22 listopada 2023 · 6 min czytania

Czym jest packet broker i kiedy zastępuje switch z port-mirrorem. Agregacja wielu łączy WAN, podział ruchu na sensory WanGuard, TAP kontra SPAN.

Krótka odpowiedź: packet broker to urządzenie, które zbiera kopie ruchu z wielu łączy, scala je w jeden strumień i rozdziela na porty systemów analizujących. Staje się potrzebny wtedy, gdy masz więcej uplinków niż portów w sensorze, gdy ruch przekracza możliwości jednej karty przechwytującej albo gdy nie chcesz stawiać switcha wyłącznie po to, by robić port-mirror. Współpraca ITORO z Profitap pozwala podawać ruch do sensorów WanGuard bez dokładania switcha do ścieżki.

Czym właściwie jest packet broker

Sensor WanGuard potrzebuje kopii ruchu. W najprostszej sieci wystarczy port-mirror na jednym routerze albo switchu i jeden port przechwytujący w serwerze. Problem zaczyna się przy wzroście sieci — i pojawia się w trzech wariantach:

  1. Masz więcej łączy niż portów. Cztery uplinki, jeden sensor z dwoma portami 10 GE.
  2. Ruch nie mieści się w jednym porcie. Suma kopii z kilku łączy przekracza pojemność interfejsu przechwytującego.
  3. Nie chcesz switcha w tej roli. Switch trzeba konfigurować, aktualizować, monitorować — a przy port-mirrorze zachowuje się inaczej pod obciążeniem, niż wynikałoby z dokumentacji.

Packet broker rozwiązuje wszystkie trzy naraz. Jest warstwą pośrednią między punktami poboru ruchu a systemami, które ten ruch analizują: agreguje, filtruje, replikuje i rozdziela.

Czym różni się TAP od port-mirrora?

To rozróżnienie decyduje o jakości danych, na których pracuje detekcja.

Port-mirror (SPAN) to funkcja switcha lub routera: urządzenie kopiuje ruch z wybranych portów na port monitorujący. Jest darmowy i wszędzie dostępny, ale ma cechy, o których łatwo zapomnieć:

  • port mirrorujący ma niższy priorytet niż przełączanie produkcyjne — pod obciążeniem urządzenie po prostu przestaje kopiować część pakietów, zwykle bez wyraźnego alarmu,
  • ruch z dwóch kierunków (RX i TX) na łączu 10 GE może wymagać 20 Gbps na porcie docelowym,
  • pakiety błędne i uszkodzone bywają odfiltrowywane, więc nie zobaczysz ich w analizie,
  • mirror zużywa zasoby przełączania na urządzeniu produkcyjnym.

TAP to element pasywny wpięty w łącze: rozdziela sygnał i podaje jego kopię dalej. Nie ma logiki, którą można przeciążyć, nie odrzuca ramek pod obciążeniem i nie zabiera zasobów routerowi. W wariancie pasywnym awaria urządzenia monitorującego nie ma wpływu na łącze produkcyjne.

Dla systemu wykrywania ataków różnica jest praktyczna: zgubione pakiety to zaniżone statystyki, a zaniżone statystyki to nieprzekroczony próg. Atak, którego sensor nie zmierzył w pełni, może nie wygenerować alarmu.

Co daje Profitap w połączeniu z WanGuard

Współpraca ITORO z Profitap powstała z myślą o klientach, którzy mają bezpośrednie łącza do routerów i chcą uniknąć wstawiania switcha w tor monitorujący.

Agregacja i filtrowanie ruchu. Packet broker zbiera ruch z wielu łączy WAN i konsoliduje go do analizy. Może też odsiać to, czego sensor nie potrzebuje, zanim ruch w ogóle dotrze do karty przechwytującej — co bezpośrednio przekłada się na obciążenie serwera.

Inteligentny rozdział ruchu. Broker potrafi rozłożyć ruch na kilka portów sensorów WanGuard, równoważąc obciążenie. To istotne, bo pojedynczy serwer ma skończoną wydajność przechwytywania — a rozdział pozwala skalować poziomo zamiast kupować coraz większą maszynę. Warunek jest jeden i trzeba go pilnować: rozdział musi zachowywać spójność sesji, żeby ten sam przepływ trafiał zawsze na ten sam sensor.

