Network Packet Broker (NPB)

Network Packet Broker (NPB) to urządzenie lub oprogramowanie, które zbiera kopię ruchu sieciowego z punktów TAP i portów SPAN, a potem filtruje ją, porządkuje i rozdziela do narzędzi monitorujących i zabezpieczających (IDS/IPS, NDR, SIEM, APM, sniffery, systemy do analizy powłamaniowej). NPB pracuje na kopii ruchu, „obok” głównego przepływu (tzw. out-of-band), więc nie zmienia ani nie spowalnia produkcyjnej komunikacji — chyba że celowo ustawi się go na ścieżce ruchu (tryb inline). Działa na warstwach 2–4 modelu OSI (a w bardziej zaawansowanych modelach aż do warstwy 7). Jego zadanie jest proste: dać każdemu narzędziu dokładnie te pakiety, których ono potrzebuje, i nie zasypać go resztą.

Czym jest Network Packet Broker?

NPB to pośrednik (broker) między miejscem, w którym podsłuchujemy ruch, a narzędziami, które go analizują. Sieć produkcyjna generuje ruch. Ten ruch jest kopiowany przez TAP-y (Test Access Points, czyli punkty dostępu do łącza) albo przez porty lustrzane SPAN na przełącznikach. Surowe kopie z wielu łączy trafiają do NPB, który je łączy, odchudza i rozdziela do podłączonych systemów. Bez takiej warstwy pośredniej każde narzędzie musiałoby mieć własny punkt podsłuchu, a portów TAP/SPAN szybko by zabrakło.

NPB nie jest zwykłym przełącznikiem. Nie przekazuje ruchu produkcyjnego i nie decyduje, dokąd go skierować na podstawie adresów MAC. Pracuje tylko na kopiach pakietów i stosuje reguły ustawione przez administratora: filtruje, powiela, przycina i rozkłada obciążenie. Efektem jest spójna warstwa widoczności (po angielsku visibility fabric) — taka, która pilnuje, by właściwy ruch trafił do właściwego narzędzia, czy to w sieci fizycznej, wirtualnej, czy w chmurze.

Jak działa Network Packet Broker?

Ruch przechodzi przez NPB w kilku krokach:

1. Pobranie ruchu — kopie pakietów wchodzą na porty wejściowe z TAP-ów lub portów SPAN.
2. Agregacja (łączenie) — strumienie z wielu łączy schodzą się w jeden, więc nie trzeba osobnego punktu podsłuchu dla każdego narzędzia.
3. Filtrowanie — reguły z warstw 2–4 (w mocniejszych modelach do 7) wybierają konkretne VLAN-y, adresy IP, porty, protokoły lub wzorce i przepuszczają tylko ważny ruch.
4. Obróbka pakietów — deduplikacja, przycinanie (slicing), maskowanie, dekapsulacja, znakowanie czasem.
5. Rozdział i równoważenie — wybrany ruch jest powielany do wielu odbiorców albo rozkładany między kilka kopii tego samego narzędzia na portach wyjściowych.

Jakie są kluczowe funkcje NPB?

• Agregacja — łączy ruch z wielu łączy w jeden strumień, dzięki czemu jedno narzędzie obejmuje kilka segmentów sieci.
• Filtrowanie — wybiera ruch po VLAN-ie, adresie IP/MAC, porcie i protokole, a w trybie zaawansowanym także po wzorcach (np. wyrażeniach regularnych w danych warstwy 7).
• Replikacja (powielanie) — wysyła tę samą kopię ruchu do kilku narzędzi naraz (np. do IDS, NDR i rejestratora pakietów).
• Deduplikacja — usuwa powtórzone pakiety, które pojawiają się, gdy ten sam ruch złapiemy w kilku miejscach (np. po obu stronach urządzenia). Odciąża narzędzia i nie zawyża statystyk.
• Slicing (przycinanie pakietów) — obcina dane właściwe (payload), zostawiając same nagłówki, gdy narzędziu wystarczają metadane. Oszczędza pasmo i miejsce na dysku.
• Maskowanie danych — zasłania wrażliwe pola (np. numery kart, dane osobowe), zanim ruch trafi do narzędzia. Pomaga spełnić wymogi RODO, PCI DSS czy HIPAA.
• Dekapsulacja (zdejmowanie nagłówków tuneli) — usuwa warstwy „opakowania” ruchu (GRE, VXLAN, ERSPAN, GENEVE, MPLS), żeby narzędzia widziały oryginalne pakiety, których inaczej nie zrozumieją.
• Load balancing (równoważenie obciążenia) — rozkłada ruch na kilka kopii tego samego narzędzia (np. klaster sensorów IDS), gdy jeden interfejs nie udźwignie całego pasma. Pozwala np. podać 40G ruchu do czterech interfejsów po 10G.
• Znakowanie czasem (timestamping) — dokleja do pakietów dokładny znacznik czasu, przydatny do analizy opóźnień i łączenia zdarzeń ze sobą.
• Generowanie metadanych (NetFlow / IPFIX) — tworzy skrócone podsumowania ruchu (w nowszych modelach, tzw. NGNPB).
• Odszyfrowanie TLS/SSL — wybiórczo odszyfrowuje ruch, by narzędzia mogły zajrzeć do zaszyfrowanych sesji (w wybranych modelach).

