下载文档原格式
网络行为审计技术深度解析网络行为审计，Network Behavior Audit ，国外更多的叫做Network BehaviorAnalysis（网络行为分析），Network Behavior Anomaly Detection （NBAD ，网络行为异常检测) 。
这是一个新生事物，即便国外，出现的年头也不长。
无论怎么称呼，其目的都是通过分析网络中的数据包、流量，借助协议分析技术，或者异常流量分析技术，来发现网络中的异常和违规行为，尤其是那些看似合法的行为。
并且，有的产品在该技术上进行扩展，还具有网络行为控制、流量控制的功能。
网络行为审计是安全审计中较为重要的一种技术实现，其他安全审计技术还包括日志审计技术、本机代理审计技术、远程代理审计技术，具体可以参见这个文章。
NBA的实现有多种方式，其中有两个最重要的分支基于*Flow流量分析技术的NBA通过收集网络设备的各种格式的Flow日志来进行分析和审计，发现违规和异常行为，传统的网管厂商很多开始以此为进入安全的切入口; 而安全厂商则将其归入的范畴。
基于抓包协议分析技术的NBA通过侦听网络中的数据包来进行分析和审计，发现违规和异常行为，传统的安全厂商很多以此作为进入审计领域的切入点。
基于抓包协议分析技术的NBA抓包型NBA技术及产品类型说明抓包型网络行为审计(NBA)根据用途的不同、部署位置的不同，一般又分为两种子类型。
上网审计型: 审计网络内部用户访问互联网的行为和内容、防止内部信息泄漏、用户违规行为，提升内部网络用户互联网上网行为的效率。
业务审计型: 对网络中重要的业务系统（主机、服务器、应用软件、数据库等）进行保护，审计所有针对业务系统的网络操作，防止针对业务系统的违规操作和行为，提升核心业务系统的网络安全保障水平，尤其是信息和数据的安全保护能力，防止信息泄漏。
从上面按用途划分的定义可以看出，他们是两类不同的产品。
上网审计的对象是用户及其上网行为，而业务审计的对象是核心业务系统及其远程操作。
浅谈某电厂DCS系统网络审计、日志审计功能摘要：随着信息技术在电力领域的不断深化应用，电力业务对信息系统的依赖度越来越高，信息系统已成为覆盖电力生产、经营、管理的中枢系统电力行业信息系统的安全性、可用性关系到电力业务的安全性、可用性，事关国计民生和社会稳定得到充分重视日志审计作为电力信息安全体系框架的重要建设内容之一，可以有效辅助对信息安全故隐和安全事件的根据电力信息系统自身的特点，结合国家和上级主管部门相关法规制度探讨电力信息系统中部署和运用网络审计、日志审计系统。
关键词：电力信息安全；网络审计；日志审计。
1概述某电厂2×320MW亚临界供热机组于1995年投入商业运行，主机DCS系统采用和利时MACS-K系统，版本号为MACS6.5.3，系统在产品设计和工程设计初期已充分考虑网络安全防护。
根据等保2.0标准三级要求该公司1、2号机组DCS系统在安全区域边界、安全计算环境、安全管理中心等方面仍存在安全风险；根据《中华人民共和国网络安全法》、《信息安全技术网络安全等级保护基本要求》、《关于加强工业控制系统信息安全管理的通知》、《电力监控系统安全防护总体方案》等法律法规、制度要求需对1、2号机组DCS系统进行安全防护，以满足等保2.0标准三级要求，进一步提升1、2号机组DCS控制系统的安全等级。
2 网络审计、日志审计功能的设计2.1设计思路针对该公司1、2号机组DCS系统信息安全防护进行设计。
信息安全从网络安全、主机安全防护、工业日志审计方面进行设计。
2.2 建设要求为满足第三级安全计算环境通用要求和工业控制系统安全计算环境扩展要求中对恶意代码防范、可信度量验证、用户身份鉴别、系统安全审计、文件完整性保护等要求，应答人需在现有DCS系统内统一部署上位机主机防护系统并进行主机安全加固。
加固方式包括安全配置、安全补丁、采用专用软件强化操作系统访问控制能力、以及配置安全的应用程序的要求，应答人应制定主机加固的技术标准、方案和管理策略，经加固的主机需与控制系统做严格测试证明加固操作不影响控制系统实时性、可用性等要求，主机加固方案必须得到DCS厂商的书面确认与签字盖章。
