NETWORK VISIBILITY / OPTICAL TAP / SPAN
ネットワークTAPとは？
光ファイバーを分岐して通信を監視する仕組み
公開日：2026-10-13
攻撃の兆候を見つけたい。でも、通信を止めずに流れるデータを観察するには？ 光の分岐から通信監視装置まで、仕組みを一続きで理解します。
パケット監視が必要な理由 → 実物写真で装置の外観を知る → 光ファイバーの基礎 → パッシブTAP → SPANとの比較 → WDM・ルーター・L2スイッチとの違い → IDS/NDR → 光パワーの設計 → 体験ラボ → 実務チェック
1. 「通信を止めずに監視したい」はどう実現する？
社内ネットワークの境界で、外部への怪しい通信やマルウェアの振る舞いを見つけたいとします。ファイアウォールのログだけでは、通過した個々のフレームやパケットの特徴を十分に見られない場合があります。そこで本線の通信から監視用の信号を取り出し、IDS（侵入検知システム）やNDR（ネットワーク検知・対応）へ送る設計を考えます。
このとき重要なのは、通信を中継して処理する装置と、監視に必要なコピーだけを取り出す装置を区別することです。ネットワークTAP（Test Access Point）は後者の代表例です。
HARDWARE PHOTO GUIDE
実物写真で見る3つの光・ネットワーク機器
図で動作原理を理解したら、実際の機器の姿も見てみましょう。写真は実在する機器やモジュールの例であり、製品全体の形状を網羅するものではありません。
光ファイバー用ネットワークTAP（実物）
入力・本線出力・監視出力の接続口を確認。ネットワークTAPの物理的な姿を示す実物写真です。
撮影・制作：Roens ／ CC BY-SA 2.5
写真の出典・元画像（Wikimedia Commons） ／ 原画像の改変なし
イーサネットスイッチ（実物）
スイッチはポートのフレームを転送します。対応機種ならSPAN設定で監視用コピーを生成します。
撮影・制作：Alexey Meyev ／ CC BY-SA 4.0
写真の出典・元画像（Wikimedia Commons） ／ 原画像の改変なし
WDM多重・分離モジュール（実物）
WDMは異なる波長の光を多重化・分離する装置。TAPの『監視用コピー』とは役割が異なります。
撮影・制作：Christophe.Finot ／ CC BY-SA 3.0
写真の出典・元画像（Wikimedia Commons） ／ 原画像の改変なし
外部配信の画像を表示します。社内ネットワークやブラウザの設定で表示されない場合は、各写真の出典リンクから確認できます。
2. 光ファイバーでデータが届くまで
銅線のLANケーブルは電気信号で情報を伝えます。光ファイバーは光の強弱などを利用してビット列を伝え、受信側のトランシーバーが光を電気的なデータとして復元します。高い帯域や長距離の伝送で使われますが、光信号は距離、コネクタ、曲げ、分岐によって減衰します。
一般的な送受信ではTx（送信）とRx（受信）が分かれます。双方向のリンクを完全に観測したいなら、A→BとB→Aのそれぞれを取得する必要があります。単一方向しか接続しないと、攻撃の要求は見えてもサーバーの応答を見落とす可能性があります。
ここで使うdBmは光パワーを1mW基準の対数で表す単位、dBはパワーの増減（損失）を表す単位です。例えば-3 dBmの光を50:50に理想分岐すると各出力は約-6.01 dBmとなり、分岐だけで約3.01 dBずつ減少します。
3. パッシブ光TAPは光そのものを分配する
パッシブ光TAPには光スプリッタが組み込まれ、入力光の一部を本線へ、残りを監視ポートへ分岐します。代表的な分岐比には70:30や50:50などがあります。電源を要しない構成もあり、スイッチの転送テーブルやCPU処理に依存せず光を分けられます。
一方向の光を抽象化した概念図。一般的な双方向光リンクでは両方向の信号を別々に監視できる配線が必要です。コネクタ損失などは省略。
TAP挿入時には物理リンクを開いて接続し直す作業が必要で、設置中の停止や光損失を無視できません。また、パッシブTAPでもコネクタの汚れ・断線・過大損失などがあれば本線に影響し得ます。「電源が不要＝絶対に障害を起こさない」ではありません。
4. SPAN・ポートミラーリングとはどう違う？
スイッチのSPAN（Switched Port Analyzer）やポートミラーリングは、指定ポートやVLANのフレームのコピーを装置内部で作り、監視用ポートへ出力する機能です。物理的に光を分けるTAPとは異なり、転送装置の設定と処理能力に依存します。
コピー先ポートの帯域不足や装置負荷で、監視パケットの一部が欠落する場合があります。
| 観点 | パッシブ光TAP | SPAN／ポートミラーリング |
|---|---|---|
| 信号の取り出し方 | 光スプリッタで物理的に分岐 | スイッチ内でフレームを複製 |
| 設置・運用 | 回線へ物理挿入。光予算を確認 | 設定で開始しやすい。監視ポートを確保 |
| 監視データの欠落 | 受信光不足・センサー側の処理不足等で発生 | 監視ポートの過負荷・装置負荷等で発生 |
