監(jiān)控多種信息流——網絡流量捕捉系統(tǒng)

網絡流量捕捉供應商，包括Net Optics、VSS Monitoring、Gigamon和Anue Systems等，都提供網絡TAP。這些TAP能夠區(qū)分交換機和路由器流量并將之轉發(fā)給網絡安全設備。他們還推出了矩陣交換機，它能夠從這些TAP中收集流量，然后將流量轉發(fā)給多個網絡安全設備。這些聚集設備支持通過一個網絡安全設備同時檢測或監(jiān)控多個網絡分片。網絡流量捕捉系統(tǒng)也能夠將聚集的流量負載均衡到多個網絡安全設備，以增加總吞吐量和容量。

使用SPAN端口和TAP進行網絡流量捕捉的問題

使用單獨的SPAN端口和TAP為網絡安全設備捕捉網絡流量可能會影響總體可見性，特別是當位于網絡邊緣的安全措施僅僅作為第一層防護時。

Forrester Research高級分析師John Kindervag說：“人們經常使用SPAN端口的原因是它們比較便宜，但是它們存在一個問題，您無法保證它們一直可用。因為數(shù)量有限，不夠所有人使用。當您受到攻擊，需要這些數(shù)據(jù)時，交換機將飽和，而首先停止工作的端口就是SPAN端口，這樣它才會獲得一些額外的計算能力。所以，在您真正需要它的時候，系統(tǒng)卻不會為您提供數(shù)據(jù)。”

網絡捕捉系統(tǒng)：一臺設備監(jiān)控多種信息流

Kindervag提出了一種零信任網絡安全策略，它拋棄了邊緣防御，轉而使用網絡分析和監(jiān)控工具來檢測和記錄所有企業(yè)網絡流量。這種方法需要使用一種網絡流量捕捉系統(tǒng)，它能夠將所有網絡數(shù)據(jù)轉發(fā)給網絡安全設備。

Kindervag說：“您很難只通過SPAN端口獲得這些工具所需要的數(shù)據(jù)。這時就需要專業(yè)的數(shù)據(jù)采集網絡來提供足夠的數(shù)據(jù)，這樣您才能夠監(jiān)控通常不可見的攻擊，包括棘手的APT攻擊。人們需要監(jiān)控網絡以發(fā)現(xiàn)這些問題。”

而網絡流量捕捉系統(tǒng)使企業(yè)能夠靈活控制網絡安全設備的負載分配。通過這種方法，工程師就能夠設置系統(tǒng)收集多個流，然后將它們發(fā)送到一個設備中。

企業(yè)管理聯(lián)盟的研究主管Jim Frey說：“現(xiàn)在您不需要在必須監(jiān)控的10多條鏈路上部署多個IDSec，您只需要用一臺設備從其中一臺網絡訪問管理設備收集和整合數(shù)據(jù)流。另一種方法是延長安全工具的壽命。隨著速度達到10GB或40GB，安全工具不需要全速支持這些更高速的網絡。”

網絡流量捕捉系統(tǒng)可以執(zhí)行媒體轉換，將低帶寬數(shù)據(jù)流發(fā)送到網絡安全設備。它們也能夠在多個設備之間實現(xiàn)數(shù)據(jù)流負載均衡。

網絡流量捕捉系統(tǒng)輔助主動出擊和被動防御網絡安全工具

大多數(shù)企業(yè)都不使用網絡流量捕捉系統(tǒng)為主動出擊的內部設備，如防火墻或入侵防御系統(tǒng)(IPS) 提供數(shù)據(jù)。這些設備需要訪問即時數(shù)據(jù)流，以允許或拒絕流量。企業(yè)將網絡流量捕捉系統(tǒng)的數(shù)據(jù)傳輸給被動監(jiān)控設備（如入侵檢測系統(tǒng)IDS）或安全網絡監(jiān)控設備（NetWitness）。這些工具能夠在發(fā)現(xiàn)安全問題和異常行為時向網絡安全團隊發(fā)出警告。

一些網絡流量捕捉專家提供了支持主動網絡安全工具的內聯(lián)解決方案。VVS Monitoring推出了Protector，這是一個內聯(lián)TAP設備，它能夠將即時流量轉發(fā)給網絡安全工具，執(zhí)行主動檢測。本月，VSS Protector通過IBM認證，兼容IBM ISS Systems IPS設備。

這些VSS內聯(lián)設備能將流量轉發(fā)到一個全局網絡流量捕捉系統(tǒng)以執(zhí)行被動保護，同時也支持將即時流量轉到給內聯(lián)設備。根據(jù)VSS Monitoring的業(yè)務開發(fā)主管Mike Grever介紹，它們能夠根據(jù)協(xié)議和應用程序進行2層數(shù)據(jù)過濾。這樣，網絡流量捕捉系統(tǒng)就可以將特殊的流量流發(fā)送到不同的網絡安全設備上。

Grever說：“有一些人只希望查看Web流量，而另外一些人則只需要查看VoIP流量。他們只希望將80端口流量發(fā)送到IPS設備，而將所有其他流量發(fā)送到一臺被動防御的IDS。即使您擁有一臺IPS使用的VSS設備，您也能夠在同一臺VSS設備中使用諸如IDS的被動工具。”

下一代防火墻專家Palo Alto Networks與Gigamon和Net Optics合作，將它的防火墻部署為一臺內聯(lián)IPS設備，使用Gigamon或Net Optics繞過交換機，在網絡安全設備出錯時讓流量繞過它，使流量傳輸不受網絡安全設備故障的影響。

Palo Alto產品銷售主管Chris King說：“如果防火墻出現(xiàn)故障，就意味著網絡會中斷。防火墻是一種出錯即關閉的設備。而IPS是出錯即開放的。如果客戶希望使用我們的IPS部署，Gigamon和Net Optics會向客戶提供穩(wěn)定的IPS功能，而不會出現(xiàn)防火墻出錯即關閉的功能。”

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]