在不斷發展的網路威脅環境中，網路犯罪分子正在部署複雜的方法來利用網路漏洞，而組織則不斷尋求新的方法來保護其網路。隨著傳統的周邊防禦對於高階威脅的效果越來越差，網路偵測和回應 (NDR) 解決方案的部署作為現代網路安全戰略的重要組成部分日益受到重視。
NDR 解決方案利用各種技術，透過持續監控網路流量中的惡意活動來提供額外的安全層，使組織能夠更快、更有效地偵測和回應威脅。用於增強組織防禦網路攻擊的兩種最重要的技術是深度資料包檢查和基於流的分析，每種技術都有自己的優勢和挑戰。
深度包檢測
深度資料包偵測 (DPI) 透過連接埠鏡像、網路分流器或策略性地放置在網路上的專用 DPI 感測器來製作穿越網路的資料包副本，以監控傳入和傳出流量，從而擷取網路流量。複製的資料流被定向到 DPI 工具，該工具重建資料包以即時檢查其內容，包括標頭資訊和有效負載，從而可以對網路上每個設備的資料和元資料進行詳細分析。
與僅檢查標頭的基本資料包過濾不同，此深度檢查功能可讓 DPI 偵測異常、執行策略並確保網路安全性和合規性，而不會幹擾即時網路流量。透過檢查通過網路的每個資料包的內容，DPI 可以偵測複雜的攻擊，例如進階持續性威脅 (APT)、多態惡意軟體和其他安全措施可能遺漏的零時差攻擊。如果資料部分未加密，DPI 可以提供豐富的信息，以便對受監控的連接點進行穩健分析。
DPI 的優點
- 詳細檢查： DPI 可以對通過網路的資料進行深入分析，從而可以精確檢測資料外洩嘗試和流量中嵌入的惡意負載。
- 增強安全性： 透過檢查資料包內容，DPI 可以有效偵測已知威脅和惡意軟體簽章、實施進階安全性策略、阻止有害內容並防止資料外洩。
- 監理合規性： DPI 得到許多 NDR 供應商的廣泛採用和支持，透過監控傳輸中的敏感資訊來幫助組織遵守資料保護法規。
DPI 的缺點
- 資源密集型： DPI 系統是運算密集的，需要強大的處理能力，如果管理不當，可能會影響網路效能。
- 加密流量的有效性有限： DPI 無法檢查加密資料包的有效負載，這限制了其有效性，因為現代攻擊者越來越多地使用加密。
- 隱私問題： 資料包內容的詳細檢查可能會引發隱私問題，因此需要嚴格的控制來保護使用者資料。此外，一些 DPI 系統會解密流量，這可能會帶來隱私和法律複雜性。
基於流的元資料分析
基於流的元數據分析是為了克服 DPI 的局限性而開發的，它側重於分析與網路流相關的元數據，而不是檢查數據包內的內容。元資料可以由網路設備或第三方串流資料提供者直接捕獲，從而提供更廣泛的網路流量模式視圖，而無需深入研究資料包有效負載。該技術提供了網路流量的宏觀視圖，檢查來源和目標 IP 位址、連接埠號碼和協定類型等詳細資訊。
一些基於流的 NDR 解決方案僅捕獲和分析百分之一到百分之三的網路流量，使用代表性樣本生成正常網路行為的基線並識別可能表明惡意活動的偏差。此方法在大型且複雜的網路環境中特別有用，在這種環境中，捕獲和分析所有流量是不切實際的並且需要佔用大量資源。此外，這種方法有助於在全面監控與資料處理和儲存相關的開銷之間保持平衡。
基於流的分析的優點
- 效率： 與 DPI 不同，基於流的分析需要更少的資源，因為它不處理資料包內的實際資料。這使得它更具可擴展性並且不太可能降低網路效能。
- 加密流量的有效性： 由於不需要存取資料包有效負載，因此基於流的分析可以透過檢查元資料來有效地監視和分析加密流量，儘管加密，但元資料仍然可以存取。
- 可擴充性： 由於計算需求較低，基於流的分析可以輕鬆地擴展到大型複雜網路。
基於流的分析的缺點
- 粒度較小的數據： 雖然高效，但與 DPI 相比，基於流的分析提供的詳細資訊較少，這可能會導致威脅偵測不夠精確。
- 對演算法的依賴： 有效的異常檢測在很大程度上依賴複雜的演算法來分析元資料和識別威脅，而這些演算法的開發和維護可能很複雜。
- 採用阻力： 由於缺乏深入的檢查功能，與傳統的基於 DPI 的解決方案相比，採用速度可能會更慢。
彌合差距
認識到 DPI 和基於流的分析的局限性和優勢，NDR 供應商越來越多地採用混合方法，整合這兩種技術來提供全面的解決方案。這種混合方法確保了全面的網路覆蓋，將 DPI 對未加密流量的詳細檢查功能與用於一般流量監控（包括加密資料）的基於流的分析的效率和可擴展性相結合。
此外，供應商正在整合人工智慧 (AI) 和機器學習 (ML) 等先進技術，以增強 DPI 和基於流的系統的功能。透過採用人工智慧和機器學習演算法，NDR 解決方案可以分析大量數據，不斷學習和適應不斷變化的威脅，在簽名可用之前識別新的和正在出現的攻擊，並更準確地檢測異常。它們還可以幫助減少誤報和漏報並自動執行回應操作，這對於即時維護網路安全至關重要。
底線
深度資料包檢查和基於流的分析之間的爭論不是關於哪種方法更優越，而是關於如何在 NDR 框架中最好地利用每種方法來增強網路安全。隨著網路威脅的不斷發展，這兩種技術的集成，輔以先進技術，為強大的網路防禦提供了最佳策略。這種整體方法不僅最大限度地發揮每種方法的優勢，而且確保網路能夠適應不斷變化的網路威脅情況。透過將 DPI 和基於流的分析與 AI 和 ML 結合，組織可以顯著增強其整體網路安全態勢，並更好地保護其網路和資料免受不斷變化的威脅環境的影響。
下一步
隨著深度資料包檢查和基於流的元資料分析之間的爭論愈演愈烈，了解每種方法的優點和局限性非常重要，以確保您選擇適合您的特定需求的 NDR 解決方案。
要了解更多信息，請查看 GigaOm 的 NDR 關鍵標準和雷達報告。這些報告提供了市場的全面概述，概述了您在購買決策中需要考慮的標準，並根據這些決策標準評估了許多供應商的表現。
如果您還不是 GigaOm 訂閱者，請在此處註冊。
