充分应用行为分析（NBA）工具

核心提示： NitroView从多个来源收集数据，并加以规范，充分应用行为分析（NBA）工具(3)，那样数据可以“融合起来可视化”，所有这些数据可以通过图表、圆形分析图、分布曲线图以及/或者拓扑图来查看，一个不大明显的例子是: 如果某台服务器的IP地址联系企业外面的某个未知IP

NitroView从多个来源收集数据，并加以规范，那样数据可以“融合起来可视化”。所有这些数据可以通过图表、圆形分析图、分布曲线图以及/或者拓扑图来查看。

防止虚假的安全感

据Proctor声称，NBA系统存在的缺点是误报率很高，除非你能有效地建立正确的模型。影响网络行为建模的几个因素是：网络行为的数量、事件类型的数量、环境及网络活动的强度和一致性、坏行为的可靠度以及用户的技能和体验等。

美国芝加哥TransUnion公司的安全架构主管Jason L. Stradley是Sourcefire的客户，他说：“与这种类型的所有解决方案一样，NBA也会出现误报。成功地解决误报问题取决于几个方面。首先是要有一个能够独立学习攻击行为的平台，并且能接受操作人员的指示。其他方面并不涉及技术，而是涉及方法。”

Stradley认为，为了充分利用任何一种安全监控解决方案，企业一定要制订流程来分析所有事件，包括误报。然后，他们要有相应的方法来处理系统以便进行调整。事件导致系统引发报警后，这个事件极有可能是异常情况，应当尽快加以分析。要是企业没有这种方法，部署任何产品都无济于事。

扬基集团的分析师Phil Hochmuth说，NBA产品的关键在于，它们本身并不处理威胁，而是处理网络流量中偏离标准行为模式的异常情况。“一个明显的例子就是: 如果一台个人电脑受到蠕虫的感染，潮水般的‘端口扫描’流量突然来自这台机器，那么不管出现在这台电脑上的是哪一种蠕虫，NBA都能够识别这种情况，然后通知IT人员。一个不大明显的例子是: 如果某台服务器的IP地址联系企业外面的某个未知IP地址，NBA也能发现，因为它已为这台服务器的正常网络行为建立了基准。”