Cisco SNA: 从网络数据中提取安全价值 | NDR 实战与加密流量分析指南

全貌与核心价值

What · Why · How · ROI

1.1 什么是 Cisco Secure Network Analytics？

Cisco Secure Network Analytics（SNA），前称 Stealthwatch，是 Cisco 的旗舰网络检测与响应（Network Detection & Response, NDR）平台。它以 NetFlow / IPFIX / sFlow 遥测数据为核心数据源，将企业网络基础设施——路由器、交换机、防火墙、无线控制器——转化为分布式安全传感器。与传统 IDS/IPS 依赖签名匹配不同，SNA 构建行为基线（Behavioral Baseline），然后通过多层检测引擎（启发式规则、统计模型、机器学习、威胁情报）发现偏离正常行为的异常活动^[1][8]。

SNA 的独特价值在于它无需在终端安装代理，无需对加密流量进行解密，即可对东西向（East-West）和南北向（North-South）流量实现全面可观测性。在当今超过 80% 的互联网流量已加密的背景下，这一能力尤为关键^[2]。

💡 "网络总账" 比喻（Network General Ledger）

正如企业财务依赖总账（General Ledger）记录每一笔交易，SNA 的 Flow Collector 与 Data Store 共同构成网络的 "总账"——每一条网络会话的源 / 目 IP、端口、协议、字节数、包数、时间戳、TCP 标志位等元数据都被忠实记录并长期存储。安全团队可随时 "审计" 任意时间窗口的网络活动，追溯威胁的完整横向移动路径，就像审计师查阅总账追踪资金流向一样^[8]。

1.2 为什么需要 NDR？——可见性盲区的代价

企业安全投入长期集中于边界防火墙和终端 EDR，但攻击者一旦突破边界，便在内网中自由穿梭。以下现实构成了 NDR 的核心驱动力：

加密流量盲区：超过 80% 的企业流量（包括 SaaS、内部微服务）使用 TLS/SSL 加密。传统 DPI 要么解密（引入延迟与合规风险），要么完全忽略加密流量。SNA 的 Encrypted Traffic Analytics (ETA) 通过分析 TLS 握手特征（Initial Data Packet / IDP）和包长度时序（Sequence of Packet Lengths and Times / SPLT）在不解密的前提下识别恶意通信^[2][8]。
东西向流量不可见：同一 VLAN 内的服务器之间、容器之间的流量可能完全不经过边界防火墙。攻击者利用这一点进行横向移动与权限提升。 SNA 通过交换机上的 NetFlow 导出，获得逐跳（hop-by-hop）可见性^[1]。
无代理覆盖：OT/IoT 设备、医疗设备、打印机、摄像头等大量设备无法安装终端代理。SNA 的无代理架构天然覆盖所有能产生或经过流量的设备^[6]。
合规与取证：等保 2.0、GDPR 等法规要求网络行为审计与留存。SNA Data Store 可将流记录保留数月甚至数年，满足合规取证需求^[3]。

1.3 SNA 如何工作？——三步闭环

① 采集 Ingest

NetFlow/IPFIX/ETA
从路由器、交换机、FW

→

② 关联 Correlate

行为基线 + 多层检测引擎
98+ 安全检测模型

→

③ 响应 Act

告警 → ISE 隔离 / XDR 联动
Webex / Syslog / SIEM

步骤一：采集（Ingest）。Flow Collector（FC）接收来自网络设备的 NetFlow v5/v9、IPFIX、sFlow、NSEL（Cisco Secure Firewall 专用）遥测数据。每台 FC 最高支持约 300,000 FPS（flows per second）。对于无法原生导出 NetFlow 的网段，可部署 Flow Sensor（物理 / 虚拟）通过 SPAN/镜像端口进行 Deep Packet Inspection 并生成 NetFlow 记录，同时提取 ETA 元数据。所有采集数据被统一汇入 Data Store 进行持久化存储^[1][3]。

步骤二：关联（Correlate）。Stealthwatch Management Console（SMC / Manager）是分析大脑。它从 FC / Data Store 获取流记录，并运行多层检测引擎：

启发式规则引擎（Heuristic Rules）：98 条以上预置安全策略，覆盖端口扫描、DDoS、C2 信标、Tor 出口节点通信、DNS 隧道等已知行为模式。
统计基线引擎（Statistical Baselining）：对每个 Host Group 建立流量体积、会话数、对等体数、协议分布的动态基线，偏离超阈值即触发告警。
Converged Analytics（融合分析 / ML）：利用机器学习将多个低置信度信号融合，产生高置信度 "Detection Finding"——v7.6.0 全新功能，减少告警噪音，帮助分析师聚焦真正的威胁^[7]。
Talos 威胁情报（Talos TI）：实时比对全球已知恶意 IP/域名/URL，标记与已知 C2、矿池、DGA 域名的通信^[8]。

步骤三：响应（Act）。告警通过多条路径触发响应： ① 通过 pxGrid 向 Cisco ISE 下发 Adaptive Network Control（ANC）策略，实现端口级别的即时隔离； ② 向 Cisco XDR 推送行为事件，XDR 将来自 SNA 的网络信号与来自 Endpoint / Email / Cloud 的遥测数据交叉关联，自动生成或升级 Incident^[10]； ③ 通过 Syslog / Webhook / REST API 向 Splunk、SIEM、SOAR 平台推送告警，融入现有 SOC 工作流； ④ v7.6.0 新增 Webex Webhook 通知，告警可直接推送至 Webex 空间，便于协作响应^[7]。

1.4 投资回报（ROI）与量化价值

100%无代理（Agentless）
零终端部署负担

80%+加密流量可见
无需解密

56+行为检测模型
覆盖 MITRE ATT&CK

分钟级威胁发现 MTTD
对比行业平均 >200天

SNA 的 ROI 体现在以下维度：

降低平均检测时间（MTTD）：Ponemon 研究表明企业平均需 200+ 天发现入侵。SNA 的持续行为分析可在分钟至小时级别发现异常横向移动与数据外泄，将 MTTD 大幅缩短。
减少告警疲劳：Converged Analytics 将多条弱信号融合为高置信度事件，减少 SOC 分析师的误报调查时间，提升每名分析师的有效产出^[7][8]。
利用已有投资：SNA 复用现有路由器 / 交换机的 NetFlow 导出能力，无需重新布线或购买额外 TAP/镜像设备（对于大多数 Cisco 网络环境），极大降低部署成本。
合规覆盖：一次部署即可同时满足等保 2.0 中"安全审计 / 入侵检测 / 集中管控"以及 GDPR 中"数据处理活动记录"等多项要求^[3]。
OT/IoT 安全扩展：在制造业、医疗、能源等 OT 环境中，SNA 通过 IT/OT 融合网段的 NetFlow 采集，实现对 SCADA / PLC 等传统无法监控资产的行为可视化，弥补 IT 安全方案在 OT 领域的空白^[4]。

1.5 无代理架构——消除盲区

SNA 的 "无代理" 并非一个营销术语，而是其架构设计的根本特征。以下对比说明了这一优势的工程意义：

维度	传统 EDR（Agent-based）	SNA（Agentless NDR）
覆盖范围	仅限可安装代理的终端（Windows/Mac/Linux）	所有产生或经过流量的设备——包括 IoT、OT、BYOD、打印机、摄像头
部署周期	需逐台终端安装并维护代理版本	在网络设备上启用 NetFlow 导出即可，通常数小时内完成
性能影响	代理占用终端 CPU/内存	NetFlow 导出对设备 CPU 影响通常 < 2%
加密流量	需要在终端解密后分析	ETA 直接分析加密元数据，无需解密
东西向可见性	依赖终端之间均安装代理	交换机级别 NetFlow 提供逐跳可见性
OT/IoT 适用性	无法在 PLC/SCADA/摄像头上安装代理	天然覆盖，无需任何终端改造

这意味着 SNA 能在组织 Day-1 即提供全面的网络可见性——不需要等待终端代理 100% 覆盖（在大型企业中这往往需要数周甚至数月）。同时，SNA 与 EDR 并非替代关系，而是互补关系：NDR + EDR + XDR = 完整的检测三角。Cisco 的方案中，SNA（NDR）与 Cisco Secure Endpoint（EDR）通过 Cisco XDR 统一关联，形成端到端的威胁可见性闭环^[10]。

安全框架映射

MITRE ATT&CK · NIST CSF 2.0 · Zero Trust

2.1 MITRE ATT&CK 覆盖

SNA 的检测能力可映射至 MITRE ATT&CK for Enterprise 框架的多个战术（Tactics）和技术（Techniques）。以下矩阵展示 SNA 在各攻击阶段的覆盖情况以及对应的具体检测机制^[8][9]：

