جهاز التقاط الحزم

في النهج المركزي، يتصل جهاز واحد عالي السعة والسرعة لالتقاط حزم البيانات بنقطة تجميع البيانات. وتكمن ميزة هذا النهج في إمكانية رؤية حركة مرور الشبكة بالكامل من خلال جهاز واحد. إلا أن هذا النهج يُنشئ نقطة فشل واحدة تُشكل هدفًا جذابًا للمخترقين؛ إضافةً إلى ذلك، يتطلب الأمر إعادة هندسة الشبكة لتوجيه حركة المرور إلى الجهاز، وهو ما ينطوي عادةً على تكاليف باهظة. ^{[ 4 ]}

باستخدام نهج لا مركزي، يتم توزيع أجهزة متعددة على الشبكة، بدءًا من نقطة الدخول وصولًا إلى قطاعات الشبكة الأعمق، مثل مجموعات العمل. تشمل المزايا: عدم الحاجة إلى إعادة تهيئة الشبكة؛ سهولة النشر؛ نقاط مراقبة متعددة للتحقيقات في الاستجابة للحوادث؛ قابلية التوسع؛ عدم وجود نقطة فشل واحدة - فإذا تعطل أحدها، تبقى البقية؛ وإذا ما اقترن هذا النهج بالإخفاء الإلكتروني، فإنه يقضي عمليًا على خطر الوصول غير المصرح به من قبل المتسللين؛ انخفاض التكلفة. أما العيوب: احتمال زيادة صيانة الأجهزة المتعددة. ^{[ 4 ]}

في الماضي، كان استخدام أجهزة التقاط الحزم محدودًا، وغالبًا ما كان يقتصر على نقطة دخول الشبكة. أما الآن، فيمكن نشر هذه الأجهزة بكفاءة أكبر في نقاط متعددة حول الشبكة. عند الاستجابة للحوادث، تُعدّ القدرة على رؤية تدفق بيانات الشبكة من زوايا نظر مختلفة أمرًا بالغ الأهمية لتقليل وقت الحل وتحديد أجزاء الشبكة المتأثرة بدقة. بوضع أجهزة التقاط الحزم عند نقطة الدخول وأمام كل مجموعة عمل، يصبح تتبع مسار أي عملية إرسال داخل الشبكة أسهل وأسرع بكثير. إضافةً إلى ذلك، تُظهر الأجهزة الموضوعة أمام مجموعات العمل عمليات الإرسال الداخلية التي لا يستطيع الجهاز الموجود عند نقطة الدخول التقاطها. ^{[ 3 ]}

تقوم أجهزة التقاط الحزم الكاملة بالتقاط وتسجيل جميع أنشطة إيثرنت/IP، بينما تقوم أجهزة التقاط الحزم المُفلترة بالتقاط جزء فقط من حركة البيانات بناءً على مجموعة من المرشحات التي يُحددها المستخدم، مثل عنوان IP أو عنوان MAC أو البروتوكول. ما لم يكن استخدام جهاز التقاط الحزم لغرض محدد للغاية تغطيه معايير التصفية، فمن الأفضل عمومًا استخدام أجهزة التقاط الحزم الكاملة، وإلا فإنك تُخاطر بفقدان بيانات حيوية. خاصةً عند استخدام التقاط الحزم لأغراض التحليل الجنائي للشبكات أو الأمن السيبراني، فمن الأهمية بمكان التقاط كل شيء لأن أي حزمة لا يتم التقاطها فورًا هي حزمة مفقودة إلى الأبد. من المستحيل معرفة الخصائص المحددة للحزم أو عمليات الإرسال المطلوبة مسبقًا، خاصةً في حالة التهديدات المتقدمة المستمرة (APT). تعتمد التهديدات المتقدمة المستمرة وغيرها من تقنيات الاختراق على جهل مسؤولي الشبكات بكيفية عملها، وبالتالي عدم امتلاكهم حلولًا لمواجهتها. ^{[ 3 ]}

تستخدم تقنية التقاط الحزم الذكية التعلم الآلي لفلترة وتقليل كمية حركة مرور الشبكة الملتقطة. بينما تعتمد تقنية التقاط الحزم التقليدية على قواعد وسياسات يتم ضبطها يدويًا لالتقاط جميع حركة المرور التي يُحتمل أن تكون ضارة. أما تقنية التقاط الحزم الذكية فتستخدم نماذج التعلم الآلي، بما في ذلك ميزات من مصادر معلومات التهديدات السيبرانية ، لاستهداف حركة المرور الأكثر تهديدًا والتقاطها بطريقة علمية. وتُستخدم تقنيات التعلم الآلي لكشف اختراقات الشبكة ^{[ 6 ] [ 7 ]} ، وتصنيف حركة المرور ^{[ 8 ]} ، وكشف الحالات الشاذة ^{[ 9 ]} لتحديد حركة المرور التي يُحتمل أن تكون ضارة بهدف جمعها.

