定义与隐喻： SNA (原 Stealthwatch) 是网络的“总账”。如同财务总账记录每一笔交易，SNA 记录每一次网络通信。
解决传统 FW 和 EDR 无法覆盖的痛点：
覆盖范围：
检测逻辑双引擎：
| Tactic (战术) | SNA Detection Capabilities (技术实现) |
|---|---|
| Reconnaissance 侦察 |
|
| Lateral Movement 横向移动 |
|
| C & C 命令与控制 |
|
| Exfiltration 数据渗漏 |
|
SNA 处于核心地位。提供全天候的异常行为检测，不依赖已知签名，发现未知威胁。
通过 Webhook 或 ISE 联动，将检测转化为行动（隔离、抓包、重定向）。
SNA 是零信任架构中的 “持续信任验证引擎”。
Segmentation Verification (分段验证):
零信任不仅仅是定义策略，更需要验证策略。SNA 监控实际流量，报告任何跨越 Trust Zone 的违规通信（例如：PCI 区域访问互联网，或 研发网 直连 财务网）。
大多数组织在 Prevent (防火墙) 和 Endpoint (EDR) 投入巨大，但在 Network Detection & Response (NDR) 存在短板。SNA 正是填补这一空白，监控那些绕过防火墙且无法安装 EDR 的威胁。
遥测数据的摄入点。核心功能包括：
系统的管理控制台与可视化大脑。
针对无法生成 NetFlow 的盲区提供的 DPI 探针。
现代混合云环境的数据枢纽。
传统架构使用本地数据库，查询受限。新版 Data Store 采用分布式列式存储集群：
机制： 基于预定义的逻辑算法，不依赖历史基线。主要针对已知的攻击特征。
优势： 即插即用，部署当天即可发现简单的扫描和暴力破解行为。
机制： 动态建立每个主机、主机组的行为模型。
这是 SNA 的杀手锏。它不仅对比“历史的自己”，还对比“同组的伙伴”。
Q: 如果部署时主机已被攻陷，基线是否会被污染？
A: 是的，基线会偏高。但 SNA 结合了“全局威胁情报”和“启发式检测”。即使基线被污染，其 C&C 通信仍会触发 Talos 告警，其扫描行为仍会触发启发式规则。
基于机器学习的高级分析层，通过云端或本地引擎处理。
全球最大的非政府威胁情报组织。
超过 80% 的网络流量是加密的。传统解密（MITM）方案成本高、涉及隐私法律风险，且难以处理 TLS 1.3 的 PFS (完全前向保密) 特性。
Cisco Solution: 无需解密，通过分析“元数据”识别恶意软件。
SNA 分析加密数据包的以下特征，生成指纹：
初始数据包序列的大小和时序。不同应用（如 Google 搜索 vs. 恶意软件心跳）在握手阶段的数据包大小模式具有独特的“节奏”。
数据包到达的时间间隔。自动化脚本与人类行为在时间间隔上有显著差异。
载荷内字节分布的概率。加密内容通常具有高熵值。
ETA 不仅用于检测恶意软件，还用于审计加密强度：
| Metric | Function |
|---|---|
| TLS Version | 识别过时的 TLS 1.0/1.1 使用情况。 |
| Cipher Suite | 发现弱加密套件（如 NULL ciphers, RC4）。 |
| Key Length | 识别短密钥（如 < 1024 bit RSA）。 |
ETA 需要网络设备支持生成 Enhanced NetFlow。支持平台包括：Catalyst 9000 Switches, ISR 4000 Routers, CSR 1000v 等。
当新的 0-day 漏洞爆发或收到新的威胁情报（IOC）时，被动等待告警是不够的。安全分析师需要主动出击，确认企业“过去”是否受到过攻击。
传统 NetFlow 采集器因存储限制，通常只保留 30 天明细。SNA Data Store 架构支持 1 年以上 的流记录存储，为回溯性分析提供基础。
Talos 发布关于 "SolarWinds" 供应链攻击的报告，列出了相关的恶意 C2 域名和 IP 地址。
在 SNA Flow Search 界面输入恶意 IP。选择时间范围："Last 6 Months"。
