¿Qué es el DPI?

La inspección profunda de paquetes (DPI) es una técnica de clasificación del tráfico que examina el contenido de un paquete más allá de su encabezado —comparando los patrones de la carga útil con firmas de aplicaciones conocidas— para identificar la aplicación, el protocolo o el tipo de contenido que genera una sesión, de modo que los dispositivos de red y de seguridad puedan aplicar políticas en función de la naturaleza real del tráfico.

Puntos clave

• El DPI analiza el contenido de los paquetes, no solo las cabeceras, para identificar las aplicaciones.
• Sirve de base para los cortafuegos sensibles a las aplicaciones, los sistemas IPS, los CASB y el enrutamiento SD-WAN.
• La coincidencia de firmas, de protocolos y heurística son las técnicas fundamentales de la DPI.
• VOS utiliza la tecnología DPI para reconocer automáticamente más de 3.000 aplicaciones.
• El tráfico cifrado limita el DPI sin procesar, lo que empuja a los proveedores hacia el descifrado de SSL/TLS.

En esta página: Por qué es importante · Cómo funciona · Tipos · DPI y Versa · Preguntas frecuentes

¿Por qué es importante el DPI?

La inspección solo de encabezados proporciona al dispositivo una dirección IP, un puerto y un número de protocolo, pero no la naturaleza real del tráfico. El puerto 443 transporta tanto streaming de vídeo como sincronización de archivos y aplicaciones empresariales, y las aplicaciones modernas suelen utilizar túneles a través de HTTPS precisamente para eludir el filtrado burdo. La DPI subsana esa laguna: al analizar la carga útil, un dispositivo puede distinguir una actualización de seguridad de un intento de exfiltración de datos en el mismo puerto, incluso cuando ambos parecen idénticos en la capa 4.

Esa visibilidad es lo que hace posible una política basada en las aplicaciones. Los cortafuegos aplican reglas por aplicación, en lugar de por puerto. Los sistemas de prevención de intrusiones comparan el tráfico con firmas de ataque ocultas en la carga útil. Los intermediarios de seguridad para el acceso a la nube distinguen el uso autorizado de SaaS de la «TI en la sombra». Las estructuras SD-WAN dirigen el tráfico de aplicaciones de alto valor hacia la mejor ruta. Sin DPI, estos controles se reducen a conjeturas basadas únicamente en la dirección IP y el puerto.

¿Qué es el DPI?

El DPI funciona en línea, examinando la carga útil de cada paquete en lugar de detenerse en la cabecera de las capas 3 y 4. La técnica más habitual es la comparación de firmas: el motor compara los patrones de bytes de la carga útil con una biblioteca de firmas conocidas de aplicaciones y protocolos, de forma similar a como el software antivirus compara las firmas de malware. El análisis de conformidad con el protocolo complementa este proceso comprobando si el tráfico de un puerto determinado se comporta realmente como el protocolo que dice ser, detectando así sesiones evasivas o mal formadas.

La clasificación suele realizarse de forma progresiva. Los primeros paquetes de una nueva sesión pueden contener únicamente información de cabecera; a medida que llega la carga útil, el motor refina su coincidencia y crea un identificador de aplicación por flujo, almacenando a menudo en caché esa correspondencia para que las sesiones posteriores con el mismo destino se clasifiquen más rápidamente. Dado que el DPI lee el contenido de la carga útil, las sesiones cifradas requieren un descifrado SSL/TLS antes de que haya nada significativo que inspeccionar.

Tipos de DPI

Las implementaciones de DPI varían en cuanto a cómo clasifican el tráfico. El DPI basado en firmas compara patrones de bytes de la carga útil con una biblioteca actualizada de huellas de aplicaciones y protocolos; es preciso, pero su precisión depende de que la base de datos de firmas esté al día. El DPI de anomalías de protocolo comprueba que el tráfico se ajuste a la especificación del protocolo que afirma utilizar, detectando intentos de evasión que la mera comparación de firmas pasaría por alto. El DPI heurístico y de comportamiento clasifica el tráfico según características estadísticas —tamaño de los paquetes, sincronización y patrones de flujo— en lugar del contenido de la carga útil, lo cual resulta útil cuando el tráfico está cifrado. El DPI con descifrado interrumpe la conexión SSL/TLS en un proxy, inspecciona el texto sin cifrar y vuelve a cifrarlo antes de reenviarlo, sacrificando latencia a cambio de una visibilidad completa de sesiones que, de otro modo, serían opacas.

DPI y Versa

Versa El sistema operativo (VOS) integra el DPI en la pila de capa 7 de una sola pasada, en lugar de añadirlo por separado. La identificación de aplicaciones de VOS utiliza el DPI, junto con señales de URL, protocolo e IP de destino, para reconocer automáticamente más de 3.000 aplicaciones, lo que permite aplicar políticas de cortafuegos de última generación, pasarela web segura y CASB en línea en una misma pasada. En las implementaciones de SD-WAN, el reconocimiento basado en DPI también determina el enrutamiento del tráfico: la salida a Internet local para una aplicación determinada solo se activa una vez que el DPI ha clasificado la sesión, razón por la cual las redes de producción enrutan el tráfico de forma más fiable que las configuraciones de laboratorio.

Preguntas frecuentes

¿Cuál es la diferencia entre DPI y la inspección de paquetes con estado?

La inspección con estado realiza un seguimiento del estado de la conexión —origen, destino, puerto y secuencia— sin ir más allá de la cabecera. La inspección DPI lee el contenido de la carga útil para identificar la aplicación o el protocolo real, lo que permite aplicar políticas basadas en la aplicación en lugar de políticas basadas en puertos.

¿Puede el DPI inspeccionar el tráfico cifrado?

No directamente. El cifrado oculta la información útil que el DPI necesita para realizar la comparación. Para inspeccionar sesiones cifradas, un dispositivo debe primero descifrar el tráfico en un proxy SSL/TLS o recurrir a una clasificación heurística basada en el tamaño y la sincronización de los paquetes, en lugar de en el contenido.

¿Plantea el DPI problemas de privacidad?

Sí. Dado que la tecnología DPI permite leer el contenido de la carga útil, su uso —especialmente por parte de los proveedores de servicios de Internet o los gobiernos, más que por una empresa que inspecciona su propia red— ha suscitado críticas en torno a la vigilancia y la neutralidad de la red; por eso, en las implementaciones empresariales, la DPI suele limitarse al tráfico de las redes que la propia organización posee y gestiona.

¿Es lo mismo el DPI que un sistema de prevención de intrusiones?

No. El DPI es la técnica de inspección; un IPS es una función de seguridad que utiliza el DPI, entre otros métodos, para comparar el tráfico con las firmas de ataques y bloquear las coincidencias. El DPI también proporciona información a los cortafuegos, a los CASB y al sistema de enrutamiento de SD-WAN.

¿El DPI ralentiza el rendimiento de la red?

La inspección de la carga útil consume más recursos que el filtrado basado únicamente en las cabeceras, por lo que el DPI puede aumentar la latencia, especialmente cuando se incluye el descifrado de SSL/TLS en la ruta. En la práctica, los motores DPI diseñados específicamente para este fin y el almacenamiento en caché de aplicaciones por flujo minimizan este efecto, por lo que el retraso adicional rara vez se nota una vez que se ha clasificado la sesión.

Más información sobre DPI

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el DPI, te conviene echar un vistazo a lo siguiente.