監(jiān)控多種信息流——網(wǎng)絡(luò)流量捕捉系統(tǒng)

網(wǎng)絡(luò)流量捕捉供應(yīng)商，包括Net Optics、VSS Monitoring、Gigamon和Anue Systems等，都提供網(wǎng)絡(luò)TAP。這些TAP能夠區(qū)分交換機(jī)和路由器流量并將之轉(zhuǎn)發(fā)給網(wǎng)絡(luò)安全設(shè)備。他們還推出了矩陣交換機(jī)，它能夠從這些TAP中收集流量，然后將流量轉(zhuǎn)發(fā)給多個(gè)網(wǎng)絡(luò)安全設(shè)備。這些聚集設(shè)備支持通過一個(gè)網(wǎng)絡(luò)安全設(shè)備同時(shí)檢測或監(jiān)控多個(gè)網(wǎng)絡(luò)分片。網(wǎng)絡(luò)流量捕捉系統(tǒng)也能夠?qū)⒕奂�的流量�?fù)載均衡到多個(gè)網(wǎng)絡(luò)安全設(shè)備，以增加總吞吐量和容量。

使用SPAN端口和TAP進(jìn)行網(wǎng)絡(luò)流量捕捉的問題

使用單獨(dú)的SPAN端口和TAP為網(wǎng)絡(luò)安全設(shè)備捕捉網(wǎng)絡(luò)流量可能會(huì)影響總體可見性，特別是當(dāng)位于網(wǎng)絡(luò)邊緣的安全措施僅僅作為第一層防護(hù)時(shí)。

Forrester Research高級(jí)分析師John Kindervag說：“人們經(jīng)常使用SPAN端口的原因是它們比較便宜，但是它們存在一個(gè)問題，您無法保證它們一直可用。因?yàn)閿?shù)量有限，不夠所有人使用。當(dāng)您受到攻擊，需要這些數(shù)據(jù)時(shí)，交換機(jī)將飽和，而首先停止工作的端口就是SPAN端口，這樣它才會(huì)獲得一些額外的計(jì)算能力。所以，在您真正需要它的時(shí)候，系統(tǒng)卻不會(huì)為您提供數(shù)據(jù)。”

網(wǎng)絡(luò)捕捉系統(tǒng)：一臺(tái)設(shè)備監(jiān)控多種信息流

Kindervag提出了一種零信任網(wǎng)絡(luò)安全策略，它拋棄了邊緣防御，轉(zhuǎn)而使用網(wǎng)絡(luò)分析和監(jiān)控工具來檢測和記錄所有企業(yè)網(wǎng)絡(luò)流量。這種方法需要使用一種網(wǎng)絡(luò)流量捕捉系統(tǒng)，它能夠?qū)⑺�有網(wǎng)絡(luò)數(shù)據(jù)轉(zhuǎn)發(fā)給網(wǎng)絡(luò)安全設(shè)備。

Kindervag說：“您很難只通過SPAN端口獲得這些工具所需要的數(shù)據(jù)。這時(shí)就需要專業(yè)的數(shù)據(jù)采集網(wǎng)絡(luò)來提供足夠的數(shù)據(jù)，這樣您才能夠監(jiān)控通常不可見的攻擊，包括棘手的APT攻擊。人們需要監(jiān)控網(wǎng)絡(luò)以發(fā)現(xiàn)這些問題。”

而網(wǎng)絡(luò)流量捕捉系統(tǒng)使企業(yè)能夠靈活控制網(wǎng)絡(luò)安全設(shè)備的負(fù)載分配。通過這種方法，工程師就能夠設(shè)置系統(tǒng)收集多個(gè)流，然后將它們發(fā)送到一個(gè)設(shè)備中。

企業(yè)管理聯(lián)盟的研究主管Jim Frey說：“現(xiàn)在您不需要在必須監(jiān)控的10多條鏈路上部署多個(gè)IDSec，您只需要用一臺(tái)設(shè)備從其中一臺(tái)網(wǎng)絡(luò)訪問管理設(shè)備收集和整合數(shù)據(jù)流。另一種方法是延長安全工具的壽命。隨著速度達(dá)到10GB或40GB，安全工具不需要全速支持這些更高速的網(wǎng)絡(luò)。”

