¿Funciona la inspección profunda de paquetes con tráfico cifrado?

Solo en las partes que no están cifradas, salvo que descifre. La inspección profunda de paquetes (DPI) consiste en leer más allá de las cabeceras, en el contenido. Con TLSTLS: Transport Layer Security. El cifrado que protege la mayor parte del tráfico de internet, como HTTPS. el contenido va cifrado, así que las firmas clásicas que buscan un fichero o una orden maliciosa dentro del flujo dejan de coincidir. Siguen siendo legibles los mensajes del handshake sin cifrar, con la versión de TLS, la elección de cifrado e intercambio de claves, una huella del cliente y normalmente el nombre del servidor, y las respuestas DNS previas a la conexión. Junto con los metadatos de flujo, es decir, quién, cuándo, con qué frecuencia y cuánto, eso basta para muchas detecciones: beaconing hacia un servidor de mando y control, escaneos, movimiento lateral y subidas inusuales. Para ver el contenido necesita un proxy de interceptación que descifre y vuelva a cifrar el tráfico, con sus propios costes y riesgos. NetSenX lee los campos del handshake allí donde su agente captura paquetes, en Linux o como sensor SPANSPAN: switch port analyser (puerto espejo). Un ajuste del switch que envía una copia del tráfico a un puerto, donde un sensor puede observarlo./TAPTAP: test access point. Un pequeño dispositivo que copia el tráfico de un cable de red para un sensor., no en el modo básico de macOS, y nunca descifra el tráfico.

← Las 40 preguntas sobre Cifrado y tráfico cifradoTodos los temas