天融信产品白皮书网络卫士内容与行为审计平台TA-NET系列内容与行为审计平台TA-NET天融信网络卫士安全审计系统内容审计平台TA-W是专用于防止非法信息恶意传播，避免国家机密、商业信息、科研成果泄漏的产品；并可实时监控网络资源使用情况，提高整体工作效率。
该产品适用于需实施内容审计与行为监控的网络环境，尤其是按等级进行计算机信息系统安全保护的相关单位或部门。
内容和行为审计系统具有实时的网络数据采集能力、智能的信息处理能力、强大的审计分析功能。
该产品基于天融信公司具有自主知识产权的安全操作系统TOS (Topsec Operating System)，采用开放性的系统架构及模块化的设计，是一款安全高效，易于管理和扩展的网络安全审计产品。
产品可实现：◆ 对用户的网络行为监控、网络传输内容审计 (如员工是否在工作时间上网冲浪、聊天，是否访问不健康网站，是否通过网络泄漏了公司的机密信息，是否通过网络传播了反动言论等)◆ 掌握网络使用情况，提高工作效率◆ 网络传输信息的实时采集、海量存储、统计分析◆ 网络行为后期取证，对网络潜在威胁者予以威慑部署方式简便旁路模式接入，不改变用户的网络拓扑结构，对用户的网络性能没有任何影响。
独立部署，方便灵活。
提供基于Rich Client技术的WEB管理界面。
兼具B/S模式的便捷与C/S模式的高效、易用。
高速的数据采集分布式部署数据采集引擎，优化的数据采集技术，直接从内核中采集数据包。
延迟小、效率高、实时性强。
智能包重组和流重组具有强大的IP碎片重组（IP Fragments Reassembly）能力和TCP流重组（TCP Stream Reassembl y）能力，任何基于协议碎片的逃避检测手段对本产品无效。
自适应深度协议分析从链路层到应用层对协议进行深度分析。
自动识别基于HTTP协议的邮件、论坛等操作行为。
根据内容自动识别各个连接的应用协议类型。
保障审计的准确性数据海量存储和备份系统内置海量数据存储空间，支持百兆、千兆网络环境下，高速、大流量数据的采集、存储。
文档类型：产品介绍文档密级：公开RG-UAC6000系列统一上网行为管理与审计产品介绍V3.0星网锐捷网络有限公司版权所有侵权必究修订记录版本号更改部门更改人审核人更改日期主要更改内容于道森XX 2013-5-16 初稿完成。
V1.0 产品与解决方案市场部于道森XX 2013-6-04 xa和xi上市前修改。
V1.1 产品与解决方案市场部于道森XX 2013-6-13 增加了订购信息。
V1.2 产品与解决方案市场部张俊杰XX 2014-3-12 修订部分信息，增加产品图片V2.0 产品与解决方案市场部朱明辉2015-04-28 新品UAC产品介绍第一版V3.0 安全与应用交付产品事业部目录1 产品图片 (1)2 产品概述 (3)3 产品特性 (4)4 典型应用 (8)5 订购信息 (11)1 产品图片RG-UAC 6000-E10RG-UAC 6000-E20RG-UAC 6000-E50RG-UAC 6000-X20RG-UAC 6000-X60图1 RG-UAC 6000系列产品图片2 产品概述锐捷统一上网行为管理与审计RG-UAC系列是星网锐捷网络有限公司自主研发的业界领先的上网行为管理与审计产品，以路由、透明、旁路或混合模式部署在网络的关键节点上，对数据进行2-7层的全面检查和分析，深度识别、管控和审计数百种IM聊天软件、P2P下载软件、炒股软件、网络游戏应用、流媒体在线视频、移动应用、网络存储等将近二十大类的常见应用，并利用智能流控、智能阻断、智能路由、智能DNS策略等技术提供强大的带宽管理特性，同时RG-UAC系列具备的上网行为日志审计功能，能够全面、准确、细致的审计并记录多种上网行为日志，包括网页、搜索、外发文件、邮件、论坛、IM等等，并对日志数据进行统计分析，形成多种多样的数据报表，将上网行为情况清晰、详细的呈现。
锐捷统一上网行为管理与审计RG-UAC系列产品线提供不同档次的多款型号，从低端、中端、高端适用于政府、教育、医疗、数据中心、大型网络边界、通用企业等全业务应用场景。
