Как работает система глубокой инспекции пакетов DPI?

DPI (Deep Packet Inspection, «глубокая инспекция пакетов») — это технология анализа данных, которые проходят через контрольную точку в сети. 2 Вся информация в интернете распределена по блокам данных, то есть пакетам. 2 DPI как бы заглядывает внутрь каждого пакета и тщательно изучает всё, что в нём содержится. 2

Принцип работы DPI состоит из трёх шагов: 2

1. Перехват пакетов. 2 DPI-оборудование устанавливают в контрольных точках сети — это маршрутизаторы, коммутаторы и другие устройства. 2 Они работают как шлюзы или фильтры: анализируют данные, которые через них проходят, и принимают решения о том, как их обработать. 2 DPI перехватывает каждый пакет данных, который передаётся по сети, и распаковывает его. 2
2. Классификация пакетов. 2 Когда DPI-устройство перехватило пакет данных, оно вычисляет, какое приложение или протокол он использует. 2 То есть начинает искать в пакете сигнатуры — определённые комбинации символов или битов. 2 Сигнатуры хранятся в базе данных. 2 Устройства DPI сравнивают пакеты с шаблонами и затем определяют, что делать с полученными данными. 2
3. Анализ содержимого. 2 На этом этапе Deep Packet Inspection извлекает содержимое пакетов и выявляет запрещённые URL-адреса, ключевые слова и опасные программы. 2 Помимо непосредственного контента устройство получает и метаданные: IP-адреса отправителя и получателя, номера портов, временные метки. 2

После анализа DPI может принять решение о том, что делать с пакетом или потоком данных. 3 Возможные действия включают: 3

• Разрешение. 3 Если трафик не нарушает установленные правила или политики безопасности, пакет передаётся дальше. 3
• Блокировка. 3 Если DPI находит подозрительный или запрещённый контент, пакет может быть отброшен. 3
• Перенаправление. 3 Трафик может быть перенаправлен на другой узел для дальнейшего анализа (например, на систему IDS/IPS). 3
• Логирование. 3 Данные могут быть записаны в логи для последующего анализа или аудита. 3
• Изменение пакета. 3 В некоторых случаях DPI может модифицировать содержимое пакета (например, для удаления вредоносного кода или замены контента). 3