Глубокая проверка пакетов

Глубокая проверка пакетов (DPI ) или анализ пакетов - это тип обработки данных, который проверяет подробно указанные данные, отправляемые по компьютерной сети, и обычно предпринимает действия, блокируя, перенаправляя или регистрируя их личным образом. Глубокая проверка пакетов часто используется для проверки правильности формата данных, а также для проверки наличия вредоносного кода, перехвата и интернет-цензуры, среди прочего. Есть несколько заголовков для IP-пакетов ; сетевому оборудованию необходимо использовать только первый из них (IP-заголовок ) для нормальной работы, но использование второго заголовка (например, TCP или UDP ) считается обычно поверхностной проверка пакетов (называемая обычно проверка пакетов с отслеживанием состояния ), несмотря на это определение.

Существует несколько способов получения пакетов для глубокой проверки пакетов. Использование зеркального отображения портала (иногда называемого Span Port ) - очень распространенный способ, а также физическое использование оптического разветвителя для разделения данных, поступающих по оптоволокну, на два потока, один из которых проверяется.

Deep Packet Inspection (и фильтрация) обеспечивает расширенное управление сетью, обслуживание пользователей и функции безопасности, а также интеллектуальный анализ данных в Интернете , подслушивание и цензура в Интернете. Хотя DPI используется для управления Интернетом в течение многих лет, некоторые сторонники сетевых нейтралитета опасаются, что этот метод может быть использован в антиконкурентных целях или для снижения открытости Интернета.

DPI используется в широком спектре приложений на так называемом уровне "предприятия" (корпорация и крупные учреждения), у поставщиков телекоммуникационных услуг и в правительстве.

• 1 Предпосылки
• 2 На уровне предприятия
• 3 У поставщиков сетевых / интернет-услуг
  • 3.1 Законный перехват
  • 3.2 Определение и применение политики
  • 3.3 Целевая реклама
  • 3.4 Качество обслуживания
  • 3.5 Многоуровневые услуги
  • 3.6 Защита авторских прав
  • 3.7 Статистика
• 4 По правительствам
  • 4.1 США
  • 4.2 Китай
  • 4.3 Иран
  • 4.4 Российская Федерация
  • 4.5 Сингапур
  • 4.6 Сирия
  • 4.7 Малайзия
  • 4.8 Египет
• 5 Сетевой нейтралитет
• 6 Шифрование и туннелирование, подрывающие DPI
• 7 Безопасность инфраструктуры
• 8 Программное обеспечение
  • 8.1 Сравнение
• 9 Аппаратное обеспечение
• 10 См. также
• 11 Ссылки
• 12 Внешние ссылки

DPI сочетает в себе функциональность системы обнаружения вторжений (IDS) и Система предотвращения вторжений ( IPS) с традиционным межсетевым экраном с отслеживанием состояния. Эта комбинация позволяет обнаруживать эффекты, которые ни IDS / IPS, ни межсетевой экран с отслеживанием состояний не могут отловить самостоятельно. Межсетевые экраны с отслеживанием состояний, хотя и могут сами по себе улавливать события, которые были бы недоступны для конкретных приложений. Хотя IDS способны обнаруживать вторжения, у них очень мало возможностей для блокирования таких атак. DPI используется для предотвращения атак со стороны вирусов и червей на проводных скоростях. В частности, DPI может быть эффективным против атак переполнения буфера, атак типа «отказ в обслуживании» (DoS), сложныежений и небольшого процента червей, которые помещаются в один пакет.

Устройства поддержки DPI могут просматривать уровень 2 и выше уровня 3 модели OSI. В некоторых случаях DPI может быть вызван для просмотра уровней 2-7 модели OSI. Сюда входят заголовки и структуры протокола данных, а также полезная нагрузка сообщения. Функциональность DPI вызывается, когда устройство просматривает или выполняет другое действие на основе информации за пределами уровня 3 модели OSI. DPI может идентифицировать и классифицировать трафик на основе данных сигнатур, который включает информацию, извлеченную из части пакета, обеспечивает более тонкий контроль, чем классификация, основанная только на информации заголовка. Конечные точки могут использовать шифрование и методы обфускации, чтобы избежать действий DPI во многих случаях.

