Network TAP

Network TAP (z ang. Test Access Point, czyli punkt dostępu do podsłuchu sieci) to niewielkie urządzenie, które wpina się bezpośrednio w kabel sieciowy. Kopiuje ono cały ruch, jaki przez nie przechodzi, i wysyła tę kopię do narzędzi monitorujących — a samo przesyłanie danych w sieci zostaje nienaruszone. TAP pracuje na warstwie fizycznej, czyli na poziomie samego sygnału w kablu. Przepuszcza oryginalne pakiety między dwoma urządzeniami i równolegle przekazuje ich kopię narzędziom analitycznym: snifferom pakietów, systemom wykrywania włamań IDS/IPS, platformom NDR (monitorującym ruch pod kątem zagrożeń) czy narzędziom do analizy powłamaniowej.

Jak działa Network TAP?

TAP wpina się „in-line”, czyli w przerwę istniejącego kabla między dwoma punktami sieci — na przykład między switchem a routerem. Cały ruch przechodzi fizycznie przez urządzenie, a TAP po drodze kopiuje obie strony rozmowy (full-duplex, czyli dane płynące w obie strony jednocześnie) i wyprowadza je na osobne porty monitorujące. Kopiowanie dzieje się na poziomie samego sygnału, więc narzędzie dostaje wierny obraz ruchu. Widać w nim nawet uszkodzone ramki, błędy sumy kontrolnej (CRC) i pakiety o nietypowym rozmiarze — czyli rzeczy, które aktywne urządzenia sieciowe zwykle po cichu odrzucają.

Działanie zależy od rodzaju kabla:

• TAP światłowodowy (optyczny) — używa pasywnego rozdzielacza światła (splittera), który dzieli wiązkę w stałym stosunku (np. 50/50, 60/40, 70/30) między łącze produkcyjne a port monitorujący. Nie potrzebuje zasilania i niczego nie przetwarza, więc nie dodaje opóźnień.
• TAP miedziany — dla skrętki (standardy 10/100/1000BASE-T) musi odtworzyć sygnał elektryczny, dlatego zwykle wymaga zasilania. Dobre modele mają zabezpieczenie fail-safe (przekaźnik obejściowy): gdy zabraknie prądu, samo zwiera łącze przelotowe, żeby ruch płynął dalej.

Jakie są typy i tryby Network TAP?

TAP-y dzieli się według tego, czy potrzebują zasilania, oraz jak wyprowadzają ruch na zewnątrz:

• TAP pasywny — najczęściej światłowodowy. Do kopiowania ruchu nie potrzebuje prądu, więc brak zasilania nie zrywa łącza. Dobry do stałego monitoringu z boku sieci (out-of-band).
• TAP aktywny — zasilany. Konieczny dla miedzi oraz wtedy, gdy urządzenie ma robić coś więcej (łączyć ruch, odtwarzać sygnał, filtrować, buforować). Trzeba go zabezpieczyć na wypadek zaniku prądu.
• TAP breakout (1:1) — najczęstszy tryb. Każdy kierunek ruchu trafia na osobny port monitorujący, więc żaden port się nie przepełnia i nie gubi pakietów.
• TAP agregujący (M:1) — łączy kilka strumieni (np. oba kierunki kilku łączy) w jeden port wyjściowy. Wygodny, ale przy dużym ruchu może przekroczyć przepustowość tego portu i gubić pakiety, dlatego stosuje bufor.
• TAP regenerujący (1:M) — powiela kopię ruchu z jednego łącza na kilka portów, żeby zasilić naraz kilka narzędzi.
• TAP bypass — dla urządzeń pracujących in-line (IPS, firewall, WAF). Co chwilę wysyła do urządzenia ochronnego sygnał testowy (heartbeat) i gdy to urządzenie przestanie odpowiadać, automatycznie je omija (fail-open), żeby łącze nie padło.

Czym różni się Network TAP od SPAN (port mirroring)?