战术 Tactic	覆盖技术 Techniques (示例)	SNA 检测机制
Initial Access 初始访问	T1190 Exploit Public-Facing App T1133 External Remote Services T1078 Valid Accounts	异常入站连接模式检测；新外部 IP 首次访问内部服务告警；ISE 集成 + 异常认证流量关联
Command & Control 命令与控制	T1071 Application Layer Protocol T1573 Encrypted Channel T1568 Dynamic Resolution (DGA) T1090 Proxy / Tor	ETA 加密流量分析——SPLT/IDP 指纹识别恶意 TLS 会话；Talos TI 匹配已知 C2 IP/域名； DNS 行为异常检测（高频 NXDOMAIN / DGA 模式）；Tor 出口节点 / 已知 Proxy 通信告警
Lateral Movement 横向移动	T1021 Remote Services (RDP/SSH/SMB) T1210 Exploit Remote Services T1570 Lateral Tool Transfer	东西向行为基线——Host Group 间异常通信检测；新出现的内部对等体告警；SMB/RDP 暴力尝试检测；内部扫描行为（端口扫描、地址扫描）
Exfiltration 数据外泄	T1048 Exfil Over Alt Protocol T1041 Exfil Over C2 Channel T1567 Exfil to Cloud Storage	数据外泄检测模型 (Data Hoarding / Large Upload)——监控单一主机向外部目标的累计上传字节数，超出动态基线即告警；DNS 隧道外泄（高编码熵 DNS 查询）；非常规端口大流量告警
Discovery 发现	T1046 Network Service Discovery T1018 Remote System Discovery	内部侦察检测——高速端口扫描（Addr_Scan / Port_Scan）、ICMP Sweep、 ARP 扫描、对多子网的异常连接尝试
Credential Access 凭据访问	T1110 Brute Force T1557 Adversary-in-the-Middle	SMB/RDP/SSH 暴力破解检测（短时间内高频失败连接）；ARP 欺骗异常检测
Impact 影响	T1486 Data Encrypted for Impact (Ransomware) T1499 Endpoint DoS	勒索软件行为链：内部侦察 → 横向传播 → 大量 SMB 写操作告警；DDoS 异常流量检测

🔍 关键洞察：ATT&CK 覆盖的 "深度" 而非仅 "广度"

SNA 不仅在战术层面提供广泛覆盖，更在每个战术中通过多信号融合提供深度检测。例如，对于 C2 通信（T1071/T1573）， SNA 同时使用 ETA 指纹、Talos IP 信誉、DNS 行为异常、信标周期检测（Beacon Detection）四种独立信号，任一单独信号可能只是低置信度告警，但 Converged Analytics 将其融合后可产生高置信度的 "Detection Finding"，大幅降低误报率^[7][8]。

2.2 NIST CSF 2.0 映射

NIST Cybersecurity Framework 2.0（2024 年 2 月发布）将安全能力组织为六大功能（Functions）。 SNA 在其中五个功能均有直接贡献^[8]：

CSF 功能	相关类别 Category	SNA 贡献
GOVERN 治理	GV.RM 风险管理策略 GV.SC 供应链风险	SNA 的 Host Group 分级与策略映射为风险管理提供网络层量化依据；Data Store 长期留存支持审计治理
IDENTIFY 识别	ID.AM 资产管理 ID.RA 风险评估	自动发现网络中所有活跃 IP 主机（包括未被 CMDB 登记的影子 IT / IoT 设备），生成资产清单；基于流量行为进行资产风险评分
PROTECT 保护	PR.AC 访问控制 PR.DS 数据安全	通过 ISE pxGrid 联动实施微分段（Micro-Segmentation）访问控制；监控数据流动路径，确保敏感数据不经非授权路径传输
DETECT 检测	DE.AE 异常与事件 DE.CM 持续监控	核心功能域——98+ 检测模型持续运行，覆盖全网 7×24 行为监控； ETA 加密流量检测；Converged Analytics ML 异常检测
RESPOND 响应	RS.AN 分析 RS.MI 缓解	Flow 查询回溯取证；通过 ISE ANC 自动隔离受感染主机； XDR 联动自动生成 Incident 与推荐 Playbook
RECOVER 恢复	RC.RP 恢复计划执行	事件后使用 Data Store 进行根因分析（RCA），验证威胁已清除，确认业务恢复后的流量正常基线

2.3 Zero Trust — SNA 作为持续验证引擎

Zero Trust 的核心原则是 "永不信任，持续验证"（Never Trust, Always Verify）。Cisco 的 Zero Trust 架构包含三大支柱—— Workplace（网络）、Workload（应用）、Workforce（用户）。SNA 在 Workplace 支柱中扮演关键角色^[2][8]：

持续网络行为验证：传统访问控制仅在连接建立时验证身份（Point-in-Time）。SNA 对已建立连接的后续行为进行持续监控—— 即使用户已通过 802.1X 认证并获得网络访问权限，一旦其行为偏离基线（如突然访问大量敏感服务器、发起端口扫描），SNA 即刻触发告警。
微分段验证：组织通过 ISE + TrustSec SGT（Security Group Tag）实施微分段策略后，SNA 可持续验证实际流量是否严格遵循分段策略—— 发现违反分段规则的跨区流量并告警，确保微分段策略的有效性。
设备信任评估：SNA 可检测网络中的非托管设备（Rogue Device Detection），发现未经认证直接接入网络的设备，并联合 ISE 对其实施隔离或限制访问。
与 Cisco Duo 互补：Duo 提供用户身份与设备信任验证，SNA 提供网络行为持续验证——两者结合实现 "身份 + 行为" 双重 Zero Trust 验证。

图 2-1：SNA 在 Zero Trust 架构中的角色——持续行为验证引擎

技术深潜

Technical Deep Dive

3.1 架构组件总览 — Architecture Components

Cisco Secure Network Analytics 采用 分布式架构，各组件各司其职，协同完成从遥测采集、行为建模到告警生成的完整闭环。下图展示了核心组件及其交互关系^[2][10]：

核心组件详解

🔵 Flow Collector (FC) — 遥测采集与初级分析

Flow Collector 是 SNA 的"耳朵"，负责接收并处理来自网络基础设施的所有遥测数据。每个 FC 实例可处理高达 300,000 FPS（硬件）或 150,000 FPS（虚拟化），支持 NetFlow v5/v9、IPFIX、sFlow 以及 NSEL（Secure Firewall）^[6]。

能力	说明
Flow 去重与缝合	将双向 Flow 合并为单一会话记录，消除 ingress/egress 重复计数
启发式检测	实时运行 98+ 安全事件模型，如 Addr_Scan、Worm_Propagation、Data_Hoarding 等
Peer Group 基线	基于角色的统计行为基线引擎，每主机维护独立 Concern Index (CI)
ETA 元数据处理	解析 SPLT/IDP/BD 字段，传递至 Manager 进行加密流量分类
接口元数据	通过 SNMP 轮询关联 ifIndex → 接口名 → 速率 → 利用率
横向扩展	支持多 FC 并行部署，由 Manager 统一聚合

        💡 设计建议：FC 与数据源之间推荐低延迟链路（<50ms RTT）。
        在大型网络中，使用 Cisco Telemetry Broker (CTB) 可实现遥测的智能路由与负载分担，
        避免单个 FC 过载[2]。
      

⚫ Manager (SMC) — 中央大脑与控制台

Manager（原 Stealthwatch Management Console）是 SNA 的控制中枢，承担 ML 推理、策略管理、告警聚合与可视化 等核心职责。每套 SNA 部署 有且仅有一台 Manager^[10]。

能力	说明
Converged Analytics	基于 ML 的高级检测引擎，融合多维度特征进行 Entity Modeling（详见 3.2）
Web 管理界面	统一仪表盘，支持 Dashboard 钉选 & 计划报告（v7.6.0 新增）
策略与分组	Host Group 树形结构，自定义安全事件策略，基于角色的访问控制 (RBAC)
告警聚合	Detection Findings 可直接作为 Alerts & Observations 推送（v7.6.0 增强）^[7]
集成网关	pxGrid、REST API、Syslog、SNMP Trap、Webex Webhook 等全协议输出
Global Manager	支持多 Domain 联邦管理，适用于跨区域 / 多租户大型部署

🟢 Data Store (DN) — 高性能分析后端

Data Store 是 SNA 的 长期遥测仓库和加速查询引擎，基于列式数据库（Vertica）构建，专为时序 Flow 数据的写入密集型和分析查询型工作负载优化^[3]。

规格	数值
节点扩展	1（评估）→ 3（生产最低）→ 36（最大集群）
单节点硬件	DN6300：2×16C Xeon Gold, 512GB RAM, 24×2.4TB SAS^[3]
新硬件支持	DN6400 & UCS M8 平台（v7.6.0 新增）^[7]
3×DN6300 性能	700K FPS 持续写入，平均查询 <2 分钟
1×DN6300 性能	500K FPS 持续写入，平均查询 <7 分钟
数据压缩	~10:1 平均压缩比，显著降低存储成本
高可用	K-Safety=1（≥3 节点时），容忍单节点故障无数据丢失
数据保留	由存储容量和 FPS 决定；3×DN6300@700K FPS ≈ 数月级保留
IPv6 支持	v7.6.0 起数据节点管理接口支持 IPv6^[7]

        📐 Data Store 容量规划要点[3]：

        ① 先通过 FC 的 Flow Rate License 确定峰值 FPS

        ② 按 FPS × 86400 × 保留天数 ÷ 压缩比 估算原始磁盘需求

        ③ 3 节点集群增加约 50% 冗余开销（K-Safety=1 数据副本）

        ④ 预留 20% 磁盘用于 Vertica 投影重组和临时空间

🟣 辅助组件 — Flow Sensor & Telemetry Broker

Flow Sensor（可选）：

通过 SPAN 或 TAP 接收原始报文，生成 增强型 NetFlow（含 L7 应用标识）
适用于无法原生导出 NetFlow 的设备（老旧交换机、OT 设备等）
可与 FC 合并部署（Flow Collector + Flow Sensor 一体式虚拟机）
硬件版本支持高达 2 Gbps 线速处理

Cisco Telemetry Broker (CTB)：

遥测流量的 智能路由器：复制、过滤、负载均衡^[2]
将 NetFlow/IPFIX/sFlow 按策略分发至不同 FC 或第三方工具
降低网络设备上的导出配置复杂度——仅需指向 CTB 一个目标
支持 TLS 加密传输，保障遥测数据传输安全

