ネットワークタップ

ネットワーク タップは、ローカルネットワーク上のイベントを監視するシステムです。タップは通常、コンピュータ ネットワークを流れるデータにアクセスする手段を提供する専用のハードウェア デバイスです。

ネットワーク タップには、少なくとも 3 つのポート ( A ポート、B ポート、およびモニターポート) があります。A ポートと B ポートの間に挿入されたタップは、すべてのトラフィック (送信および受信データ ストリーム) をリアルタイムで妨げられることなく通過させますが、同じデータをモニター ポートにコピーして、第三者がリッスンできるようにもします。

ネットワーク タップは、ネットワーク侵入検知システム、VoIP 録音、ネットワーク プローブ、RMONプローブ、パケット スニファー、およびネットワーク セグメントへのアクセスを必要とするその他の監視および収集デバイスやソフトウェアによく使用されます。タップは、目立たず、ネットワーク上で検出されず (物理アドレスや論理アドレスを持たない)、全二重および非共有ネットワークに対応でき、タップが動作を停止したり電源を失ったりしても通常はトラフィックを 通過またはバイパスするため、セキュリティ アプリケーションで使用されます。

ネットワーク タップという用語は、電話タップやヴァンパイア タップに類似しています。一部のベンダーは、TAP をテスト アクセス ポイントまたはターミナル アクセス ポイントの頭字語として定義していますが、これらはバックロニムです。

監視対象のトラフィックはパススルートラフィックと呼ばれることもありますが、監視に使用されるポートはモニターポートです。また、全二重トラフィック用の集約ポートが存在する場合もあります。この場合、A トラフィックが B トラフィックと集約され、全二重通信を監視するための 1 つのデータ ストリームが生成されます。パケットは、到着時間アルゴリズムを使用して 1 つのストリームに揃える必要があります。

ベンダーは、マーケティングで、ブレイクアウト、パッシブ、アグリゲーティング、再生、バイパス、アクティブ、インライン パワーなどの用語を使用する傾向があります。残念ながら、ベンダーはこれらの用語を一貫して使用していません。製品を購入する前に、利用可能な機能を理解し、ベンダーに確認するか、製品の資料をよく読んで、マーケティング用語が現実とどのように対応しているかを把握することが重要です。すべての「ベンダー用語」は業界では一般的であり、実際の定義があり、タップ デバイスを購入するときに考慮すべき重要なポイントです。

分散タップは、集中監視システムまたはパケット アナライザーにレポートするネットワーク タップのセットです。

ネットワークを監視するにはさまざまな方法があります。ネットワーク技術、監視目的、利用可能なリソース、対象ネットワークの規模に応じて、多くの盗聴方法を使用できます。以下では、さまざまな方法を説明します。

このタイプのタッピングは、ソフトウェアを利用して、インフラストラクチャのハードウェアに大きな変更を加えずにタッピングを行うことに重点を置いています。このタイプのタッピングは、実装が最も安価であることが多いですが、ネットワークの完全な外観を実現するには、複数の実装が必要です。

最も単純なタイプの監視は、対象のデバイスにログインし、パフォーマンス統計やその他のデータを表示するプログラムまたはコマンドを実行することです。これはネットワークを監視する最も安価な方法であり、小規模ネットワークに非常に適しています。ただし、大規模ネットワークには適していません。また、監視対象のネットワークに影響を与える可能性もあります。オブザーバー効果を参照してください。

デバイスを監視するもう 1 つの方法は、 SNMPなどのリモート管理プロトコルを使用してデバイスのパフォーマンスを問い合わせることです。この方法は拡張性に優れていますが、すべてのタイプの監視に適しているとは限りません。SNMP に固有の問題はポーリング効果です。多くのベンダーがインテリジェントなポーリング スケジューラを使用してこの問題を軽減していますが、それでも監視対象デバイスのパフォーマンスに影響する可能性があります。また、多くの潜在的なセキュリティ問題も発生します。

