Qu'est-ce que le DPI ?

L'inspection approfondie des paquets (DPI) est une technique de classification du trafic qui examine le contenu d'un paquet au-delà de son en-tête – en comparant les modèles de charge utile à des signatures d'applications connues – afin d'identifier l'application, le protocole ou le type de contenu à l'origine d'une session, ce qui permet aux équipements réseau et de sécurité d'appliquer des règles en fonction de la nature réelle du trafic.

Points clés à retenir

• La technologie DPI analyse le contenu des paquets, et pas seulement leurs en-têtes, afin d'identifier les applications.
• Il sert de base aux pare-feu sensibles aux applications, aux systèmes IPS, aux CASB et à la gestion du trafic SD-WAN.
• La reconnaissance de signatures, la comparaison par protocole et la comparaison heuristique constituent les principales techniques de DPI.
• VOS utilise la technologie DPI pour reconnaître automatiquement plus de 3 000 applications.
• Le trafic chiffré limite l'efficacité du DPI brut, ce qui pousse les fournisseurs à se tourner vers le déchiffrement SSL/TLS.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · DPI et Versa · FAQ

Pourquoi la résolution (DPI) est-elle importante ?

L'inspection des en-têtes uniquement fournit à un appareil une adresse IP, un port et un numéro de protocole, mais pas la nature réelle du trafic. Le port 443 achemine aussi bien le streaming vidéo que la synchronisation de fichiers et les applications professionnelles, et les applications modernes utilisent couramment le protocole HTTPS pour contourner les filtrages grossiers. L’analyse DPI comble cette lacune : en analysant la charge utile, un appareil peut distinguer une mise à jour de sécurité d’une tentative d’exfiltration de données sur le même port, même lorsque les deux semblent identiques au niveau de la couche 4.

C'est cette visibilité qui rend possible la mise en place de politiques adaptées aux applications. Les pare-feu appliquent des règles par application plutôt que par port. Les systèmes de prévention des intrusions comparent le trafic aux signatures d'attaques dissimulées dans la charge utile. Les courtiers en sécurité d'accès au cloud distinguent l'utilisation autorisée des services SaaS de l'informatique fantôme. Les structures SD-WAN acheminent le trafic des applications à forte valeur ajoutée vers le meilleur chemin. Sans analyse approfondie du paquet (DPI), ces contrôles se réduisent à des suppositions fondées uniquement sur l'adresse IP et le port.

Qu'est-ce que le DPI ?

Le DPI fonctionne en ligne, en analysant la charge utile de chaque paquet plutôt que de s’arrêter à l’en-tête des couches 3/4. La technique la plus courante est la comparaison de signatures : le moteur compare les séquences d’octets de la charge utile à une bibliothèque de signatures d’applications et de protocoles connus, à l’instar de la manière dont un logiciel antivirus compare les signatures de logiciels malveillants. L’analyse de conformité au protocole vient compléter cette approche en vérifiant si le trafic sur un port donné se comporte réellement comme le protocole qu’il prétend être, ce qui permet de détecter les sessions furtives ou mal formées.

La classification s'effectue généralement de manière progressive. Les premiers paquets d'une nouvelle session peuvent ne contenir que des informations d'en-tête ; à mesure que la charge utile arrive, le moteur affine sa correspondance et établit un identifiant d'application propre à chaque flux, en mettant souvent ce mappage en cache afin que les sessions ultérieures vers la même destination soient classées plus rapidement. Comme la technologie DPI analyse le contenu de la charge utile, les sessions chiffrées nécessitent un déchiffrement SSL/TLS avant que le système ne dispose d'informations significatives à inspecter.

