L'inspection approfondie des paquets fonctionne-t-elle sur le trafic chiffré ?

Seulement sur les parties non chiffrées, sauf à déchiffrer. L'inspection approfondie des paquets (DPI) consiste à lire au-delà des en-têtes, dans le contenu. Avec TLSTLS: Transport Layer Security. Le chiffrement qui protège la plupart du trafic internet, comme HTTPS., le contenu est chiffré : les signatures classiques qui cherchent un fichier ou une commande malveillante dans le flux ne correspondent plus. Restent lisibles les messages de négociation non chiffrés, avec la version de TLS, les choix de chiffrement et d'échange de clés, une empreinte du client et en général le nom du serveur, ainsi que les réponses DNS qui ont précédé la connexion. Combiné aux métadonnées de flux, c'est-à-dire qui, quand, à quelle fréquence et combien, cela suffit pour de nombreuses détections : beaconing vers un serveur de commande et de contrôle, balayages, mouvements latéraux et envois inhabituels. Pour voir le contenu, il faut un proxy d'interception qui déchiffre et rechiffre le trafic, avec ses propres coûts et risques. NetSenX lit les champs de la négociation là où son agent capture les paquets, sous Linux ou en sonde SPANSPAN: switch port analyser (port miroir). Un réglage du commutateur qui envoie une copie du trafic vers un port, où un capteur peut l'observer./TAPTAP: test access point. Un petit boîtier qui copie le trafic d'un câble réseau pour un capteur., pas en mode de base sous macOS, et ne déchiffre jamais le trafic.

← Les 40 questions sur Chiffrement et trafic chiffréTous les thèmes