Czym różni się NPB od TAP-a i portu SPAN?

TAP (Test Access Point) to urządzenie wpięte w łącze, które robi wierną kopię całego przechodzącego ruchu, nie wpływając na produkcję. Port SPAN (mirror) to funkcja przełącznika, która kopiuje ruch z wybranych portów lub VLAN-ów na osobny port — wygodna, ale obciąża przełącznik, przy przeciążeniu gubi pakiety i potrafi pomijać błędne ramki.

TAP i SPAN dostarczają ruch, ale nim nie zarządzają. NPB stoi piętro wyżej: bierze strumienie z wielu TAP-ów i portów SPAN, a potem je łączy, filtruje, odsiewa duplikaty i rozdziela do narzędzi. Krótko: TAP/SPAN to źródło widoczności, a NPB to warstwa, która tę widoczność porządkuje. Prosty agregator TAP robi tylko podstawowe łączenie i filtrowanie; pełny NPB dokłada deduplikację, slicing, maskowanie, dekapsulację i load balancing.

Czym różni się NPB od przełącznika sieciowego?

Przełącznik przekazuje ruch produkcyjny i decyduje, dokąd go skierować, na podstawie adresów MAC i tablicy przełączania — jego zadaniem jest dostarczyć ramkę pod właściwy adres. NPB pracuje na kopii ruchu, obok głównego przepływu, nie bierze udziału w komunikacji produkcyjnej i — o ile go inaczej nie ustawimy — nie zmienia pakietów. To, dokąd trafi ruch, wynika u niego z reguł filtrowania i przypisania portów wejściowych do wyjściowych, a nie z uczenia się adresów. Dlatego NPB nie zastępuje przełącznika ani odwrotnie — to dwie różne role.

Dlaczego NPB jest ważny dla bezpieczeństwa?

Z punktu widzenia SOC i monitoringu sieci NPB to fundament widoczności pakietowej, na której opiera się wykrywanie zagrożeń:

• Jakość danych dla NDR/IDS — narzędzia NDR (Network Detection and Response, czyli wykrywanie i reagowanie na bazie ruchu sieciowego) oraz systemy IDS/IPS działają tym lepiej, im czystszy i pełniejszy ruch dostają. Deduplikacja nie zawyża statystyk, a dekapsulacja odsłania ruch schowany w tunelach, który inaczej by umknął.
• Likwidacja martwych pól — łączenie ruchu z wielu TAP-ów i portów SPAN zmniejsza ryzyko, że jakiś fragment sieci zostanie bez nadzoru. A nadzorowane luki to klasyczny sposób na ominięcie detekcji.
• Skalowanie detekcji — load balancing pozwala obsłużyć łącza szybsze niż pojedynczy sensor, więc detekcja nadąża za ruchem 40/100/400 GbE.
• Ochrona narzędzi przed przeciążeniem — filtrowanie i slicing kierują do sensorów tylko istotny ruch. Mniej gubionych pakietów i mniejsze ryzyko, że atak przemknie, gdy narzędzie jest zapchane.
• Analiza powłamaniowa i nagrywanie ruchu — pełna, uporządkowana kopia ruchu zasila rejestratory pakietów (full packet capture) i analizę po incydencie; znaczniki czasu pomagają odtworzyć przebieg zdarzeń.
• Zgodność i prywatność — maskowanie wrażliwych pól pozwala udostępniać ruch narzędziom i zespołom bez łamania RODO, PCI DSS czy HIPAA.

Trzeba pamiętać o jednym: NPB sam nie wykrywa zagrożeń — to tylko warstwa, która dostarcza dane. Gdy się go źle skonfiguruje (za ostre filtry, brak deduplikacji, pominięty tunel), bezpośrednio osłabia detekcję narzędzi, które od niego zależą. Dlatego reguły NPB warto traktować jak część polityki monitoringu, a nie jednorazowe ustawienie.

Gdzie umieszcza się NPB w sieci?

NPB stawia się tam, gdzie najwięcej widać: na styku z internetem, między strefami zaufania, przy centrum danych, przed farmami serwerów oraz w segmentach z ruchem wschód–zachód (czyli komunikacją wewnątrz centrum danych). Ruch pobiera się z TAP-ów na ważnych łączach albo z portów SPAN na przełącznikach rdzeniowych i dystrybucyjnych. W środowiskach wirtualnych i w chmurze odpowiednikiem fizycznego NPB jest broker programowy (vNPB / cloud packet broker), który zbiera ruch z hiperwizorów i sieci wirtualnych, rozszerzając widoczność na środowiska hybrydowe.

Dowiedz się więcej

• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — NPB zbiera i kieruje ruch do narzędzi analitycznych, wspierając network visibility.
• Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — NPB może przesyłać i filtrować strumienie NetFlow do systemów monitoringu.
• TAPs — TAP dostarcza ruch, a NPB go agreguje, filtruje i rozsyła dalej.