公司企业想从网络流量分析工具 (NTA) 工具中得到什么?高级分析、威胁情报集成、物联网支持……
说到威胁检测与响应，了解网络行为真的十分关键。企业战略集团 (ESG) 调查显示，87% 的公司企业使用网络流量分析工具 (NTA) 工具进行威胁检测与响应，43% 认为 NTA 是威胁检测与响应的第一道防线。
正如网络安全界老生常谈——“网络不会说谎”，因为网络攻击中恶意软件分发、命令与控制，以及数据渗漏都要用到网络通信，有经验的安全人员运用正确的工具，投入一定时间加以监视，应能发现恶意行为。
所以，NTA 是安全分析与运营的基本工具这一点毋庸置疑。但对安全运营中心 (SOC) 员工而言，最重要的 NTA 功能有哪些呢?针对这一问题，ESG 调查访问了 347 位网络安全人员，反馈如下：
(1) 44% 的受访者认为 NTA 工具必须内置分析功能，帮助分析师改善和加速威胁检测。这些分析功能可建立在机器学习算法、启发式方法、脚本等基础上。重点在于，分析师想要 NTA 工具摄入数据并交付高保真警报，而不是发出刺耳的噪音。
(2) 44% 声称，NTA 工具必须提供威胁情报服务和/或集成，以便供分析师比对可疑/恶意网络行为与野生已知威胁。MITRE ATT&CK 框架 (MAF) 的流行充分例证了威胁情报综合功能在所有安全工具中的重要性。因此，威胁情报是 NTA 工具从一开始就必须具备的功能。
(3) 38% 称 NTA 工具必须能够监视物联网流量、协议、设备等。该功能目前看来还很新，但预计未来一年到一年半间，物联网支持将成企业 NTA 工具必备功能。
(4) 37% 认为 NTA 工具必须能够监视所有联网节点，在新网络节点接入时发出警报。换句话说，安全人员想要 NTA 工具默认具备该传统 NAC 功能，在未受许可设备接入时发出警报。
(5) 37% 称 NTA 工具要能与其他类型的安全技术健壮集成。根据经验，NTA 工具应与恶意软件沙箱、终端检测与响应 (EDR)、安全信息与事件管理 (SIEM)，以及前面提到的及时准确威胁情报紧密结合。
(6) 37% 称 NTA 工具必须提供监视云流量和报告威胁与异常的功能。在最近举办的 re:Inforce 大会上，亚马逊公司发布了虚拟专用云 (VPC) 功能，提供云联网可见性。这就是用户需要的持续云网络监视功能。NTA 工具应能在 AWS、微软 Azure、谷歌云平台 (GCP) 等云服务上运用这样的云网络监视功能，提供端到端网络安全可见性。
NTA 工具多种多样，到底该怎样选择符合企业需求的那一款呢?CISO 可以从确保 NTA 工具达到或超越上述六大功能开始准备自己的信息邀请书 (RFI) / 征求建议书 (RFP) 过程。
【本文是51CTO专栏作者“李少鹏”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】
