多年來，安然專家一向在爭辯事實是外部人員仍是內(nèi)部人員帶來更大年夜的風險。此刻，這類辯論已沒有實際意義：因為收集邊界已恍惚化，威脅正無處不在。
例如，內(nèi)部人員可能在家里辦公或長途辦公;員工可能需要操縱BYOD;營業(yè)合作火伴和發(fā)賣人員常常需要拜候云中關頭任務辦事。此刻企業(yè)比以往任甚么時辰候都更難體味在給定的時候內(nèi)誰在收集上，和有多少設備在拜候辦事、系統(tǒng)和數(shù)據(jù)。企業(yè)正在逐步掉往對收集的節(jié)制，而報復打擊者則在研究這些新手藝，并操縱它們來繞過傳統(tǒng)防御。
為了降服這些安然隱患，并獲得更好的可視性來肯定誰在利用收集，安然專家紛繁轉向收集流量闡發(fā)來進步收集安然的可視性。
收集安然可視性超出傳統(tǒng)防御的范圍
上面提到的環(huán)境夸大年夜了企業(yè)應當超出傳統(tǒng)安然手藝的范圍，及時研究更大年夜環(huán)境的安然性。企業(yè)不該該在報復打擊產(chǎn)生后才禁止報復打擊，而是在報復打擊產(chǎn)生時檢測報復打擊，不雅察收集流量可以或許為企業(yè)供給更好的收集可視性和對歹意事務更快的檢測。收集流量是闡發(fā)IP、TCP、UDP和與信息源、方針端口和IP地址相干的其他header信息。這類收集流量闡發(fā)工作需要收集安然治理人員進行計謀性的改變，構建對全部收集根本舉措措施的周全視角。
但是，這類改變遭到人員和手藝的制約。在人員方面，大年夜大都企業(yè)已***改變成少花錢多處事。設計安然系統(tǒng)架構、抵抗高級報復打擊和辨認緩和解進侵等工作要求諳練的安然工作人員，而良多企業(yè)找不到或承擔不起這類人才。與此同時，安然企業(yè)凡是嚴重依托于數(shù)據(jù)泄漏防護(DLP)和企業(yè)權限治理(ERM)等產(chǎn)品來檢測安然背規(guī)環(huán)境。當然這些手藝可以或許闡揚必然感化，但它們其實不是全能的，企業(yè)需要采納一種新的編制。
收集流量闡發(fā)：三管齊下
夸大年夜收集流量闡發(fā)的新打算：檢測、精辟和闡發(fā)數(shù)據(jù)流三管齊下。它操縱多個內(nèi)部和外部信息來歷，并及時措置數(shù)據(jù)來檢測威脅。這里關頭是利用已擺設的可用的現(xiàn)有收集根本舉措措施。
流量闡發(fā)對收集中流量的移動環(huán)境供給了一個不合的視角。它可以或許闡發(fā)在給定的懷抱內(nèi)一個事務的產(chǎn)生頻率。例如，在周末的凌晨至凌晨2點，包含加密.zip文件的流量分開收集并發(fā)往亞洲的頻率?經(jīng)由過程流量闡發(fā)東西，安然專家可以近乎及時查看這類類型的用戶勾當。
對流經(jīng)現(xiàn)代收集的大年夜量數(shù)據(jù)進行精辟需要可以或許聚合和聯(lián)系關系數(shù)據(jù)的東西。思科公司是在市場上推出這類手藝的首批供給商之一。良多其他供給商也接踵加進了這個范疇，包含Vitria、Riverbed和Arbor Networks。對預算嚴重的企業(yè)，則可以考慮Softflowd和FlowScan等開源東西。你可以在networkuptime網(wǎng)站找到這些東西。
經(jīng)由過程利用尺度，能讓這些對及時數(shù)據(jù)的闡發(fā)變得更簡單，例如NetFlow尺度--由思科開辟而后成了行業(yè)尺度。有了尺度，企業(yè)可以采取通用格局，從而遴選合適的闡發(fā)東西。流量聚合和數(shù)據(jù)輸出的尺度是由IETF來措置的，而企業(yè)可以選擇的日記闡發(fā)東西包含LogRhythm、Nagios和 Splunk。企業(yè)有太大都據(jù)需要治理，這成了一個標題問題，但云計較可以輔佐。云計較承諾用戶按照需求的增加來擴大，如許使他們幾近可以瞬時成立虛擬辦事器來知足需求。
收集流量闡發(fā)：不是一朝一夕的解決方案
很明顯，防病毒手藝等傳統(tǒng)抵抗編制已沒法抵抗零日報復打擊和高級延續(xù)威脅。此刻，收集流量闡發(fā)為我們供給了一個令人佩服的選擇，但全部行業(yè)遷徙到這一模式還將需要時候。
收集流量闡發(fā)需要企業(yè)支出一些盡力和放置培訓，出格是第一次擺設的時辰;安然專業(yè)人員可能不知道他們需要尋覓甚么，是以天然需要一個進修曲線來培養(yǎng)他們尋覓異常的能力。別的，還需要專門的收集闡發(fā)東西，而這需要投進資金來擺設。別的，模式改變其實不等閑，它們不是受思惟編制的驅動，而是受改變的鞭策。
轉移到收集流量闡發(fā)需要先奠定必然的根本。起首應當與高級治理人員協(xié)商，向他們詮釋擺設NetFlow若何實現(xiàn)“共贏”的場合排場—它撐持遍及的企業(yè)用處。假定你是代表安然部門，可以結合收集團隊，因為他們對路由器和互換機有直接節(jié)制權，讓他們加進你的陣營很是首要。你還將需要確認現(xiàn)有設備撐持收集流量，和將來采購知足你的估計需求。
從計謀上來看，大年夜大都企業(yè)已掉隊于高級報復打擊的能力，而收集流量闡發(fā)是恢復這一均衡的首要一步。