Классифицированный пакет может быть перенаправлен, помечен / помечен (см. качество обслуживания ), заблокирован, ограничен по скорости и конечно же, сообщен агенту отчетов в сети. Таким образом, ошибки различных классификаций могут быть идентифицированы и отправлены для анализа. Многие устройства DPI могут идентифицировать потоки пакетов (а не анализировать их отдельно), позволяя управлять действиями на основе накопленной информации о потоках.

Первоначально безопасность на уровне предприятия это была лишь дисциплина периметра с доминирующей философией предотвращения доступа неавторизованных пользователей и защиты авторизованных пользователей от внешнего мира. Наиболее часто используемым инструментом для этого был межсетевой экран с отслеживанием состояния. Он может разрешить детальный контроль доступа из внешнего мира к заранее определенным пунктам назначения во внутренней сети, а также разрешить доступ к другим хостам только в том случае, если запрос во внешний мир был сделан ранее.

Однако на сетевых уровнях существуют уязвимости, которые не видны брандмауэру с отслеживанием состояний. Кроме того, рост использования портативных компьютеров на предприятии препятствует предотвращению проникновения таких угроз, как вирусы, черви и шпионское ПО в корпоративную сеть, столько пользователей будут подключать портативный компьютер к менее защищенным сетям, таким как домашние широкополосные соединения или беспроводные сети в общественных местах. Брандмауэры также не делают различий между разрешенным и запрещенным использованием приложений с законным доступом. DPI позволяет ИТ-администраторам и сотрудникам службы безопасности выполнять функции безопасности на всех уровнях, включая уровень приложений и пользователей, чтобы помочь с угрозами.

Deep Packet Inspection может обнаруживать несколько видов атак переполнения буфера.

DPI может ввести двигатель предотвращения утечки данных (DLP). Когда пользователь электронной почты пытается отправить защищенный файл, ему может быть предоставлена ​​информация о том, как получить разрешение для отправки файла.

Кроме того, чтобы использовать DPI для защиты своих внутренних сетей, интернет-провайдеры также применяют его в общедоступных сетях, предоставляемых клиентам. Обычно интернет-провайдеры используют DPI: законный перехват, определение и соблюдение политики, таргетированная реклама, качество обслуживания, предлагая многоуровневые услуги, и соблюдение авторских прав.

Законный перехват

Почти все правительство во всем мире от поставщиков услуг возможности законного перехвата. Десятилетия назад в устаревшей телефонной среде это было решено путем создания точки доступа трафика (TAP) с использованием перехватывающего прокси-сервера, который подключается к правительственному оборудованию наблюдения. Компонент сбора данных для этой функции может быть предоставлен разными способами, включая DPI, продукты с поддержкой DPI, которые «соответствуют LI или CALEA », приложение - по указанию суда - для доступа к пользователю потока данных.

Определение и соблюдение политики

Поставщики услуг, обязательные соглашаются с обслуживанием со своими клиентами уровня обслуживания в том же времени системы соблюдение политика допустимого использования может использовать DPI для определенных политик, которые включают нарушение авторских прав, незаконные материалы и недобросовестное использование пропускания. В некоторых странах интернет-провайдеры выполняют фильтрацию в зависимости от законодательства страны. DPI позволяет поставщика услуг «легко узнавать пакеты информации, которые вы получаете в сети - от электронной почты до веб-сайтов, совместного использования музыки, видео и загрузки программного обеспечения». Можно определить политики, которые разрешают или запрещают подключение к или от IP-адресов, определенных протоколов или даже эвристики, которая идентифицирует определенное приложение или поведение.

Таргетированная реклама

Интернет-провайдеры направляют трафик всех своих клиентов, они могут очень подробно просматривать привычки просмотра веб-страниц, что позволяет получать информацию об интересах своих клиентов, используя соответствующие компании, специализирующиеся на таргетированной рекламе. Таким образом отслеживаются не менее 100000 клиентов из США, и до 10% клиентов из США отслеживаются таким образом. Поставщики технологий включают NebuAd, Front Porch и Phorm. Американские интернет-провайдеры , отслеживающие своих, включают Knology и Wide Open West. Кроме того, провайдер Соединенного Королевства British Telecom допустил тестирование решений от Phorm без ведома или согласия их клиентов.

