Phân tích lưu lượng mạng (network traffic analysis – NTA) trả lời các câu hỏi mà mọi đội ngũ an ninh mạng và mạng máy tính luôn đặt ra: Dữ liệu nào đang có trên mạng, ai đang giao tiếp với ai, và liệu đó có phải là hoạt động bình thường không. Các công cụ NTA thu thập và phân tích dữ liệu lưu lượng mạng dưới dạng bản ghi luồng (flow records), gói tin (packets) hoặc cả hai để hiển thị mức độ sử dụng, các mối phụ thuộc, vấn đề về hiệu suất và hành vi đáng ngờ.
Tổng quan về các công cụ Phân tích Lưu lượng Mạng (NTA)
NTA có sự chồng lấn với Network Detection and Response (NDR) ở khía cạnh bảo mật và Giám sát Mạng (Network Monitoring) ở khía cạnh vận hành. Vị trí của các công cụ này phản ánh trọng tâm chính của chúng. Các tiêu chí đánh giá bao gồm mô hình dữ liệu (luồng, gói tin, kết hợp), chiều sâu phân tích (lập bản đồ phụ thuộc, tạo đường cơ sở, phát hiện bất thường), đối tượng người dùng (SOC, NOC, IT tổng quát), quy mô kinh tế và tích hợp hệ sinh thái.
Có nhiều lựa chọn công cụ NTA hàng đầu, mỗi công cụ có những điểm mạnh riêng. ExtraHop nổi bật với độ sâu dữ liệu wire-data, Darktrace dẫn đầu về phân tích bảo mật dựa trên bất thường, và Cisco Secure Network Analytics cung cấp phạm vi bao phủ theo quy mô luồng (flow-scale coverage). Các công cụ khác như Corelight tập trung vào bằng chứng mạng có cấu trúc, Plixer cung cấp phân tích NetFlow sâu với mức giá hợp lý.
ExtraHop: Độ sâu Wire-data và Khả năng Lập Giao dịch L7
ExtraHop là lựa chọn hàng đầu cho các tổ chức cần phân tích lưu lượng mạng để trả lời các câu hỏi ở cấp độ ứng dụng với bằng chứng cụ thể. Nền tảng RevealX của ExtraHop có khả năng giải mã hàng chục giao thức L7, tái tạo giao dịch theo thời gian thực và cung cấp các cảm biến đám mây trên AWS, Azure và GCP.
Dữ liệu thu thập từ ExtraHop phục vụ cho cả điều tra an ninh và phân tích hiệu suất từ một tập dữ liệu hợp nhất. Các tính năng nổi bật bao gồm giải mã sâu giao thức L7, tái tạo giao dịch theo thời gian thực, cảm biến đám mây, tập dữ liệu bảo mật và hiệu suất hợp nhất, cùng quy trình điều tra nhanh chóng.
Ưu điểm của ExtraHop là khả năng cung cấp thông tin chi tiết ở cấp độ giao dịch, mang lại giá trị kép cho cả bảo mật và hiệu suất, cùng với phạm vi phủ sóng đám mây mạnh mẽ. Tuy nhiên, nhược điểm bao gồm chi phí cao, yêu cầu kỹ thuật cho tap/mirror và quản trị giải mã khi được kích hoạt.
Darktrace: Phân tích Bảo mật Dựa trên Bất thường Tự học
Darktrace ứng dụng mô hình tự học vào phân tích lưu lượng mạng. Nó thiết lập đường cơ sở cho hoạt động bình thường của mọi thực thể và cảnh báo các sai lệch, chẳng hạn như hoạt động beaconing bất thường, di chuyển dữ liệu không điển hình hoặc kết nối mới. Điều này biến NTA thành một hệ thống phát hiện bất thường liên tục thích ứng.