3.2 多层检测引擎 — Multi-Layer Detection

SNA 的核心竞争力在于其 四层纵深检测架构，从确定性规则到机器学习再到全球威胁情报，层层叠加形成高置信度的威胁发现能力^[2][10]。

Layer 1

启发式规则引擎

运行位置：Flow Collector
98+ 预置安全事件模型
确定性匹配，毫秒级触发

Layer 2

统计基线引擎

运行位置：Flow Collector
Peer Group 行为画像
CI/TCI 动态评分，偏差告警

Layer 3

Converged Analytics (ML)

运行位置：Manager + Data Store
Entity Modeling 实体建模
多维度特征融合 + 异常检测

Layer 4

Talos 威胁情报

来源：Cisco Talos 全球情报
IP/域名/URL 信誉评分
已知 C2 & 恶意基础设施匹配

检测层	运行位置	技术原理	典型检出示例
L1 启发式	Flow Collector	基于预定义阈值和模式的确定性规则。例如 `Addr_Scan` 在 N 秒内触达 >M 个不同目标 IP 即触发。管理员可调整阈值和启用/禁用策略^[2]。	端口扫描 (Port_Scan)、地址扫描 (Addr_Scan)、蠕虫传播 (Worm_Propagation)、数据囤积 (Data_Hoarding)、Suspect UDP Activity、ICMP Flood、 Max Flows Served、Beaconing 等
L2 统计基线	Flow Collector	Peer Group Analysis：将功能相似的主机归为同一 Peer Group（如"所有 Web 服务器"），自动学习组内行为基线（流量模式、协议分布、通信对端）。个体偏离群体基线时触发异常，动态更新 Concern Index (CI)^[2][10]。	某服务器突然大量外联异常国家/IP、工作站异常使用 SSH、打印机发起 DNS 隧道、非工作时段流量激增、协议比例异常（如 HTTP 占比从 5% 跳至 80%）
L3 ML 融合	Manager + Data Store	Converged Analytics 引擎对每个实体（Host/User）建立多维度行为模型，融合 Flow 统计、ETA 特征、DNS 行为、端口分布、时间模式等 100+ 特征维度。使用无监督 ML 算法检测低速隐蔽威胁^[10]。 Data Store 提供长时间窗口的历史数据回溯能力，使 ML 能发现跨越数天/数周的慢速攻击模式。	隐蔽 C2 通信（低频率、加密、域名随机化）、内部横向移动序列（多跳串联检测）、 DGA 域名通信、DNS 隧道精细识别、加密流量中的恶意分类（配合 ETA）
L4 Talos 情报	Manager (Cloud Feed)	每日从 Cisco Talos 获取最新威胁情报 Feed，涵盖恶意 IP、C2 域名、已知攻击基础设施。SNA 将实时 Flow 数据与情报匹配，生成高置信度告警^[6]。	与已知 Botnet C2 通信、访问 Tor 出口节点、连接已知恶意矿池、与制裁地区 IP 通信、已知 APT 基础设施关联

    🔑 Concern Index (CI) 与 Target Concern Index (TCI)：

    CI 衡量一台主机作为 攻击发起者 的嫌疑程度；TCI 衡量其作为 受害目标 的风险等级。
    两者均为 0-100 的动态评分，由 Layer 1/2/3 检出结果加权累计。
    SOC 分析师可通过 Top Concern Index 仪表盘快速定位需要优先调查的主机[2]。
  

3.3 ETA 加密流量分析 — Encrypted Traffic Analytics

当前企业超过 80% 的流量已加密（TLS/HTTPS），传统基于有效载荷的检测手段几乎完全失效。 ETA 是 Cisco 的专利技术，能够 在不解密的前提下 识别加密流量中的恶意活动，完美兼顾安全与隐私^[1][2]。

ETA 三大数据特征

特征	全称	分析内容
SPLT	Sequence of Packet Lengths and Times	记录 TLS 会话前 N 个报文的长度序列和时间间隔。恶意流量（如 C2 心跳）呈现高度规律的长度/时间模式，与正常 HTTPS 浏览差异显著。
IDP	Initial Data Packet	提取 TLS ClientHello 中的明文元数据： TLS 版本、加密套件列表、扩展字段、SNI。自签名证书、异常加密套件、非标准 TLS 实现均为高风险指标。
BD	Byte Distribution	分析会话 payload 的字节值频率分布（0x00-0xFF）。真正的加密流量应呈均匀分布；若出现明显峰值/谷值，可能是伪装加密或低质量加密实现。

ETA 工作流程

Step 1: 网络设备导出

Catalyst 9K / ISR 4K / CSR 1000v 等设备运行 IOS-XE ≥16.6.2，在硬件/软件层面提取 SPLT、IDP、BD 元数据，封装在 Flexible NetFlow 模板中导出^[1]。

Step 2: FC 接收与关联

Flow Collector 接收包含 ETA 字段的 NetFlow 记录，将 SPLT/IDP/BD 与常规 Flow 五元组信息关联，形成增强型会话记录。

Step 3: ML 分类

Manager 上的 Converged Analytics 引擎使用 训练好的分类模型，综合 SPLT 时序模式、 IDP 证书特征、BD 分布偏差进行恶意/良性判定。

Step 4: 告警与响应

高置信度恶意判定生成安全事件告警，可联动 ISE 执行 ANC 隔离策略，或推送至 XDR 平台进行跨域关联。

⚙️ ETA 部署要求：
        支持平台[1][6]：
        Catalyst 9200/9300/9400/9500/9600 系列
ISR 4000 系列（ISR 4321/4331/4351/4431/4451）
CSR 1000v（虚拟路由器）
ASR 1000 系列（部分型号）

      

        软件要求：
        IOS-XE ≥ 16.6.2（基础 ETA）
IOS-XE ≥ 17.x 推荐（增强 ETA 模板）
需启用 et-analytics 全局配置
Flexible NetFlow 导出目标指向 FC

      

3.4 Data Store 架构详解 — Performance & Scalability

Data Store 是 SNA 7.x 引入的关键组件，将传统 FC 本地存储的 Flow 数据集中到 高性能列式数据库集群中，彻底改变了遥测数据的保留时长和查询效率^[3]。

Data Store 扩展参考矩阵^[3]

集群规模	硬件型号	最大持续 FPS	平均查询延迟	K-Safety	适用场景
1 节点	DN6300	500,000	<7 分钟	0（无冗余）	PoC / 评估环境
3 节点	DN6300	700,000	<2 分钟	1	中型企业生产部署
3 节点	DN6300	~1,050,000	<3 分钟	1	大型企业（3×FC 聚合）
6 节点	DN6300	~1,500,000+	<2 分钟	1	大型/超大型企业
最大 36 节点	DN6300/DN6400	按需线性扩展	亚分钟级	1	运营商 / 超大规模

Data Store vs. 传统 FC 本地存储

✅ Data Store 模式（推荐）

集中存储：所有 FC 的 Flow 数据汇聚至统一集群
长期保留：从数周扩展至数月甚至更长
查询加速：列式存储 + MPP 并行查询，复杂条件查询从分钟级降至秒级
ML 增强：Converged Analytics 可利用长时间窗口历史数据训练更精准的模型
弹性扩展：按需增加 Data Node，线性提升吞吐与容量
高可用：K-Safety=1 确保单节点故障无数据丢失

⚠️ 非 Data Store 模式（传统）

Flow 数据仅存于 FC 本地磁盘，容量有限
数据保留通常仅 数天至 1-2 周
查询需逐 FC 执行，大规模部署效率低
Converged Analytics 仅可使用有限时间窗口
单 FC 磁盘故障可导致数据丢失
仍可用于小型或 PoC 部署

🌐 Data Store 网络要求[3]：
        内部集群互联：
        ≥10 Gbps 带宽（DN 之间）
<1 ms 延迟（同数据中心部署）
独立 VLAN 推荐（隔离数据库复制流量）
跨 DN 通信使用 内部网络接口（eth1）

      

        FC → Data Store 写入：
        ≥1 Gbps 带宽（视 FPS 而定）
<100 ms RTT（FC 与 DN 之间）
估算公式：每 100K FPS ≈ 200-400 Mbps 写入流量
v7.6.0 支持 IPv6 管理接口连接[7]

      

3.5 部署平台参考 — Hardware & Virtual

SNA 支持硬件设备、虚拟化和 SaaS 三种部署形态，适应不同规模和基础设施环境^[6][7]。

组件	硬件设备型号	虚拟机规格 (VMware/KVM)	SaaS
Manager	SNS-3655-K9 (UCS M5) SNS-3755-K9 (UCS M6)	16 vCPU / 64GB RAM / 2TB 磁盘 ESXi 7.0U3+ 或 KVM	Cisco Cloud 托管
Flow Collector	SNS-3655-K9 (至 200K FPS) SNS-3755-K9 (至 300K FPS)	16 vCPU / 64GB RAM / 4TB 磁盘至 150K FPS	Cisco Cloud 托管
Data Node	DN6300: 2×16C Xeon Gold, 512GB, 24×2.4TB DN6400 (新): UCS M8 平台^[7]	仅支持物理设备部署	Cisco Cloud 托管
Flow Sensor	SNS-3615-K9	8 vCPU / 32GB RAM / 500GB 磁盘	N/A
UDP Director	SNS-3615-K9	4 vCPU / 16GB RAM / 200GB 磁盘	N/A

v7.6.0

新增 DN6400 / UCS M8 硬件支持 & IPv6 数据节点管理 — 2026 年 3 月 GA^[7]