网络内容管理与安全维护方案第1章网络内容管理概述 (4)1.1 网络内容管理的定义与意义 (4)1.2 网络内容管理的层次与范畴 (4)1.3 网络内容管理的政策法规与标准 (4)第2章网络安全维护基本原理 (5)2.1 网络安全风险分析 (5)2.1.1 黑客攻击 (5)2.1.2 病毒与恶意软件 (5)2.1.3 内部威胁 (5)2.1.4 数据泄露 (5)2.2 网络安全防御策略 (5)2.2.1 防火墙与入侵检测系统 (5)2.2.2 安全配置与补丁管理 (5)2.2.3 权限管理与访问控制 (6)2.2.4 数据加密与备份 (6)2.3 网络安全漏洞与应对措施 (6)2.3.1 弱口令 (6)2.3.2 恶意代码 (6)2.3.3 系统漏洞 (6)2.3.4 社交工程 (6)第3章网络内容监控与审计 (6)3.1 网络内容监控技术 (6)3.1.1 深度包检测技术 (6)3.1.2 数据挖掘技术 (7)3.1.3 云计算与大数据技术 (7)3.1.4 人工智能技术 (7)3.2 网络内容审计方法 (7)3.2.1 法律法规依据 (7)3.2.2 审计策略制定 (7)3.2.3 审计流程设计 (7)3.2.4 审计结果反馈 (7)3.3 网络内容监控与审计系统的构建 (7)3.3.1 系统架构设计 (7)3.3.2 技术选型与集成 (7)3.3.3 系统功能实现 (8)3.3.4 系统安全与稳定性保障 (8)3.3.5 系统部署与维护 (8)第4章网络信息过滤与屏蔽 (8)4.1 网络信息过滤技术 (8)4.1.1 关键词过滤技术 (8)4.1.2 语义过滤技术 (8)4.1.3 深度学习过滤技术 (8)4.1.4 贝叶斯过滤技术 (8)4.2 网络信息屏蔽策略 (9)4.2.1 阻断策略 (9)4.2.2 替换策略 (9)4.2.3 降权策略 (9)4.2.4 举报与审核策略 (9)4.3 网络信息过滤与屏蔽的实际应用 (9)4.3.1 企业内部网络 (9)4.3.2 互联网服务提供商 (9)4.3.3 教育行业 (9)4.3.4 公共场所网络 (9)第5章网络舆情分析与引导 (10)5.1 网络舆情监测技术 (10)5.1.1 互联网信息采集技术 (10)5.1.2 大数据分析技术 (10)5.1.3 智能语义分析技术 (10)5.2 网络舆情分析模型 (10)5.2.1 舆情分析框架 (10)5.2.2 舆情情感分析模型 (10)5.2.3 舆情传播模型 (10)5.3 网络舆情引导策略 (10)5.3.1 舆情引导原则 (10)5.3.2 舆情引导方法 (11)5.3.3 舆情引导实践 (11)5.3.4 舆情引导评估 (11)第6章网络安全防护体系建设 (11)6.1 防火墙与入侵检测系统 (11)6.1.1 防火墙技术 (11)6.1.2 入侵检测系统（IDS） (11)6.2 虚拟专用网（VPN）技术 (11)6.2.1 VPN技术概述 (11)6.2.2 VPN配置与管理 (11)6.3 安全审计与防护策略 (12)6.3.1 安全审计 (12)6.3.2 防护策略 (12)第7章数据加密与身份认证 (12)7.1 数据加密技术 (12)7.1.1 对称加密算法 (12)7.1.2 非对称加密算法 (12)7.1.3 混合加密算法 (12)7.2 数字签名与身份认证 (12)7.2.1 数字签名技术 (12)7.2.2 身份认证协议 (13)7.2.3 身份认证技术在实际应用中的案例分析 (13)7.3 密钥管理与证书授权 (13)7.3.1 密钥管理 (13)7.3.2 证书授权中心（CA） (13)7.3.3 证书链与信任模型 (13)第8章网络安全事件应急响应 (13)8.1 网络安全事件分类与定级 (13)8.1.1 网络安全事件分类 (13)8.1.2 网络安全事件定级 (14)8.2 网络安全事件应急响应流程 (14)8.2.1 事件发觉与报告 (14)8.2.2 事件分析与定级 (14)8.2.3 事件应急响应 (14)8.2.4 事件总结与改进 (14)8.3 网络安全事件应急响应技术 (15)8.3.1 防DDoS攻击技术 (15)8.3.2 防Web应用攻击技术 (15)8.3.3 信息泄露防护技术 (15)8.3.4 网络设备故障处理技术 (15)第9章网络安全风险评估与管理 (15)9.1 网络安全风险评估方法 (15)9.1.1 问卷调查法 (15)9.1.2 安全检查表法 (15)9.1.3 威胁建模法 (16)9.2 网络安全风险量化分析 (16)9.2.1 风险概率计算 (16)9.2.2 风险影响评估 (16)9.2.3 风险等级划分 (16)9.3 网络安全风险管理策略 (16)9.3.1 风险预防策略 (16)9.3.2 风险转移策略 (16)9.3.3 风险监测与应对策略 (16)9.3.4 风险持续改进策略 (16)第10章网络内容管理与安全维护的持续改进 (17)10.1 网络内容管理与安全维护的监测与评估 (17)10.1.1 监测机制 (17)10.1.2 评估机制 (17)10.2 网络内容管理与安全维护的优化策略 (17)10.2.1 技术层面 (17)10.2.2 管理层面 (17)10.3 网络内容管理与安全维护的未来发展趋势 (17)10.3.1 算法优化与人工智能 (18)10.3.2 跨界融合 (18)10.3.3 预防为主，防控结合 (18)10.3.4 国际合作 (18)第1章网络内容管理概述1.1 网络内容管理的定义与意义网络内容管理是指通过技术、法律、行政等手段，对互联网播的信息和数据进行有效监管、指导和服务的活动。
企业大数据审计分析方法及案例介绍目录1. 内容简述 (2)1.1 大数据审计的重要性 (3)1.2 企业审计分析方法发展背景 (4)2. 大数据审计分析概述 (5)2.1 大数据审计的定义 (6)2.2 大数据审计与传统审计的区别 (7)2.3 大数据审计分析的核心技术 (9)3. 审计数据管理与采集 (10)3.1 数据收集与存储的关键要素 (11)3.2 数据采集策略 (12)3.3 数据质量管理 (13)4. 数据预处理与清洗 (15)4.1 数据清洗的重要性 (16)4.2 数据预处理技术 (18)4.3 处理数据异常与错误的方法 (19)5. 数据分析模型构建 (20)5.1 数据聚合与透视 (22)5.2 异常检测与数据挖掘技术 (23)5.3 预测分析与机器学习模型 (25)6. 审计数据分析方法 (27)6.1 趋势分析与对比分析 (28)6.2 关联分析与聚类分析 (30)6.3 异常审计方法 (32)6.4 财务监督与风险评估 (34)7. 大数据审计案例解析 (36)7.1 案例一 (37)7.2 案例二 (38)7.3 案例三 (39)7.4 案例四 (41)8. 审计分析结果的应用 (42)8.1 结果的可视化展示 (44)8.2 治理改进建议 (45)8.3 审计报告与审计过程文档化 (46)9. 结论与未来展望 (48)9.1 总结大数据审计的有效性和挑战 (49)9.2 对企业未来审计与数据分析的建议 (50)9.3 大数据审计技术发展的趋势预测 (52)1. 内容简述本文档旨在详尽阐述“企业大数据审计分析方法及案例介绍”，突出实用性和紧扣业界实践。
内容包括：大数据审计简介：详细介绍大数据技术在企业审计中的应用现状与潜力，概要分析大数据审计的优势与挑战。
方法论探讨：深入探析在审计过程中如何利用大数据分析的方式，构建数据驾驭模型，提升审计效率和效果。
技术实现路径：介绍常用的大数据技术，比如分布式计算框架（如Hadoop、Spark）与数据分析工具（如Python、R语言）及其在审计中的应用。
