隨著網絡速度和復雜性的增加，許多IT部門發(fā)現，僅僅在SPAN端口和TAP（Test Access Point，測試接入點）上連接網絡安全設備并不能實現全面的保護和可見性。為了解決這個問題，有一些安全供應商與網絡流量捕捉專業(yè)公司合作，實現了一種更優(yōu)的解決方案。

網絡流量捕捉供應商，包括Net Optics、VSS Monitoring、Gigamon和Anue Systems等，都提供網絡TAP。這些TAP能夠區(qū)分交換機和路由器流量并將之轉發(fā)給網絡安全設備。他們還推出了矩陣交換機，它能夠從這些TAP中收集流量，然后將流量轉發(fā)給多個網絡安全設備。這些聚集設備支持通過一個網絡安全設備同時檢測或監(jiān)控多個網絡分片。網絡流量捕捉系統也能夠將聚集的流量負載均衡到多個網絡安全設備，以增加總吞吐量和容量。

使用SPAN端口和TAP進行網絡流量捕捉的問題

使用單獨的SPAN端口和TAP為網絡安全設備捕捉網絡流量可能會影響總體可見性，特別是當位于網絡邊緣的安全措施僅僅作為第一層防護時。

Forrester Research高級分析師John Kindervag說：“人們經常使用SPAN端口的原因是它們比較便宜，但是它們存在一個問題，您無法保證它們一直可用。因為數量有限，不夠所有人使用。當您受到攻擊，需要這些數據時，交換機將飽和，而首先停止工作的端口就是SPAN端口，這樣它才會獲得一些額外的計算能力。所以，在您真正需要它的時候，系統卻不會為您提供數據。”

網絡捕捉系統：一臺設備監(jiān)控多種信息流

Kindervag提出了一種零信任網絡安全策略，它拋棄了邊緣防御，轉而使用網絡分析和監(jiān)控工具來檢測和記錄所有企業(yè)網絡流量。這種方法需要使用一種網絡流量捕捉系統，它能夠將所有網絡數據轉發(fā)給網絡安全設備。

Kindervag說：“您很難只通過SPAN端口獲得這些工具所需要的數據。這時就需要專業(yè)的數據采集網絡來提供足夠的數據，這樣您才能夠監(jiān)控通常不可見的攻擊，包括棘手的APT攻擊。人們需要監(jiān)控網絡以發(fā)現這些問題。”

而網絡流量捕捉系統使企業(yè)能夠靈活控制網絡安全設備的負載分配。通過這種方法，工程師就能夠設置系統收集多個流，然后將它們發(fā)送到一個設備中。

企業(yè)管理聯盟的研究主管Jim Frey說：“現在您不需要在必須監(jiān)控的10多條鏈路上部署多個IDSec，您只需要用一臺設備從其中一臺網絡訪問管理設備收集和整合數據流。另一種方法是延長安全工具的壽命。隨著速度達到10GB或40GB，安全工具不需要全速支持這些更高速的網絡。”

網絡流量捕捉系統可以執(zhí)行媒體轉換，將低帶寬數據流發(fā)送到網絡安全設備。它們也能夠在多個設備之間實現數據流負載均衡。

網絡流量捕捉系統輔助主動出擊和被動防御網絡安全工具

大多數企業(yè)都不使用網絡流量捕捉系統為主動出擊的內部設備，如防火墻或入侵防御系統(IPS) 提供數據。這些設備需要訪問即時數據流，以允許或拒絕流量。企業(yè)將網絡流量捕捉系統的數據傳輸給被動監(jiān)控設備（如入侵檢測系統IDS）或安全網絡監(jiān)控設備（NetWitness）。這些工具能夠在發(fā)現安全問題和異常行為時向網絡安全團隊發(fā)出警告。

一些網絡流量捕捉專家提供了支持主動網絡安全工具的內聯解決方案。VVS Monitoring推出了Protector，這是一個內聯TAP設備，它能夠將即時流量轉發(fā)給網絡安全工具，執(zhí)行主動檢測。本月，VSS Protector通過IBM認證，兼容IBM ISS Systems IPS設備。

這些VSS內聯設備能將流量轉發(fā)到一個全局網絡流量捕捉系統以執(zhí)行被動保護，同時也支持將即時流量轉到給內聯設備。根據VSS Monitoring的業(yè)務開發(fā)主管Mike Grever介紹，它們能夠根據協議和應用程序進行2層數據過濾。這樣，網絡流量捕捉系統就可以將特殊的流量流發(fā)送到不同的網絡安全設備上。

Grever說：“有一些人只希望查看Web流量，而另外一些人則只需要查看VoIP流量。他們只希望將80端口流量發(fā)送到IPS設備，而將所有其他流量發(fā)送到一臺被動防御的IDS。即使您擁有一臺IPS使用的VSS設備，您也能夠在同一臺VSS設備中使用諸如IDS的被動工具。”

下一代防火墻專家Palo Alto Networks與Gigamon和Net Optics合作，將它的防火墻部署為一臺內聯IPS設備，使用Gigamon或Net Optics繞過交換機，在網絡安全設備出錯時讓流量繞過它，使流量傳輸不受網絡安全設備故障的影響。

Palo Alto產品銷售主管Chris King說：“如果防火墻出現故障，就意味著網絡會中斷。防火墻是一種出錯即關閉的設備。而IPS是出錯即開放的。如果客戶希望使用我們的IPS部署，Gigamon和Net Optics會向客戶提供穩(wěn)定的IPS功能，而不會出現防火墻出錯即關閉的功能。”