ポートミラーリング（SPANポート）入門｜スイッチ設定でネットワーク監視環境を構築する実践ガイド

ネットワーク監視環境を整えようとしたとき、最初にぶつかる壁が「どこでパケットを取得するか」という問題です。サーバーやPCにソフトウェアを導入すれば、エンドポイント単体の通信は見えます。しかし、スイッチを流れる社内ネットワーク全体のトラフィックを可視化するには、スイッチ自体の機能を活用する必要があります。

その手段がポートミラーリング（SPANポート）です。この仕組みを正しく設定すれば、既存のネットワーク構成を変えることなく、IDS（侵入検知システム）やパケットアナライザーにトラフィックのコピーを流すことができます。

この記事では、ポートミラーリングの仕組みと種類から、代表的なスイッチでの設定例、実際に連携する監視ツール（Suricata・Zeek・Wireshark）の選び方まで、現場で使えるレベルで解説します。

ポートミラーリング（SPANポート）とは？

ポートミラーリングとは、スイッチ上の特定ポートを流れるトラフィックを、別のポートに複製（ミラーリング）する機能です。Cisco製品ではSPAN（Switched Port Analyzer）という名称で呼ばれており、他のベンダーでも「ポートモニタリング」「アナライザーポート」などの名称で同等の機能が提供されています。

通常のスイッチは、届いた通信をMACアドレステーブルに従って宛先ポートにのみ転送します。このため、同じスイッチに接続された別の端末からは通信の内容を傍受することができません（ハブとの大きな違いです）。ポートミラーリングを設定すると、スイッチは通常の転送に加えて、指定したポートのトラフィックのコピーをミラー先のポートにも送出します。

ミラー先のポートに接続した監視用PC・Linuxサーバーは、スイッチ上の通信をリアルタイムで受信・解析できるようになります。

なぜネットワークセキュリティでポートミラーリングが重要なのか

ポートミラーリングをセキュリティ監視に活用する主な利点は次のとおりです。

・本番通信への影響ゼロ: トラフィックを通過させるのではなく「コピーする」だけのため、ミラー先で障害が発生しても本番ネットワークは止まりません
・既存構成を変更しない: IPアドレス変更もルーティング変更も不要で、導入ハードルが低いです
・社内全通信を横断的に可視化: 端末ごとにエージェントを導入しなくても、スイッチを通過するすべての通信を一箇所で解析できます
・内部通信の監視: インターネット出口だけでなく、社内LAN内部での不審な横移動（ラテラルムーブメント）も検知できます
・パッシブ監視: 攻撃者に監視の存在を気づかれにくい構成を取れます

ポートミラーリングの種類と選び方

ポートミラーリングにはいくつかのバリエーションがあります。代表的な3種類を整理します。

中小企業の社内LAN監視であれば、Local SPANが最初の選択肢です。コアスイッチ（全トラフィックが集約される上流スイッチ）でLocal SPANを設定し、監視サーバーをミラー先ポートに接続するのが基本構成です。

具体的な設定手順

1. 設計と前提確認

設定前に確認すべきポイントを整理します。

・ミラー元（ソースポート）: どのポートの通信を監視するかを決めます。コアスイッチのアップリンクポート（上流ルーター接続口）を指定すると、インターネット向けの全通信を監視できます
・ミラー先（デスティネーションポート）: 監視用サーバーを接続するポートです。このポートは通常の転送には使えなくなります
・帯域の確認: ミラー元の通信量がデスティネーションポートの帯域（一般的には1Gbps）を超えると、パケットがドロップします。ミラー元を複数ポートにする場合は帯域計算を事前に行ってください
・マネージドスイッチかどうかの確認: アンマネージドスイッチ（管理画面のない廉価品）はポートミラーリングに対応していません。コアスイッチがマネージドスイッチであることを先に確認してください

2. Cisco Catalystでの設定例（想定例）

Cisco Catalyst系スイッチでのLocal SPAN設定例を示します。実際の機種・IOSバージョンによってコマンドが異なる場合があるため、必ず公式マニュアルで確認してください。

! コアスイッチ上での設定例
! ソースポート: GigabitEthernet0/1（上流ルーター接続ポート）
! デスティネーションポート: GigabitEthernet0/24（監視サーバー接続ポート）

Switch(config)# monitor session 1 source interface GigabitEthernet0/1 both
Switch(config)# monitor session 1 destination interface GigabitEthernet0/24