網(wǎng)絡(luò)流量捕捉系統(tǒng)可以執(zhí)行媒體轉(zhuǎn)換，將低帶寬數(shù)據(jù)流發(fā)送到網(wǎng)絡(luò)安全設(shè)備。它們也能夠在多個(gè)設(shè)備之間實(shí)現(xiàn)數(shù)據(jù)流負(fù)載均衡。

網(wǎng)絡(luò)流量捕捉系統(tǒng)輔助主動(dòng)出擊和被動(dòng)防御網(wǎng)絡(luò)安全工具

大多數(shù)企業(yè)都不使用網(wǎng)絡(luò)流量捕捉系統(tǒng)為主動(dòng)出擊的內(nèi)部設(shè)備，如防火墻或入侵防御系統(tǒng)(IPS) 提供數(shù)據(jù)。這些設(shè)備需要訪問即時(shí)數(shù)據(jù)流，以允許或拒絕流量。企業(yè)將網(wǎng)絡(luò)流量捕捉系統(tǒng)的數(shù)據(jù)傳輸給被動(dòng)監(jiān)控設(shè)備（如入侵檢測系統(tǒng)IDS）或安全網(wǎng)絡(luò)監(jiān)控設(shè)備（NetWitness）。這些工具能夠在發(fā)現(xiàn)安全問題和異常行為時(shí)向網(wǎng)絡(luò)安全團(tuán)隊(duì)發(fā)出警告。

一些網(wǎng)絡(luò)流量捕捉專家提供了支持主動(dòng)網(wǎng)絡(luò)安全工具的內(nèi)聯(lián)解決方案。VVS Monitoring推出了Protector，這是一個(gè)內(nèi)聯(lián)TAP設(shè)備，它能夠?qū)⒓磿r(shí)流量轉(zhuǎn)發(fā)給網(wǎng)絡(luò)安全工具，執(zhí)行主動(dòng)檢測。本月，VSS Protector通過IBM認(rèn)證，兼容IBM ISS Systems IPS設(shè)備。

這些VSS內(nèi)聯(lián)設(shè)備能將流量轉(zhuǎn)發(fā)到一個(gè)全局網(wǎng)絡(luò)流量捕捉系統(tǒng)以執(zhí)行被動(dòng)保護(hù)，同時(shí)也支持將即時(shí)流量轉(zhuǎn)到給內(nèi)聯(lián)設(shè)備。根據(jù)VSS Monitoring的業(yè)務(wù)開發(fā)主管Mike Grever介紹，它們能夠根據(jù)協(xié)議和應(yīng)用程序進(jìn)行2層數(shù)據(jù)過濾。這樣，網(wǎng)絡(luò)流量捕捉系統(tǒng)就可以將特殊的流量流發(fā)送到不同的網(wǎng)絡(luò)安全設(shè)備上。

Grever說：“有一些人只希望查看Web流量，而另外一些人則只需要查看VoIP流量。他們只希望將80端口流量發(fā)送到IPS設(shè)備，而將所有其他流量發(fā)送到一臺(tái)被動(dòng)防御的IDS。即使您擁有一臺(tái)IPS使用的VSS設(shè)備，您也能夠在同一臺(tái)VSS設(shè)備中使用諸如IDS的被動(dòng)工具。”

下一代防火墻專家Palo Alto Networks與Gigamon和Net Optics合作，將它的防火墻部署為一臺(tái)內(nèi)聯(lián)IPS設(shè)備，使用Gigamon或Net Optics繞過交換機(jī)，在網(wǎng)絡(luò)安全設(shè)備出錯(cuò)時(shí)讓流量繞過它，使流量傳輸不受網(wǎng)絡(luò)安全設(shè)備故障的影響。

Palo Alto產(chǎn)品銷售主管Chris King說：“如果防火墻出現(xiàn)故障，就意味著網(wǎng)絡(luò)會(huì)中斷。防火墻是一種出錯(cuò)即關(guān)閉的設(shè)備。而IPS是出錯(cuò)即開放的。如果客戶希望使用我們的IPS部署，Gigamon和Net Optics會(huì)向客戶提供穩(wěn)定的IPS功能，而不會(huì)出現(xiàn)防火墻出錯(cuò)即關(guān)閉的功能。”

服務(wù)器租用/服務(wù)器托管中國五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]