4.8.3.1: Solución de problemas con la descripción general de SPAN

La función Analizador de puertos con switches (SPAN) permite que los administradores distribuyan el tráfico a los dispositivos especializados, como los analizadores de paquete y los sistemas de protección contra intrusiones (IPS). Esto permite que los administradores analicen el tráfico y resuelvan problemas antes de enviar el tráfico hacia el destino. Los IPS buscan patrones específicos en el tráfico. A medida que el tráfico atraviesa los IPS, puede analizar el tráfico en tiempo real y tomar medidas al detectar un patrón de tráfico predefinido. Los IPS se utilizan principalmente para detectar ataques a la red mientras estos se producen y enviar alertas o incluso bloquean los paquetes maliciosos mientras se produce el ataque.

Para ser eficaces, los IPS deben tener la capacidad para examinar todo el flujo de tráfico en una red. Debido a que las redes modernas son entornos conmutados, el SPAN es fundamental para la operación eficaz de los IPS.

Algunos patrones de ataques son más complejos que otros. Por ejemplo, un ataque LAND (ataque de red de área local) envía un paquete TCP SYN suplantado (inicio de conexión) con la misma dirección IP de origen y de destino del host de destino y el mismo puerto de origen y destino que un puerto abierto del objetivo. Un ataque LAND hace que la máquina responda a sí misma continuamente. Debido a que se requiere un solo paquete se requiere para identificar este tipo de ataque, el IPS puede evitar fácilmente que estos paquetes ingresen a la red en su totalidad.

Además de los IPS, otro dispositivo común utilizado para recibir el tráfico de SPAN el analizador de paquetes. Mientras que los IPS se centran más en el aspecto de seguridad del tráfico, los analizadores de paquete se suelen utilizar para la solución de problemas. Por ejemplo, si una aplicación de red particular demora demasiado en ejecutar las tareas, un administrador de red puede utilizar SPAN para duplicar y redirigir el tráfico hacia un analizador de paquetes para capturarlo. El administrador luego puede analizar el tráfico de todos los dispositivos para solucionar problemas de funcionamiento por debajo del nivel óptimo de la aplicación de red.