Các tính năng chính của Darktrace bao gồm phát hiện bất thường tự học, phạm vi phủ sóng rộng, công cụ hỗ trợ điều tra trực quan, tùy chọn phản hồi tự động và không yêu cầu thư viện quy tắc. Ưu điểm là khả năng phát hiện bất thường không cần quy tắc, phạm vi phủ sóng rộng và triển khai nhanh chóng.
Nhược điểm của Darktrace bao gồm nhiễu trong giai đoạn tinh chỉnh, khả năng giải thích kết quả cho các SOC trưởng thành và mức giá cao. Điểm khác biệt nổi bật là khả năng cảnh báo về các hoạt động bất thường, một mô hình hoạt động khác biệt so với các bảng điều khiển truyền thống.
Cisco Secure Network Analytics: Phân tích Lưu lượng ở Quy mô Lớn
Cisco Secure Network Analytics, trước đây là Stealthwatch, chuyển đổi NetFlow/IPFIX từ các thiết bị chuyển mạch, bộ định tuyến và tường lửa hiện có thành các phân tích bảo mật hành vi. Công cụ này hoạt động trên toàn bộ mạng doanh nghiệp, cung cấp khả năng hiển thị lưu lượng nội bộ (east-west) và phân tích lưu lượng mã hóa mà không cần giải mã.
Các tính năng chính bao gồm phân tích luồng toàn mạng, phân tích lưu lượng mã hóa (không cần giải mã), tạo đường cơ sở cho nhóm máy chủ, tích hợp ngữ cảnh từ Talos và xác minh phân đoạn mạng. Ưu điểm là khả năng mở rộng toàn mạng, phân tích lưu lượng mã hóa mà không cần giải mã và tận dụng hạ tầng Cisco hiện có.
Tuy nhiên, nhược điểm bao gồm giới hạn về chi tiết của luồng dữ liệu cho công tác điều tra, sự phức tạp trong cấp phép và hiệu quả mạnh nhất khi tích hợp sâu với hệ sinh thái Cisco. Điểm khác biệt nổi bật là mọi thiết bị Cisco đều trở thành cảm biến, mang lại phạm vi phủ sóng rộng khắp.
Corelight: Bằng chứng Mạng Có cấu trúc cho Điều tra
Corelight chuyển đổi lưu lượng mạng thành các bản ghi có cấu trúc của Zeek (cùng với cảnh báo của Suricata) với chất lượng dành cho doanh nghiệp. Công cụ này tích hợp liền mạch với các framework như Security Onion, một giải pháp giám sát mã nguồn mở, để cung cấp khả năng lưu trữ siêu dữ liệu hiệu quả cho việc săn lùng mối đe dọa và điều tra pháp lý.
Các tính năng bao gồm bằng chứng có cấu trúc Zeek ở quy mô lớn, cảnh báo Suricata trên cùng cảm biến, Smart PCAP cho việc thu thập có mục tiêu, cảm biến đám mây và tại chỗ, cùng tích hợp sâu với SIEM/XDR. Ưu điểm là tỷ lệ tín hiệu trên dung lượng lưu trữ tốt nhất, thân thiện với người dùng săn lùng mối đe dọa và nền tảng mở tránh bị khóa nhà cung cấp.
Nhược điểm của Corelight là tập trung vào bảo mật (các câu hỏi về băng thông cho NOC không phải là mục tiêu chính) và mức giá cao. Điểm khác biệt nổi bật là cung cấp bằng chứng mạng có cấu trúc mà các nhà phân tích có thể truy vấn hiệu quả.
Plixer Scrutinizer: Phân tích NetFlow/IPFIX Chuyên sâu
Plixer Scrutinizer thu thập dữ liệu luồng ở quy mô lớn, lưu trữ đủ lâu để phục vụ mục đích và cho phép truy vấn pháp lý nhanh chóng. Các đội ngũ có thể kết hợp truy vấn luồng với các công cụ phân tích giao thức mạng để tiến hành điều tra sâu khi có bất thường xảy ra.
