Funktioniert Deep Packet Inspection bei verschlüsseltem Verkehr?

Nur bei den Teilen, die nicht verschlüsselt sind, es sei denn, Sie entschlüsseln. Deep Packet Inspection (DPI) bedeutet, über die Paketköpfe hinaus in den Inhalt zu lesen. Bei TLSTLS: Transport Layer Security. Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS. ist der Inhalt verschlüsselt, klassische Signaturen, die nach einer Schaddatei oder einem Befehl im Datenstrom suchen, greifen also nicht mehr. Lesbar bleiben die unverschlüsselten Handshake-Nachrichten mit TLS-Version, Wahl von Chiffre und Schlüsselaustausch, einem Client-Fingerprint und meist dem Servernamen sowie die DNS-Antworten vor der Verbindung. Zusammen mit Flow-Metadaten, also wer, wann, wie oft und wie viel, reicht das für viele Erkennungen: Beaconing zu einem Command-and-Control-Server, Scans, laterale Bewegung und ungewöhnliche Uploads. Um Inhalte zu sehen, brauchen Sie einen Abfang-Proxy, der Verkehr entschlüsselt und neu verschlüsselt, mit eigenen Kosten und Risiken. NetSenX liest die Handshake-Felder dort, wo sein Agent Pakete mitschneidet, unter Linux oder als SPANSPAN: Switch Port Analyzer (Spiegelport). Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann./TAPTAP: Test Access Point. Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.-Sensor, nicht im Basismodus unter macOS, und entschlüsselt nie Verkehr.

Diese Antwort steht mit mehr Kontext auch hier: Verschlüsselung und verschlüsselter Verkehr

← Alle 40 Fragen zu Verschlüsselung und verschlüsselter VerkehrAlle Themen