核心应用场景

Core Use Cases — 从威胁猎捕到合规审计，SNA 在真实运营中的五大高价值场景

4.1 威胁猎捕与回溯分析 Threat Hunting & Retrospective Analysis

传统安全工具以告警驱动为核心——只有触发签名或规则才会通知分析师。威胁猎捕（Threat Hunting）则相反：分析师基于假设主动出击，在海量遥测数据中搜索尚未触发告警的隐匿威胁^[2]。SNA 凭借 Data Store 提供的长期流数据存储能力（默认保留 ≥90 天原始 NetFlow），让猎捕团队具备对历史流量的全量回溯能力。

      📌 猎捕场景示例 — 0-Day 回溯

      某组织获悉新 CVE 公告后，需要确认过去 60 天内是否有主机与已公布 IoC 通信。传统方案依赖 SIEM 日志保留，而 SNA Data Store 可在 < 2 分钟 内完成跨 90 天、数十亿条流记录的回溯查询[3]，精确定位受影响资产。

🔍 Flow Search 能力

查询维度：源/目 IP、端口、协议、字节数、数据包数、持续时间、接口、SGT、应用标签等
时间范围：取决于 Data Store 容量；推荐保留 ≥90 天^[3]
性能基准：6 节点 Data Store 集群可实现 < 2 分钟跨月级查询^[3]
Export：支持将查询结果导出 CSV 供第三方工具分析

🎯 典型猎捕假设

假设 1：内网存在 C2 Beaconing — 搜索固定间隔、低字节外联流
假设 2：数据暂存（Data Staging）— 搜索内部主机间大流量横向传输
假设 3：DNS 隧道 — 搜索高频、异常长域名的 DNS 查询流
假设 4：新 IoC 回溯 — 将 Talos 发布的新恶意 IP/域名列表回溯匹配历史流^[2]

⚡ Data Store 对猎捕效能的提升

对比维度	传统 Flow Collector 方案	Data Store 方案
数据保留时长	通常 7–30 天（受本地磁盘限制）	≥90 天（可扩展至数月）^[3]
查询响应时间	分钟至小时级（取决于数据量）	< 2 分钟（分布式 ClickHouse 引擎）^[3]
跨时间回溯能力	受限，需逐 FC 查询拼接	统一索引，单次查询覆盖全集群
0-Day IoC 匹配	需手动逐日导出对比	直接 Flow Search 全量匹配

4.2 UEBA 与内部威胁检测 User & Entity Behavior Analytics

SNA 的行为分析引擎为每个主机和用户自动建立行为基线（Baseline），持续监控偏差。当员工或受损设备的行为模式偏离正常范围时，系统会生成高置信度告警。结合 ISE 身份上下文（用户名、设备类型、SGT 安全组标签），SNA 将网络异常从"IP 地址"级别提升到"用户身份"级别^[2][10]。

📊 Data Hoarding 检测

当某用户在短时间内从多个内部服务器下载异常大量数据时，SNA 识别该行为偏离其历史基线，生成 Data Hoarding 告警。

用户基线
日均下载 200MB

→

异常检出
单日下载 15GB

→

告警生成
Data Hoarding
CI=95

典型场景：离职员工带走敏感数据、被入侵账户的数据收集阶段^[2]

⛏️ Cryptomining 检测

加密货币挖矿通常表现为：高 CPU 持续利用 + 与矿池的固定端口长连接 + 低但稳定的外发流量。SNA 通过多层引擎协同检测：

L1 启发式：已知矿池 IP/端口匹配
L2 基线偏差：该主机历史从未有类似长连接模式
L3 ML 聚合：将挖矿特征流量与 Talos 威胁情报关联

NVM（Network Visibility Module）可补充进程级信息，识别挖矿程序二进制文件名^[10]

      🧠 NVM — 进程级深度可见性

      AnyConnect / Cisco Secure Client 中的 NVM（Network Visibility Module）模块能将每条网络连接关联到发起它的进程名称、父进程、用户 ID 及进程哈希。这些元数据以 IPFIX 格式发送至 Flow Collector，使 SNA 在不做 DPI 的前提下获得端点上下文[1][10]。

      示例：分析师在 SNA 中看到某主机向外部可疑 IP 持续外联，结合 NVM 数据可确认发起进程为 svchost.exe（可能被注入）而非正常业务应用，大幅缩短调查时间。

🔑 ISE 身份融合 — 从 IP 到用户

上下文字段	来源	价值
用户名（Username）	ISE via pxGrid	将告警锚定到具体人员，而非仅 IP
设备类型（Device Type）	ISE Profiling	区分员工笔记本 vs. IP 电话 vs. IoT 设备
SGT 安全组标签	ISE TrustSec	按安全组分析策略合规性
认证方式	ISE 会话详情	判断是否为合规设备 802.1X 接入
位置信息	ISE NAS/Location	关联物理位置与异常行为

4.3 勒索软件纵深防御 Ransomware Defense

勒索软件攻击并非瞬间爆发，其生命周期通常包含 侦察 → 初始访问 → 横向移动 → 数据窃取 → 加密 等阶段。SNA 的价值在于在加密发生之前的早期阶段检测并阻断攻击链^[2][9]。

🔎 阶段 1–2：侦察 & 初始访问

Addr_Scan / Port_Scan：检测内部主机对大量 IP 或端口的扫描行为
Suspect Data Loss：检测小体量但频繁的 C2 Beaconing 回连
New External Server：服务器角色主机首次发起外部连接

🔀 阶段 3：横向移动

Lateral Movement：SNA 内置 Living-off-the-LAN 检测（SMB、WMI、PsExec、RDP）^[2]
New Internal Device：异常内部通信拓扑变化
Target 模型异常：服务器接收来自不寻常客户端的连接

📤 阶段 4：数据窃取

Data Hoarding → Exfiltration：先检测内部聚集，再检测外发大流量
ETA 异常：在加密通道内识别非标准 TLS 行为^[1]
Geo-anomaly：向罕见地理位置传输大量数据

      🛡️ ISE 联动自动隔离

      当 SNA 高置信度告警触发时，可通过 ISE pxGrid / ANC（Adaptive Network Control）自动将受损主机的网络访问策略切换至 隔离（Quarantine），在无需人工介入的情况下立即阻断横向扩散[10]。此闭环响应可将遏制时间从小时级缩短至秒级。

      流程：SNA 检测横向移动 → Response Management 触发 → ISE ANC 策略变更 → 交换机端口 ACL 更新 → 受损主机隔离

4.4 零信任与合规审计 Zero Trust & Compliance Audit

零信任架构的落地依赖于持续验证——但如何验证微分段策略是否真的有效？SNA 提供"策略合规性的独立验证层"：通过实际流量分析确认策略执行情况，发现违反分段规则的异常通信^[10]。

🔐 微分段验证

SNA 基于实际 NetFlow 数据构建主机组（Host Group）间流量矩阵，帮助安全团队：

识别策略违规流量 — 例如：开发区服务器不应访问财务区数据库，但实际存在流量
验证 TrustSec SGT 策略执行效果 — 检查 SGT-to-SGT 的实际通信是否符合策略矩阵
发现策略空白 — 某些新上线的 VLAN / 子网缺少对应分段策略

👻 Shadow IT 发现

未经批准的 SaaS 应用和个人设备是合规审计的常见盲区。SNA 通过以下方式发现影子 IT：

应用流量分类：基于 NBAR 或端口/行为分析识别未授权云应用
New External Server 告警：内部主机首次连接未知外部服务^[2]
NVM 数据：端点上发起连接的进程名暴露未授权应用^[10]
加密流量异常：ETA 识别使用自签名证书的非标准加密连接

📋 合规框架覆盖

合规框架	相关要求	SNA 支持能力
PCI DSS 4.0	10.2 — 实施日志记录机制 11.5 — 网络入侵检测	NetFlow 全量记录 + NDR 检测引擎
等保 2.0	安全区域边界 — 入侵防范安全计算环境 — 网络审计	东西向流量监控、行为基线异常检测
GDPR	Article 32 — 适当的安全措施 Article 33 — 72 小时违规通知	加速事件调查（MTTD/MTTR 降低），辅助快速上报
ISO 27001	A.12.4 — 日志和监控 A.13.1 — 网络安全管理	持续网络监控、异常行为检测、审计追溯

4.5 NetOps/SecOps 融合 Network & Security Operations Convergence

SNA 不仅是安全工具。NetFlow 中固有的网络性能指标使其同时成为网络运维（NetOps）的有力助手。v7.6.0 中增强的 Dashboard 功能进一步促进了安全与网络团队的协作^[7]。

⏱️ RTT / SRT 指标

Round-Trip Time（RTT）和 Server Response Time（SRT）是 NetFlow 中的关键性能指标：

RTT 突增 → 可能指示网络拥塞、链路故障
SRT 突增 → 可能指示应用服务器性能问题
两者联合分析可快速定界：网络问题 vs. 应用问题

📈 容量规划

SNA 长期流量趋势分析帮助网络团队：

识别带宽热点 — 哪些链路接近饱和
追踪流量增长趋势 — 预测扩容需求
验证 QoS 策略 — 实际流量分类是否符合策略
Data Store 的长期数据为趋势分析提供月/季度级基础

