4. 网络流量采集基础
流量取证的第一步不是分析，而是“把包拿到手”。在工控网络中，采集方式选错，轻则丢包、时间戳失真，重则改变链路状态、影响生产。本章围绕镜像端口、TAP、SPAN、网络分流器四类主流手段，讲清它们的原理差异、部署位置与工控适配要点。
一、核心原理：四种采集手段的本质差异
采集的本质是把链路上的电信号或光信号“复制”一份给分析设备，同时不影响原始转发。区别在于复制发生在哪一层、由谁完成。
- 镜像端口（Mirror Port）：交换机内部把指定端口的进出流量复制到观察端口，属于设备内部功能，不额外占用物理链路。
- SPAN（Switched Port Analyzer）：思科体系对端口镜像的命名，支持源端口、源VLAN、源会话等多种粒度，可配置双向或单向。
- TAP（Test Access Point）：无源分光器或电口旁路设备，串接在物理链路中，按固定分光比复制流量，不依赖交换机软件。
- 网络分流器（Network Packet Broker）：汇聚多路输入，经过滤、去重、负载均衡后分发给多台分析工具，适合大规模采集。
关键判断：镜像/SPAN 依赖交换机 CPU 与背板资源，高负载下易丢包；TAP 是物理层复制，最接近“无损”，但需断链施工；分流器解决“多对多”分发，是汇聚层的核心。
二、方法流程：采集点部署原则
采集点不是越多越好，而是“卡在关键路径、覆盖关键协议、不破坏生产”。推荐按以下顺序决策：
- 明确取证目标：是追踪横向移动、还原PLC指令，还是审计工程师站操作？目标决定采集粒度。
- 识别关键链路：核心交换机上联口、防火墙内外口、工控区与信息区边界、PLC与上位机之间。
- 选择采集手段：核心汇聚用SPAN，边界串接用TAP，多工具共享用分流器。
- 评估负载与丢包：镜像口速率应大于源端口峰值之和，观察口不得超载。
- 统一时间源：所有采集设备与分析平台必须NTP/PTP对时，否则复盘时间线无法对齐。
工控现场优先“旁路不串接”：能镜像就不串TAP，能TAP就不串防火墙。任何串接设备都必须评估断电旁路（Bypass）能力，避免单点故障导致停产。
三、工控环境适配要点
工控网络与IT网络差异明显：协议多样（Modbus、S7、OPC UA、Profinet）、实时性要求高、设备老旧、停机窗口极短。适配时重点关注：
- 协议识别：分流器需支持工控协议解析与端口识别，避免把周期性心跳误判为异常。
- 低延迟转发：TAP与分流器引入的时延应控制在微秒级，不影响控制环路。
- 无源优先：分光TAP无需供电，适合无人值守的现场机柜。
- 施工窗口：串接TAP必须利用检修窗口，提前准备旁路跳线与回退方案。
- 环境防护：现场温度、粉尘、电磁干扰大，采集设备需满足工业级宽温与防护等级。
四、对比清单与选型参考
| 采集方式 | 复制层级 | 是否断链 | 丢包风险 | 时间戳精度 | 典型场景 |
|---|---|---|---|---|---|
| 镜像端口 | 交换机内部 | 否 | 中高 | 中 | 核心汇聚、临时排查 |
| SPAN | 交换机内部 | 否 | 中高 | 中 | VLAN级、多源会话 |
| TAP | 物理层 | 是 | 低 | 高 | 边界串接、关键链路 |
| 网络分流器 | 汇聚层 | 视接入方式 | 低 | 高 | 多工具共享、大规模采集 |
五、案例与常见误区
案例：某汽车厂总装车间出现PLC指令异常，工程师在核心交换机上配置SPAN，将上联口镜像到分析仪。复盘时发现关键指令段丢失，原因是镜像口速率仅为源端口峰值的60%，且未开启优先级队列。后改为在PLC与交换机之间串接无源TAP，并统一PTP对时，才完整还原了异常指令序列。
常见误区：① 认为“镜像=无损”，忽略交换机背板与CPU限制；② 多台分析工具共用一个镜像口，互相抢占导致丢包；③ 采集设备未对时，多源日志时间线错位；④ 串接TAP未做Bypass，设备断电即断网；⑤ 只采边界不采工控区内部，横向移动证据缺失。
复盘时建议建立“采集点台账”，记录每个采集点的位置、方式、速率、时间源、覆盖协议与责任人，并定期用已知流量做丢包与时间戳校验。只有采集链路可信，后续的取证与复盘结论才站得住脚。