Skalowalność. Zestaw broker + WanGuard pozwala rozbudowywać infrastrukturę wykrywania w miarę wzrostu sieci, bez przebudowy całości.

Monitoring i raportowanie. Centralny interfejs zarządzania brokerem daje wgląd w ruch WAN w czasie rzeczywistym. W połączeniu z raportowaniem WanGuard powstaje obraz wektorów ataków i wzorców ruchu, na podstawie którego można korygować progi i reguły.

Wdrożenie bez przebudowy sieci. Broker integruje się z istniejącą infrastrukturą i z sensorami WanGuard, więc uruchomienie nie wymaga zmian w topologii produkcyjnej.

Kiedy packet broker jeszcze nie jest potrzebny

Uczciwie: w małej sieci to nadmiar. Jeden lub dwa uplinki, ruch mieszczący się w jednym porcie przechwytującym, router bez problemu obsługujący mirror — wtedy port-mirror wystarczy.

Próg, przy którym warto policzyć broker, wyznaczają zwykle:

  • trzeci i kolejny uplink do objęcia monitoringiem,
  • ruch zbliżający się do pojemności portu przechwytującego,
  • widoczne drop-y na porcie mirrorowanym mimo poprawnej konfiguracji sensora,
  • plan uruchomienia drugiego systemu korzystającego z tej samej kopii ruchu (np. sensor i osobny system analizy),
  • niechęć do trzymania switcha, którego jedynym zadaniem jest mirror.

Ten ostatni punkt bywa najmocniejszym argumentem operacyjnym: switch w torze monitorującym to kolejny system operacyjny do aktualizowania.

Jak to wpina się w resztę ochrony

Packet broker odpowiada wyłącznie za to, żeby sensor zobaczył ruch w komplecie i na czas. Nie filtruje ataku — to zadanie serwera filtrującego albo reguł BGP FlowSpec wypychanych na router. Warto to rozdzielić, bo w opisach produktowych obie warstwy bywają zlewane w jedno.

Łańcuch wygląda tak: TAP lub port-mirror → packet broker → sensor WanGuard → decyzja → filtrowanie. Każde ogniwo, które gubi pakiety, obniża jakość decyzji podejmowanej na końcu. Architekturę całości opisaliśmy na stronie o WanGuard, a dobór punktów poboru ruchu pod konkretną topologię jest częścią naszych wdrożeń.

Więcej o partnerach technologicznych znajdziesz na stronie Partnerzy.

Najczęstsze pytania

Czy packet broker zastępuje switch?

W torze monitorującym — tak, i to jest jego główna zaleta. Zamiast utrzymywać switch skonfigurowany do port-mirrora, dostajesz urządzenie zaprojektowane wyłącznie do dystrybucji kopii ruchu. W torze produkcyjnym packet broker switcha nie zastępuje i nie ma takiego zadania.

Czy TAP przerywa łącze podczas montażu?

Wpięcie TAP-a wymaga rozłączenia łącza na czas montażu, więc potrzebne jest okno serwisowe. Po wpięciu TAP pasywny nie wprowadza logiki, którą można przeciążyć — a jego awaria zasilania w wariancie pasywnym nie zrywa łącza produkcyjnego. To odwrotnie niż przy urządzeniu aktywnym wpiętym szeregowo.

Ile sensorów można obsłużyć z jednego packet brokera?

Zależy od modelu i liczby portów wyjściowych. Istotniejsze od samej liczby jest to, żeby rozdział ruchu był spójny sesyjnie — inaczej każdy sensor zobaczy fragment przepływu i statystyki będą rozjechane. Ten parametr trzeba ustalić na etapie projektu.

Czy da się filtrować ruch już na packet brokerze?

Tak, i często warto. Odsianie ruchu, którego sensor i tak nie analizuje, zmniejsza liczbę pakietów docierających do karty przechwytującej. Trzeba to jednak robić ostrożnie — zbyt agresywny filtr może ukryć przed sensorem właśnie ten ruch, który tworzy atak.

Czy potrzebuję packet brokera, jeśli używam NetFlow zamiast port-mirrora?

Nie. Przy NetFlow, sFlow i IPFIX router sam eksportuje dane o przepływach i kopia ruchu nie jest potrzebna. Płacisz za to opóźnieniem — dane docierają do sensora dopiero po eksporcie flowów, co przy ataku wolumetrycznym oznacza reakcję liczoną w dziesiątkach sekund zamiast w sekundach.