🔧 MTTI 缩短

Mean Time to Identify（MTTI）— 从用户报障到定位根因的时间：

传统方式：用户投诉 → 网络团队抓包 → 分析 → 定位（数小时）
SNA 方式：Flow Search 即时查询相关主机流量，关联 RTT/SRT 定界（分钟级）
Dashboard 支持定时邮件/Webex 推送^[7]，团队无需登录即可获取运营视图

      💡 "一份数据，双重价值" 理念

      NetFlow / IPFIX 遥测数据天然同时包含安全属性（谁在和谁通信、是否异常）和性能属性（RTT、SRT、丢包、重传）。SNA 让企业无需部署两套独立系统即可同时满足 SecOps 威胁检测和 NetOps 性能监控的需求。这是 NDR 相比纯安全工具（如 EDR）的独特优势——网络是唯一同时服务于安全与运维的数据源[8]。

大核心场景

秒级

ISE 联动隔离响应

90天+

回溯猎捕窗口

双重

SecOps + NetOps 价值

数据流向与运营流程

Workflow & Operations — Ingest → Correlate → Act

5.1 多源遥测数据摄入（Multi-Source Telemetry Ingestion）

Cisco SNA 的核心优势之一是不依赖单一数据源。它能够融合来自网络基础设施、端点、云平台和第三方安全设备的多种遥测数据，构建全方位的网络可见性。以下是 SNA 支持的主要数据源及其摄入路径：

  📐 设计原则：遥测数据越丰富、覆盖面越广，SNA 的行为建模精度和威胁检测效能就越高。最佳实践是在每个网络层（Core / Distribution / Access / WAN Edge / Cloud）都启用 NetFlow 导出。[1][9]

数据源	协议 / 格式	摄入方式	提供的可见性	备注
路由器 / 交换机	NetFlow v5/v9, IPFIX, Flexible NetFlow	直接发送至 Flow Collector	L3/L4 流量元数据、接口利用率、TOS/DSCP	Catalyst 9K 支持 Enhanced NetFlow 含 Application ID^[1]
Cisco Secure Firewall	NSEL (NetFlow Security Event Logging)	直接发送至 Flow Collector	ACL 动作（Permit/Deny）、NAT 前后 IP、用户身份	FTD 7.x 可同时导出 NSEL + ETA 数据^[2]
Cisco Meraki MX/MS	NetFlow v9	通过 Meraki Dashboard 配置导出	分支机构流量、SD-WAN Overlay 流	需 MX 15.x+ firmware
Web 代理日志	Squid / W3C / BlueCoat 格式	通过 UDP Forwarder 或 Syslog 至 Flow Collector	完整 URL、HTTP 方法、User Agent、响应码	为 NetFlow 增加 L7 应用层上下文^[2]
防火墙事件日志	Syslog (ASA/FTD)	通过 SAL (Security Analytics and Logging) 导入	连接事件、IPS 事件、Malware 事件	SAL 可将 FTD 日志统一存入 SNA Data Store^[7]
AnyConnect NVM	IPFIX (nvzFlow)	NVM Collector 嵌入 Flow Collector	端点进程名、进程哈希、父进程、用户名	实现 Endpoint ↔ Network 行为关联^[2]
AWS / Azure / GCP	VPC Flow Logs, NSG Flow Logs	通过 Cloud Connector 或 Flow Sensor Virtual	云 East-West 流量、跨 VPC/VNet 通信	支持多云环境统一监控^[6]
第三方网络设备	NetFlow v5/v9, IPFIX, sFlow (via conversion)	直接发送至 Flow Collector	非 Cisco 设备的 L3/L4 元数据	sFlow 需通过 Flow Sensor 进行协议转换^[9]
ISE 身份数据	pxGrid 2.0 (REST/WebSocket)	Manager ↔ ISE pxGrid Controller	IP-用户映射、设备类型、安全组标签 (SGT)	实现 IP → 身份 → 行为三维关联^[8]

图 5-1 — SNA 多源遥测数据摄入架构：来自网络设备、端点、云平台和安全设备的数据汇聚至 Flow Collector 进行标准化处理^[1][9]

NetFlow 配置最佳实践

✅ 推荐配置

Flexible NetFlow (FNF)：优先于传统 NetFlow v5，支持自定义字段模板
双向导出：在 Ingress 和 Egress 方向均配置（或使用 Bidirectional Flow）
Active Timeout = 60s：平衡检测时效性与 FC 处理负载
Inactive Timeout = 15s：快速释放空闲流记录
Application Visibility：启用 NBAR2 应用识别并导出至 NetFlow^[1]
Sampled NetFlow 谨慎使用：采样会降低检测精度，仅在 Core 极高流量节点考虑 1:10 采样

⚠️ 常见问题 & 避免事项

重复计数：避免在同一路径的多个跳上重复导出同一流 → 使用 FC 去重功能
SNMP Interface Mapping：确保 SNMP 可达性，否则 FC 无法关联接口信息
时钟同步：所有 Exporter 和 Collector 必须配置 NTP，否则时间戳偏移影响告警关联
NAT 处理：在 NAT 设备内侧和外侧均导出流，以保留原始 IP 信息
MTU 考量：NetFlow 导出包不应被分片，确保路径 MTU ≥ 1500
防火墙放行：UDP 2055 (NetFlow) 从 Exporter 到 FC 的路径必须可达

5.2 SOC 运营工作流：Ingest → Correlate → Act

SNA 的运营价值体现在将海量遥测数据转化为可操作的安全洞察。以下三阶段工作流覆盖了从数据摄入到威胁响应的完整闭环：

图 5-2 — SOC 运营三阶段闭环工作流：Ingest（摄入） → Correlate（关联） → Act（响应）^[2][10]

各阶段关键活动详解

阶段	关键活动	SNA 功能映射	输出	SOC 团队角色
① INGEST	遥测数据收集	Flow Collector 接收 NetFlow/IPFIX/NSEL/NVM	标准化流记录	NetOps：配置 Exporter；SecEng：验证覆盖度
	身份融合	ISE pxGrid → IP-User-SGT 映射	身份化的流记录	IAM 团队：维护 ISE 策略
	数据持久化	Data Store 长期存储（列式压缩）	可查询历史数据	Platform 团队：监控 DS 集群健康
② CORRELATE	行为基线建立	Dynamic Entity Modeling (2-3 周学习期)	每个主机/用户的行为画像	Tier 2 分析师：审查基线异常
	多引擎检测	L1 规则 + L2 统计 + L3 行为 + L4 实体建模	分级告警 (CI/TCI 评分)	Tier 1 分析师：处理高置信度告警
	回溯分析	新 IoC 回扫历史 Data Store 数据	追溯发现（Retrospective Alert）	Threat Hunter：主动狩猎
③ ACT	自动隔离	ISE ANC → 将威胁主机放入隔离 VLAN/DACL	威胁遏制（秒级）	自动化 / Tier 1 审批
	深度调查	Flow Search + Host Snapshot + 加密会话详情	完整攻击时间线	Tier 2/3 分析师
	联动响应	SecureX/XDR 联动、SIEM 告警推送、Firewall 策略更新	跨平台协同响应	SOC Manager：编排 Playbook

5.3 告警生命周期管理

SNA 的告警体系经过精心设计，旨在减少告警疲劳（Alert Fatigue），让 SOC 团队聚焦于真正重要的安全事件。

🔍 告警生成

多引擎独立评估后汇聚至 Manager
CI（Concern Index）累积评分机制
超过阈值触发告警（可自定义阈值）
自动附带上下文：主机画像、流采样、历史行为偏差

📊 告警分级与优先排序

Target CI (TCI)：被攻击目标的综合风险分
Source CI：攻击源的行为异常累积分
基于资产价值的加权（高价值服务器 → 更高优先级）
关联 ISE 身份信息（VIP 用户告警自动提级）

✅ 调查与闭环

一键跳转至 Flow Search 查看详细流量
Host Snapshot 提供 360° 主机视图
支持标记为 True Positive / False Positive
False Positive 反馈至模型调优引擎
与 SIEM/SOAR 集成实现工单自动化

  💡 CI/TCI 评分机制深入解析：

  CI（Concern Index）是 SNA 对每个被监控主机计算的动态风险评分。每当检测引擎发现异常行为，会根据事件严重性向该主机的 CI 中"注入"一定分值。多个低级别事件的累积同样可以触发告警——这正是 SNA 能发现"低慢攻击"（Low & Slow Attack）的核心机制。TCI 从目标受害者角度聚合来自不同源 IP 的攻击信号，识别被多维度攻击的目标。CI/TCI 值会随时间自然衰减，避免历史事件导致的永久高分。[2][8]

5.4 Data Store 运营性能参考

Data Store 是 SNA 实现长期数据保留和高速查询的关键组件。以下性能数据基于 Cisco 官方测试和设计指南^[3]：

性能指标	DS 6200（物理）	DS Virtual	备注
最大流摄入速率	4,000,000 fps (3节点)	取决于底层资源	每节点约 1.3M fps
数据压缩比	~10:1（列式压缩）	~10:1	实际比率取决于流多样性
单节点裸存储	38.4 TB NVMe SSD	自定义	DS 6200 配置参考
有效存储（压缩后）	~384 TB（逻辑，3节点）	自定义	含 10:1 压缩 + 冗余因子
数据保留期	数月至 365 天+	数月至 365 天+	取决于平均 fps 和存储容量
查询延迟（典型）	亿级记录查询 < 30 秒	取决于底层资源	分布式并行扫描^[3]
数据冗余	RF=2（3节点中允许1节点故障）	RF=2	自动再平衡
最小集群节点	3 节点	3 节点	生产环境最低要求
最大集群节点	5 节点（v7.5+）	5 节点	通过添加节点线性扩展^[7]
网络要求	节点间 10 Gbps、RTT < 10ms	同左	DS 节点必须同数据中心部署^[3]

