Czy głęboka inspekcja pakietów działa na ruchu szyfrowanym?

Tylko na tych częściach, które nie są zaszyfrowane, chyba że deszyfrujesz. Głęboka inspekcja pakietów (DPI) oznacza czytanie poza nagłówkami, w treści pakietu. W TLSTLS: Transport Layer Security. Szyfrowanie, które chroni większość ruchu w internecie, na przykład HTTPS. treść jest zaszyfrowana, więc klasyczne sygnatury szukające złośliwego pliku lub polecenia w strumieniu przestają pasować. Czytelne pozostają nieszyfrowane wiadomości handshake'u, z wersją TLS, wyborem szyfru i wymiany kluczy, odciskiem klienta i zwykle nazwą serwera, oraz odpowiedzi DNS poprzedzające połączenie. W połączeniu z metadanymi przepływów, czyli kto, kiedy, jak często i ile, to wystarcza do wielu detekcji: beaconingu C2C2: command and control (dowodzenie i kontrola). Kanał, którym złośliwe oprogramowanie odbiera polecenia z serwera napastnika., skanowania, ruchu lateralnego i nietypowych wysyłek. Aby zobaczyć treść, potrzebujesz proxy przechwytującego, które deszyfruje i ponownie szyfruje ruch, z własnymi kosztami i ryzykiem. NetSenX odczytuje pola handshake'u tam, gdzie agent przechwytuje pakiety, na Linuksie lub jako czujnik SPANSPAN: switch port analyser (port lustrzany). Ustawienie przełącznika, które wysyła kopię ruchu na jeden port, gdzie może go obserwować sensor./TAPTAP: test access point. Małe urządzenie, które kopiuje ruch z kabla sieciowego dla sensora., nie w trybie podstawowym na macOS, i nigdy nie deszyfruje ruchu.

← Wszystkie pytania (40): Szyfrowanie i ruch szyfrowanyWszystkie tematy