SPAN (Switch Port Analyzer, zwany też port mirroring) to wbudowana funkcja switcha. Kopiuje ona ruch z wybranych portów lub sieci VLAN na jeden port monitorujący. Jest darmowa i można ją włączyć zdalnie, ale w porównaniu z TAP-em ma kilka słabości:

• Priorytet ruchu — głównym zadaniem switcha jest przesyłanie ruchu produkcyjnego. Kopie SPAN są dla niego mniej ważne i przy obciążeniu odrzuca je w pierwszej kolejności.
• Przepełnienie portu — SPAN zwykle ściska kilka łączy na jeden port o tej samej szybkości, więc łatwo go przeciążyć i zgubić pakiety.
• Wierność kopii — switch „porządkuje” ruch i wyrzuca uszkodzone ramki oraz błędy z warstwy fizycznej, więc SPAN ukrywa część anomalii, które TAP by pokazał. Może też zmienić kolejność pakietów albo ich znaczniki czasu.
• Obciążenie switcha — robienie kopii zużywa zasoby switcha i może odbić się na jego wydajności.

TAP daje wierną kopię 1:1 na poziomie sygnału, niezależnie od tego, jak bardzo switch jest obciążony. SPAN dobrze sprawdza się do szybkiej, doraźnej diagnostyki, do podejrzenia ruchu wewnątrz samego switcha oraz tam, gdzie TAP-a nie zainstalowano.

Dlaczego Network TAP ma znaczenie dla bezpieczeństwa?

Żeby skutecznie wykrywać zagrożenia i analizować incydenty, trzeba widzieć pełny, niezmieniony ruch sieciowy. TAP daje go w sposób, którego SPAN nie gwarantuje:

• Pełny materiał dowodowy — przy analizie powłamaniowej i odtwarzaniu przebiegu ataku liczy się każdy pakiet. Gdy część ruchu przepadnie w szczycie obciążenia (a tak bywa przy SPAN), może umknąć moment wycieku danych albo łączności z serwerem atakującego (C2).
• Zasilanie sond NDR/IDS — systemy NDR i IDS (np. Suricata, Zeek) analizują kopię ruchu z boku, nie ingerując w sieć. TAP daje im wgląd zarówno w ruch między serwerami (east-west), jak i ruch do i z internetu (north-south).
• Niewidoczny dla atakującego — pasywny TAP nie ma w monitorowanym segmencie żadnego adresu (IP ani MAC) i sam nie wysyła ruchu. Jest więc praktycznie nie do wykrycia i trudno go ominąć z przejętego komputera.
• Brak wpływu na dostępność — TAP pasywny albo z zabezpieczeniem fail-safe nie staje się słabym punktem, który mógłby zerwać łącze. To ważne tam, gdzie sieć musi działać bez przerwy.
• Zgodność i audyt — przepisy i polityki wymagające monitorowania całego ruchu w segmencie (w tym tzw. lawful intercept, czyli legalny podsłuch na żądanie służb) realnie potrzebują wiernej kopii, jaką daje TAP.

TAP-y montuje się najczęściej w newralgicznych punktach: na łączach do internetu, przed firewallem i za nim, na połączeniach do centrum danych oraz w krytycznych segmentach, gdzie zespół SOC potrzebuje ciągłego wglądu w ruch.

Dowiedz się więcej

• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Opisuje, jak TAP dostarcza ruch do monitoringu sieci i buduje widoczność cybersecurity.
• Jak wykrywać nieznane urządzenia w sieci? — TAP umożliwia pasywny podgląd ruchu, co pomaga wykrywać nieznane urządzenia w sieci.
• Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — TAP może dostarczać ruch do generowania danych NetFlow i ich dalszej analizy.
• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — TAP pozwala obserwować ruch LAN i wykrywać ARP spoofing oraz ataki Man-in-the-Middle.
• Gotowe do użycia monitorowanie wydajności sieci — Artykuł pokazuje użycie TAP w zestawie do zbierania ruchu do monitoringu wydajności sieci.
• Błędy konfiguracji sieci – jak unikać network configuration errors i poprawić konfigurację routera — TAP pomaga diagnozować błędy konfiguracji, bo pokazuje rzeczywisty ruch w sieci.