流量镜像方法详解：如何选择适合工业物联网安全监控的技术方案

创作时间:

作者:

@小白创作中心

流量镜像方法详解：如何选择适合工业物联网安全监控的技术方案

引用

来源

https://learn.microsoft.com/zh-cn/training/modules/defender-iot-prepare-deployment/5-determine-traffic-mirroring-method?ns-enrollment-id=learn.defender-iot-deploy-ot-monitoring&ns-enrollment-type=learningpath&source=recommendations

在工业物联网安全领域，流量镜像技术是实现网络监控和威胁检测的关键环节。本文将详细介绍五种主流的流量镜像方法，包括它们的工作原理、应用场景以及优缺点分析，帮助读者根据实际需求选择最适合的方案。

在上一单元中，你确定了汽车制造站点中要监视的设备和子网。现在要确定要用于站点的流量镜像方法。
使用 Defender for IoT 进行流量镜像可让你将网络流量镜像到传感器，可以在其中监视和诊断网络中的风险和威胁。

流量镜像方法

根据网络配置确定要使用的流量镜像方法。 Defender for IoT 支持以下流量镜像方法：

方法	说明
交换机 SPAN 端口	将交换机上的接口的本地流量镜像到同一交换机上的其他接口。
远程 SPAN (RSPAN) 端口	将来自多个分布式源端口的流量镜像到专用远程虚拟局域网 (VLAN)。VLAN 数据通过中继端口传送，跨多个交换机传送到包含物理目标端口的指定交换机。
主动或被动聚合 (TAP)	将主动/被动聚合终端接入点 (TAP) 以内联方式安装到网络电缆。 TAP 将“接收”和“传输”流量复制到 OT 网络传感器。TAP 硬件设备使网络流量能够在不中断且不影响网络完整性的情况下在端口间流动。TAP 的优点包括：基于硬件，可传递所有消息（包括损坏的消息）且不区分处理器。建议将 TAP 用于取证监视。
封装的远程交换端口分析器 (ERSPAN)	通过将输入接口通过 IP 网络镜像到 OT 传感器的监视混杂接口来保护远程网络。流量有效负载通过通用路由封装 (GRE) 隧道封装进行封装，并由传感器进行分析。ERSPAN 很适合需要在 OSI 第 3 层网络上路由流量的情况。它可能包括以太网端口、VLAN、构造端口通道和附属端口等源。
ESXi vSwitch	使用虚拟交换机和混杂模式作为配置监视端口的方法，因为虚拟交换机没有镜像功能。通过虚拟交换机的任何流量对同一端口组中的其他网络接口可见。
Hyper-V vSwitch	使用虚拟交换机和混杂模式作为配置监视端口的方法，因为虚拟交换机没有镜像功能。通过虚拟交换机的任何流量对同一端口组中的其他网络接口可见。