容量规划速算

  📐 容量估算公式（简化版）：

  所需存储 (TB) ≈ 平均 fps × 86,400 × 保留天数 × 每流字节数 ÷ 压缩比 ÷ 1012
  
  典型参考值：每流记录平均约 100-150 bytes（压缩前），压缩比约 10:1。

  示例：100,000 fps × 86,400 s/day × 90 天 × 120 bytes ÷ 10 ÷ 1012 ≈ ~9.3 TB 有效存储需求。

  实际部署应额外预留 20-30% 缓冲空间以应对流量峰值和集群再平衡。[3][9]

5.5 SOC 运营最佳实践

🚀 部署初期（Day 0-30）

覆盖度审计：确认所有关键网段的 NetFlow 导出已启用，使用 FC 的 "Exporter" 界面验证
基线学习期：让 SNA 运行 2-3 周建立行为基线，期间避免大规模网络变更
ISE 集成：优先完成 pxGrid 对接，实现 IP → 用户 → 设备类型映射
高价值资产标记：在 Host Group 中定义关键服务器、数据库、管理节点，提高其告警权重
Custom Security Events：基于组织特定策略创建自定义规则（如禁止 RDP 出站到互联网）

📈 持续优化（Day 30+）

周度告警审查：SOC 团队每周审查 Top 20 告警，标记 False Positive 并调优
月度 Threat Hunting：基于最新威胁情报创建 Flow Search 查询，在历史数据中主动搜索
季度覆盖度评估：随网络扩展检查是否有盲区（新增 VLAN、云工作负载、IoT 网段）
SIEM 集成优化：仅推送高置信度告警至 SIEM，避免 SIEM 侧的告警洪泛
Data Store 健康监控：使用 Manager 仪表盘监控 DS 节点状态、存储使用率、查询性能
版本更新：及时升级至最新版（如 v7.6.0）获取新检测模型和平台增强^[7]

SOC 成熟度与 SNA 功能映射

成熟度等级	SOC 特征	SNA 推荐功能	预期成效
Level 1 初始级	依赖手动日志审查；少量安全工具；响应时间以天计	• 基础 NetFlow 监控 • 预定义告警策略 • Manager 仪表盘可视化	• 网络可见性从 0 → 80%+ • 发现之前不可见的异常通信 • MTTI 缩短 50%+
Level 2 发展级	SIEM 已部署；有 Tier 1/2 分析师；基本事件响应流程	• ISE 身份集成 • ETA 加密流量分析 • SIEM 告警联动 • Data Store 历史查询	• 加密流量威胁检测能力 • 身份驱动的告警上下文 • 回溯分析覆盖 90天+
Level 3 优化级	专职 Threat Hunting 团队；SOAR 自动化；MITRE ATT&CK 覆盖评估	• 高级 Threat Hunting（Flow Search） • ISE ANC 自动隔离 • SecureX/XDR 联动编排 • 自定义检测模型 • API 集成至安全数据湖	• 主动威胁发现能力 • 秒级自动遏制 • MITRE ATT&CK 技术覆盖 ≥70% • MTTR < 30 分钟

  🎯 核心要点：SNA 的部署价值随 SOC 成熟度的提升而指数增长。Level 1 组织首先获得前所未有的网络可见性；Level 2 组织通过身份融合和加密流量分析消除检测盲区；Level 3 组织则充分利用 SNA 的高级分析和自动化能力实现主动防御。无论当前处于何种阶段，SNA 都能提供即时的安全价值。[2][10]

06 集成联动与生态 — Integration & Ecosystem

Cisco Secure Network Analytics 的核心价值不仅在于独立检测能力，更在于它作为安全运营中枢与整个 Cisco 安全生态及第三方平台的深度联动。通过标准协议（pxGrid、REST API、Syslog、eStreamer）以及原生集成，SNA 既是高保真遥测数据的生产者，也是跨产品关联响应的协调者。^[2][10]

图 6-0｜SNA 集成生态全景 — Integration Ecosystem Overview^[2][10]

6.1 Cisco ISE 深度集成 — ISE Deep Integration

ISE 是 SNA 最重要的集成伙伴。通过 pxGrid 2.0 双向通道，SNA 从 ISE 获取身份上下文（用户名、设备类型、位置、安全组标签 SGT），同时在检测到威胁时通过 ANC（Adaptive Network Control） 指令反向通知 ISE 执行网络级响应。这构成了「检测 → 上下文 → 响应」的完整闭环。^[2][8][10]

图 6-1｜ISE pxGrid 双向集成架构 — ISE pxGrid Bidirectional Integration^[2][10]

表 6-1｜ISE ↔ SNA 集成数据交换详情
方向	数据类型	协议 / 方法	用途说明
ISE → SNA 上下文注入	用户名 (Username)	pxGrid Session	将 IP 地址映射为真实用户身份，实现告警归因到「人」
	MAC 地址 & 设备类型	pxGrid Session	识别设备画像（BYOD / IoT / 企业资产），辅助异常行为判定
	安全组标签 (SGT)	pxGrid TrustSec	按 SGT 分组流量，支持微分段合规监控和零信任策略验证
	设备位置 & 姿态	pxGrid Session	关联物理/逻辑位置，用于地理围栏策略和 VPN 用户区分
SNA → ISE 响应指令	ANC Quarantine	pxGrid ANC API	将可疑主机移至隔离 VLAN，限制网络访问同时保留调查能力
	ANC Shutdown	pxGrid ANC API	对高危主机执行端口关断（802.1X CoA），彻底阻断网络连接
	ANC Unquarantine	pxGrid ANC API	误报确认后自动恢复主机正常网络权限，减少业务中断

✅ ISE 集成最佳实践

部署 pxGrid 2.0（基于 WebSocket），相比 v1 显著提升连接稳定性与扩展性
配置 ISE pxGrid 证书与 SNA Manager 互信，启用 TLS 双向认证
建议启用 Session Directory 推送，确保 SNA 拥有全量用户会话信息
在 SNA 中创建 Host Group 与 ISE SGT 对齐，实现策略一致性
为 ANC 响应配置审批工作流（可通过 SOAR 实现），避免误隔离关键设备

⚙️ ANC 响应策略建议

CI ≥ 90 的告警 → 自动 Quarantine（隔离到受限 VLAN）
CI ≥ 95 + C&C 检测 → 自动 Shutdown（高置信度恶意活动）
CI < 90 → 告警通知 SOC 分析师，由人工决定是否隔离
对服务器 / 关键基础设施，建议仅告警不自动隔离，设立例外白名单
所有 ANC 操作记录审计日志，定期复盘误报率并调优阈值

6.2 Cisco XDR 跨域协同 — Cisco XDR Cross-Domain Correlation

Cisco XDR（Extended Detection and Response）是 Cisco 安全运营平台的大脑。SNA 作为 NDR 层核心数据源，向 XDR 推送高保真网络检测事件（Detection Findings），由 XDR 与来自 Endpoint、Email、Identity、Firewall 等多源信号进行跨域关联，自动生成结构化 Incident 并触发 Playbook 响应。^[10]

SNA 检测
高 CI 告警
Detection Findings

→

XDR 接收
网络信号注入
跨域关联引擎

→

Incident 生成
自动优先级
攻击链重建

→

Playbook 响应
自动封堵
工单创建

表 6-2｜SNA → XDR 集成能力
能力	说明	业务价值
Detection Findings 推送	SNA 将高 CI 告警以结构化格式实时推送至 XDR	网络维度信号与端点、身份信号自动关联，消除人工拼接
跨产品关联	XDR 将 SNA 网络异常与 Secure Endpoint 进程、ISE 身份等数据融合	单一告警提升为完整攻击故事，显著降低误报率
Incident 自动生成	XDR 基于多源关联结果自动创建结构化 Incident	分析师直接获得可操作情报，MTTI 缩短 60%+
响应 Playbook	通过 Cisco XDR 自动化工作流触发 ISE 隔离、防火墙封堵等操作	从检测到响应实现SOAR 级别编排，秒级闭环
统一 Dashboard	在 XDR 控制台统一呈现 SNA 网络检测与全域安全态势	SOC 团队无需切换多个工具，单一玻璃面板运营

    💡 XDR 集成关键优势：SNA 作为 XDR 的「网络之眼」，提供了端点方案无法覆盖的东西向流量、未托管设备、加密流量三大盲区可视性。这使 XDR 的关联判定更加完整，误报率显著降低。[10]
  

6.3 Splunk / SIEM 集成 — SIEM Integration Strategy

SNA 提供多种方式向 SIEM 系统输出数据，但核心原则是「发送高价值告警，而非原始流数据」。这一策略既确保 SIEM 获得可操作情报，又避免了海量 NetFlow 数据导致的许可证成本爆炸和告警疲劳。^[2][8]

