Deep Packet Inspection (DPI): что это такое, как работает и зачем нужен бизнесу

Межсетевой экран фильтрует трафик по адресу отправителя, адресу получателя и порту, то есть по «двери», через которую идут данные. Содержимое пакетов при такой проверке не анализируется: если порт разрешен, пройдут и вредоносный код, и запрещенное приложение. Технология Deep Packet Inspection (DPI) закрывает этот пробел: она анализирует заголовки и содержимое сетевых пакетов вплоть до уровня самих приложений. Компании применяют глубокую инспекцию пакетов для блокировки нежелательных приложений, поиска вредоносной активности и управления нагрузкой на каналы. Шифрование усложняет такую проверку, поэтому его настраивают вместе с защитой каналов. В статье расскажем, как работает DPI, какие бывают системы, что требуют регуляторы и как выбрать систему для сети компании.

Что находится внутри сетевого пакета

Сетевой пакет состоит из заголовка и полезной нагрузки. В заголовке указаны адреса и номера портов, в нагрузке лежат данные: фрагмент страницы сайта, часть файла, команда приложения. Обычный фильтр проверяет только заголовок, поэтому угроза, спрятанная в данных, остается незамеченной.

Что такое DPI: определение и базовые принципы

Deep Packet Inspection, или глубокая инспекция пакетов, — это технология анализа сетевого трафика, при которой проверке подлежат и заголовки, и содержимое пакетов. Проверка охватывает уровни модели взаимодействия открытых систем (OSI) вплоть до прикладного, седьмого, где работают браузеры и мессенджеры.

Для анализа система склеивает пакеты в потоки и выделяет в них признаки: сигнатуры известных приложений и вредоносных программ, характерные команды протоколов, необычные размеры пакетов и интервалы между ними. Правила реакции на найденные признаки задает администратор.

Как работает Deep Packet Inspection

Анализ трафика DPI строится на трех группах методов. Сигнатурный метод сравнивает содержимое с известными образцами, поведенческий отслеживает отклонения от обычной активности, а статистический оценивает объемы и периодичность пакетов. Обработка потока проходит в несколько шагов. Типичная цепочка от получения пакета до применения политики показана в списке.

1. Система получает пакеты с линии связи или копию трафика с зеркального порта коммутатора.
2. Пакеты одной сессии собираются в поток в исходном порядке, чтобы признак не потерялся на границе двух пакетов.
3. Поток сопоставляется с сигнатурами и описаниями протоколов, и по ним распознается приложение или тип данных.
4. По итогам проверки применяется политика администратора: пропустить, заблокировать, ограничить скорость или записать событие в журнал.

Чем DPI отличается от традиционного анализа трафика

Традиционная фильтрация работает на сетевом и транспортном уровнях: сравнивает адреса и порты пакета с правилами и проверяет принадлежность к установленному соединению. Приложение на разрешенном порту, например на порту 443, выглядит для такого фильтра обычным трафиком сайтов.

Глубокий анализ требует больше вычислительных ресурсов. Оборудование разбирает потоки на скорости канала, иначе проверка становится узким местом сети.

Основные функции DPI

Номера портов давно перестали быть надежным признаком приложения: клиенты для обмена файлами и мессенджеры работают через стандартные порты 80 и 443. Глубокая инспекция пакетов распознает приложения по содержимому и поведению потока, и администратор применяет разные правила к разным сервисам внутри одного порта. Технологию применяют в двух направлениях: для управления нагрузкой на сеть и для защиты от угроз. В проектах чаще всего включают четыре функции:

• Приоритеты и лимиты скорости задаются по приложениям: видеосвязь и учетные системы получают гарантированную полосу, а передача больших файлов и потоковое видео ограничиваются.
• Доступ к ресурсам из черного списка и запрещенным категориям сайтов закрывается по политике организации.
• Сигнатуры известных вирусов и сетевых атак применяются к содержимому пакетов до того, как данные попадут на рабочую станцию.
• Исходящий трафик проверяется по ключевым словам и признакам конфиденциальных файлов, а администратор получает уведомление о попытке утечки.

Накопленная статистика пригодна для планирования сети: отчеты показывают, какие приложения занимают канал. Те же данные помогают расследовать инциденты.

Какие бывают системы глубокого анализа и где их ставят

Решения для глубокого анализа отличаются способом подключения к сети и местом в архитектуре. Выбор зависит от того, нужна ли блокировка в реальном времени и допустим ли риск, что сбой остановит канал.

Виды DPI-систем

По способу подключения различают встроенные и пассивные системы. Встроенная система стоит на пути трафика и применяет политику к каждому пакету. Пассивная система получает копию потока с зеркального порта коммутатора и не влияет на работу сети.

