Система DPI

Система DPI (Deep packet Inspection) – используется с целью глубокого анализа сетевых пакетов. Глубокий анализ – анализ пакетов на верхних уровнях модели OSI.
Сетевые пакеты в системе DPI анализируются не только по номерам портов, форматам заголовков и т.д. а ещё с использованием сигнатурного анализа, статистических методов слежения за характеристиками пакетов, поведенческого анализа с целью точной идентификации приложения, которому принадлежат сетевые пакеты. К примеру, сложным для идентификации является Bittorrent, поскольку не использует для обмена заранее известные структуры пакетов, заголовки и т.д. В таком случае, эффективными критериями определения является источник и получатель сетевого пакета, размер пакета, периодичность открытия сессионных соединений, и так далее.
6381754796790
Рисунок 2 – DPI и традиционный анализ сетевых пакетов.
Чтобы рассмотреть принцип работы DPI, необходимо изучить содержание сетевых пакетов.
Сетевой пакет состоит из нескольких составляющих:
Заголовок пакета

. В заголовке пакета хранятся такие данные как время жизни пакета (TTL, Time to live);
Адрес отправителя и получателя;
Тело пакета. Отличительной особенностью системы DPI является умение анализировать тело пакета;
Контрольная сумма.
К примеру, в структуре пакета протокола IP версии 4 существует специальный байт, в котором указан номер протокола транспортного уровня модели OSI. Порядковый номер данного байта – десятый. При анализе системой DPI пакета протокола IPv4, определяется какой конкретно протокол транспортного уровня участвует в передаче пакетов. В случае, если номер равен 6 – используется TCP-протокол, если номер равен 17 – используется протокол UDP.
На сегодняшний момент, системы DPI обладают следующими возможностями:
Идентифицируют прикладные протоколы (HTTP, HTTPS, Skype);
Определяют тип передаваемых данных. Если используется протокол HTTP, то DPI имеет возможность определить какие данные передаются, например аудиофайлы, html-страницы и так далее