frage zu intrusion detection systems mit vorgeschaltetem Tab

[RaistlinMajere]

eine grundsätzliche frage stellt sich mir auch noch: sinn eines Taps ist es ja angeblich, ein dahinterliegendes IDS gegen bestimmte angriffe aus dem netzwerk, in dem es snifft, zu schützen.

nur passiert das nicht ohnedies, in dem sich die NIC des IDS im promiscous mode befindet (und daher keine IP-adresse hat)?

ich sehe hier keinen zusätlichen schutz, da sich das IDS ja selbst in den promiscous mode schaltet. den einzigen sinn, den ich in dem Tap sehe, ist der, daß es sich dabei um das element handelt, das es dem IDS erst ermöglicht, überhaupt zu sniffen, weil es sich dort "unsichtbar" dort platziert, wo der traffic vorbeikommt.

dasselbe könnte man auch mit hilfe eines hubs erreichen, nur davon wird zurecht wegen der daraus resultierenden kollisionen im fullduplex-betrieb abgeraten. kann ich mir ein Tap also wie einen fullduplex-fähigen hub vorstellen? ähnlich sind sie ja, das wurde auch in einer dokumentation so geschrieben.