TAP vs SPAN port negli ambienti OT: come scegliere dove mettere i sensori

Perché il punto di cattura del traffico è una decisione critica

Qualsiasi soluzione di monitoraggio passivo per reti OT ha bisogno di vedere il traffico: senza accesso al flusso di dati che circola sulla rete, non c'è nulla da analizzare. Il modo in cui si ottiene questo accesso non è un dettaglio tecnico secondario: influenza la completezza dei dati, l'affidabilità del sistema di monitoraggio, il rischio di impatto sui processi operativi, e il costo complessivo dell'infrastruttura.

Ci sono due metodi principali per fornire ai sensori di monitoraggio una copia del traffico di rete: i TAP hardware (Test Access Point) e le SPAN port (Switched Port Analyzer, dette anche port mirror). Entrambi servono allo stesso scopo, fornire una copia del traffico al sensore di analisi, ma lo fanno con caratteristiche tecniche molto diverse, con implicazioni pratiche significative in ambienti OT industriali.

La scelta tra i due non segue una risposta universale: dipende dalla topologia della rete, dall'età e dal tipo degli switch presenti, dalla criticità dei sistemi da monitorare, e dal budget disponibile. Conoscere le differenze tecniche è il prerequisito per fare una scelta informata.

TAP hardware: caratteristiche e vantaggi in ambienti OT

Un TAP (Test Access Point) è un dispositivo hardware passivo che si inserisce fisicamente nel cavo di rete tra due dispositivi (tipicamente tra uno switch e un altro dispositivo) e produce una copia elettrica o ottica del segnale, senza modificarlo, senza introdurre latenza, senza avere un indirizzo IP.

Le caratteristiche tecniche che rendono il TAP particolarmente adatto agli ambienti OT:

Nessun indirizzo IP: il TAP non è un dispositivo di rete indirizzabile. Non può essere raggiunto, scansionato, o attaccato tramite rete. Non compare in nessun ARP table. Non risponde a nessuna richiesta. Questo è rilevante in un ambiente OT dove l'introduzione di ogni nuovo indirizzo IP deve essere giustificata e dove si vuole che il sistema di monitoraggio abbia il minor footprint possibile sulla rete.

Zero latenza aggiuntiva: il TAP non introduce nessun ritardo nel flusso di traffico principale. Il segnale passa attraverso il TAP come se il TAP non esistesse. Per i sistemi OT real-time dove i tempi di risposta dei PLC sono misurati in millisecondi, anche una latenza aggiuntiva minima può essere problematica.

Fail-open garantito: la maggior parte dei TAP hardware è progettata per garantire il pass-through del traffico anche in caso di guasto del dispositivo stesso. Se il TAP smette di funzionare, la connessione di rete che stava monitorando rimane attiva. Questo è il comportamento corretto in un ambiente OT: il sistema di monitoraggio deve essere completamente trasparente rispetto alla continuità operativa.

Visibilità bidirezionale completa: i TAP full-duplex catturano separatamente il traffico in entrambe le direzioni del link, garantendo che nessun pacchetto venga perso. Alcune implementazioni SPAN hanno limitazioni in questo senso.

Indipendenza dallo switch: il TAP funziona indipendentemente da qualsiasi configurazione dello switch. Non richiede accesso alla CLI dello switch, non occupa porte dello switch, non compete con il processore dello switch per le risorse.

Il limite principale dei TAP è il costo e la necessità di intervento fisico: ogni link da monitorare richiede un TAP dedicato, e installarlo richiede di interrompere brevemente la connessione durante il posizionamento (anche se esistono TAP non-interrupting per fibre ottiche). In un ambiente con molti link da monitorare, il costo può diventare significativo.

SPAN port: funzionamento, vantaggi e limitazioni

Le SPAN port, o port mirroring, sono una funzionalità software degli switch gestiti che permette di copiare il traffico di una o più porte (o di una intera VLAN) verso una porta di destinazione dove è connesso il sensore di analisi.

Il vantaggio principale è immediato: non richiede hardware aggiuntivo e non richiede intervento fisico sul cablaggio. Se gli switch della rete OT supportano il port mirroring, e la maggior parte degli switch gestiti moderni lo fa, è possibile configurare una SPAN session in pochi minuti accedendo alla CLI dello switch.

Le limitazioni, però, sono reali e in ambienti OT possono essere significative:

Consumo di risorse del processore dello switch: il port mirroring è elaborato dal processore dello switch, non dal silicio di switching. In switch OT industriali con CPU limitate, una SPAN session ad alto traffico può consumare risorse che lo switch avrebbe bisogno per il suo funzionamento normale, introducendo latenza o perdita di pacchetti sul traffico produttivo. Questo non è un rischio teorico: è una causa documentata di degradazione delle prestazioni in ambienti OT ad alto traffico.

Packet drop sotto carico: quando il traffico da mirrorare supera la capacità che lo switch può dedicare alla SPAN, i pacchetti vengono scartati dalla copia. Il traffico originale non viene influenzato, ma il sensore di monitoraggio riceve una visione incompleta. In un'analisi di sicurezza, un pacchetto mancante può essere la differenza tra rilevare un'anomalia e non vederla.