方式 A：Syslog 转发

SNA Manager 将安全告警以 CEF/LEEF 格式通过 Syslog 发送至 SIEM。

✅ 配置简单，无需额外组件
✅ 支持 CI 阈值过滤
✅ 广泛兼容所有 SIEM
⚠️ 仅推送告警摘要

方式 B：eStreamer

通过 eStreamer 协议推送详细安全事件数据（含流记录和告警元数据）。

✅ 数据粒度更细
✅ 支持 Splunk 专用 App
✅ 可配置推送范围
⚠️ 需要部署 eStreamer 连接器

方式 C：CTB 代理转发

Cisco Telemetry Broker 可作为流量代理，对 NetFlow/IPFIX 去重、过滤后转发。

✅ 精确控制推送数据量
✅ 可同时发送至多目标
✅ 减少 SIEM 许可成本 50%+
⚠️ 需要额外部署 CTB 节点

表 6-3｜SIEM 集成策略对比
维度	直接推送原始流	SNA 过滤后推送告警	推荐度
日均数据量	数十 GB ~ TB 级	数百 MB 级（仅高 CI 告警）	推荐
SIEM 许可成本	极高（按摄入量计费）	大幅降低（减少 70-90% 摄入量）	推荐
告警质量	海量低价值事件，需人工筛选	高 CI 告警已经过 ML 关联，可操作性强	推荐
分析师工作量	需编写大量 SIEM 规则	SNA 内置 98+ 检测模型，开箱即用	推荐
回溯调查	依赖 SIEM 保留期	SNA Data Store 独立保留数月原始流数据	推荐

    🎯 SIEM 集成黄金原则：让 SNA 做「重活」——行为分析、ML 建模、异常检测；让 SIEM 做「汇总」——接收 SNA 产出的高价值告警进行统一关联和合规报告。这样既发挥了 SNA 的检测深度，又控制了 SIEM 运营成本。[2]
  

6.4 Secure Firewall 集成 — Firewall NSEL Ingestion

Cisco Secure Firewall（ASA / FTD）通过 NSEL（NetFlow Security Event Logging） 向 SNA 输出连接级安全事件日志，使 SNA 获得防火墙视角的连接建立/拆除、NAT 转换、ACL 匹配信息，丰富流分析的上下文。^[1][9]

🔥 NSEL 提供的数据

连接创建/拆除事件 — 含 NAT 前后 IP:Port 映射
ACL 拒绝事件 — 识别被阻断的扫描和攻击尝试
流持续时间 & 字节计数 — 补充东西向流量可视性
应用层信息（FTD NSEL）— 含 AppID 识别结果

⚙️ 配置要点

在 ASA/FTD 上启用 flow-export 指向 SNA Flow Collector
使用 NetFlow v9 或 IPFIX 格式（NSEL 基于 NetFlow v9 扩展）
SNA 自动识别 NSEL 数据源类型，无需额外模板配置
建议为防火墙 NSEL 流分配独立 Exporter ID，便于流来源区分

6.5 v7.6.0 集成增强 — Integration Enhancements in v7.6.0

SNA v7.6.0 版本带来了多项集成和运营增强，进一步强化了 SNA 在安全运营体系中的连接能力。^[7]

表 6-4｜v7.6.0 关键增强功能
功能	描述	运营价值
Webex Webhook	新增原生 Webex 消息推送支持；当 SNA 生成高优先级告警时，自动发送至指定 Webex 空间	SOC 团队无需守在控制台，通过 Webex 即时获知威胁，加速响应
Dashboard 调度 & 固定	支持 Dashboard 的定时邮件发送和自定义固定（Pinning），可创建个性化运营视图	管理层自动收到安全态势日报/周报；分析师自定义工作面板
Detection Findings	全新 Detection Findings 数据格式，为 XDR 和第三方平台提供结构化检测输出	简化跨平台集成，统一告警格式，加速自动化流水线
IPv6 DN 增强	扩展 IPv6 设备追踪能力，在双栈/纯 IPv6 环境中保持完整可视性	面向 5G / IoT 场景的 IPv6 流量不再成为检测盲区
UI/UX 改进	全新告警详情页面、改进的流搜索界面、更直观的策略管理向导	降低分析师学习曲线，提升日常运营效率
Detection Pack 更新	增量式 Detection Pack 更新机制，新增检测模型无需重启系统	持续跟进最新威胁态势，零停机更新检测能力

    🔔 Webex Webhook 配置示例：在 SNA Manager → 响应管理 中创建 Webhook 类型响应动作，填入 Webex Bot Token 和目标 Room ID。可按告警类型、CI 阈值、Host Group 等条件过滤推送范围，避免消息轰炸。[7]
  

6.6 REST API 扩展能力 — API Extensibility

SNA 提供 REST API v2，允许安全团队和 DevOps 团队构建自定义自动化流程、集成到内部安全编排平台、或开发定制化报表。^[6][10]

表 6-5｜REST API 关键端点
API 端点类别	功能	典型用例
/alerts	查询、确认、关闭安全告警	SOAR 平台自动拉取告警、更新状态、触发 Playbook
/flows	执行流搜索查询（类似 Flow Search UI）	自动化威胁猎捕脚本、定制化流量报表
/hosts	查询主机画像、标签、策略分配	资产管理系统同步、自动化 Host Group 维护
/policies	读取和管理检测策略、响应规则	批量策略部署、Infrastructure-as-Code 自动化
/tags	管理 Host Group 和自定义标签	动态分组更新、与 CMDB 同步
/reports	生成和导出报表	合规审计自动化报告、管理层定期简报

🔌 API 认证与安全

基于 Cookie-Based 认证或 API Token
支持 HTTPS/TLS 1.2+，所有 API 调用加密传输
可配置 RBAC（基于角色的访问控制），按角色限制 API 权限
建议启用 API 速率限制，防止自动化脚本过载

🚀 自动化集成示例

Python 脚本：定时拉取高 CI 告警 → 发送至 Slack/DingTalk
Ansible Playbook：批量更新 Host Group 映射
Terraform：初始化部署时自动配置策略和响应规则
ServiceNow：API 对接自动创建安全事件工单

6.7 集成生态总结 — Ecosystem Summary

表 6-6｜SNA 完整集成生态矩阵
集成对象	协议 / 方法	方向	核心价值	优先级
Cisco ISE	pxGrid 2.0	双向	身份上下文注入 + ANC 自动响应	★★★
Cisco XDR	原生集成	SNA → XDR	跨域关联、Incident 生成、Playbook 响应	★★★
Splunk	eStreamer / Syslog	SNA → Splunk	高价值告警汇总、合规报告、降低 SIEM 成本	★★☆
Secure Firewall	NSEL (NetFlow v9)	FW → SNA	防火墙连接事件增强流分析上下文	★★☆
Secure Endpoint	XDR 中继	间接关联	网络 + 端点双维度验证，降低误报	★★☆
Webex	Webhook (v7.6.0)	SNA → Webex	即时协作告警通知，加速 SOC 沟通	★☆☆
ServiceNow	REST API	SNA → SNOW	自动创建安全事件工单、ITSM 集成	★☆☆
SOAR 平台	REST API / Webhook	双向	全自动化响应编排、多工具联动	★☆☆
自定义系统	REST API v2	双向	定制化集成、自动化脚本、CI/CD 流水线	按需

    📌 集成设计原则：

    ISE 优先 — pxGrid 集成是 SNA 价值最大化的第一步，提供身份上下文和自动响应
XDR 升级 — 将 SNA 纳入 XDR 生态，实现跨域关联和统一运营
SIEM 精送 — 只向 SIEM 推送高价值告警，保持 Data Store 独立回溯能力
API 自动化 — 利用 REST API 构建自定义运营工作流，持续提升 SOC 效率

  

总结与订购指南
Conclusion & Ordering Guide

7.1 为什么选择 Cisco Secure Network Analytics

纵观全文，Cisco Secure Network Analytics (SNA) 以 网络即传感器 (Network-as-a-Sensor) 的理念，将企业已有的路由、交换与防火墙基础设施转变为全域安全遥测来源，无需部署额外镜像探针，即可实现对东西向及南北向流量的全面可见性与威胁检测。^[1][8]

核心价值总结 (Value Summary)
全面可见性 — 利用 NetFlow / IPFIX、NSEL、NVM 等多源遥测，覆盖 Data Center、Campus、Branch、Cloud 及 OT 环境[1][6]
高级威胁检测 — 100+ 安全事件类型、行为建模 (Baseline Modeling)、加密流量分析 (ETA)、多引擎关联，覆盖 MITRE ATT&CK 14 个战术阶段[2][10]
零信任验证 — 结合 ISE / pxGrid 实现策略合规持续监控、角色流量基线偏离告警[8][9]
高性能架构 — Data Store 列式存储，支持 500 万+ FPS 摄入、PB 级保留，查询速度较旧架构提升最高 10×[3][7]
深度生态集成 — 与 Cisco XDR、SecureX、Splunk SIEM/SOAR、Secure Firewall、Umbrella 等形成联动闭环[6][9]
快速价值实现 — 部署后 2-3 周即可完成行为基线学习，Day-1 即启用策略匹配与 ETA 检测[10]

图 7-1 SNA 价值飞轮 — 从可见性到响应闭环的持续正向循环

7.2 许可模型 — FPS (Flows Per Second)

SNA 采用基于 FPS (Flows Per Second，每秒流数) 的许可模型。FPS 衡量的是 Flow Collector 每秒从网络设备接收并处理的 NetFlow/IPFIX 记录数量。客户根据自身网络规模预估 FPS 需求，选择对应的 License Tier。^[6][8]

📐 FPS 估算方法

确定启用 NetFlow 导出的设备数量与类型
在代表性设备上启用 NetFlow，采样 24-48 h 观察峰值 FPS
汇总所有 Exporter 峰值 FPS → 乘以 1.2-1.5 安全余量系数
依据估算值选择 License Tier 与 Flow Collector 数量

提示：Cisco SNA 提供内置的 FPS 仪表盘，部署后可实时监控实际消耗。

🔑 Smart Licensing

SNA v7.5+ 全面采用 Cisco Smart Software Licensing，通过 Smart Account / Virtual Account 统一管理：

