí)或者高級分析技術(shù);
5、聚合結(jié)構(gòu)化事件中的單個告警(事件的聚合分析)，來提升威脅調(diào)查效率;
6、對檢測到的可疑流量提供自動或手動的響應(yīng)能力。
除了符合以上能力外
面對內(nèi)外部威脅和大規(guī)模網(wǎng)絡(luò)流量時
斗象科技PRS是怎么做的呢?
斗象科技一直注重NDR/NTA產(chǎn)品的研發(fā)與應(yīng)用，我們結(jié)合企業(yè)常態(tài)化安全運營管理需求，通過對網(wǎng)絡(luò)元數(shù)據(jù)存儲、建模計算和分析，構(gòu)建企業(yè)網(wǎng)絡(luò)安全運營管理的核心，以“識別” => “檢測” => “分析調(diào)查” => “響應(yīng)” => “溯源取證”的過程實現(xiàn)完整閉環(huán)，核心能力如下：
全流量采集與協(xié)議日志解析
PRS基于多NUMA包處理分析框架，實時對網(wǎng)絡(luò)雙向通信報文全文會話級采集、解析和存儲，性能達到40Gbps。
協(xié)議解析支持包括全量HTTP日志、DNS查詢?nèi)罩?、MySQL操作日志、登錄日志、郵件日志等50多種協(xié)議日志數(shù)據(jù)，日志具備結(jié)構(gòu)化、輕量化、可機讀等特性，更適合安全檢測、調(diào)查分析和合規(guī)要求。
PB/EB級復(fù)合元數(shù)據(jù)存儲與秒級檢索技術(shù)
PRS基于大數(shù)據(jù)流處理引擎，支持百萬級EPS實時過濾、富化、關(guān)聯(lián)和分析，用戶可根據(jù)網(wǎng)絡(luò)區(qū)域、業(yè)務(wù)系統(tǒng)、存儲空間和周期等因素，對網(wǎng)絡(luò)會話、協(xié)議日志、文件和圖片等內(nèi)容進行按需解析和存儲，幫助用戶實現(xiàn)高性能、低開銷、低成本的原始數(shù)據(jù)完整留存需求。
另外，PRS基于高速全文索引技術(shù)，滿足PB級數(shù)據(jù)量級下的秒級檢索，不僅可以實現(xiàn)無延遲的實時安全檢測，還可以高效完成非實時性的跨周期深度調(diào)查和溯源取證工作。
針對PCAP原始數(shù)據(jù)包留存需求，PRS采用自研高性能存儲架構(gòu)，對PCAP數(shù)據(jù)進行塊狀壓縮存儲，通過會話標記、文件偏移量計算等方式實現(xiàn)PCAP數(shù)據(jù)微秒級的快速解壓讀取能力。另外采用高壓縮比技術(shù)，實現(xiàn)原始流量壓縮比小于60%，節(jié)省存儲費用支出。
基于數(shù)據(jù)計算框架，內(nèi)置豐富的安全模型
PRS成熟應(yīng)用了大數(shù)據(jù)計算框架和流計算平臺技術(shù)，內(nèi)置數(shù)十種開箱即用的安全檢測和分析模型。通過對海量正/負樣本、專家特征選取以及算法，建立場景化安全模型，以長期真實數(shù)據(jù)的模型運營優(yōu)化，實現(xiàn)針對高級網(wǎng)絡(luò)攻擊、0day漏洞利用、無特征攻擊等高級威脅進行有效監(jiān)測，構(gòu)建可演進的動態(tài)威脅監(jiān)控體系。
安全模型即服務(wù)
PRS首創(chuàng)“安全模型即服務(wù)”理念和功能，支持自定義擴展，豐富數(shù)據(jù)挖掘安全分析場景?？苫跀?shù)據(jù)湖進行自定義建模分析，以SAI-模型運營平臺為基座，實現(xiàn)數(shù)據(jù)集選取、特征工程、算法選擇、模型運行管理等功能。
提升檢測規(guī)則有效性，強化安全能力自運營
PRS基于大數(shù)據(jù)計算分析能力，使用已發(fā)布特征規(guī)則、自定義特征模型對歷史協(xié)議日志數(shù)據(jù)進行離線回溯檢測，挖掘歷史流量中隱蔽的攻擊行為。
PRS支持對各類檢測特征和模型的統(tǒng)計分析，包括各特征的檢出率、誤報率等，驗證規(guī)則有效性，滿足企業(yè)能力提升安全運營，更適應(yīng)企業(yè)的實際運行環(huán)境。
場景化阻斷實現(xiàn)威脅精準處置
PRS支持TCP阻斷和HTTP重定向兩種模式，支持自定義多種阻斷場景，可針對關(guān)鍵業(yè)務(wù)隔離、攻擊抑制等場景配置策略，最大程度保障客戶業(yè)務(wù)可用性，縮短風(fēng)險處置時間，遏制攻擊者對網(wǎng)絡(luò)的進一步威脅。
體系化、常態(tài)化的網(wǎng)絡(luò)安全防護體系成為應(yīng)對新型網(wǎng)絡(luò)威脅的根本要求，有效的流量分析技術(shù)已經(jīng)是網(wǎng)絡(luò)戰(zhàn)中重要的攻防手段，流量側(cè)的威脅檢測與響應(yīng)能力也將成為提升實戰(zhàn)化能力的關(guān)鍵因素。斗象科技過去和未來都堅持深耕技術(shù)全面發(fā)展，圍繞著支撐用戶“可持續(xù)安全運營”技術(shù)理念，不斷提高自身研發(fā)能力與技術(shù)水平，更好地滿足網(wǎng)絡(luò)安全領(lǐng)域的需求。我們認為，此次被列入Gartner網(wǎng)絡(luò)檢測和響應(yīng)(NDR)全球市場指南是對斗象科技技術(shù)實力和產(chǎn)品能力持續(xù)進步、不斷超越的又一肯定。
參考資料：Gartner, Market Guide for Network Detection and Response, December 2022.
免責(zé)聲明：Gartner未在其報告中支持任何廠商、產(chǎn)品或服務(wù)，也并不建議技術(shù)用戶只選擇有最高評分或其它特征的廠商。Gartner研究出版物代表的是Gartner研究機構(gòu)的意見，不應(yīng)解釋為對事實的陳述。Gartner對與本研究有關(guān)的所有明示或暗示的保證概不負責(zé)，包括對適銷性或特定用途的適用性的任何保證。Gartner是Gartner 有限公司和/或其附屬公司在美國及全球的注冊商標和服務(wù)商標，經(jīng)許可在此使用。保留所有權(quán)利。
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關(guān)資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負任何法律責(zé)任。
任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。 ）
