隨著網(wǎng)絡(luò)速度和復(fù)雜性的增加，許多IT部門發(fā)現(xiàn)，僅僅在SPAN端口和TAP（Test Access Point，測試接入點）上連接網(wǎng)絡(luò)安全設(shè)備并不能實現(xiàn)全面的保護和可見性。為了解決這個問題，有一些安全供應(yīng)商與網(wǎng)絡(luò)流量捕捉專業(yè)公司合作，實現(xiàn)了一種更優(yōu)的解決方案。

網(wǎng)絡(luò)流量捕捉供應(yīng)商，包括Net Optics、VSS Monitoring、Gigamon和Anue Systems等，都提供網(wǎng)絡(luò)TAP。這些TAP能夠區(qū)分交換機和路由器流量并將之轉(zhuǎn)發(fā)給網(wǎng)絡(luò)安全設(shè)備。他們還推出了矩陣交換機，它能夠從這些TAP中收集流量，然后將流量轉(zhuǎn)發(fā)給多個網(wǎng)絡(luò)安全設(shè)備。這些聚集設(shè)備支持通過一個網(wǎng)絡(luò)安全設(shè)備同時檢測或監(jiān)控多個網(wǎng)絡(luò)分片。網(wǎng)絡(luò)流量捕捉系統(tǒng)也能夠?qū)⒕奂牧髁控撦d均衡到多個網(wǎng)絡(luò)安全設(shè)備，以增加總吞吐量和容量。

使用SPAN端口和TAP進行網(wǎng)絡(luò)流量捕捉的問題

使用單獨的SPAN端口和TAP為網(wǎng)絡(luò)安全設(shè)備捕捉網(wǎng)絡(luò)流量可能會影響總體可見性，特別是當位于網(wǎng)絡(luò)邊緣的安全措施僅僅作為第一層防護時。

Forrester Research高級分析師John Kindervag說：“人們經(jīng)常使用SPAN端口的原因是它們比較便宜，但是它們存在一個問題，您無法保證它們一直可用。因為數(shù)量有限，不夠所有人使用。當您受到攻擊，需要這些數(shù)據(jù)時，交換機將飽和，而首先停止工作的端口就是SPAN端口，這樣它才會獲得一些額外的計算能力。所以，在您真正需要它的時候，系統(tǒng)卻不會為您提供數(shù)據(jù)。”

網(wǎng)絡(luò)捕捉系統(tǒng)：一臺設(shè)備監(jiān)控多種信息流

Kindervag提出了一種零信任網(wǎng)絡(luò)安全策略，它拋棄了邊緣防御，轉(zhuǎn)而使用網(wǎng)絡(luò)分析和監(jiān)控工具來檢測和記錄所有企業(yè)網(wǎng)絡(luò)流量。這種方法需要使用一種網(wǎng)絡(luò)流量捕捉系統(tǒng)，它能夠?qū)⑺芯W(wǎng)絡(luò)數(shù)據(jù)轉(zhuǎn)發(fā)給網(wǎng)絡(luò)安全設(shè)備。

Kindervag說：“您很難只通過SPAN端口獲得這些工具所需要的數(shù)據(jù)。這時就需要專業(yè)的數(shù)據(jù)采集網(wǎng)絡(luò)來提供足夠的數(shù)據(jù)，這樣您才能夠監(jiān)控通常不可見的攻擊，包括棘手的APT攻擊。人們需要監(jiān)控網(wǎng)絡(luò)以發(fā)現(xiàn)這些問題。”

而網(wǎng)絡(luò)流量捕捉系統(tǒng)使企業(yè)能夠靈活控制網(wǎng)絡(luò)安全設(shè)備的負載分配。通過這種方法，工程師就能夠設(shè)置系統(tǒng)收集多個流，然后將它們發(fā)送到一個設(shè)備中。

企業(yè)管理聯(lián)盟的研究主管Jim Frey說：“現(xiàn)在您不需要在必須監(jiān)控的10多條鏈路上部署多個IDSec，您只需要用一臺設(shè)備從其中一臺網(wǎng)絡(luò)訪問管理設(shè)備收集和整合數(shù)據(jù)流。另一種方法是延長安全工具的壽命。隨著速度達到10GB或40GB，安全工具不需要全速支持這些更高速的網(wǎng)絡(luò)。”

