L'ispezione approfondita dei pacchetti funziona sul traffico cifrato?

Solo sulle parti non cifrate, a meno di decifrare. L'ispezione approfondita dei pacchetti (DPI) significa leggere oltre le intestazioni, dentro il contenuto. Con TLSTLS: Transport Layer Security. La cifratura che protegge gran parte del traffico internet, come HTTPS. il contenuto è cifrato, quindi le firme classiche che cercano un file o un comando malevolo nel flusso non corrispondono più. Restano leggibili i messaggi di handshake non cifrati, con versione di TLS, scelte di cifrario e di scambio di chiavi, un'impronta del client e di solito il nome del server, e le risposte DNS che hanno preceduto la connessione. Insieme ai metadati di flusso, cioè chi, quando, quanto spesso e quanto, basta per molti rilevamenti: beaconing verso un server di comando e controllo, scansioni, movimento laterale e caricamenti insoliti. Per vedere il contenuto serve un proxy di intercettazione che decifri e cifri di nuovo il traffico, con costi e rischi propri. NetSenX legge i campi dell'handshake dove il suo agente cattura i pacchetti, su Linux o come sensore SPANSPAN: switch port analyser (porta mirror). Un'impostazione dello switch che invia una copia del traffico a una porta, dove un sensore può osservarlo./TAPTAP: test access point. Un piccolo dispositivo che copia il traffico di un cavo di rete per un sensore., non nella modalità di base su macOS, e non decifra mai il traffico.

← Tutte le 40 domande su Crittografia e traffico cifratoTutti i temi