تقوم بعض أجهزة التقاط الحزم بتشفير البيانات الملتقطة قبل حفظها على القرص، بينما لا تقوم أجهزة أخرى بذلك. ونظرًا لحجم المعلومات الهائل الذي ينتقل عبر الشبكة أو اتصال الإنترنت، وإمكانية اعتبار جزء منها على الأقل حساسًا، يُعد التشفير خيارًا مناسبًا في معظم الحالات كإجراء للحفاظ على أمان البيانات الملتقطة. كما يُعد التشفير عنصرًا أساسيًا في توثيق البيانات لأغراض التحليل الجنائي للبيانات والشبكات. ^{[ 3 ]}

سرعة الالتقاط المستدامة هي المعدل الذي يستطيع جهاز التقاط الحزم من خلاله التقاط وتسجيل الحزم دون انقطاع أو خطأ على مدى فترة زمنية طويلة. وهذا يختلف عن سرعة الالتقاط القصوى، وهي أعلى سرعة يمكن لجهاز التقاط الحزم من خلالها التقاط وتسجيل الحزم. لا يمكن الحفاظ على سرعة الالتقاط القصوى إلا لفترة قصيرة، حتى تمتلئ مخازن الجهاز المؤقتة ويبدأ بفقدان الحزم. تشترك العديد من أجهزة التقاط الحزم في نفس سرعة الالتقاط القصوى البالغة 1  جيجابت/ثانية، ولكن السرعات المستدامة الفعلية تختلف اختلافًا كبيرًا من طراز لآخر. ^{[ 3 ] [ 10 ]}

يُعد جهاز التقاط الحزم المزود بوحدة تخزين دائمة مثاليًا لأغراض التحليل الجنائي للشبكات وحفظ السجلات الدائمة، لأن البيانات الملتقطة لا يمكن الكتابة فوقها أو تعديلها أو حذفها. العيب الوحيد لوحدة التخزين الدائمة هو امتلاء الجهاز في نهاية المطاف، مما يستدعي استبداله. أما أجهزة التقاط الحزم المزودة بوحدة تخزين قابلة للكتابة فوقها، فهي أسهل في الإدارة، لأنها بمجرد امتلاء سعتها، تبدأ تلقائيًا في الكتابة فوق أقدم البيانات الملتقطة بالبيانات الجديدة. مع ذلك، يواجه مديرو الشبكات خطر فقدان بيانات التقاط مهمة عند الكتابة فوقها. عمومًا، تُعد أجهزة التقاط الحزم المزودة بإمكانية الكتابة فوق البيانات مفيدة لأغراض المراقبة أو الاختبار البسيطة، والتي لا تتطلب سجلًا دائمًا. يُعد التسجيل الدائم غير القابل للكتابة فوق البيانات ضروريًا لجمع معلومات التحليل الجنائي للشبكات. ^{[ 4 ]}

تستخدم معظم الشركات شبكات إيثرنت بسرعة جيجابت ، وستستمر في ذلك لبعض الوقت. ^{[ 11 ]} إذا كانت الشركة تنوي استخدام جهاز مركزي واحد لالتقاط حزم البيانات لتجميع جميع بيانات الشبكة، فمن المحتمل أن يكون من الضروري استخدام جهاز التقاط حزم بيانات بسرعة 10 جيجابت/ثانية للتعامل مع حجم البيانات الكبير الوارد إليه من جميع أنحاء الشبكة. لكن الطريقة الأكثر فعالية هي استخدام عدة  أجهزة التقاط حزم بيانات مدمجة بسرعة 1 جيجابت/ثانية موزعة استراتيجياً في أنحاء الشبكة، بحيث لا تكون هناك حاجة لإعادة تصميم شبكة جيجابت لتناسب جهاز 10 جيجابت/ثانية . ^{[ 10 ]}