UAG3000系列产品FAQ1. UAG功能相关问题 (3)1.1 Q:流控和审计产品为什么要合一？ (3)1.2 Q:流控和审计产品为什么配置病毒防护？ (3)1.3 Q:是否支持本地认证？认证流程如何？ (3)1.4 Q:对加密的IM聊天工具如何审计，如QQ、MSN等？ (3)1.5 Q:如何处理加密、未知的P2P流量？ (4)1.6 Q:如何处理HTTPS流量？ (4)1.7 Q: 由于全网用户是DHCP动态分配地址，怎么样添加例外用户了？ (4)1.8 Q: 如果评估网络带宽流量所产生的日志量？形成的日志是否支持压缩？ (4)1.9 Q: UAG接口必须成对使用吗？如果一对接口中一个接口断掉，另外的接口是否同步停用？ (4)1.10 Q: UAG提供独立的管理接口？ (4)1.11 Q: 透明部署情况下，有2条（或多条）链路，上先行交换机接口都各自进行聚合，设备识别是否有问题？通过路由协议进行负载分担是否有问题？ (4)1.12 Q: 对未识别流量如何处理？ (4)1.13 Q: 在做限速时是通过哪种机制实现？ (4)1.14 Q: 支持的第三方认证有哪些？实现方式如何？ (4)1.15 Q: Portal认证（即Web认证）部署要求是什么？基本流程是什么？Radius服务器有什么要求？ (5)1.16 Q: 如要部署在NAT之后实现方式如何精确审计及流控？ (6)1.17 Q: 在做限速时是通过哪种机制实现？ (6)1.18 Q: 经过带宽（限速）管理后，带宽资源是否要减少？ (6)1.19 Q: PFP掉电什么时候工作？ (6)1.20 Q: PPPoE报文是否可审计？ (6)1.21 Q: UAG可以满足那些认证标准？ (6)1.22 Q：UAG支持多少Portal用户认证？ (7)1.23 Q: UAG对数据库审计能做到什么程度？ (7)1.24 Q: UAG能否提供地址信息库？ (7)1.25 Q：UAG的直路和旁路部署模式分别应用于哪些场景？ (7)1.26 Q：流控设备最小（颗粒度）限流可以做到多少？都基于什么方式限速？ (7)1.27 Q: UAG能否实现IP地址屏蔽？如运营商带宽租用的场景下，运营商不希望终端用户看到IP。
网络行为审计，Network Behavior Audit，国外更多的叫做Network Behavior Analysis（网络行为分析），Network Behavior Anomaly Detection (NBAD，网络行为异常检测)。
这是一个新生事物，即便国外，出现的年头也不长。
无论怎么称呼，其目的都是通过分析网络中的数据包、流量，借助协议分析技术，或者异常流量分析技术，来发现网络中的异常和违规行为，尤其是那些看似合法的行为。
并且，有的产品在该技术上进行扩展，还具有网络行为控制、流量控制的功能。
网络行为审计是安全审计中较为重要的一种技术实现，其他安全审计技术还包括日志审计技术、本机代理审计技术、远程代理审计技术，具体可以参见这个文章。
NBA的实现有多种方式，其中有两个最重要的分支：基于*Flow流量分析技术的NBA：通过收集网络设备的各种格式的Flow日志来进行分析和审计，发现违规和异常行为，传统的网管厂商很多开始以此为进入安全的切入口；而安全厂商则将其归入的畴。
基于抓包协议分析技术的NBA：通过侦听网络中的数据包来进行分析和审计，发现违规和异常行为，传统的安全厂商很多以此作为进入审计领域的切入点。
基于抓包协议分析技术的NBA抓包型NBA技术及产品类型说明抓包型网络行为审计（NBA）根据用途的不同、部署位置的不同，一般又分为两种子类型。
上网审计型：审计网络部用户访问互联网的行为和容、防止部信息泄漏、用户违规行为，提升部网络用户互联网上网行为的效率。
业务审计型：对网络中重要的业务系统（主机、服务器、应用软件、数据库等）进行保护，审计所有针对业务系统的网络操作，防止针对业务系统的违规操作和行为，提升核心业务系统的网络安全保障水平，尤其是信息和数据的安全保护能力，防止信息泄漏。
从上面按用途划分的定义可以看出，他们是两类不同的产品。
上网审计的对象是用户及其上网行为，而业务审计的对象是核心业务系统及其远程操作。
正因为如此，他们部署的位置有所不同。
上网审计NBA应该部署在互联网出口处，而业务审计NBA则就近部署在核心业务安全域的边界（一般是核心业务系统所在的交换机处）。
下面是两类产品在技术层面的定义：上网审计型：硬件设备，旁路/串路方式部署在用户互联网出口处。
通过旁路侦听/数据报文截获的方式对部网络连接到互联网（Internet）的数据流进行采集、分析和识别，基于应用层协议还原的行为和容审计，例如针对网页浏览、网络聊天、收发、P2P、网络音视频、文件传输等的审计。
