Dispositivo de captura de paquetes

Con un enfoque centralizado, un dispositivo de captura de paquetes de alta capacidad y alta velocidad se conecta a un punto de agregación de datos. La ventaja de este enfoque es que, con un solo dispositivo, se obtiene visibilidad de todo el tráfico de la red. Sin embargo, este enfoque crea un único punto de fallo, un objetivo muy atractivo para los hackers; además, sería necesario rediseñar la red para dirigir el tráfico al dispositivo, lo que generalmente implica altos costos. ^{[ 4 ]}

Con un enfoque descentralizado, se colocan varios dispositivos en la red, comenzando en el/los punto(s) de entrada y avanzando hacia segmentos de red más profundos, como grupos de trabajo. Las ventajas incluyen: no se requiere reconfiguración de la red; facilidad de implementación; múltiples puntos de observación para investigaciones de respuesta a incidentes; escalabilidad; no hay un único punto de fallo: si uno falla, se tienen los demás; si se combina con la invisibilidad electrónica, este enfoque prácticamente elimina el peligro de acceso no autorizado por parte de hackers; bajo costo. Desventajas: posible aumento del mantenimiento de múltiples dispositivos. ^{[ 4 ]}

En el pasado, los dispositivos de captura de paquetes se implementaban con poca frecuencia, a menudo solo en el punto de entrada a la red. Ahora, estos dispositivos pueden implementarse de manera más efectiva en diversos puntos de la red. Al responder a incidentes, la capacidad de visualizar el flujo de datos de la red desde diferentes perspectivas es indispensable para reducir el tiempo de resolución y determinar qué partes de la red se vieron afectadas. Al colocar dispositivos de captura de paquetes en el punto de entrada y frente a cada grupo de trabajo, el seguimiento de la ruta de una transmisión específica hacia el interior de la red se simplifica y agiliza considerablemente. Además, los dispositivos ubicados frente a los grupos de trabajo mostrarían las transmisiones de la intranet que el dispositivo situado en el punto de entrada no podría capturar. ^{[ 3 ]}

Los dispositivos de captura de paquetes completa capturan y registran toda la actividad Ethernet/IP, mientras que los dispositivos de captura de paquetes filtrados capturan solo un subconjunto del tráfico según un conjunto de filtros definibles por el usuario, como la dirección IP , la dirección MAC o el protocolo. A menos que se utilice el dispositivo de captura de paquetes para un propósito muy específico cubierto por los parámetros del filtro, generalmente es mejor usar dispositivos de captura de paquetes completa para evitar la pérdida de datos vitales. En particular, al usar la captura de paquetes para análisis forense de redes o ciberseguridad, es fundamental capturar todo, ya que cualquier paquete que no se capture en el momento se pierde para siempre. Es imposible conocer de antemano las características específicas de los paquetes o transmisiones necesarios, especialmente en el caso de una amenaza persistente avanzada (APT). Las APT y otras técnicas de piratería informática dependen para tener éxito de que los administradores de red desconozcan su funcionamiento y, por lo tanto, no cuenten con soluciones para contrarrestarlas. ^{[ 3 ]}

La captura inteligente de paquetes utiliza el aprendizaje automático para filtrar y reducir la cantidad de tráfico de red capturado. La captura tradicional de paquetes filtrados se basa en reglas y políticas configuradas manualmente para capturar todo el tráfico potencialmente malicioso. La captura inteligente de paquetes utiliza modelos de aprendizaje automático, incluyendo características de fuentes de inteligencia ^sobre amenazas cibernéticas , para identificar y capturar científicamente el tráfico más peligroso. Se utilizan técnicas de aprendizaje automático para la detección de intrusiones en la red, ^{[ 6 ] [ 7 ]} la clasificación del tráfico [ ^{8 ]} y la detección de anomalías ^{[ 9 ]} para identificar el tráfico potencialmente malicioso que se recopilará.

Algunos dispositivos de captura de paquetes cifran los datos capturados antes de guardarlos en el disco, mientras que otros no. Dada la gran cantidad de información que circula por una red o conexión a internet y que al menos una parte de ella podría considerarse sensible, el cifrado es una buena idea en la mayoría de los casos como medida para proteger los datos capturados. El cifrado también es un elemento fundamental para la autenticación de datos en el ámbito del análisis forense de datos y redes. ^{[ 3 ]}

La velocidad de captura sostenida es la velocidad a la que un dispositivo de captura de paquetes puede capturar y registrar paquetes sin interrupción ni errores durante un período prolongado. Esto difiere de la velocidad de captura máxima, que es la velocidad más alta a la que un dispositivo de captura de paquetes puede capturar y registrar paquetes. La velocidad de captura máxima solo se puede mantener durante un corto período de tiempo, hasta que los búferes del dispositivo se llenan y comienza a perder paquetes. Muchos dispositivos de captura de paquetes comparten la misma velocidad de captura máxima de 1  Gbit/s, pero las velocidades sostenidas reales varían significativamente de un modelo a otro. ^{[ 3 ] [ 10 ]}

Un dispositivo de captura de paquetes con almacenamiento permanente es ideal para análisis forenses de redes y para el registro permanente de datos, ya que la información capturada no se puede sobrescribir, alterar ni eliminar. El único inconveniente del almacenamiento permanente es que, con el tiempo, el dispositivo se llena y requiere reemplazo. Los dispositivos de captura de paquetes con almacenamiento sobrescribible son más fáciles de administrar, ya que, una vez que alcanzan su capacidad máxima, comienzan a sobrescribir los datos capturados más antiguos con los nuevos; sin embargo, los administradores de red corren el riesgo de perder datos importantes cuando estos se sobrescriben. En general, los dispositivos de captura de paquetes con capacidad de sobrescritura son útiles para tareas sencillas de monitorización o pruebas, para las que no se requiere un registro permanente. El registro permanente e insobrescribible es fundamental para la recopilación de información en análisis forenses de redes. ^{[ 4 ]}

La mayoría de las empresas utilizan redes Gigabit Ethernet y seguirán haciéndolo durante algún tiempo. ^{[ 11 ]} Si una empresa pretende utilizar un dispositivo centralizado de captura de paquetes para agregar todos los datos de la red, probablemente sería necesario utilizar un dispositivo de captura de paquetes de 10 GbE para gestionar el gran volumen de datos que recibe de toda la red. Una forma más eficaz es utilizar varios  dispositivos de captura de paquetes en línea de 1 Gbit/s ubicados estratégicamente en la red, de modo que no sea necesario rediseñar una red Gigabit para adaptarla a un dispositivo de 10 GbE . ^{[ 10 ]}