網(wǎng)絡(luò)流量捕捉系統(tǒng)可以執(zhí)行媒體轉(zhuǎn)換，將低帶寬數(shù)據(jù)流發(fā)送到網(wǎng)絡(luò)安全設(shè)備。它們也能夠在多個設(shè)備之間實現(xiàn)數(shù)據(jù)流負載均衡。

網(wǎng)絡(luò)流量捕捉系統(tǒng)輔助主動出擊和被動防御網(wǎng)絡(luò)安全工具

大多數(shù)企業(yè)都不使用網(wǎng)絡(luò)流量捕捉系統(tǒng)為主動出擊的內(nèi)部設(shè)備，如防火墻或入侵防御系統(tǒng)(IPS) 提供數(shù)據(jù)。這些設(shè)備需要訪問即時數(shù)據(jù)流，以允許或拒絕流量。企業(yè)將網(wǎng)絡(luò)流量捕捉系統(tǒng)的數(shù)據(jù)傳輸給被動監(jiān)控設(shè)備（如入侵檢測系統(tǒng)IDS）或安全網(wǎng)絡(luò)監(jiān)控設(shè)備（NetWitness）。這些工具能夠在發(fā)現(xiàn)安全問題和異常行為時向網(wǎng)絡(luò)安全團隊發(fā)出警告。

一些網(wǎng)絡(luò)流量捕捉專家提供了支持主動網(wǎng)絡(luò)安全工具的內(nèi)聯(lián)解決方案。VVS Monitoring推出了Protector，這是一個內(nèi)聯(lián)TAP設(shè)備，它能夠?qū)⒓磿r流量轉(zhuǎn)發(fā)給網(wǎng)絡(luò)安全工具，執(zhí)行主動檢測。本月，VSS Protector通過IBM認證，兼容IBM ISS Systems IPS設(shè)備。

這些VSS內(nèi)聯(lián)設(shè)備能將流量轉(zhuǎn)發(fā)到一個全局網(wǎng)絡(luò)流量捕捉系統(tǒng)以執(zhí)行被動保護，同時也支持將即時流量轉(zhuǎn)到給內(nèi)聯(lián)設(shè)備。根據(jù)VSS Monitoring的業(yè)務(wù)開發(fā)主管Mike Grever介紹，它們能夠根據(jù)協(xié)議和應(yīng)用程序進行2層數(shù)據(jù)過濾。這樣，網(wǎng)絡(luò)流量捕捉系統(tǒng)就可以將特殊的流量流發(fā)送到不同的網(wǎng)絡(luò)安全設(shè)備上。

Grever說：“有一些人只希望查看Web流量，而另外一些人則只需要查看VoIP流量。他們只希望將80端口流量發(fā)送到IPS設(shè)備，而將所有其他流量發(fā)送到一臺被動防御的IDS。即使您擁有一臺IPS使用的VSS設(shè)備，您也能夠在同一臺VSS設(shè)備中使用諸如IDS的被動工具。”

下一代防火墻專家Palo Alto Networks與Gigamon和Net Optics合作，將它的防火墻部署為一臺內(nèi)聯(lián)IPS設(shè)備，使用Gigamon或Net Optics繞過交換機，在網(wǎng)絡(luò)安全設(shè)備出錯時讓流量繞過它，使流量傳輸不受網(wǎng)絡(luò)安全設(shè)備故障的影響。

Palo Alto產(chǎn)品銷售主管Chris King說：“如果防火墻出現(xiàn)故障，就意味著網(wǎng)絡(luò)會中斷。防火墻是一種出錯即關(guān)閉的設(shè)備。而IPS是出錯即開放的。如果客戶希望使用我們的IPS部署，Gigamon和Net Optics會向客戶提供穩(wěn)定的IPS功能，而不會出現(xiàn)防火墻出錯即關(guān)閉的功能。”