Các tính năng chính bao gồm phân tích luồng sâu và lưu trữ dài hạn, hỗ trợ rộng rãi nhiều nhà cung cấp luồng, tốc độ truy vấn thân thiện với sự cố, báo cáo và cảnh báo, cùng mức giá hợp lý. Ưu điểm là khả năng điều tra pháp lý dữ liệu luồng với thời gian lưu trữ dài và chi phí hợp lý, hỗ trợ đa dạng nhà cung cấp và tốc độ truy vấn nhanh.
Nhược điểm của Plixer Scrutinizer là giới hạn về chiều sâu phân tích chỉ dựa trên luồng, giao diện người dùng mang tính chức năng và phân tích bảo mật yếu hơn so với các nền tảng NDR. Điểm khác biệt nổi bật là khả năng trả lời câu hỏi về lịch sử kết nối giữa các thiết bị, thời gian và cổng giao tiếp.
Các Công cụ NTA Khác
Các công cụ khác như Kentik cung cấp phân tích luồng theo thời gian thực ở quy mô internet kết hợp với giám sát tổng hợp và thông tin chi tiết về định tuyến BGP. SolarWinds NetFlow Traffic Analyzer (NTA) tích hợp với nền tảng Orion, cung cấp phân tích luồng với ngữ cảnh giao diện và báo cáo về dung lượng, QoS.
Gigamon cung cấp một giải pháp cung cấp dữ liệu lưu lượng và siêu dữ liệu ứng dụng đã được xử lý, giải mã (nếu được phép), hỗ trợ các chính sách truy cập dữ liệu Zero Trust. Flowmon (thuộc Progress) kết hợp thu thập luồng hiệu năng cao với Hệ thống Phát hiện Bất thường (ADS) để phân tích lưu lượng mạng của mã độc và phát hiện các đường liên lạc C2 trái phép.
LiveAction kết hợp chụp gói tin LiveWire với phân tích giao thức Omnipeek và trực quan hóa luồng LiveNX, cung cấp khả năng chụp và phân tích gói tin sâu tốc độ cao cho cả người ứng cứu sự cố và kỹ sư mạng.
Lựa chọn Công cụ NTA Phù hợp
Việc lựa chọn công cụ NTA phụ thuộc vào người tiêu dùng chính, liệu đó là đội ngũ SOC, NOC hay một đội IT duy nhất. Người mua ưu tiên bảo mật sẽ xem xét khả năng phát hiện và bằng chứng (ví dụ: ExtraHop, Darktrace, Cisco SNA, Corelight, Flowmon ADS), trong khi người mua ưu tiên vận hành sẽ tập trung vào dung lượng và khả năng khắc phục sự cố (ví dụ: Plixer, Kentik, SolarWinds, LiveAction).
Tiếp theo, cần khớp mô hình dữ liệu với ngân sách. Luồng dữ liệu có chi phí thấp và phạm vi rộng, trong khi gói tin có chi phí cao hơn nhưng cung cấp bằng chứng chi tiết hơn. Cần xem xét kỹ lưỡng thời gian lưu giữ dữ liệu, phạm vi phủ sóng đám mây và khả năng tích hợp vào quy trình cảnh báo.
Nhiều tổ chức triển khai hai lớp: luồng dữ liệu trên toàn bộ hệ thống và gói tin trên các phân đoạn quan trọng, cung cấp dữ liệu cho cả bảng điều khiển NOC và hệ thống phát hiện của SOC. Việc lựa chọn công cụ NTA phù hợp sẽ giúp đơn giản hóa việc giám sát mạng và nâng cao khả năng phòng thủ an ninh mạng.
Phân tích lưu lượng mạng là một phần quan trọng trong chiến lược an ninh mạng hiện đại, cung cấp khả năng hiển thị cần thiết để hiểu rõ hoạt động mạng, phát hiện các hành vi bất thường và ứng phó hiệu quả với các mối đe dọa.
Để tìm hiểu thêm về các công cụ phân tích gói tin, bạn có thể tham khảo bài viết về tối ưu hóa phân tích gói tin.