可以制定各种控制策略，进行统计分析。
业务审计型：硬件设备，采用旁路侦听的方式对数据流进行采集、分析和识别，实现对用户操作数据库、远程访问主机和网络流量的审计。
例如针对各种类型的数据库SQL语句、操作命令的审计，针对Telnet、FTP、SSH、VNC、文件共享协议的审计。
管理员可以指定各种控制策略，并进行事后追踪与审计取证。
从上面的定义，可以很清楚的看出来两种类型的异同。
从技术架构上讲，他们是一样的，都是抓包引擎加管理器。
但是从具体的技术细节来看，他们之间的差异是显著的。
差异分析上网审计型系统分析的协议都是互联网上常用的应用层协议，例如P2P、、HTTP、音视频、网络游戏等，同时，为了进行更为精确的审计，还需要再深入一步，分析协议的容，例如要能够分析WEBMAIL和WEB聊天室的容，分析MSN的聊天容。
因此，一个好的上网审计型NBA必须要有一个巨大的、不断及时更新的协议分析库。
这个难度是挺大的，因为这些互联网应用协议具有种类多、变化频繁的特点，并且不会提前通知开发厂家，最明显就是音视频、网游、聊天室。
更加的，即使针对HTTP协议，还要分析出163、sina、yahoo之间的区别。
这是一个苦力活。
也是产品的核心技术点。
业务审计型系统分析的协议基本上都是区域网中常见的应用层协议，并且与业务系统密切相关。
例如TDS、TNS等数据库访问协议，FTP、TELNET协议，HTTP、企业协议（IMAP、STMP 等），等等。
对于业务审计型NBA而言，协议种类相对比较固定，并且协议版本比较稳定，比较易于实现。
对于上网审计型NBA，还有一个重要的技术点就是网页分类地址库，就是一个巨大的地址库，里面对互联网的网址进行分门别类。
用途就在于控制某些用户可以访问哪些类别的，不能访问哪些类别的。
例如：上班时间不能上游戏，而午休时间可以上，等等。
对于业务审计型NBA而言，其核心技术不在于复杂的协议分析，而在于协议分析之后，对生成的归一化的事件（event）进行二次分析，通过关联分析的技术手段，发现针对业务系统的违规行为，将事件变成真正的事件（incident），或者叫告警。
例如，发现某账户在某时间段频繁的查询核心的客户资料数据库，从而及时告警，并告知管理员该异常账户的行为，可能该客户正在下载客户资料。
要实现这种行为的发现，光靠协议分析是不够的。
协议分析只能将这种行为对应的零散的数据报文截获出来，并变成一条条的事件，可能是100条。
而只有通过事件关联分析，才能将这100条时间转化为有意义的incident告警信息。
关于数据库审计可以说，数据库审计是业务审计在实现功能上的子集。
先看看业务系统的定义：“业务系统是由包括主机、网络设备、安全设备、应用系统、数据库系统等在的多种IT资源有机组合而成的。
”因此，针对业务的审计就要对构成业务系统的各个IT资源之间的访问行为以及业务系统之间的操作的审计。
只有通过审计构成业务系统的各种IT资源的运行行为才能真正反映出业务系统的安全状态。
我们说，面向业务的安全审计系统不单是一个主机审计系统、也不是一个单纯的网络审计或者数据库审计系统，而是他们的综合。
而数据库审计主要就是针对业务的核心——数据库的审计。
关于运维审计（堡垒主机）运维审计，也叫做堡垒主机，主要是针对网络部人员访问重要服务器、主机、网络及安全设备的行为（尤其是加密协议访问行为）进行审计的技术。
除了进行访问操作的行为及容审计，还具备用户授权、访问控制、单点登录的功能，能够大大减轻服务器及设备管理人员的维护负担，并能够实现基于自然人的操作审计和责任认定。
运维审计产品可以看作是业务审计在技术实现上的一个变种。
传统的业务审计都以旁路部署的方式来进行网络包侦听、协议解析还原和审计分析。
而运维审计则是以应用层代理服务器的方式进行部署，获取应用层网络协议，进行还原分析，在重新打包提交给目标主机。
他们都是基于应用层协议分析DPI的，只是部署方式有区别。
真是由于代理的部署方式，使得运维审计能够对SSH、RDP、SFTP等加密协议进行解析还原（因为有密钥），从而扩大了传统业务审计的审计围。
