DPIとは何ですか？

ディープパケットインスペクション（DPI）は、パケットのヘッダーだけでなくその内容も詳細に解析し、ペイロードのパターンを既知のアプリケーションシグネチャと照合することで、セッションを生成しているアプリケーション、プロトコル、またはコンテンツの種類を特定するトラフィック分類技術です。これにより、ネットワーク機器やセキュリティ機器は、トラフィックの実際の内容に基づいてポリシーを適用することができます。

主なポイント

• DPIは、アプリケーションを識別するために、ヘッダーだけでなくパケットのペイロードも検査します。
• これは、アプリケーション認識型ファイアウォール、IPS、CASB、およびSD-WANのトラフィック誘導を支える基盤となっています。
• シグネチャ、プロトコル、およびヒューリスティックマッチングは、DPIの中核となる技術です。
• VOSはDPIを利用して、3,000以上のアプリケーションを自動的に認識します。
• トラフィックの暗号化により、生のDPI分析が制限され、ベンダーはSSL/TLSの復号化へと向かっています。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ DPI およびVersa · よくある質問

DPIはなぜ重要なのでしょうか？

ヘッダーのみの検査では、デバイスにはIPアドレス、ポート番号、プロトコル番号のみが通知され、トラフィックの実際の内容までは把握できません。 ポート443では、動画ストリーミング、ファイル同期、ビジネスアプリケーションなどが同様に送信されており、最新のアプリケーションは、大まかなフィルタリングを回避するために、HTTPS経由でトンネル通信を行うことが常態化しています。DPIはこのギャップを埋めます。ペイロードを読み取ることで、デバイスは、レイヤー4上では両者が同一に見えていても、同じポート上で送信されるセキュリティ更新とデータ漏洩の試みを区別することができるのです。

この可視性こそが、アプリケーション認識型ポリシーの実現を可能にしている。ファイアウォールは、ポート単位ではなくアプリケーション単位でルールを適用する。侵入防止システムは、ペイロードに隠された攻撃シグネチャとトラフィックを照合する。クラウドアクセスセキュリティブローカーは、承認されたSaaSの利用とシャドーITを区別する。SD-WANファブリックは、価値の高いアプリケーショントラフィックを最適な経路へと誘導する。DPIがなければ、これらの制御はIPアドレスとポートのみに基づく推測に成り下がってしまう。

DPIとは何ですか？

DPIはインラインで動作し、レイヤー3/4のヘッダーで処理を停止させるのではなく、各パケットのペイロードを検査します。最も一般的な手法はシグネチャ照合です。エンジンは、ペイロードのバイトパターンを、既知のアプリケーションおよびプロトコルのシグネチャが登録されたライブラリと照合します。これは、ウイルス対策ソフトウェアがマルウェアのシグネチャと照合する仕組みと似ています。これに加え、プロトコル準拠性分析では、特定のポート上のトラフィックが、そのポートで主張されているプロトコル通りの動作をしているかどうかを検証し、回避策を講じているセッションや不正な形式のセッションを検知します。

分類は通常、段階的に行われます。新しいセッションの最初のパケットにはヘッダー情報のみが含まれている場合がありますが、ペイロードが届くにつれて、エンジンはマッチングを精緻化し、フローごとのアプリケーション ID を構築します。多くの場合、そのマッピングはキャッシュされるため、同じ宛先への後のセッションではより迅速に分類が行われます。DPI はペイロードの内容を読み取るため、暗号化されたセッションについては、検査に値する情報を得る前に SSL/TLS の復号化が必要となります。

DPIの種類

DPIの実装方法によって、トラフィックの分類方法は異なります。シグネチャベースのDPIは、ペイロードのバイトパターンを、アプリケーションやプロトコルのフィンガープリントを収録したライブラリと照合します。これは正確ですが、シグネチャデータベースが最新である場合にのみ有効です。プロトコル異常検出型DPIは、トラフィックが使用を主張するプロトコルの仕様に準拠しているかどうかを検証し、シグネチャ照合だけでは見逃してしまう回避の試みを検知します。ヒューリスティックおよび行動ベースのDPIは、ペイロードの内容ではなく、パケットサイズ、タイミング、フローパターンといった統計的特性に基づいてトラフィックを分類するため、トラフィックが暗号化されている場合に有用です。復号型DPIは、プロキシでSSL/TLSを終了させ、平文を検査した後、転送前に再暗号化を行います。これにより、レイテンシの増加と引き換えに、本来は不透明なセッションを完全に可視化することができます。

DPI およびVersa

Versa オペレーティングシステム（VOS）は、DPIを別途追加するのではなく、シングルパスレイヤー7スタックに組み込んでいます。VOSのアプリケーション識別機能は、DPIに加え、URL、プロトコル、宛先IPなどのシグナルを活用して3,000以上のアプリケーションを自動的に認識し、同一パス内で次世代ファイアウォール、セキュアWebゲートウェイ、およびインラインCASBポリシーを駆動します。 SD-WANの導入においても、DPIベースの識別機能はトラフィックの迂回先決定にも活用されます。特定のアプリケーションに対するローカルインターネットへのブレイクアウトは、DPIがセッションを分類して初めて有効になります。これが、本番ネットワークにおいて、ラボ環境よりも確実にトラフィックを迂回させることができる理由です。

よくある質問

DPIとステートフルパケット検査の違いは何ですか？

ステートフル検査は、ヘッダー以外の情報を参照することなく、接続の状態（送信元、宛先、ポート、シーケンス）を追跡します。DPIはペイロードの内容を読み取って実際のアプリケーションやプロトコルを特定するため、ポートベースのポリシーではなく、アプリケーションを意識したポリシーの適用が可能になります。

DPIは暗号化されたトラフィックを検査できますか？

直接的にはできません。暗号化によって、DPIが照合に必要なペイロードが隠されてしまいます。暗号化されたセッションを検査するには、デバイスはまずSSL/TLSプロキシでトラフィックを復号化する必要があります。あるいは、コンテンツではなくパケットサイズやタイミングに基づくヒューリスティック分類に切り替える必要があります。

DPIはプライバシー上の懸念を引き起こすのでしょうか？

はい。DPIはペイロードの内容を読み取ることができるため、その利用――特に、自社ネットワークを監視する企業ではなく、ISPや政府による利用――は、監視やネット中立性に関して厳しい視線が向けられてきました。そのため、企業での導入においては、一般的に、DPIの対象を組織自身が所有・運用するネットワーク上のトラフィックに限定しています。

DPIは侵入防止システムと同じものですか？

いいえ。DPIは検査技術であり、IPSはDPIをはじめとするさまざまな手法を用いて、トラフィックを攻撃シグネチャと照合し、一致したものをブロックするセキュリティ機能です。また、DPIはファイアウォール、CASB、SD-WANのステアリングにも情報を提供します。

DPIはネットワークのパフォーマンスを低下させますか？

ペイロードの検査は、ヘッダーのみのフィルタリングよりもリソースを多く消費するため、DPIは遅延を引き起こす可能性があります。特に、処理経路にSSL/TLSの復号が含まれる場合はなおさらです。しかし、実際には、専用に設計されたDPIエンジンやフローごとのアプリケーションキャッシュによってこの遅延は最小限に抑えられているため、セッションの分類が完了すれば、追加された遅延が気になるところはほとんどありません。

DPIに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

DPIについてお読みの方は、次にこれらもぜひチェックしてみてください。