源头分析: 网络安全的分布式方法

部署网络可见性和网络检测和响应 (NDR) 解决方案来收集、查看和分析网络活动，以检测网络上的可疑和恶意活动。

这些解决方案中的大多数都是为了将数据从收集点 (或传感器) 移动到中央存储库进行分析而构建的。

这种方法有几个缺点，包括规模、性能、成本和准确性 (误报) 的问题。所有这些问题都可以通过以分布式方式在源处执行流量分析的解决方案来克服。 

集中式网络安全方法的问题

在集中式方法中，数据包传感器连接到企业网络以监视网络流量，并将收集的数据发送到集中式服务器进行分析。

中央服务器通常在云中，但也可以是客户驻地内的数据库和分析服务器。这种方法的第一个问题是它复制了网络内的流量，因为所有收集的数据必须由中央服务器移动以进行分析。

由于对网络的影响，中央数据库的大小和分析成本，这是昂贵的。

为了克服分组数据复制的成本，大多数解决方案减少发送到中央服务器的数据。它们以元数据或NetFlow的形式发送提取的数据，而不是发送完整的网络数据包。

这产生了第二个问题，即分析工作在有限的信息上，这导致在检测到可疑或恶意流量时，不准确且缺乏供安全分析人员查看的真实取证信息。

虽然信息的减少有助于降低网络数据传输的成本，但它仍然需要大型中央数据库和分析引擎，这不能完全解决成本问题。