| 本線との関係 | 分岐により本線の光パワーも減少 | 通常転送と複製処理が装置内部で共存 |
| 主な向き先 | 専用の受動センサー・パケットブローカー | IDS、NDR、パケットキャプチャ装置 |
例えば1Gb/sの監視ポートへ複数の1Gb/sリンクを集約すると、合計トラフィックによってはポート容量を超過します。CiscoのSPAN資料でも監視先の過剰加入によるコピー欠落が注意点として挙げられています。
5. WDM・ルーター・L2スイッチとの役割比較
| 技術・装置 | 主な目的 | 見る・扱うもの | 通信監視との関係 |
|---|---|---|---|
| ネットワークTAP | 本線の信号を監視系へ取り出す | 光または電気的な信号 | 監視用コピーをセンサーへ渡す |
| WDM（波長分割多重） | 異なる光波長をまとめて伝送容量を高める | 複数波長の光チャネル | 通常は監視用の抽出が主目的ではない |
| ルーター | 宛先IPに従って異なるネットワークへ転送 | IPパケット・経路情報 | 一部機種にコピー出力機能はある |
| L2スイッチ | MACアドレス等に基づいてLAN内のフレームを転送 | イーサネットフレーム | SPAN対応機種では監視コピーを作成可能 |
WDMはWavelength Division Multiplexingの略で、異なる波長を同じ光ファイバーで同時に送る多重化技術です。光を「分ける」ことはありますが、監視装置へ信号のコピーを取り出すTAPとは目的が違います。また、TAPやSPANの存在がルーターやスイッチのパケット転送機能を置き換えるわけでもありません。
6. IDS・IPS・NDRはTAPから何を受け取る？
IDSは既知の攻撃パターンや異常な通信を検知し、NDRは通信フローや振る舞いの分析によって不審な通信を発見する製品群です。TAPはそれらの装置が分析するパケットを受け取る「観測点」に相当します。
一方、IPSのインライン遮断は通常パケットの転送経路に配置される構成です。TAPの出力だけを受ける受動センサーは、その接続だけでは本線を直接遮断できません。外部の遮断装置との連携など、別経路で対応する場合があります。
7. 実際に計算：分岐比と受信光パワーの関係
光の分岐では本線を優先して70%、監視側に30%などの配分ができます。しかし、両側に十分な光パワーが届かなければ監視不能、あるいは本線の通信不良になります。送信パワー、光スプリッタ損失、ファイバー損失、コネクタ損失、受信器の感度を合わせて確認します。
出力光パワー[dBm] = 入力[dBm] − 追加損失[dB] + 10 log₁₀(分岐率)「分岐率」は70%なら0.7です。実際のTAPでは波長、製品仕様、挿入損失、受信マージンや分岐方向の違いを考慮します。
体験ラボ：監視経路を設計してみよう
架空の値を使った教育用モデルです。実機の光予算やSPANドロップ率を保証するものではありません。
70.0%の光を利用 ／ 受信下限を満たす
30.0%の光を利用 ／ 受信下限を満たす
計算：出力[dBm]＝入力[dBm]−追加損失[dB]＋10 log₁₀(分岐率)。パケット単位にランダム抽出する動作ではありません。
重要：光の分岐比を監視側へ増やすと本線側の光パワーは減るため、両方の受信感度と余裕を確認します。
8. 実務の落とし穴：監視できているつもりが危険
片方向だけの監視：全二重通信の往復を別々に集約する必要があります。パッシブ光TAPの監視ポートのRx接続方向を確認しましょう。
光レベルの見落とし：本線と監視側のどちらも受信下限を下回る可能性があります。光パワーメーターやトランシーバーの診断値で余裕を確認します。
SPANコピーの欠落：監視ポートの帯域不足やバーストがあると、本線に存在したフレームがセンサーには見えないことがあります。
暗号化通信の誤解：TAPは盗聴・復号を自動で行う装置ではありません。監視データも機密情報としてアクセス制御・保管期間・取扱い規程を設けます。
可用性の誤認：本番回線を切り替えるときは計画停止、冗長経路、コネクタ清掃、障害時切り戻しを用意します。
9. 学びを定着させる：状況別の選び方
| 現場の状況 | まず検討する技術 | 選定理由 |
|---|---|---|
| 光ファイバーの物理信号を分けたい | パッシブ光TAP | スプリッタで本線から監視用の光を抽出 |
| 既存スイッチで短期間の分析をしたい | SPAN | 機器の設定でコピー出力を開始できる |
| 一本の光ファイバーで多波長を運びたい | WDM | 波長ごとのチャネルを多重化する |
| 異なるIPネットワークをつなぎたい | ルーター | 宛先IPとルーティングに従い転送 |
| LANのフレームを交換したい | L2スイッチ | MACアドレスに基づく転送 |
「どこから信号を取り出すのか」「何を複製するのか」「誰が分析するのか」の3点を押さえると、類似した装置名が出ても機能から判断できます。
公式資料・製品技術資料
詳細な配線例、監視側のRxポート、SPANの欠落条件は、各機器の仕様書で必ず確認してください。