Werkt deep packet inspection op versleuteld verkeer?
Alleen op de delen die niet versleuteld zijn, tenzij u ontsleutelt. Deep packet inspection (DPI) betekent voorbij de pakketheaders in de inhoud lezen. Bij TLSTLS: Transport Layer Security. De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS. is de inhoud versleuteld, dus klassieke signaturen die zoeken naar een kwaadaardig bestand of commando in de stroom matchen niet meer. Leesbaar blijven de onversleutelde handshakeberichten, met de TLS-versie, de keuze voor cijfersuite en sleuteluitwisseling, een clientfingerprint en meestal de servernaam, en de DNS-antwoorden die aan de verbinding voorafgingen. Samen met flowmetadata, dus wie, wanneer, hoe vaak en hoeveel, is dat genoeg voor veel detecties: beaconing naar een command-and-controlserver, scans, laterale beweging en ongewone uploads. Om inhoud te zien hebt u een onderscheppende proxy nodig die verkeer ontsleutelt en opnieuw versleutelt, met eigen kosten en risico's. NetSenX leest de handshakevelden waar zijn agent pakketten vastlegt, op Linux of als SPANSPAN: switch port analyser (spiegelpoort). Een switchinstelling die een kopie van het verkeer naar één poort stuurt, waar een sensor het kan bekijken./TAPTAP: test access point. Een klein apparaat dat het verkeer op een netwerkkabel kopieert voor een sensor.-sensor, niet in de basismodus op macOS, en ontsleutelt nooit verkeer.
Lees verder
Gerelateerde vragen
Begrippen op deze pagina
- TLS (Transport Layer Security)
- De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS.
- SPAN (switch port analyser (spiegelpoort))
- Een switchinstelling die een kopie van het verkeer naar één poort stuurt, waar een sensor het kan bekijken.
- TAP (test access point)
- Een klein apparaat dat het verkeer op een netwerkkabel kopieert voor een sensor.
← Alle 40 vragen over Versleuteling en versleuteld verkeerAlle onderwerpen