Network Tap : ce que c’est et où il s’intègre dans la visibilité industrielle
Un network tap est un dispositif matériel passif qui copie le trafic réseau à des fins de surveillance sans devenir partie prenante du chemin du trafic. Dans les réseaux OT et industriels, cela peut faciliter la mise en place de la visibilité sans dépendre uniquement d’agents logiciels ou du mirroring de commutateur.
Ce qu’est un network tap
Un network tap se place entre deux points de communication et réalise une copie exacte du trafic circulant sur la liaison. L’équipement surveillé continue de communiquer normalement ; le tap fournit simplement une sortie séparée pour des capteurs, des outils de capture de paquets ou des analyseurs. Contrairement à un agent logiciel, il n’a pas besoin d’être installé sur l’appareil observé.
Cela compte dans les environnements industriels, car de nombreux actifs sont anciens, fragiles ou gérés par un fournisseur qui ne souhaite pas qu’un logiciel supplémentaire soit chargé sur un contrôleur, un commutateur ou un appareil embarqué. Un tap est souvent utilisé lorsque les opérateurs veulent de la visibilité sans modifier le comportement du système de production.
Fonctionnement
La plupart des taps sont conçus pour un support physique spécifique, comme l’Ethernet cuivre ou la fibre. Ils relaient la liaison en direct d’une manière qui préserve la communication normale, tout en dupliquant également les trames vers un port de supervision ou une paire de ports. Les outils de sécurité connectés à cette sortie de supervision peuvent inspecter le trafic de manière passive.
En pratique, cela signifie que le côté supervision voit des copies de paquets, et non un chemin qui passe par le tap. Cette distinction est importante : le tap n’est ni un routeur, ni un commutateur, ni un pare-feu, ni un packet broker. Il ne décide pas quel trafic est autorisé. Son rôle est uniquement d’exposer le trafic d’une manière que les outils peuvent observer.
Spécifications importantes
Les taps ne conviennent pas tous à toutes les liaisons. Les principaux points à vérifier sont le support physique, le débit de liaison et le fait que le tap prenne en charge le trafic unidirectionnel ou full-duplex. Pour les liaisons fibre, la perte d’insertion et le budget optique comptent, car un tap ajoute de l’atténuation. Pour les liaisons cuivre, l’impédance et la qualité du câble influencent l’intégrité du signal.
- Type de support : cuivre, fibre ou parfois variantes série/héritées
- Débit de liaison : doit correspondre à la vitesse réseau utilisée
- Ports de supervision : une ou deux sorties selon la direction et la conception de l’outil
- Comportement énergétique : les taps passifs n’ont pas besoin d’alimentation pour laisser passer le trafic, mais certains modèles avancés oui
- Caractéristiques en cas de panne : comportement de l’appareil si un composant est endommagé ou perd son alimentation
Pour le travail OT, la robustesse physique compte aussi. Le boîtier, le type de connecteur, la plage de température et le mode de fixation doivent convenir à l’armoire ou à l’environnement de l’usine, pas seulement au laboratoire.
Limites et erreurs courantes
Un tap donne de la visibilité, mais il ne la crée pas à lui seul. Il faut toujours un capteur ou un système de capture de paquets capable de décoder le trafic, de comprendre les protocoles industriels et de stocker suffisamment de données pour l’analyse. Un tap ne peut pas non plus voir le trafic qui ne traverse jamais la liaison à laquelle il est raccordé, donc son emplacement est crucial.
Les erreurs courantes incluent l’utilisation du mauvais type de support, l’hypothèse qu’un tap peut résoudre un réseau congestionné, et l’oubli que le trafic dupliqué peut submerger l’outil de supervision si le système de capture est sous-dimensionné. Une autre erreur fréquente consiste à placer le tap à un endroit où il ne peut pas observer les flux importants, par exemple entre un commutateur et un seul hôte alors que le risque réel se situe sur un autre segment.
Installation et maintenance
L’installation doit être planifiée pendant une fenêtre de maintenance, avec un étiquetage clair du côté actif, du côté supervision et du sens du trafic. Après l’installation, confirmez la stabilité de la liaison, vérifiez l’absence d’erreurs et assurez-vous que l’outil de supervision reçoit des copies propres des paquets aux débits attendus.
La maintenance continue est généralement légère, mais elle ne doit pas être négligée. Inspectez les connecteurs, surveillez la contamination de la fibre et refaites des tests après le déplacement d’une armoire ou un changement de câbles. Si le réseau est mis à niveau vers une nouvelle vitesse ou un nouveau support, le tap peut nécessiter un remplacement plutôt qu’un réglage.
Bien utilisé, un network tap est un moyen simple de rendre le trafic visible sans demander au réseau de production de faire un travail supplémentaire. Sa valeur vient de son caractère passif, prévisible et de sa proximité physique avec la liaison que vous souhaitez observer.