СОРМ-овский ящик - это такой сервер (обычно с люнексом), который подключается к mirror-порту оборудования на границе сети и ловит все провайдерские N гигабит в секунду. Т.к. такие объемы не то, что полноценно обрабатывать в реальном времени, но даже просто сохранять на сколько-нибудь долгий срок невозможно, то постоянно включенным СОРМ никто никогда не держит, а активируют при необходимости, т.к. когда ловят кого-то конкретного.