综合网络安全审计的解决方案在真实的案例中，上网审计NBA和业务审计NBA（包括数据库审计、运维审计等）可以联合部署，达到综合安全审计的效果。
上网审计部署在整个网络安全域的边界，业务审计部署在核心业务系统安全域边界。
然后，通过一个统一的管理中心，将这个系统的告警信息汇总到一起，让管理员实现全网统一的网络安全审计。
上网审计和业务审计的融合那么，两类产品可以融合到一起，变成一个产品吗？我认为没有必要，因为他们针对的需求定位是不同的，技术细节也是有区别的，如果合一，不好部署，只能部署到核心交换机上，同时审计用户上网行为和保护核心业务系统，对设备性能是个挑战，会力不从心，简单的问题反而变复杂了。
我的观点是：只要做到方案级别的整合就够了，毕竟两类产品可以独立发挥功效，满足客户某一方面的需求。
抓包型NBA与IDS的联系国网络安全业界多采用抓包方式来实现NBA，与IDS的工作方式很相像。
因此，在国外，很多人将这种NBA叫做EDS：ExtrusionDetection System。
这个名词比较形象地表明了NBA和IDS之间的联系和区别。
他们都是采用抓包的工作方式，采用旁路侦听的方式进行工作，部署十分方便，即插即用，不必对业务网络配置做任何更改，对业务网络没有任何影响。
工作的时候都需要用到协议分析技术、特征/策略匹配技术，遇到威胁可以实时阻断，违规/违规过程可以回放取证。
NBA和IDS的产品架构比较类似，一般都分为引擎和管理器两个部分，引擎负责抓包、协议分析、特征/策略匹配等底层功能；而管理器则负责数据分析、规则定义、告警设置、界面交互等上层功能。
两个部分通常分开为两个实体组成。
不过，随着用户需求的发展，有一种趋势是将上述两个部分合到一起，即一体化的NBA设备。
对于用户而言，产品实施无疑更加便捷。
抓包型NBA与IDS的区别首先，此种NBA是应用层协议分析，因为他关注的是对被保护对象资产的各种违规业务操作，例如telent、FTP、数据库访问、HTTP访问，等等。
而（传统的）IDS主要是应用层之下的协议分析，因为他关注的是对被保护对象资产的各种攻击行为。
诚然，现在的IDS也开始进行应用层协议分析，但是分析应用层协议的目的是为了发现攻击行为，例如MSN的钓鱼行为，等等。
因此，他们最本质的区别就在于IDS是检测攻击，而NBA是审计用户/远程操作。
IDS有一个攻击特征库，需要不断被动的升级；而NBA定义了一个用户操作规库，说明什么是合法的行为，那么只要是违反这个规的行为就会被发现。
通俗地讲，IDS的规则库是一套黑库，写满了什么是不对的，总是后发制人；而NBA的规则库是一套白库，简洁的列出了什么是允许的，保证先发制人。
下面是两条NBA规则库的表述性示例：1）单位规定：所有对数据库的访问只能来自于中间件系统所在的IP1，并且只能通过midware 账户进行访问，而管理员admin账户只能从维护终端IP2访问数据库，其他行为都是违规的。
2）单位规定：任何数据库管理员都不能读取数据库中工资表的员工工资字段，只有财务的小可以从他的机器（IP）通过工资管理系统进行访问。
很显然，NBA在工作的时候，会分析应用层协议，并将不符合规则库的操作行为记录下来。
这种分析的效率将会很高，因为白技术确保了规则不会很多，并且相对保持稳定，通常只会跟随业务的变化、或者是用户权限的变化而变化。
正是由于上述本质区别，使得NBA更加贴近用户的业务系统，唯有如此才能真正保护用户的业务系统不受违规行为的干扰，而这些违规行为往往来自网络的部！而一旦与业务挂钩，NBA系统的复杂度就立刻上升，尤其是NBA的管理器部分远比IDS的管理器要复杂。
首先是规则更加复杂，不是简单的字符串匹配，而是更为复杂的匹配，涉及到多个变量，不仅包括源IP、目的IP、源端口、目的端口、用户名、、（协议）操作类型、操作容，等等。
其次是匹配之后的数据分析更加复杂，不是简单的告警和阻断，而是需要进行二次数据分析，也就是针对引擎产生出来的各种归一化的事件信息进行实时事件关联分析realtimeevent correlationanalysis。