ネットワークを監視する別の方法は、ポートミラーリング（Cisco などのベンダーでは Switched Port Analyzer の略称「SPAN」と呼ばれ、^[1]、Brocade Communications やその他のベンダーでは MLXe テレメトリなど他の名前で呼ばれる）（MIRROR ポートとも呼ばれる）またはルータやスイッチ上のTZSPなどの監視プロトコルを使用することです。これはネットワークタップの低コストな代替手段であり、同じ問題の多くを解決します。ただし、すべてのルータやスイッチがポートミラーリングをサポートしているわけではなく、サポートしている場合でも、ポートミラーリングを使用するとルータやスイッチのパフォーマンスに影響する可能性があります。これらのテクノロジは、この記事の他の部分で説明されている全二重の問題の影響を受ける可能性があり、ルータやスイッチでは、監視できるパススルーセッションの数や、特定のセッションを監視できる監視ポートの数（通常は 2 つ）に制限があることがよくあります。多くの場合、SPAN ポートが過負荷になると、監視デバイスに到達する前にパケットがドロップされます。問題の原因となっている可能性のあるエラーパケットの一部が失われる可能性もあります。このデータがドロップされて監視デバイスに送信されない場合は、どれだけ高度なデバイスを使用してもトラブルシューティングは不可能です。

この盗聴方法は、監視に使用するデバイスで無差別モードを有効にし、それをネットワーク ハブに接続するというものです。これは、 10BASE2、FDDI、トークン リングなどの古いLANテクノロジでうまく機能します。このようなネットワークでは、無差別モードを有効にすることで、どのホストでも他のすべてのホストの動作を自動的に確認できます。ただし、最新のスイッチネットワーク テクノロジでは、デバイスのペア間にポイントツーポイント リンクが作成されるため、この方法でネットワーク トラフィックを盗聴することは不可能です。

このタイプのタッピングは、ハードウェアを顕著に使用してタッピングすることに重点を置いています

この方法は、ネットワーク ケーブルと管理者/攻撃者が「盗聴」したいデバイスの間にデバイスを設置するというものです。監視デバイスをインラインで設置すると、デバイスが故障したりシャットダウンしたりするたびにネットワークが停止します。前述のメカニズムがスマートな方法で統合されていない場合 (つまり、このシナリオの発生を防ぐ)、盗聴デバイスが更新/再起動しているときに「被害者」デバイスがトラフィックの受信を停止する可能性があります。

一部のタップ、特にファイバー タップは、ネットワーク トラフィックのパススルーとモニター部分に電力も電子機器もまったく使用しません。つまり、タップでは、ネットワーク接続が失われるような電子機器の故障や停電が発生することはありません。ファイバー ベースのネットワーク テクノロジーの場合、これが機能する 1 つの方法は、タップが単純な物理装置を使用して入力光を 2 つの出力 (1 つはパススルー用、もう 1つはモニター用) に分割することです。これはパッシブタップと呼ばれます。その他のタップは、パススルーには電力も電子機器も使用しませんが、モニターポートには電力と電子機器を使用します。これらもパッシブ タップと呼ばれます。

V-Line タッピングは、最も重要なタッピング システム メソッドです。V-Line タッピング (バイパス タッピングとも呼ばれます) を使用すると、サービス対象のシステムを仮想的にインラインに配置できます。このデバイスをインラインに配置すると、重要なネットワークの整合性が損なわれます。監視デバイスの代わりにタッピング システムを配置し、監視デバイスをタッピング システムに接続することで、トラフィックが流れ続け、デバイスがネットワークに障害ポイントを作成しないことを保証できます。^[2]この方法では、SPAN ポートがドロップする可能性のあるエラー パケットも含め、すべてのパケットが常に監視デバイスに渡されます。この方法では、ターゲット マシンでスパイ ソフトウェアを使用します。システム管理者にとって、このタイプのソリューションは実装が最も簡単で、最も費用対効果の高いものです。ただし、攻撃者にとって、このタイプのタッピングはシステム スキャンによって簡単に検出できるため、非常に危険です。スパイ ソフトウェアがLive-OSを実行しているシステムに非永続的にインストールされた場合、タッピング システムは再起動後に削除されます。

現代のネットワーク技術は多くの場合全二重で、つまりデータは同時に両方向に移動できます。ネットワーク リンクで各方向に 100 Mbit/s のデータが同時に流れる場合、ネットワークは実際に 200 Mbit/s の総スループットを許可していることになります。監視技術にモニタ ポートが 1 つしかない場合、これは問題となる可能性があります。したがって、全二重技術のネットワーク タップには通常、接続の半分ごとに 1 つずつ、合計 2 つのモニタ ポートがあります。リスナーは、チャネル ボンディングまたはリンク アグリゲーションを使用して2 つの接続を 1 つの集約インターフェイスにマージし、トラフィックの半分の両方を確認する必要があります。パッシブ ファイバー ネットワーク TAP などの他の監視技術は、全二重トラフィックにうまく対応できません。

