中国网络流量监测与分析产品研究报告（2020年）_52页_3mb

网络安全产品技术能力验证评估系列报告总结

核心内容

本报告由中国信息通信研究院安全研究所与FreeBuf咨询联合发布，聚焦于2020年国内NTA/NDR（网络流量监测与分析/网络检测与响应）类产品的技术能力测试与分析。报告旨在为行业用户在5G、云计算、物联网等新型业务场景下的网络安全产品选型提供参考，并对产品技术现状、测试结果、发展趋势及发展建议进行系统性总结。

主要观点

• 技术发展背景：NTA/NDR技术发展迅速，已广泛应用于网络威胁和异常行为检测，有效性和准确性显著提升，为网络安全提供重要支持。
• 市场应用现状：32.6%的企业已部署NTA/NDR产品，14.8%计划部署，主要集中在政府和监管部门、金融、互联网、医疗和物联网等行业，占市场应用份额的81.3%。
• 测试范围与方法：测试内容涵盖产品功能、性能及自身安全，测试对象包括主流NTA/NDR产品，采用IXIA流量发生器和渗透测试等手段进行评估。
• 测试结果分析：
  • 网络流量识别能力：多数产品具备良好的网络协议识别和文件还原能力，但部分产品在协议识别与内容还原方面仍需提升。
  • 安全分析能力：产品普遍具备网络攻击识别能力，但在多步骤攻击关联分析、APT识别及自动化处置方面仍有不足。
  • 自身管理能力：多数产品具备较好的管理功能，如配置、存储、报告导出等，71%的产品满足测试要求。
  • 安全漏洞情况：90%的受测产品存在Web应用漏洞，需加强产品自身安全。

关键信息

测试概况

• 测试时间：2020年6月22日至7月31日
• 测试企业与产品：共28家企业、28款产品参与测试，其中一款产品由两个企业联合开发，一家企业提交两款产品。
• 测试内容：包括流量识别、安全分析、事件处置、溯源能力、管理能力、日志审计、平台性能等。
• 测试环境：使用IXIA PerfectStorm ONE流量发生器与分流设备，模拟真实网络流量和攻击行为，确保测试的真实性。

测试结果

• 流量识别能力：
  • 80%以上产品可完整还原HTTP协议。
  • 60%以上产品还原文件类型不超过30种，且多数仅对有攻击特征的文件进行还原。
  • 资产识别能力一般，61%的产品可识别部分资产信息，28%仅识别五元组信息，11%不支持资产发现。
• 安全分析能力：
  • 多数产品可识别Web攻击、数据库攻击、内网渗透等行为。
  • 仅18%的产品能准确分析网络勒索行为的多步骤攻击过程。
  • 恶意程序识别能力总体可用，部分产品通过流量识别与沙箱分析实现高准确率。
• 自动化处置能力：普遍不足，仅部分产品具备联动与自动响应能力，需进一步完善。
• 溯源能力：多数产品具备基本的溯源功能，但精准溯源仍需提升，需结合威胁情报平台和人工分析。

发展趋势

• 攻防演练推动市场：随着攻防演练的常态化，NTA/NDR产品需求将进一步增加。
• 产品差异化：产品需在技术能力、功能设计等方面形成差异化，提升核心竞争力。
• 加密流量分析：加密流量成为新的挑战，需通过AI学习与人工分析相结合的方式应对。
• 场景化分析：需进一步完善基于攻击链的场景化分析能力，以提升威胁检测与响应效率。
• 云化趋势：流量分析向云端迁移，以提升可伸缩性与灵活性，满足企业数据处理与存储需求。

发展建议

• 技术深耕与互补：加强自身技术优势，避免同质化竞争，推动技术能力互补。
• 适应新型网络场景：围绕5G、物联网、云计算等新兴技术，提升产品在业务安全中的适用性。
• 加强产品自身安全：提升产品在Web应用与业务逻辑层面的安全性，确保可信可控可靠。

产品能力分组

专业能力领域

流量识别能力组

安全分析能力组

总结

NTA/NDR类产品在网络安全领域具有重要地位，尤其在威胁检测、攻防演练、资产识别等方面表现突出。然而，产品在自动化处置、加密流量分析、精准溯源等方面仍有待提升。随着新基建政策的推进及新型网络场景的不断扩展，NTA/NDR产品的市场应用将进一步扩大，其发展趋势和技术创新将对网络安全行业产生深远影响。