网络流量分析技术（NTA）你不知道的事

什么是NTA?

国内NTA现状以及本次报告简介

▲ 向上滑动查看

NTA/NDR产品部署现状：

没有部署 10.4%

计划部署 18.8%

已部署NTA/NDR 39.6%

已部署IDS/NIDS 27.4%

部署WAF等带有网络流量监测功能的产品 22.8%

部署NTA/NDR产品的主要原因：

资产测绘与识别 8%

监测东西、监测南北流量 16%

实时分析原始网络数据包流量（NetFlow记录等） 27%

提升可视性 14%

提升威胁分析和溯源能力 35%

企业部署NTA/NDR产品是否达到预期：

没有 21.3%

一般48.9%

符合预期效果23.7%

超出预期 7.1%

已经部署的NTA/NDR产品在攻防演练中的作用：

作用很大 48.39%

作用一般 37.46%

没有作用 14.15%

NTA/NDR产品在后续开发中需增强哪些能力：

威胁溯源能力 21.13%

全流量存储与监测 18.38%

加密流量分析 13.19%

联动威胁情报 6.09%

网络可视化能力 13.74%

基于行为的数据分析能力 13.74%

ATT&CK指标覆盖 7.14%

流量采集性 6.59%

其他 0.55%

测试方案展示

本次测试环境采用PerfectStorm ONE流量发生器进行模拟网络和攻击流量，为测试提供原始数据；

本次测试通过Vision E40分流器对流量发生器生成的模拟流量进行分流；

受测产品采集口直接与分流器相连，接收流量发生器生成的模拟流向，并进行采集、解析和分析，并通过可视化界面展示结果。

是德科技应用与安全测试方案

▲ 向上滑动查看

数据链路层测试(L2 Tests)，通过发送数据链路层（L2）流量并分析相关数据，用来测试系统的数据链路层（L2）层转发功能和性能；

网络层测试(L3 Tests)，通过发送网络层（L3）流量并分析相关数据，用来测试系统的网络层（L3）层转发功能和性能等；

传输层测试(L4 Tests)，通过发送传输层（L4）流量并分析，用来测试设备传输层（L4）的相关数据，如TCP的新建连接数、并发连接数等，可以用来评估防火墙、负载均衡、入侵防御/检测等设备及相关系统的功能及性能等；

应用层测试(L7 Tests)，通过可视化编辑的方式，模拟超过300多种的真实应用协议，可以构建出非常复杂的真实网络流量，部分协议列表：HTTP，FTP，RTSP，SIP，SMTP，POP3，Telnet，DNS，SNMPv1，IPP，NetBIOS，PPLive，QQLive，MSNP，NetFlix，Streaming，NFS，RPC BIND，RPC Mount，Rsh (Remote Shell)， SMB，SMBv2，Vmware，Vmotion WebMimic，Citrix，Vmware Vmotion， DCE/RPC，DCE/RPC Endpoint，Mapper， DCE/RPC Exchange Directory，DCE/RPC，MAPI，SAP，RDP，RFB，Rlogin，Finger，IDENT，IPMI (Intelligent Platform Mgmt. Interface)，LDAP，LPD (Line Printer Deamon)， NTP Rexec (Remote Exec)，Ruser，SNMPv2c， SNMPv2c，Sun RPC，Syslog，Time，BICC (Bearer Independent Call Control)，Gtalk，Gtalk- UDP Helper，H.225，H.225，RAS，H.245，H.248，MMS，MM1，RTCP，RTP，SCCP，Skype，Skype UDP Helper，STUN，STUNv2，TR-069 (CPE Management)，TFTP， NNTP，Rsync，Gopher，FIX，FIXT，HTTPS- Simulated，SSH，BGP，RIPv1，SMPP， Chargen，Daytime，Discard，Echo，OWAMP Control，TWAMP Control，TWAMP Test Modbus；

服务器测试 (Real server test module)，可以用来测试真实的服务器，支持的协议有DNS，HTTP，HTTPs，POP3，SMTP，IMAP，MS-SQL，MySQL，SMB等；

数据报文回放测试 (L2/L4 Traffic Replay module)，回放用户L2到L4的网络流量抓包，支持TCP/UDP多路流且有状态的同时回放；

安全攻击病毒测试(Security Module)，通过发送和分析超过8000多种有CVE-ID， BugTraqID，OSVD等的真实应用攻击，借助180多种的逃逸手段，用来评估入侵防御、入侵检测、防火墙等安全系统的防护能力等；

3G/LTE测试，通过模拟3G/LTE用户端（UEs和eNodeBs）和PDN端，来对SGSN和GGSN等3G关键核心网组件、MME和SGW，支持GTP、SCTP、S1AP等LTE关键核心网组件进行性能和安全测试；

协议模糊性测试 (Fuzzing)，通过Fuzzering技术发送和分析协议字段异常报文(checksum，protocol options等) ，用来评测相关设备和系统的安全性、健壮性等。