Качество обслуживания

DPI может предложить против сетевая нейтральность.

Приложения, такие как одноранговый (P2P) трафик, предоставляет все большие проблемы для поставщиков широкополосных услуг. Обычно P2P-трафик используется приложениями, которые делятся сообщениями. Это могут быть файлы любого типа (например, документы, музыка, видео или приложения). Из-за часто передаваемых мультимедийных файлов большого размера P2P увеличивает нагрузку на трафик, что требует дополнительной пропускной способности сети. Поставщики услуг заявляют, что меньшинство пользователей генерирует большие объемы трафика P2P-абонентов и снижает возможности пользователей широкополосного доступа, использующих такие приложения, как электронная просмотр почты или веб-страниц, которые используют меньшую полосу пропускания почты. Низкая сети увеличивает недовольство клиентов и приводит к снижению доходов от услуг.

DPI позволяет операторам завышать доступную полосу пропускания, используя при этом справедливое распределение пропускания для всех пользователей, предотвращает перегрузку сети. Кроме того, более высокий приоритет может быть назначен вызову VoIP или видеоконференцсвязи, который требует малой задержки по сравнению с просмотром веб-страниц, который не делает. Этот подход, который использует поставщики услуг для динамического распределения пропускания в соответствии с трафиком, проходящим через сеть.

Многоуровневые услуги

Поставщики услуг мобильной и широкополосной связи используют DPI как средство для реализации многоуровневых плановых услуг, чтобы отличать «огороженный сад» услуги от «добавленной стоимости», » все, что вы можете съесть »и« универсальные »услуги передачи данных. Имея возможность взимать плату за «огороженный сад», за приложение, за услугу или «все, что вы можете съесть», а не за универсальный пакет, оператор может адаптировать свое предложение к индивидуальному подписчику и увеличить их средний доход на пользователя (ARPU). Политика создается для каждого пользователя или группы пользователей, а система DPI, в свою очередь, применяет эту политику, предоставляя пользователю доступ к различным службам и приложениям.

Защита авторских прав

Интернет-провайдеры иногда запрашиваются владельцами авторских прав или требуются судами или официальной политикой для обеспечения соблюдения авторских прав. В 2006 году один из наших интернет-провайдеров, Tele2, получил судебный запрет и приказал заблокировать своим клиентам доступ к The Pirate Bay, стартовой точке для BitTorrent. Вместо того, чтобы преследовать поочередно распространителей файлов, Международная федерация фонографической индустрии (IFPI) и большая четверка звукозаписывающих компаний EMI, Sony BMG, Universal Music и Warner Music начали подавать в суд на интернет-провайдеров, таких как Eircom, за недостаточные меры по защите своих авторских прав. IFPI хочет, чтобы интернет-провайдеры фильтровали трафик для незаконно загруженных и загруженных материалов, защищенных авторским правом, из сети, несмотря на европейскую директиву 2000/31 / EC, четко указывающую, что интернет-провайдеры не могут быть связаны общим обязательством, контролировать информацию, которую передают, и директива 2002/58 / EC о предоставлении они гражданам Европы права на конфиденциальность сообщений. Американская ассоциация кинематографии (MPAA), которая обеспечивает соблюдение авторских прав фильмов, заняла позицию с Федеральной комиссией по связи (FCC), согласно которой нейтралитет сети может нанести ущерб -технологии пиратства, такие как глубокая проверка пакетов и другие формы фильтрации.

Статистика

DPI позволяет интернет-провайдерам собирать статистическую информацию о шаблонах использования для групп пользователей. Например, может быть интересно, используйте ли пользователи с подключением 2 Мбит сеть не так, как пользователи с подключением 5 Мбит. Доступ к данным о тенденциях также помогает при планировании сети.

Помимо использования DPI для безопасности своих сетей, правительство в Америке, Европе и Азии использует DPI для различных целей, таких как наблюдение и цензура. Многие из этих программ засекречены.