ネットワーク タップを設置すると、ネットワーク自体に干渉することなくネットワークを監視できます。他のネットワーク監視ソリューションでは、ネットワーク デバイスに対する帯域内変更が必要なため、監視によって監視対象のデバイスが影響を受ける可能性があります。このシナリオは、次世代ファイアウォール、侵入防止システム、Web アプリケーション ファイアウォールなどのアクティブなインライン セキュリティ ツール向けです。

タップが設置されると、監視対象のネットワークに影響を与えることなく、必要に応じて監視デバイスをタップに接続できます。

一部のタップには複数の出力ポート、または全二重用の複数の出力ポート ペアがあり、タップ ポイントで複数のデバイスがネットワークを監視できます。これらは、再生タップと呼ばれることがよくあります。

一部のタップは、データリンク層ではなく、OSI モデルの物理層で動作します。たとえば、1000BASE-SXではなくマルチモード ファイバーで動作します。つまり、ATM や一部のイーサネットなど、その物理メディアを使用するほとんどのデータリンク ネットワーク テクノロジで動作します。単純な光スプリッターとして機能するネットワーク タップは、パッシブ タップと呼ばれることもあります(ただし、この用語は一貫して使用されるわけではありません)。このプロパティを持つことができます。

一部のネットワーク タップは、デバイスを監視するためのネットワーク トラフィックの複製と SNMP サービスの両方を提供します。ほとんどの主要なネットワーク タップ製造元は、Telnet、HTTP、または SNMP インターフェイスによるリモート管理機能を備えたタップを提供しています。このようなネットワーク タップ ハイブリッドは、既存のツールを転用せずにベースライン パフォーマンス統計を表示したいネットワーク管理者に役立ちます。また、管理対象タップによって生成された SNMP アラームは、ネットワーク管理者に、アナライザーによる調査に値する条件を侵入検知システムにリンクするように警告できます。

一部のタップは、ネットワーク自体から電力の一部 (パススルー用)またはすべての電力 (パススルーとモニターの両方用) を取得します。これらは、インライン パワーを備えていると言えます。

一部のタップでは、短いフレーム、不良な CRC、破損したデータなどの低レベルのネットワーク エラーを再現することもできます。

ポートミラーリングや SPAN と比較したネットワーク タップの利点は次のとおりです。

• パッシブ; フェイルセーフ
• ゼロ構成
• 安全な
• ネットワークトラフィックの正確な複製
• 遅延やタイミングの変更は発生しません
• 正常なフレーム/パケットに加えてネットワークエラーも渡します
• 過剰申込は問題ではない

ネットワーク タップには追加のハードウェアが必要なので、ネットワークに組み込まれている機能を使用するテクノロジほど安価ではありません。ただし、ネットワーク タップは管理が容易で、通常、一部のネットワーク デバイスよりも多くのデータを提供します。

ネットワーク タップでは、上で説明した全二重の問題を回避するために、監視デバイスでチャネル ボンディングが必要になる場合があります。ベンダーは通常、これを集約とも呼びます。

ネットワークタップを設置すると、監視対象のネットワークが短時間中断されます。^[3]それでも、監視ツールを展開するためにネットワークを何度も停止するよりも、短時間の中断のほうが望ましいです。ネットワークタップの配置に関する適切なガイドラインを確立することをお勧めします。

ネットワーク タップを使用して大規模なネットワークを監視するには、多くの監視デバイスが必要になる場合があります。ハイエンドのネットワーク デバイスでは、多くの場合、ポートをミラー ポートとして有効にすることができます。これはソフトウェア ネットワーク タップです。空いているポートはすべてミラー ポートとして構成できますが、ソフトウェア タップでは構成が必要であり、ネットワーク デバイスに負荷がかかります。

完全にパッシブなネットワーク タップでも、ネットワークに新たな障害点が生じます。タップが問題を引き起こす原因はいくつかあるため、タップ アーキテクチャを作成する際にはこの点を考慮する必要があります。光のみの環境では電源不要のタップ、銅線 100BASE-TXではスター型ネットワーク タップを検討してください。これにより、使用中のインテリジェント アグリゲーション タップを変更でき、100 メガビットからギガビット、さらに 10 ギガビットにアップグレードする際の複雑さを回避できます。冗長電源の使用を強くお勧めします。

完全なパッシブは、あらゆる帯域幅の光接続と、タイプ G703 (2 Mbit) および Ethernet Base-T 10/100 Mbit の銅線接続でのみ可能です。ギガビットおよび 10 Gbit Base-T 接続では、パッシブ タッピングは現在不可能です。

