隨著網絡速度和復雜性的增加，許多IT部門發現，僅僅在SPAN端口和TAP（Test Access Point，測試接入點）上連接網絡安全設備并不能實現全面的保護和可見性。為了解決這個問題，有一些安全供應商與網絡流量捕捉專業公司合作，實現了一種更優的解決方案。

網絡流量捕捉供應商，包括Net Optics、VSS Monitoring、Gigamon和Anue Systems等，都提供網絡TAP。這些TAP能夠區分交換機和路由器流量并將之轉發給網絡安全設備。他們還推出了矩陣交換機，它能夠從這些TAP中收集流量，然后將流量轉發給多個網絡安全設備。這些聚集設備支持通過一個網絡安全設備同時檢測或監控多個網絡分片。網絡流量捕捉系統也能夠將聚集的流量負載均衡到多個網絡安全設備，以增加總吞吐量和容量。

使用SPAN端口和TAP進行網絡流量捕捉的問題

使用單獨的SPAN端口和TAP為網絡安全設備捕捉網絡流量可能會影響總體可見性，特別是當位于網絡邊緣的安全措施僅僅作為第一層防護時。

Forrester Research高級分析師John Kindervag說：“人們經常使用SPAN端口的原因是它們比較便宜，但是它們存在一個問題，您無法保證它們一直可用。因為數量有限，不夠所有人使用。當您受到攻擊，需要這些數據時，交換機將飽和，而首先停止工作的端口就是SPAN端口，這樣它才會獲得一些額外的計算能力。所以，在您真正需要它的時候，系統卻不會為您提供數據。”

網絡捕捉系統：一臺設備監控多種信息流

Kindervag提出了一種零信任網絡安全策略，它拋棄了邊緣防御，轉而使用網絡分析和監控工具來檢測和記錄所有企業網絡流量。這種方法需要使用一種網絡流量捕捉系統，它能夠將所有網絡數據轉發給網絡安全設備。

Kindervag說：“您很難只通過SPAN端口獲得這些工具所需要的數據。這時就需要專業的數據采集網絡來提供足夠的數據，這樣您才能夠監控通常不可見的攻擊，包括棘手的APT攻擊。人們需要監控網絡以發現這些問題。”

而網絡流量捕捉系統使企業能夠靈活控制網絡安全設備的負載分配。通過這種方法，工程師就能夠設置系統收集多個流，然后將它們發送到一個設備中。

企業管理聯盟的研究主管Jim Frey說：“現在您不需要在必須監控的10多條鏈路上部署多個IDSec，您只需要用一臺設備從其中一臺網絡訪問管理設備收集和整合數據流。另一種方法是延長安全工具的壽命。隨著速度達到10GB或40GB，安全工具不需要全速支持這些更高速的網絡。”

網絡流量捕捉系統可以執行媒體轉換，將低帶寬數據流發送到網絡安全設備。它們也能夠在多個設備之間實現數據流負載均衡。

網絡流量捕捉系統輔助主動出擊和被動防御網絡安全工具

大多數企業都不使用網絡流量捕捉系統為主動出擊的內部設備，如防火墻或入侵防御系統(IPS) 提供數據。這些設備需要訪問即時數據流，以允許或拒絕流量。企業將網絡流量捕捉系統的數據傳輸給被動監控設備（如入侵檢測系統IDS）或安全網絡監控設備（NetWitness）。這些工具能夠在發現安全問題和異常行為時向網絡安全團隊發出警告。

一些網絡流量捕捉專家提供了支持主動網絡安全工具的內聯解決方案。VVS Monitoring推出了Protector，這是一個內聯TAP設備，它能夠將即時流量轉發給網絡安全工具，執行主動檢測。本月，VSS Protector通過IBM認證，兼容IBM ISS Systems IPS設備。

這些VSS內聯設備能將流量轉發到一個全局網絡流量捕捉系統以執行被動保護，同時也支持將即時流量轉到給內聯設備。根據VSS Monitoring的業務開發主管Mike Grever介紹，它們能夠根據協議和應用程序進行2層數據過濾。這樣，網絡流量捕捉系統就可以將特殊的流量流發送到不同的網絡安全設備上。

Grever說：“有一些人只希望查看Web流量，而另外一些人則只需要查看VoIP流量。他們只希望將80端口流量發送到IPS設備，而將所有其他流量發送到一臺被動防御的IDS。即使您擁有一臺IPS使用的VSS設備，您也能夠在同一臺VSS設備中使用諸如IDS的被動工具。”

下一代防火墻專家Palo Alto Networks與Gigamon和Net Optics合作，將它的防火墻部署為一臺內聯IPS設備，使用Gigamon或Net Optics繞過交換機，在網絡安全設備出錯時讓流量繞過它，使流量傳輸不受網絡安全設備故障的影響。

Palo Alto產品銷售主管Chris King說：“如果防火墻出現故障，就意味著網絡會中斷。防火墻是一種出錯即關閉的設備。而IPS是出錯即開放的。如果客戶希望使用我們的IPS部署，Gigamon和Net Optics會向客戶提供穩定的IPS功能，而不會出現防火墻出錯即關閉的功能。”