Probe (Sonda)

Sonda sieciowa (ang. probe) to urządzenie lub program, który podgląda ruch sieciowy w wybranym miejscu sieci, analizuje go i przekazuje wynik dalej — jako flow (skrócone zapisy o połączeniach), metadane albo pełne pakiety. Sonda nie tworzy ruchu i nie jest jego pełną kopią. To narzędzie analityczne, które działa na danych dostarczonych mu z zewnątrz: przez port lustrzany przełącznika (SPAN) albo przez odczep wpięty w łącze (TAP). W monitorowaniu wydajności sieci (NPM) i w wykrywaniu zagrożeń (NDR) sonda zbiera telemetrię, na której pracują dalsze warstwy korelacji i detekcji.

Jak działa sonda sieciowa?

Sonda dostaje kopię ruchu, rozkłada go warstwa po warstwie i wyciąga z niego to, czego potrzebują systemy nadrzędne. Zależnie od ustawień może sięgać różnie głęboko:

• Nagłówki i metadane przepływów — sonda grupuje pakiety w przepływy (flows), opisane przez adresy IP, porty, protokół, czas i ilość danych. Eksportuje je jako rekordy NetFlow, IPFIX lub sFlow. To zwięzły zapis: kto z kim się łączył i ile danych przesłał, bez samej treści.
• Metadane aplikacji — głębsza inspekcja (DPI, ang. deep packet inspection) pozwala wyciągnąć np. zapytania DNS, nagłówki HTTP czy parametry nawiązania połączenia TLS i dane certyfikatów. Wszystko bez przechowywania pełnej zawartości pakietów.
• Pełne pakiety — w trybie pełnego przechwytywania (full packet capture) sonda zapisuje cały ruch, np. do plików PCAP, na potrzeby analizy śledczej i zgodności z przepisami.

Jest jedno ważne ograniczenie: sonda jest tak dobra, jak jej źródło ruchu. Jeśli punkt podsłuchowy gubi pakiety albo odrzuca uszkodzone ramki, sonda nie odtworzy tego, czego nie dostała. Dlatego sposób doprowadzenia ruchu (TAP, packet broker) jest tak samo ważny jak sama sonda.

Jakie są typy sond?

Sondy różnią się tym, do czego służą i jak głęboko analizują ruch:

• Sondy wydajnościowe (NPM) — mierzą czas odpowiedzi aplikacji, opóźnienia, jitter (wahania opóźnień) i utratę pakietów.
• Sondy flow — tworzą rekordy NetFlow/IPFIX/sFlow do analizy wzorców ruchu i zużycia pasma.
• Sondy bezpieczeństwa (NDR/IDS) — szukają śladów włamania, nietypowych zachowań i naruszeń reguł, zarówno w ruchu między serwerami (wschód–zachód), jak i na styku z internetem (północ–południe).
• Analizatory protokołów — pomagają znaleźć przyczynę problemów z łącznością i błędnej konfiguracji usług.
• Sondy pełnego przechwytywania — rejestrują cały ruch do celów śledczych i dowodowych.

W praktyce jedna sonda często robi kilka rzeczy naraz — na przykład eksportuje flow i jednocześnie wyciąga metadane aplikacji do wykrywania zagrożeń.

Sonda pasywna a sonda aktywna — czym się różnią?

Chodzi o to, skąd sonda bierze dane:

• Sonda pasywna tylko obserwuje prawdziwy ruch, nie zmienia go i nie dokłada własnych pakietów. Pokazuje wiernie, co naprawdę dzieje się w sieci pod realnym obciążeniem. Jest też niewidoczna dla atakującego, bo działa obok ścieżki danych (off-path), a nie na niej.
• Sonda aktywna sama wysyła ruch testowy (np. zapytania, transakcje, pingi) i mierzy parametry tak, jak odczułby je użytkownik. Przydaje się do testów dostępności, sprawdzania umów SLA i pomiarów od końca do końca, także wtedy, gdy realnego ruchu jest mało.

Uwaga na nazewnictwo: istnieją też „pasywne” i „aktywne” TAP-y, czyli odczepy na poziomie kabla (rozdzielacz optyczny bez zasilania kontra zasilany układ wzmacniający sygnał). To inny podział niż pasywne i aktywne zbieranie danych przez sondę.

