对数据比较敏感的同学不难发现，行业内部人员监守自盗的数字则要比黑客高出3倍，当然我们也不排除黑客躲藏技术或许更高一筹的情况，不过可以确认的是，“内鬼”已经成为现阶段信息泄漏的主要途径之一。“内鬼”不除，个人信息安全就难以得到保障。
俗话说，明枪易躲，暗“贼”难防；外神好躲，内鬼难防。看过无间道或者玩过三国杀的应该都清楚，他们时刻以非内鬼身份去思考和与别人沟通，到关键时刻爆发，给予致命一击。
网络安全领域也是如此，一条黑色产业链正在无形的吞噬着这个时代，个人信息泄漏已经在生活中埋下了一颗定时炸弹，并且“内鬼”已经让这颗炸弹开始倒计时。
“内鬼”因何如此猖獗？一方面是由于企业内网的薄弱，我们发现很多企业内网除了统一的整体安全保护体系例如防火墙、IDS、防病毒、数据库审计、口令密码等之外，基本没有专门的技术智能化保护措施，针对这些核心资源进行有效保护；另一方面，即使企业会根据业务需求制定内部安全策略，以权限的形式指派承担相关职责的人员，但这并不能有效防范拥有合法权限的内部用户的异常行为，即合法用户的异常行为。
因此基于内部用户的行为分析，能够发现内部人员的操作是否会对系统安全产生威胁，是解决内部威胁预警、检测并保证系统安全的重要技术手段。
基于内部用户的行为分析区别于基于特征的分析，后者虽然是一种立杆见影的手段，对于传统的安全风险很有效，但时效性欠缺，并需要强大的相应队伍。而基于用户行为的分析，是一种较为复杂的方式，通过数据统计的方式来寻找异常，但缺点是准确度不确定，收集的数据越完善，准确度越高。
如何做到准确无误的找到并抓获这个“内鬼”？就需要知道他访问的目的地、所用端口、什么协议以及访问了什么端口、IP等内容，好在很多网络安全设备厂商用标准数据交换方式很好的解决了这个问题。
以NetFlow标准为例，由于一个IP数据包的Flow至少定义了几个关键元素：源IP地址、目的IP地址、源端口号、目的端口号、第三层协议的类型等，NetFlow可以利用分析IP数据包的几种属性，快速区分网络中传送的各种类型的业务数据流。
而瀚思则可以通过大数据安全平台的采集器将日志和NetFlow统一收集，从而进行关联分析。
多年前，在攻防之间总有着“道高一尺魔高一丈”的说法，因为我们发现攻击者总是在暗，防守者却在明，演变到今天，已经不再是明暗，信息安全领域开始上演“无间道”大戏，而大数据安全分析平台不仅可以让黑客的攻击暴露在运维人员的眼前，也必然可以让内鬼的每一次行动在该平台下无所遁形。
更多网络安全信息，请访问安全中心。