旁路部署能做什么
通过交换机端口镜像或 TAP 分流器把流量副本送到检测设备，是完全不改变转发路径的部署方式。它的能力边界很明确：可以检测、告警、留存取证，但不能阻断正在发生的攻击。因此旁路常见于两类场景——业务不容许中断时的过渡期，以及需要长期观察流量特征、积累告警基线的阶段。
基本信息
| 取流方式 | 交换机端口镜像、TAP 分流器 |
|---|---|
| 能力边界 | 只能告警与取证，无法实时阻断 |
| 联动阻断 | 可与防火墙联动下发阻断，前提是有联动通道与可靠回传 |
| 关键前提 | 镜像带宽要能承载被镜像流量，且双向都镜像 |
典型使用场景
- 串联上线前的过渡期：先跑一段旁路，摸清真实流量与误报分布
- 核心链路不宜动刀：主干或关键业务链路不允许加串接设备
- 取证与回溯：需要完整留存流量副本用于事后分析
- 检测能力验证：评估规则在真实环境中的命中率与噪声
- 联动封禁：由旁路设备告警，防火墙执行封禁，降低对链路改造的要求
部署要点
部署要点
1. 核对镜像口带宽能承载被镜像总流量，超载会直接丢包
2. 双向流量都要镜像，只镜像单向会让会话还原不完整
3. 检测口工作在无 IP 的透明接收模式，避免反向发报文干扰网络
4. 联动封禁通道单独规划，并设置封禁时长与自动解除
5. 部署后核对丢包计数，丢包率明显时降级镜像范围证据完整性检查
| 检查项 | 期望结果 | 异常影响 |
|---|---|---|
| 镜像方向 | 双向均已镜像 | 会话还原不完整，研判缺上下文 |
| 镜像丢包 | 计数为零或极低 | 告警漏报，统计失真 |
| 时间同步 | 与全网 NTP 一致 | 与其他设备日志无法对齐 |
| 联动通道 | 告警可送达执行端 | 只能告警，封禁动作不生效 |
旁路常被当成「已有防护」来汇报，这容易造成误解：旁路不能阻断，真正拦得住攻击的是串接设备或联动封禁。