Jak wdraża się sondę: TAP, SPAN i packet broker

Sonda potrzebuje dostępu do kopii ruchu. Są dwa podstawowe sposoby, żeby jej tę kopię dostarczyć:

• Port SPAN (lustrzany) — funkcja przełącznika, która kopiuje wybrany ruch na osobny port. Tani i elastyczny, ale pod dużym obciążeniem gubi pakiety, zwykle odrzuca uszkodzone ramki i obsługuje ograniczoną liczbę sesji.
• TAP (Test Access Point, punkt dostępu testowego) — sprzętowy odczep wpięty w łącze, który dostarcza fizyczną kopię 100% ruchu, łącznie z uszkodzonymi ramkami. TAP nie ma adresu IP ani MAC i jest niewidoczny dla sieci, więc trudno go zauważyć i zmanipulować.

Typowy układ ma trzy warstwy. TAP pobiera ruch z łącza, packet broker (urządzenie rozdzielające ruch) zbiera go, filtruje i rozdaje między narzędzia, a sonda analizuje swój przydzielony strumień. Sondy stawia się tam, gdzie ruch się zbiega: na styku z internetem czy na wyjściu do chmury (ruch północ–południe) oraz w centrum danych, między serwerami (ruch wschód–zachód). W środowiskach wirtualnych i chmurowych rolę sondy pełnią wirtualne czujniki (VMware, KVM, Hyper-V) albo czujniki dla AWS, Azure i GCP, korzystające z wirtualnych TAP-ów i logów przepływów (VPC Flow Logs, NSG flow logs).

Czym różni się sonda od TAP-a?

To dwie różne warstwy, które łatwo pomylić:

• TAP to warstwa dostępu — jego zadaniem jest dostarczyć kompletny ruch. Działa pasywnie, nie analizuje treści, nie ma adresu w sieci.
• Sonda to warstwa analizy — interpretuje dostarczony ruch i tworzy flow, metadane lub alerty. Ma adres IP/MAC do zarządzania, wymaga konfiguracji i aktualizacji.

Krótko: TAP dba o to, żebyś miał komplet danych; sonda zamienia te dane w użyteczne wskaźniki i wykrycia. Najlepszą widoczność daje połączenie obu (a przy wielu łączach dochodzi packet broker).

Dlaczego sondy są ważne dla bezpieczeństwa?

Sondy to fundament widoczności sieci, na której opiera się NDR i analiza ruchu (NTA, ang. network traffic analysis). Wykrywanie po stronie sieci trudno obejść: atakujący, który wyłączy agenta ochronnego (EDR) na komputerze, i tak generuje ruch widoczny dla pasywnej sondy. Z metadanych, które dostarcza sonda, systemy detekcji budują obraz normalnego zachowania sieci i wyłapują odstępstwa, między innymi:

• ruch command-and-control i beaconing — regularne, niewielkie połączenia wychodzące, którymi przejęty komputer „melduje się” do atakującego;
• wyciek danych (eksfiltrację) — nietypowa ilość albo kierunek przesyłanych danych;
• ruch boczny (lateral movement) — przeskakiwanie atakującego między komputerami w sieci;
• anomalie w DNS (np. tunelowanie), w certyfikatach TLS czy w nagłówkach aplikacji.

Ponieważ sonda zwykle działa obok ścieżki danych (off-path), atakującemu trudno ją wykryć i wyłączyć. To sprawia, że jej telemetria jest wiarygodnym źródłem dla zespołu SOC. Z kolei pełne nagrania pakietów z sond przechwytujących pomagają w dochodzeniach po incydencie i spełniają wymogi dowodowe.

Dowiedz się więcej

• Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — NetFlow dostarcza dane z sondy o ruchu sieciowym, które służą do analizy przepływów.
• IoA (Indicator of Attack) — Probe może wykrywać wskaźniki ataku na podstawie obserwacji ruchu i zachowań w sieci.
• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — Sonda analizuje ruch LAN i pomaga wykrywać anomalie typowe dla ARP spoofingu.
• SIEM — Probe może zasilać SIEM danymi o ruchu i zdarzeniach sieciowych.
• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Sonda jest źródłem danych potrzebnych do monitoringu sieci i pełnej widoczności ruchu.