直连模式 — Manager 直接连接 Cisco Smart Software Manager (CSSM)
代理模式 — 通过 Smart Software Manager On-Prem (SSM On-Prem) 适用于离线环境
订阅周期 — 支持 1 / 3 / 5 年 Term License
License 可在 Virtual Account 间灵活转移与堆叠

7.3 部署形态对比

SNA 提供三种部署形态，客户可根据现有基础设施与运维偏好灵活选择：^[6][7]

对比维度	硬件 Appliance	虚拟化 (VMware / KVM)	SaaS / Cloud
部署位置	客户本地 Data Center	客户本地或私有云 (ESXi / KVM)	Cisco 托管云
典型场景	高性能、大规模、监管合规	中等规模、虚拟化优先	快速 PoV、中小规模、运维精简
管理开销	硬件运维 + 软件升级	虚拟机运维 + 软件升级	Cisco 托管，客户专注分析
FPS 上限	单 FC 最高 ~400K FPS (DS 模式)	依 VM 资源配置而定	按订阅 Tier 弹性扩展
Data Store 支持	✅ 完整支持 (推荐 3 节点起)	✅ 支持 (需满足资源要求)	✅ Cisco 管理
许可模式	FPS Term License	FPS Term License	SaaS 订阅

7.4 规模参考与组件选型

以下为典型部署规模参考，实际配置需结合 Cisco 架构师评估。^[3][6][8]

部署规模	预估 FPS	Manager (SMC)	Flow Collector (FC)	Data Store (DS)	Flow Sensor (FS)	典型环境
Small	≤ 25K	1× 虚拟	1× 虚拟	可选 (3 节点)	按需	中小企业 / 单站点
Medium	25K – 100K	1× 虚拟或硬件	1-2× 虚拟或硬件	3 节点 (推荐)	按需	中型企业 / 多站点
Large	100K – 500K	1× 硬件	2-5× 硬件	3-5 节点	按需	大型企业 / 多 DC
XL	500K – 5M+	1× 硬件 (HA 可选)	5-25× 硬件	5+ 节点 (K-safety ≥ 1)	按需	超大型企业 / SP / 国防

💡 Data Store 规模建议 (来源: Design Guide)[3]
最少 3 个 Data Node — K-safety = 1，可容忍 1 个节点故障
5+ Data Node — K-safety 可设为 2，提供更高容错
每个 Data Node 推荐 ≥ 36 TB SSD (RAID-5/6)，128 GB+ RAM
节点间互联带宽 ≥ 10 Gbps，延迟 < 1 ms

7.5 关键产品编号 (Key PIDs)

以下列出 SNA 常见 PID 供采购参考，具体 PID 以 Cisco Commerce Workspace (CCW) 最新数据为准：^[6]

PID	说明	形态	备注
`L-SNA-SM-K9`	SNA Manager (SMC) 软件	虚拟	必选
`L-SNA-FC-K9`	SNA Flow Collector 软件	虚拟	必选 ≥ 1
`SNA-220-K9`	SNA Manager Appliance	硬件 (UCS)	—
`SNA-320-K9`	SNA Flow Collector Appliance	硬件 (UCS)	—
`SNA-DS-NODE`	SNA Data Store Node	硬件 / 虚拟	最少 3 节点
`L-SNA-FPS-<TIER>`	FPS License (按 Tier)	订阅	1 / 3 / 5 年
`L-SNA-FS-K9`	SNA Flow Sensor 软件	虚拟	可选
`L-SNA-UDP-K9`	SNA UDP Director 软件	虚拟	可选

* PID 信息基于公开 Data Sheet^[6]，实际订购请通过 Cisco CCW 或授权合作伙伴确认。

7.6 下一步行动

🧪

申请 PoV

联系 Cisco 团队或授权合作伙伴，申请 Proof-of-Value 试用，在您的真实环境中验证检测效果。

📐

架构评估

利用 Cisco CX 或合作伙伴的 Network Readiness Assessment，评估 NetFlow 覆盖率并规划 FPS 容量。

🚀

规模化部署

参考本文第 3、5 节的架构与数据流指南，配合 Data Store Design Guide^[3] 完成生产环境部署。

📞 联系方式

如需了解更多信息或申请演示，请联系您的 Cisco 客户经理、授权合作伙伴，或访问 cisco.com/go/sna。

术语表
Glossary

SNA: Secure Network Analytics — Cisco 网络检测与响应 (NDR) 平台，前称 Stealthwatch。

SMC: Stealthwatch Management Console — SNA 管理控制台 (Manager)，提供统一 Web UI、告警管理与报告。

FC: Flow Collector — 流量收集器，接收并分析来自网络设备的 NetFlow / IPFIX 记录。

FS: Flow Sensor — 流量传感器，部署于镜像 (SPAN) 端口，为不支持 NetFlow 的设备生成流记录。

DN / Data Node: Data Store Node — SNA Data Store 的分布式列式存储节点，负责流记录的持久化与高性能查询。

Data Store: SNA 的分布式列式数据库 (基于 Vertica)，取代传统 FC 本地存储，提供集中化、可扩展的长期数据保留。^[3]

ETA: Encrypted Traffic Analytics — 加密流量分析技术，利用 IDP (Initial Data Packet)、SPLT、TLS 元数据等特征在不解密的前提下识别恶意流量。^[1][2]

NVM: Network Visibility Module — 集成于 Cisco Secure Client (AnyConnect) 的终端遥测模块，采集进程、用户、设备上下文等丰富终端信息。^[6]

FPS: Flows Per Second — 每秒流数，SNA 的核心计量与许可单位，衡量 Flow Collector 每秒处理的流记录数。

SPLT: Sequence of Packet Length and Time — 数据包长度与时间序列特征，ETA 的核心指纹之一。

IDP: Initial Data Packet — 连接建立阶段的首个数据包，ETA 从中提取 TLS 版本、密码套件、SNI 等明文元数据。

pxGrid: Platform Exchange Grid — Cisco ISE 的上下文共享总线，SNA 通过 pxGrid 获取用户/设备/SGT 身份信息并可下发 ANC 动作。^[8][9]

ANC: Adaptive Network Control — ISE 自适应网络控制策略，SNA 可通过 pxGrid 触发 ANC 对可疑主机进行隔离或限速。

SGT: Scalable Group Tag — TrustSec 中的安全组标签 (16-bit)，用于基于身份的微分段策略。SNA 可按 SGT 维度监控流量合规性。^[9]

NSEL: NetFlow Secure Event Logging — Cisco ASA / Secure Firewall 生成的安全事件 NetFlow 记录，包含 ACL permit/deny、NAT 映射等信息。^[1]

Concern Index: SNA 的多维度威胁评分指标，综合主机行为告警的数量、严重性与频率，分值越高表示主机可疑程度越大。^[2][10]

Host Group: SNA 中对 IP 地址范围的逻辑分组 (如 "DC-Servers"、"Guest-WiFi")，用于策略定义、基线分离与报告范围限定。^[8]

Detection Pack: SNA 可更新的检测规则包，包含新的安全事件定义、阈值模板与行为模型，无需升级软件即可获取最新检测能力。^[7][10]

K-safety: Data Store 的数据冗余级别参数。K=1 表示每份数据保留 1 个额外副本 (可容忍 1 节点故障)；K=2 则可容忍 2 节点故障。^[3]

NDR: Network Detection and Response — 网络检测与响应，Gartner 定义的安全品类，SNA 是 Cisco 在该品类的核心产品。

IPFIX: IP Flow Information Export — IETF 标准化的流导出协议 (RFC 7011)，NetFlow v9 的开放标准演进。

XDR: Extended Detection and Response — 扩展检测与响应，Cisco XDR 平台整合网络、终端、云等多域遥测实现统一威胁运营。^[9]

MITRE ATT&CK: 由 MITRE 维护的对手战术、技术与过程 (TTP) 知识库，SNA 告警映射至 ATT&CK 矩阵的 14 个战术阶段。^[2][10]

NIST CSF: NIST Cybersecurity Framework — 美国国家标准与技术研究院网络安全框架，2.0 版包含 Govern / Identify / Protect / Detect / Respond / Recover 六大功能域。

UDP Director: SNA 组件之一，用于复制和转发 UDP 数据流 (如 NetFlow、Syslog)，简化多消费者场景下的流分发。^[6]

参考来源 References

[1] Cisco Live — BRKENT-2345: Enabling the Network as a Sensor and Enforcer. Cisco Systems.
[2] Cisco Live — BRKSEC-3019: Network Detection and Response with Cisco Secure Network Analytics. Cisco Systems.
[3] Cisco — Secure Network Analytics Data Store Design Guide, March 2025. Cisco Systems.
[4] Cisco — Bridging IT and OT for Manufacturing Security (eBook). Cisco Systems.
[5] Cisco — Secure Network Analytics v7.6.0 System Configuration Guide. Cisco Systems.
[6] Cisco — Cisco Secure Network Analytics Data Sheet (datasheet-c78-739398), January 2024. Cisco Systems.
[7] Cisco — Secure Network Analytics v7.6.0 Release Notes. Cisco Systems.
[8] Cisco SNA Whitepaper — 从网络数据中提取安全价值 (snanew.html). Cisco Systems.
[9] Cisco Live — BRKSEC-2248: Design and Deploy NDR with Cisco Breach Protection Suite. Cisco Systems.
[10] Cisco — Secure Network Analytics (SNA) Technical Decision Maker Presentation v7.6.0. Cisco Systems.