США

FCC принимает требования Internet CALEA : FCC в соответствии со своим мандатом Конгресса США и в соответствии с Политикой стран мира требует, чтобы все поставщики телекоммуникационных услуг, включая Интернет-услуги, были приспособлены для исполнения судебного постановления о предоставлении судебной экспертизы связи в настоящих времени пользователей. В 2006 году FCC принимает новый Раздел 47, подраздел Z, правила, требующие от провайдеров доступа Интернет выполнять эти требования. DPI был одной из платформ, необходимых для выполнения этих требований, и был развернут для этой цели на всей территории США

Агентство национальной безопасности (NSA) в сотрудничестве с ATT Inc. использовал Deep Packet Inspection, чтобы сделать наблюдение, сортировку и пересылку интернет-трафика более интеллектуальными. DPI используется для определения того, какие пакеты передают электронную почту или телефонный звонок по протоколу (VoIP). Трафик, связанный с общей магистралью ATT, был «разделен» между двумяволокнами, разделив сигнал таким образом, что 50 процентов мощности сигнала приходилось на каждый выходное волокно. Одно из выходных волокон было отведено в безопасную комнату; другой передавал связь с коммутационным оборудованием ATT. В защищенной комнате находились Нарус анализаторы трафика и логические серверы; Нарус заявляет, что такие устройства времени могут собирать данные в реальном времени (записывать данные для рассмотрения) и захватывать со скоростью 10 гигабит в секунду. Определенный трафик был выбран и отправлен по выделенной в «центральную точку» для анализа. Согласно письменным показаниям свидетеля-эксперта Дж. Скотта Маркуса, бывшего старшего советника по Интернет-технологии Федеральной комиссии по связи США, перенаправленный трафик «представляет весь или практически весь пиринговый трафик ATT в районе района Сан-Франциско», и таким образом, «разработчики... конфигурации не предприняли попытку с точки. положения, лежащего в основе внутренних органов. Программное обеспечение Narus Semantic Traffic Analyzer, которое работает на серверах IBM или Dell Linux с использованием DPI, сортирует IP-трафик со скоростью 10 Гбит / с выбирает сообщения на основе целевого адреса электронной почты, IP-адрес или, в случае VoIP, номера телефона. Президент Джордж Буш и генеральный прокурор Альберто Р. Гонсалес заявили, что, по их мнению, президент имеет право распоряжаться тайным перехватом телефонных разговоров и обмена почтой между людьми внутри Соединенных Штатов. Государства и их контакты за границей без получения ордера FISA.

Агентство оборонных информационных систем разработало сенсорную платформу, которая использует Deep Packet Inspection.

Китай

Правительство Китая использует Deep Packet Inspection для мониторинга и цензуры сетевого трафика и контента, который, по его утверждениям, наносит вред китайским гражданам или интересам государства. Этот материал включает в себя порнографию, информацию о религии, и политическое инакомыслие. Китайская сеть Интернет-провайдеры используют DPI, чтобы узнать, нет ли в их сети каких-либо важных ключевых слов. В этом случае соединение будет прервано. Люди в Китае часто оказываются заблокированными при доступе к веб-сайтам, содержащим контент, связанный с тайваньской и тибетской независимостью, Фалуньгун, Далай-ламой, протесты и массовые убийства на площади Тяньаньмэнь в 1989 году, политические партии, выступающие против правящей коммунистической партии, или различные антикоммунистические движения, поскольку эти материалы уже были подписаны как ключевые слова ДОИ. Китай ранее блокировал весь трафик VoIP в своей стране и из нее, но многие доступные приложения VOIP теперь работают в Китае. Голосовой трафик в Skype не затрагивается, хотя текстовые сообщения подлежат фильтрации, а сообщения, содержащие конфиденциальные материалы, такие как ругательства, просто не доставляются, без уведомления ни одного из участников разговора. Китай также блокирует сайты визуальных средств массовой информации, такие как YouTube.com, а также различные сайты с фотографиями и блогами.

Иран

Правительство Ирана приобрело систему, как сообщается, для глубокой проверки пакетов в 2008 году у Nokia Siemens