Безпека мережі – це не тільки захист від хакерів, але й забезпечення прозорості кожного пакета, що проходить через вашу цифрову інфраструктуру. Багато ІТ-команди, зокрема команди NOC, вважають за краще використовувати порти SPAN (Switch Port Analyzer), тому що вони здаються зручними та економічно ефективними – але зручність може обійтися занадто дорого, коли пакети починають губитися і безпека опиняється під загрозою. Розгляньмо обмеження портів SPAN, чому вони не працюють і коли замість них слід використовувати мережеві TAP (тестові точки доступу).
Зворотний бік портів SPAN: Ризики та обмеження
На перший погляд, порти SPAN здаються швидким вирішенням проблеми. Однак їхні недоліки роблять їх менш придатними для сучасних мереж із високим попитом. Ось чому:
- SPAN займає цінні порти: Цінні порти комутатора краще використовувати для реального мережевого трафіку, а не для моніторингу.
- Обмеження старого обладнання: Деякі старі комутатори навіть не мають портів SPAN.
- Зниклі пакети: Мабуть, найбільша проблема – порти SPAN часто втрачають пакети, особливо при надмірній передплаті.
Одна з основних причин, через які команди SOC уникають портів SPAN, – втрата пакетів, яка часто відбувається при перевантаженні або навантаженні на порт. У віртуалізованих середовищах використання трафіку може різко зростати через динамічність короткочасних потоків у трафіку Схід-Захід, що виникають при запуску нових сервісів, контейнерів та віртуальних машин, що працюють на потужних серверних інтерфейсах об’ємом 10, 25 або 50 Гб. З іншого боку, навіть у середовищах операційних технологій (OT), що працюють на швидкості 10 МБ, 100 МБ або 1 ГБ, втрата пакетів є поширеним ризиком.
Чому порти SPAN втрачають пакети?
- Нестача пам’яті: Обмежений буферний простір може призвести до втрати пакетів.
- Атаки на кадр «PAUSE»: Зловмисники можуть використовувати порти SPAN, наповнюючи їх сигналами зворотного зв’язку, приховуючи шкідливі дані та змушуючи легітимні пакети пропадати.
- Порушена циклічна перевірка надмірності (CRC): Пакети з помилками CRC автоматично відкидаються.
- Проблеми з розміром кадру: Кадри менше 64 байт або більше за максимальний блок передачі (MTU) jumbo-кадрів можуть бути втрачені.
А якщо цього недостатньо, подумайте про додаткові проблеми:
- Ушкоджені пакети ігноруються: Порти SPAN не пересилатимуть пошкоджені пакети або помилки, що може приховати ознаки атак.
- Дублювання пакетів: При моніторингу кількох віртуальних локальних мереж дублювання пакетів може спантеличити аналітичні інструменти.
- Зміни часу: Порти SPAN можуть змінювати час взаємодії кадрів, що спотворює аналіз часу відгуку.
Реальний ризик безпеки: вразливість портів SPAN
Крім технічних недоліків, порти SPAN створюють вразливості у системі безпеки:
- Ризики двонаправленого трафіку: Порти SPAN можуть ненавмисно пропускати трафік назад у мережу, піддаючи комутатори потенційним атакам.
- Підвищені адміністративні витрати: Конфігурації портів SPAN вимагають постійного обслуговування та коригування, що може вимагати значних ресурсів.
Додавання мережевих TAPs: Золотий стандарт контролю пакетів
Для надійного рішення моніторингу пакетів мережеві TAP є найкращим у галузі рішенням. Ось чому вони перевершують порти SPAN:
- Точне дублювання трафіку: TAP створюють 100% точну повнодуплексну копію мережевого трафіку без зміни даних.
- Жодних втрат пакетів: На відміну від портів SPAN, TAP не відкидають пакети – вони передають кожен біт даних у міру їх надходження.
- Масштабований моніторинг: TAP можуть генерувати одну або кілька копій трафіку, агрегувати потоки та оптимізувати роботу інструментів моніторингу.
Мережеві TAP стратегічно розгорнуті між сегментами мережі та пасивно копіюють трафік, не порушуючи роботу мережі, забезпечуючи безперервну видимість. Їхня простота і надійність роблять їх рішенням «встановив і забув».
Коли слід використовувати порти SPAN (так, є винятки…)
Існують сценарії, в яких порти SPAN можуть бути прийнятними, наприклад:
- Тимчасовий або спеціальний моніторинг: Швидке усунення несправностей у середовищах, де TAP недоступний.
- Обмежений бюджет на висвітлення: В оптичних мережах з обмеженим бюджетом на світло порти SPAN можуть бути кращими, ніж поділ світла за допомогою TAP.
- Екстрені виробничі ситуації: Негайний доступ до трафіку, коли установка TAP не є можливою.
- Віддалені або маловідвідувані місця: Об’єкти, де витрати на розгортання повноцінного TAP можуть бути невиправданими.
- Трафік всередині комутатора: Моніторинг внутрішнього трафіку комутатора, який недоступний через фізичні канали.
Практична порада: TAP там, де можна, SPAN там, де потрібно (останній засіб)
У сучасних високошвидкісних мережах TAP мають бути вибором за замовчуванням для забезпечення повної видимості та безпеки. Ось основні причини цього:
- Повноцінний моніторинг трафіку: TAP захоплюють точні копії двонаправленого трафіку, забезпечуючи точний моніторинг та аналітику.
- Постійний доступ: Після встановлення позасмугового TAP не вимагають постійного налаштування або обслуговування.
- Відсутність перепідписки: На відміну від портів SPAN, TAP не перекидають пакети, забезпечуючи надійний моніторинг.
- Постійна швидкість передачі: Порти SPAN часто не справляються зі своєю роботою, особливо якщо їх пріоритет нижчий від виробничого трафіку.
- Мінімальний вплив на мережу: TAP працюють пасивно, не впливаючи на продуктивність мережі.
- Відповідність нормативним вимогам: TAP відповідають юридичним та корпоративним вимогам до комплексного моніторингу трафіку.
- Незалежність від протоколу: TAP перехоплюють весь трафік, чи то IPv4, IPv6 чи пакети з помилками.
Заключна рекомендація: Вибір TAP для максимальної видимості мережі
Для організацій, яким потрібна послідовна, точна та безпечна видимість пакетів, TAP-шини Niagara Networks являють собою оптимальне та надійне рішення. У будь-який час, коли обсяг трафіку помірний або високий, розгорніть мережні TAP і переконайтеся, що ви ніколи не пропустите жодного пакета. Для мереж з низьким трафіком або тимчасових потреб можна використовувати порти SPAN, але ніколи не покладайтеся на них, якщо видимість та безпека є критично важливими. Для мереж, яким потрібна 100-відсоткова видимість, масштабованість та безпека, TAP – це розумна інвестиція.
Джерело: Why SPAN Ports Can Fail Your Network Security, and Why Network TAPs Are the Smart Alternative