! 設定確認
Switch# show monitor session 1

`both`はIngress（受信）とEgress（送信）の両方をミラーリングする指定です。インターネット向けの通信と社内からの応答の両方を捉えたい場合に使います。送信のみを監視するには`tx`、受信のみは`rx`で指定できます。

3. ベンダー非依存の設定の考え方

Cisco以外のスイッチ（Juniper・Aruba・HPE・Allied Telesis・Netgearなど）でも、設定UIやコマンドは異なりますが概念は同じです。

・GUIから設定する場合は「ミラーリング」「ポートモニタリング」「アナライザー設定」などのメニューを探してください
・ソースポート（監視対象）とデスティネーションポート（出力先）を指定します
・双方向（TX・RX両方）を有効にします

マネージドスイッチであればGUIで設定できることが多く、管理画面の「診断」「ポートミラーリング」などのセクションに設定項目があります。

4. 監視サーバー側の設定

監視用Linuxサーバーのネットワークインターフェースをプロミスキャスモードに設定します。通常、端末は自分宛のパケットしか受け取りませんが、プロミスキャスモードを有効にすることで、ミラーから流れてくる全パケットを受信できます。

# ミラーポートに接続したインターフェースをプロミスキャスモードに設定
# eth1 はミラーポートに接続したNICのインターフェース名
ip link set eth1 promisc on

# 設定確認（PROMISC フラグが付いていること）
ip link show eth1

# 永続化（/etc/network/interfaces または systemd-networkd で設定）
# 例: /etc/network/interfaces に以下を追記
# iface eth1 inet manual
#   up ip link set eth1 promisc on

Wireshark・Suricata・Zeekはいずれもプロミスキャスモードで動作するため、インストール後の設定でキャプチャインターフェースとして指定するだけで、ミラーされたトラフィックを解析できます。Linuxサーバーの基本的なネットワーク設定については、姉妹サイトLinuxMaster.JPでも詳しく解説しています。

接続できる監視ツールと活用例

SPANポートから流れてくるトラフィックを受け取るツールとして、代表的な選択肢を紹介します。

Wireshark（手動パケット解析）

インシデント発生後の詳細解析に向いています。GUIで操作でき、プロトコルごとのフィルタや統計機能が充実しています。常時キャプチャには向いていませんが、特定の時間帯のパケットを保存しておき、後から詳細を調べる用途に最適です。tcpdumpをSPANポートに向けてパケットをファイルに記録しておき、必要なときにWiresharkで開いて解析するという運用もあります。

詳しい使い方は「パケットキャプチャで不正通信を検知する方法｜Wireshark・tcpdumpの使い方と実践的な解析手順」で解説しています。

Suricata（IDSとして活用）

シグネチャベースの侵入検知システムです。SPANポートで受け取ったトラフィックに対して、既知の攻撃パターン（シグネチャ）を照合し、アラートを生成します。IDSモード（検知のみ）で運用する場合、ミラーポートからの受信に対してアラートを出すだけで、本番通信は一切遮断しません。オープンソースで利用でき、コストをかけずに本格的な侵入検知環境を構築できます。

Suricataの設定ガイドは「Suricata入門｜オープンソースIDSでネットワーク侵入を検知する実践設定ガイド」を参照してください。

Zeek（ネットワーク行動分析）

通信のログ（コネクション・DNS・HTTP・SMTPなど）を構造化して保存するネットワーク解析プラットフォームです。Suricataのようなシグネチャ照合ではなく、通信のパターンや異常な振る舞いを検出するのに向いています。DNSのログを分析してC2通信（マルウェアが攻撃者サーバーに接続する通信）を発見したり、社内での大量通信を可視化したりする用途に使われます。

Zeekの詳細は「Zeek（ゼーク）入門｜ネットワーク通信ログを自動解析して侵入の痕跡を可視化する実践ガイド」で解説しています。

ツール選定の目安（想定例）

予算が限られている場合、まずSuricataだけで始めて、慣れてきたらZeekを追加する段階的な導入が現実的です。

SPANポートとIDS配置の考え方

ポートミラーリングを活用するうえで重要なのが、どの位置にSPANを設けるかという設計です。

・インターネット出口に近い上流スイッチ: 外部向けの全通信を可視化できます。マルウェアのC2通信や、不審な大容量アップロードを検知するのに有効です
・サーバーセグメントのスイッチ: 重要サーバーへのアクセスをリアルタイムで監視できます。不正なポートスキャンや横移動の痕跡を検知するのに向いています
・複数箇所のSPAN: コアスイッチ1か所だけでなく、重要セグメントごとにSPANを設けることで多層的な可視化が可能になります

