CyberGlossary

Сетевая безопасность

Глубокая инспекция пакетов (DPI)

Также известно как: DPI, Инспекция содержимого

Определение

Метод инспекции, при котором анализируется не только заголовок, но и вся полезная нагрузка пакетов для распознавания приложений, контента и угроз.

Глубокая инспекция пакетов (DPI) разбирает трафик глубже заголовков IP и TCP/UDP, добираясь до прикладных протоколов (HTTP, DNS, SMB, метаданных TLS и др.) и определяя реальное приложение или содержимое. Она лежит в основе межсетевых экранов с анализом приложений, IPS, NDR, антивирусных шлюзов и систем формирования трафика и необходима для обнаружения злоупотреблений протоколами, утечек данных и сигнатурных угроз. Так как значительная часть современного трафика зашифрована TLS, DPI обычно дополняется TLS-перехватом или методами на основе метаданных (JA3, JA4, отпечатки сертификатов, аналитика трафика). Необходимо балансировать пользу для безопасности с приватностью, производительностью и нормативными ограничениями.

Примеры

  • IPS обнаруживает маяк Cobalt Strike по совпадению сигнатуры в HTTP-трафике.
  • NGFW классифицирует трафик как Zoom или YouTube через DPI, даже если он идёт по TCP/443.

Связанные термины