Limitazioni su switch legacy: molti switch industriali datati, ancora diffusissimi nelle PMI manifatturiere, o non supportano affatto il port mirroring, o lo supportano in forme limitate (una sola sessione SPAN attiva, impossibilità di mirrorare VLAN intere, limitazioni sul numero di porte sorgente).

Dipendenza dalla configurazione dello switch: la SPAN session deve essere mantenuta nella configurazione dello switch. Un reboot dello switch senza salvataggio della configurazione, un cambio di firmware, o la mano di un tecnico che non sa della SPAN session possono eliminarla silenziosamente. Il sensore smette di ricevere traffico senza che nessun alert venga generato, a meno che non ci sia un monitoraggio esplicito della ricezione dei dati.

Come posizionare i sensori nelle zone Purdue

La scelta del metodo di cattura va presa insieme al posizionamento dei sensori nella gerarchia della rete OT. Non tutti i punti della rete hanno lo stesso valore informativo per il monitoraggio della sicurezza.

I punti di maggiore valore analitico sono i confini tra zone:

Confine IT-OT (livello 3.5 Purdue): il traffico che attraversa l'interfaccia tra rete aziendale e rete OT è il più critico da monitorare per rilevare attacchi che si propagano dall'IT verso l'OT, o comunicazioni non autorizzate verso l'esterno. Questo è tipicamente il punto dove si concentra il maggior volume di traffico interessante per la sicurezza. Un TAP sulla connessione principale tra firewall IT-OT e rete OT è spesso la prima scelta.

Livello 2-3 (SCADA, historian, stazioni operatore): il traffico tra i sistemi di supervisione e i controller di campo è ricco di informazioni sullo stato operativo e sulle anomalie comportamentali. Un sensore posizionato qui vede le comunicazioni PLC-SCADA e può rilevare modifiche non autorizzate, letture anomale, o nuovi device che iniziano a comunicare con i sistemi SCADA.

Livello 1 (controller di campo): il traffico direttamente sui bus di campo è il più specifico operativamente. Posizionare sensori qui permette di vedere le comunicazioni Modbus, PROFINET, o EtherNet/IP a livello di singolo register. In ambienti dove alcune linee sono considerate critiche, questo livello di visibilità può essere giustificato.

La regola pratica: iniziare dai confini di zona, dove il traffico è concentrato e la visibilità ha il maggiore impatto. Espandere la copertura verso i livelli inferiori nel tempo, dove i requisiti di sicurezza lo giustificano.

Sistemi legacy: considerazioni specifiche

La realtà delle PMI manifatturiere italiane include switch industriali datati (Siemens Scalance di generazioni precedenti, Moxa, Phoenix Contact) spesso senza supporto SPAN o con supporto limitato. Questo non è un problema da ignorare: è un dato da raccogliere durante la fase di inventario dell'infrastruttura di rete.

Per i segmenti di rete con switch legacy senza SPAN:

Un TAP hardware è l'unica opzione che non richiede sostituzione dell'infrastruttura. Può essere inserito nel link principale di uplink dello switch legacy, catturando tutto il traffico che entra ed esce da quel segmento senza toccare lo switch.

In alternativa, se il budget non permette TAP su ogni link, è possibile scegliere strategicamente di coprire i link critici con TAP e accettare una copertura parziale su altri segmenti, prioritizzando in base alla criticità dei sistemi presenti.

La scelta sbagliata, configurare una SPAN su uno switch che non la supporta bene o accettare packet drop su un link ad alto traffico, è peggio di una copertura parziale dichiarata. Dati incompleti non dichiarati danno una falsa sensazione di sicurezza: si pensa di vedere tutto quando in realtà si vede solo una parte.

La raccomandazione pratica

Non esiste una risposta valida per tutti gli ambienti. La scelta dipende dal budget, dall'infrastruttura esistente, dalla criticità dei sistemi da monitorare.

Una linea guida pragmatica: usare TAP hardware sui link critici (connessione IT-OT, uplink dei segmenti con i sistemi di controllo più critici) dove la completezza dei dati e la stabilità del monitoraggio non sono negoziabili. Usare SPAN port sui segmenti secondari dove gli switch la supportano correttamente e dove il volume di traffico è sufficientemente basso da non rischiare packet drop.

Prima di qualsiasi decisione, verificare le specifiche degli switch presenti in rete: supporto SPAN, numero massimo di sessioni, limitazioni di banda sulla porta di destinazione. Questo inventario dell'infrastruttura di rete è il prerequisito tecnico per qualsiasi progetto di monitoraggio passivo.

L'angolo MON5

La scelta tra TAP e SPAN ha senso solo se a valle c'è un sensore capace di sfruttare il traffico catturato. MON5 lavora esattamente in questa logica: NDR passivo fuori banda che decodifica i protocolli OT nativi (Modbus, Siemens S7, OPC UA, PROFINET, EtherNet/IP) senza introdurre nuovi rischi sulla rete di produzione.

La fase DISCOVER include la ricostruzione della topologia di rete e l'inventario dell'infrastruttura esistente: proprio i dati che servono per decidere dove posizionare i TAP e dove bastano le SPAN port. Se vuoi partire da questa mappa, prenota un assessment OT.