Types de DPI

Les implémentations de la technologie DPI varient dans leur manière de classer le trafic. La DPI basée sur les signatures compare les motifs d’octets de la charge utile à une bibliothèque mise à jour régulièrement d’empreintes d’applications et de protocoles – une méthode précise, mais dont l’actualité dépend de celle de la base de données de signatures. La DPI par anomalie de protocole vérifie que le trafic est conforme à la spécification du protocole qu’il prétend utiliser, détectant ainsi les tentatives de contournement que la simple comparaison de signatures ne permettrait pas de repérer. Le DPI heuristique et comportemental classe le trafic en fonction de caractéristiques statistiques – taille des paquets, timing et modèles de flux – plutôt qu’en fonction du contenu de la charge utile, ce qui s’avère utile lorsque le trafic est chiffré. Le DPI avec déchiffrement met fin à la connexion SSL/TLS au niveau d’un proxy, inspecte le texte en clair, puis rechiffre le trafic avant de le transférer, sacrifiant ainsi la latence au profit d’une visibilité totale sur des sessions qui seraient autrement opaques.

DPI & Versa

Versa Le système d’exploitation (VOS) intègre la technologie DPI dans la pile de couche 7 à passage unique, plutôt que de l’ajouter séparément. L’identification des applications par VOS utilise la technologie DPI, ainsi que des signaux tels que l’URL, le protocole et l’adresse IP de destination, pour reconnaître automatiquement plus de 3 000 applications, ce qui permet d’appliquer les politiques du pare-feu de nouvelle génération, de la passerelle Web sécurisée et du CASB en ligne en un seul passage. Dans les déploiements SD-WAN, la reconnaissance basée sur le DPI détermine également l’acheminement du trafic: la sortie Internet locale pour une application donnée ne prend effet qu’une fois que le DPI a classé la session, ce qui explique pourquoi les réseaux de production acheminent le trafic de manière plus fiable que les configurations de laboratoire.

Questions fréquentes

Quelle est la différence entre le DPI et l'inspection de paquets avec suivi d'état ?

L'inspection avec état suit l'état de la connexion (source, destination, port et séquence) sans aller au-delà de l'en-tête. La DPI analyse le contenu de la charge utile pour identifier l'application ou le protocole réel, ce qui permet de mettre en place des règles adaptées à l'application plutôt que des règles basées sur les ports.

Le DPI peut-il analyser le trafic chiffré ?

Pas directement. Le chiffrement masque les données utiles que le DPI doit faire correspondre. Pour analyser les sessions chiffrées, un appareil doit d’abord déchiffrer le trafic au niveau d’un proxy SSL/TLS, ou se rabattre sur une classification heuristique basée sur la taille et la durée des paquets plutôt que sur leur contenu.

Le DPI soulève-t-il des préoccupations en matière de vie privée ?

Oui. Étant donné que la technologie DPI permet de lire le contenu des données, son utilisation – en particulier par les FAI ou les pouvoirs publics, plutôt que par une entreprise inspectant son propre réseau – a suscité des interrogations concernant la surveillance et la neutralité du Net. C'est pourquoi, dans le cadre des déploiements en entreprise, la technologie DPI est généralement limitée au trafic circulant sur les réseaux que l'organisation possède et exploite elle-même.

Le DPI est-il identique à un système de prévention des intrusions ?

Non. Le DPI est une technique d'inspection ; un IPS est une fonction de sécurité qui utilise le DPI, entre autres méthodes, pour comparer le trafic à des signatures d'attaques et bloquer les correspondances. Le DPI alimente également les pare-feu, les CASB et le routage SD-WAN.

Le DPI ralentit-il les performances du réseau ?

L'inspection du contenu est plus gourmande en ressources que le filtrage basé uniquement sur les en-têtes ; le DPI peut donc entraîner une latence supplémentaire, en particulier lorsque le déchiffrement SSL/TLS intervient dans le parcours. Dans la pratique, les moteurs DPI spécialement conçus à cet effet et la mise en cache des applications par flux permettent de minimiser cet effet ; le retard supplémentaire est donc rarement perceptible une fois la session classifiée.

En savoir plus sur le DPI

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au DPI, voici quelques liens qui pourraient vous intéresser.