IDS/IPSをネットワーク上のどこに置くべきかについては「IDS/IPSの設置場所｜ネットワーク型・ホスト型の置き方をFW直下と重要セグメントで解説」も合わせて参照してください。

NetFlowとポートミラーリングを組み合わせると、さらに効果的な監視が実現できます。普段はNetFlowで通信の統計情報を収集し、異常を検知した際にポートミラーリングでフルパケット解析に切り替える運用も実践されています。NetFlowについては「NetFlow・IPFIXでネットワークを可視化する入門ガイド」を参照してください。

中小企業でも今日からできること

ポートミラーリングを活用した監視環境は、大企業だけのものではありません。マネージドスイッチがあれば、追加コストをほとんどかけずに始められます。

・ステップ1: コアスイッチがマネージドスイッチかどうか確認する
管理画面（Web GUI）にアクセスできれば、ポートミラーリング機能があるかどうかを確認してください。多くのマネージドスイッチ（NetgearのGSシリーズ・Allied TelesisCentreCOMシリーズなど）はポートミラーリングに対応しています。

・ステップ2: 監視用のLinuxサーバーを1台用意する
既存の検証サーバーや余ったPCで構いません。SuricataはDockerでも動作するため、仮想化環境への追加も容易です。

・ステップ3: まずIDSモード（ブロックなし・検知のみ）で試験運用する
最初はアラートを見て学習する段階です。誤検知（正常通信への誤った警告）の状況を確認しながらチューニングを重ねていきます。本番通信への影響はゼロです。

・ステップ4: アラートをログに蓄積してパターンを把握する
Suricataのログを定期的に確認し、繰り返し出るアラートを分析します。正常なアプリケーションが誤検知を起こしている場合はルール除外を設定し、真の脅威に集中できる環境を作ります。

・ステップ5: SIEM連携や自動通知を追加する（応用）
アラートをSIEM（ログ管理・相関分析ツール）に連携したり、Slackやメールへの通知を設定したりすることで、インシデント対応の初動を速めることができます。

よくある誤解と注意点

【注意1】ポートミラーリングはトラフィックを「遮断」しない

ポートミラーリングはIDS（検知のみ）に向いていますが、IPS（インライン型・遮断あり）としての運用には適していません。検知した不審通信を自動でブロックしたい場合は、インライン型の配置（パケットを実際に通過させる構成）が必要です。ただし、インライン型はミラー先の障害が本番通信を止めるリスクもあるため、まずはミラー型から始めてチューニングを積み上げてからIPSへの移行を検討するのが現実的です。

【注意2】ミラー先の帯域不足に注意

ソースポートの合計帯域がデスティネーションポートの帯域を超えると、パケットがサイレントにドロップされます。コアスイッチの複数ポートをソースに指定する場合は帯域を事前に計算してください。一般的にコアスイッチのアップリンクが1Gbpsであれば、デスティネーションポートも1Gbpsで対応できます。複数ポートを一括ミラーする場合は10Gbps対応のデスティネーションポートと対応NICが必要になることがあります。

【注意3】プライバシーポリシーと社内規程の整備

社内通信のパケットをキャプチャ・記録する行為は、従業員の個人情報やプライバシーに関わります。監視目的・対象範囲・保存期間を明文化したセキュリティポリシーを整備し、監視していることを従業員に周知したうえで運用してください。法律に関わる詳細は法律の専門家にご確認ください。

【注意4】マネージドスイッチへの移行が前提

アンマネージドスイッチ（廉価品）ではポートミラーリングを設定できません。現在アンマネージドスイッチを使用している場合、まずコアスイッチをマネージドスイッチに更新することが必要です。コアスイッチ1台だけマネージドスイッチに置き換えるだけでも、監視環境の基盤ができます。

【注意5】キャプチャデータの安全な保管

ポートミラーリングで取得したパケットデータには、社内の通信内容（メール・ファイル転送・認証情報など）が含まれます。キャプチャデータの保存先は暗号化されたストレージに限定し、アクセス権限を絞ってください。保存期間のポリシーも明確に定めておく必要があります。

本記事のまとめ

ポートミラーリングは、既存のネットワーク構成を大きく変えることなく、パッシブにネットワーク全体を監視できる手法です。IDSツールと組み合わせることで、エンドポイントだけでは見えない通信の全体像を把握でき、侵害の早期発見につながります。まず手元のコアスイッチがマネージドスイッチかどうか確認するところから始めてみてください。