ネットワーク盗聴の対策としては、暗号化や警報システムなどがあります。暗号化により、盗まれたデータは窃盗犯には解読不可能になります。しかし、暗号化は高価なソリューションになる可能性があり、使用するとネットワーク帯域幅に関する懸念もあります。

もう 1 つの対策は、既存のレースウェイ、コンジット、または装甲ケーブルに光ファイバー センサーを配置することです。このシナリオでは、データ (銅線または光ファイバー インフラストラクチャ) に物理的にアクセスしようとする人は誰でも、アラーム システムによって検出されます。少数のアラーム システム メーカーは、光ファイバーを監視して物理的な侵入障害を検出する簡単な方法を提供しています。アラーム システムを作成するために、マルチストランド ケーブル内の既存のダーク (未使用) ファイバーを利用する実証済みのソリューションもあります。

ケーブル警報のシナリオでは、感知メカニズムは光干渉法を使用します。この方法では、マルチモード ファイバーを通過するモード分散コヒーレント光がファイバーの末端で混合され、スペックルと呼ばれる明暗の斑点の特徴的なパターンが生成されます。レーザー スペックルはファイバーが動かない限り安定していますが、ファイバーが振動するとちらつきます。光ファイバー センサーは、このスペックル パターンの時間依存性を測定し、時間データの高速フーリエ変換 (FFT) にデジタル信号処理を適用することで機能します。

米国政府は長年、盗聴の脅威を懸念しており、意図的または偶発的な物理的侵入の他の形態についても懸念しています。機密情報国防総省 (DOD) ネットワークの文脈では、保護された配布システム (PDS) は、ネットワークの物理的保護に関する一連の軍事指示およびガイドラインです。PDS は、軍事および国家安全保障情報 (NSI) を 2 つ以上の管理区域間で、または管理区域から機密性の低い区域 (SCIF またはその他の同様の区域の外側) を経由して配布するために使用されるキャリア (レースウェイ、コンジット、ダクトなど) のシステムに対して定義されています。国家安全保障電気通信および情報システム セキュリティ指示 (NSTISSI) No. 7003、保護配布システム (PDS) は、暗号化されていない機密の国家安全保障情報 (NSI) を伝送するための SIPRNET 有線および光ファイバー PDS を保護するためのガイダンスを提供します。

1000BASE-T信号は PAM 5 変調を使用します。つまり、各ケーブル ペアは両方向に同時に 5 ビットを転送します。ケーブルの両端にある PHY チップは、2 つの信号を互いに分離する必要があるため、非常に複雑なタスクを担っています。これが可能なのは、チップが自身の信号を認識しているためです。つまり、回線上の混合信号から自身の送信信号を差し引いて、リンク パートナーから送信された情報を解釈できるのです。

上の図に示すように銅線リンクをタップするには、ワイヤの中央をタップするだけでは不可能です。なぜなら、2 つの信号の複雑な変調しか見えないからです。信号を終了する唯一の方法 (図に示すように) は、PHY チップを使用して信号を分離し、リンク パートナーに信号を送信することです。この解決策は機能しますが、他のいくつかの問題が発生します。

1. これはもはやパッシブではないため、障害が発生した場合にはリンクがダウンし、リンク上のサービスが中断されます。この問題を最小限に抑えるために、各銅タップにはバイパス スイッチ (リレー) があり、電源がオフの状態 (図を参照) で閉じてリンクを復旧します。また、このソリューションでは、リンクがダウンしていることを最低 3 秒間検出しません。この 3 秒間は、自動ネゴシエーションの動作によるものです。これは、条項 28 および 40 で説明されているように、IEEE 802.3 標準の重要な機能であるため、変更できません。この短い中断時間でも、ネットワークで大きな問題が発生する可能性があります。
   • 場合によっては、サービスをシャットダウンしないとこれらのリンクを再確立できないことがあります。
   • ネットワーク内で再ルーティング機能が発生する可能性がある
   • ストリーミング アプリケーションがクラッシュし、さらに問題が発生する可能性があります。
2. 一部のレイヤー1情報は銅線タップ経由では転送されない（例：ポーズフレーム）
3. クロック同期が影響を受けます。標準の Gbit 銅タ​​ップを介した Sync-E は不可能であり、銅タップによって生じる追加の遅延により IEEE 1588 が影響を受けます。

• 仮想TAPデバイス
• Dシールド
• シールドアップ

• パッシブネットワークタップの作成