Dispositivo di acquisizione pacchetti di rete
Un dispositivo di acquisizione pacchetti di rete registra il traffico a livello di pacchetto, così i difensori possono esaminare conversazioni, timestamp e dettagli del protocollo che i log potrebbero non rilevare.
Cos'è
Un dispositivo di acquisizione pacchetti di rete è un hardware, o un appliance dedicato, che copia il traffico di rete e lo memorizza per un'analisi successiva. Invece di conservare solo riepiloghi come record di flusso o log del firewall, registra i pacchetti effettivi che si muovono su un collegamento. Questo lo rende utile per la risoluzione dei problemi, la revisione di incidenti e l'analisi dei protocolli quando è necessario vedere esattamente cosa è stato inviato, quando è stato inviato e in quale ordine.
L'acquisizione dei pacchetti viene spesso chiamata raccolta PCAP. Il dispositivo può trovarsi inline in ambienti controllati, oppure più comunemente ricevere una copia specchiata del traffico da uno switch, da un tap o da un punto di aggregazione. In entrambi i casi, il suo compito è osservare, non filtrare o bloccare.
Come funziona
Il dispositivo riceve un flusso di pacchetti e li scrive su storage in file di acquisizione. I sistemi ben progettati preservano metadati come timestamp, ID dell'interfaccia, lunghezza del pacchetto e talvolta indicatori di perdita. Questi metadati sono importanti perché una traccia dei pacchetti è utile solo se si può fare affidamento sull'ordine e sulla temporizzazione di ciò che è stato registrato.
Molte implementazioni associano l'acquisizione dei pacchetti a un network tap o a una porta SPAN dello switch:
- Network tap: crea una copia passiva del traffico con un overhead ridotto.
- Porta SPAN o mirror: duplica il traffico da uno switch, ma può perdere pacchetti se sovraccarica.
- Aggregazione: combina più collegamenti, il che aiuta la copertura ma aumenta il volume.
La sfida ingegneristica principale è la capacità di throughput. Se il dispositivo non riesce a ingerire il traffico alla stessa velocità con cui arriva, i pacchetti vengono persi e la traccia diventa incompleta.
Specifiche che contano
Quando si valuta questa famiglia di prodotti, i numeri più importanti non sono le funzionalità di marketing ma i limiti di acquisizione. Presta attenzione alla velocità dell'interfaccia, alla velocità di scrittura sostenuta, alla dimensione del buffer e alla resistenza dello storage. Un dispositivo dimensionato per 1 GbE può fallire gravemente su un link 10 GbE molto trafficato, anche se la rete è solo brevemente soggetta a picchi.
Altre caratteristiche utili includono:
- Precisione del timestamp: importante per correlare eventi tra sistemi.
- Supporto all'offload hardware: può ridurre i pacchetti persi su link ad alto volume.
- Progettazione dello storage: gli SSD aiutano con la velocità di scrittura; la capacità determina il tempo di conservazione.
- Opzioni di esportazione: il recupero semplice di PCAP o di riepiloghi indicizzati semplifica l'analisi.
Per il lavoro di sicurezza, il conteggio dei pacchetti, il tasso di perdita dei pacchetti e la durata dell'acquisizione spesso contano più della larghezza di banda massima dichiarata.
Configurazione e uso operativo
Il posizionamento corretto è fondamentale. Un dispositivo di acquisizione dovrebbe osservare il traffico che ti interessa senza modificarlo. Di solito ciò significa posizionarlo dietro un tap o su una porta mirrorata e verificare che il mirror includa entrambe le direzioni della conversazione. Se viene acquisita solo una direzione, molte analisi dei protocolli diventano fuorvianti.
Aiuta anche definire le regole di acquisizione prima dell'implementazione: quali VLAN, host o porte devono essere registrati; per quanto tempo le tracce devono essere conservate; e chi può accedervi. Le acquisizioni dei pacchetti possono contenere credenziali, dati personali e altri contenuti sensibili, quindi il controllo degli accessi e la crittografia a riposo sono importanti.
Errori comuni da evitare
La modalità di guasto più comune è la sovrascrizione. Gli utenti assumono che un link sia solo una piccola parte della rete, poi scoprono che burst, ritrasmissioni e traffico aggregato sovraccaricano il percorso di acquisizione. Un altro errore è fare affidamento su una porta mirror sovraccarica e presumere che la traccia sia completa.
Altri problemi includono una sincronizzazione temporale scarsa, una conservazione senza limiti che riempie i dischi e un'acquisizione troppo ampia senza uno scopo chiaro. Un archivio enorme non sostituisce una traccia ben delimitata. In pratica, acquisizioni più piccole con timestamp accurati sono più facili da cercare e più utili per gli analisti.
Limiti e manutenzione
Un dispositivo di acquisizione pacchetti non interpreta l'intento. Registra ciò che la rete ha visto, non se l'attività era malevola o autorizzata. Anche il traffico cifrato può limitare ciò che gli analisti apprendono, a meno che non possano associare l'acquisizione a chiavi, metadati di sessione o telemetria dell'endpoint.
La manutenzione è semplice ma facile da trascurare: verifica la sincronizzazione dell'orologio, controlla lo stato dei dischi, conferma i contatori di perdita dei pacchetti e testa regolarmente i flussi di esportazione. Un sistema di acquisizione è utile solo se può produrre prove affidabili quando servono, quindi la convalida periodica fa parte del normale funzionamento, non è un extra opzionale.