查询结果返回了 3 次连接记录，发生在 4 个月前。显示内网主机 10.1.5.8 向该 IP 发送了 500MB 数据。
聚焦 10.1.5.8，查询其在受害时间段内的所有通信对象（Peers），确定它是否作为跳板扫描了其他服务器。
利用 Custom Security Events，将本次狩猎的特征保存为规则。如果未来再次出现类似的流量模式，系统将自动告警，变“狩猎”为“自动检测”。
场景： 离职倾向员工试图窃取公司知识产权，或被攻陷的账户正在准备数据渗漏。
SNA 检测逻辑：
场景： 恶意软件利用服务器算力挖矿，或内部员工违规利用公司资源。
SNA 检测逻辑：
传统 NetFlow 只能看到 IP 到 IP。SNA 结合 AnyConnect NVM 模块，提供了类似 EDR 的网络视角，即使用户在 VPN 之外。
价值： 当 SNA 发现异常流量时，NVM 能直接告诉你：“这是由 User: Alice 的 Laptop-01 上的 Tor.exe 发起的”。
勒索软件不仅仅是最后的“加密”。它包含一系列网络行为。SNA 的目标是在“加密”发生前阻断它。
WannaCry 利用 EternalBlue 漏洞通过 SMB 端口疯狂扫描内网。
企业网络通常基于业务逻辑进行分段（如 PCI DSS 要求持卡人数据环境隔离）。
SNA 持续监控实际流量，一旦发现 PCI 服务器发起或接收来自互联网/访客区的流量，立即报告。这用于证明分段控制的有效性。
定义： 业务部门绕过 IT 审批使用的云服务或软件。
检测方法：
价值： 帮助 CISO 找回 IT 治理权，并发现潜在的数据泄露渠道。
SNA 可以生成满足合规性要求的详细报告：
当应用变慢时，由于指责游戏（是网络问题？还是应用问题？），排查往往耗时。SNA 提供客观数据来终结争论。
通过 Flow Sensor 或支持 AVC (Application Visibility and Control) 的设备，SNA 能够测量：
| RTT (Round Trip Time) |
网络往返延迟。如果 RTT 高，说明网络拥塞或路由问题。 |
| SRT (Server Response Time) |
服务器响应时间。如果 SRT 高而 RTT 低，说明应用服务器负载过高或数据库查询慢。 |
| Retransmits (重传率) |
数据包丢失导致的重传。指示链路质量差。 |
用户投诉： "访问 CRM 系统很慢！"
结论： 网络团队可以将截图发给应用团队，证明网络是“无辜”的，问题出在服务器端。
SNA 不仅看安全，也看流量趋势。通过长期数据，识别：
尽可能从所有接触点获取遥测数据：
原始 IP 地址缺乏上下文。此阶段通过集成 Cisco ISE 丰富数据：
SMC 将这些上下文“缝合”到流记录中，使告警从 "10.1.1.1 访问恶意网站" 变为 "HR员工 Bob 的 iPad 访问恶意网站"。
将洞察转化为行动：
SNA 最关键的集成伙伴。双向联动：
SNA 是 XDR 架构中的核心 NDR 组件。
痛点: 将所有 NetFlow 直接发给 SIEM 极其昂贵且效率低下。
SNA 价值: 作为预处理器。
通过 Security Analytics and Logging (SAL) 集成：
SNA 转变了网络安全的范式：从“边界防御”转向“无处不在的持续监控”。
在零信任的世界里，网络遥测数据是唯一不可篡改的真理。
SNA 主要基于 FPS (Flows Per Second) 计费，而非设备数量。
| Option | Description | Use Case |
|---|---|---|
| Hardware Appliance | 专用物理服务器。 | 高性能需求，超大型园区网。 |
| Virtual (VM) | VMware ESXi, KVM. | 大多数企业的标准选择，灵活扩容。 |
| SNA Cloud (SaaS) | Cisco 托管 SMC 和 Data Store。 | 云优先策略，减少运维负担，无需维护存储。 |
Thank You
Document generated for CISSP Architecture Series