Чаще всего функция встроена в NGFW (от англ. Next Generation Firewall): один шлюз совмещает фильтрацию, предотвращение вторжений и распознавание приложений. Отдельные аппаратные анализаторы ставят у операторов связи. Межсетевой экран нового поколения заменяет несколько отдельных устройств одним. Компания получает единый журнал событий и одну точку настройки правил.

Где применяется DPI

В корпоративной сети систему ставят на периметре, у выхода в интернет, и на границах внутренних сегментов. На периметре она останавливает вредоносные вложения, а между сегментами ограничивает лишние приложения.

Операторы связи, коммерческие компании и организации, защищающие государственные информационные системы (ГИС) или объекты критической информационной инфраструктуры (КИИ), применяют глубокий анализ. Оператор связи ограничивает обмен файлами, предприятие проверяет данные между площадками, владелец ГИС ставит сертифицированные средства.

Что меняет шифрование для глубокого анализа

Шифрование защищает данные от посторонних, но закрывает их и от средств проверки. Чем выше доля шифрованного обмена, тем меньше потоков система разбирает без дополнительных действий.

DPI в сетевой безопасности и защите каналов связи

DPI в сетевой безопасности дополняет межсетевой экран и средства обнаружения атак. Экран пропускает связь по заданным правилам, а инспекция проверяет, что внутри разрешенного потока идут данные ожидаемого типа.

Шифрование каналов связи защищает данные между площадками компании: при передаче через интернет их нельзя прочитать или изменить. Подлинность шлюзов проверяется при установлении туннеля, поэтому подключиться к защищенной сети постороннее устройство не может.

DPI и шифрованный трафик: возможности и ограничения

В защищенном соединении HTTPS, построенном на протоколе TLS (Transport Layer Security), содержимое пакетов зашифровано. Без расшифровки системе доступны метаданные: адреса, порты, размеры пакетов и часто имя сервера. По ним определяется тип сервиса, а содержимое страницы или файла остается недоступным.

Для просмотра содержимого применяют инспекцию TLS: шлюз завершает соединение с пользователем, проверяет открытые данные и устанавливает новое соединение с сервером. У инспекции TLS есть пределы: приложения с закреплением сертификата отклоняют подмену, а расшифровка нагружает оборудование.

Туннель VPN (виртуальная частная сеть) скрывает от внешних наблюдателей содержимое пакетов и внутренние адреса. Снаружи видны лишь адреса концов туннеля, поэтому наблюдатель не узнает, какие приложения работают внутри.

Роль IKEv2/IPsec в защите трафика

IPsec (набор протоколов защиты сетевого трафика) строит защищенный туннель между двумя шлюзами. Обмен ключами выполняет протокол IKEv2 (Internet Key Exchange, версия 2), а передачу данных шифрует и аутентифицирует протокол ESP (Encapsulating Security Payload).

В туннельном режиме ESP шифрует пакет целиком, включая внутренние адреса и порты. Устройство на пути зашифрованного потока получает только внешние адреса шлюзов и размеры пакетов, поэтому распознавание приложений размещают в сегменте до шифрования или после расшифрования. В российских проектах шифрование выполняют по государственному стандарту (ГОСТ): применяются шифры «Кузнечик» и «Магма», описанные в ГОСТ Р 34.12-2015, а шлюзы проходят сертификацию Федеральной службы безопасности (ФСБ) России.

«ЭЛВИС-ПЛЮС»: соавтор международного стандарта IPsec

АО «ЭЛВИС-ПЛЮС» входит в группу компаний «Солар» и создало комплекс «ЗАСТАВА» для защиты каналов связи. По данным Solar, эксперты компании являются соавторами протокола IPsec и участниками Международного союза электросвязи (ITU). Открытые спецификации IPsec и IKEv2 позволяют шлюзам разных марок согласовывать параметры туннеля. По данным производителя, «ЗАСТАВА» встраивается в сети с оборудованием Cisco, Check Point и Palo Alto.

Какие требования ФСТЭК и ФСБ действуют для анализа и защиты трафика

Организации, которые владеют ГИС или системами государственных органов, подведомственных предприятий и учреждений, выстраивают защиту по приказу Федеральной службы по техническому и экспортному контролю (ФСТЭК) России от 11.04.2025 № 117. Приказ действует с 1 марта 2026 года и заменил приказ ФСТЭК от 11.02.2013 № 17.

Применение шифровальных средств в ГИС регулирует приказ ФСБ России от 18.03.2025 № 117, который действует с 6 апреля 2025 года. Если каналы связи ГИС защищают шифрованием, применяются требования обоих приказов.

Набор мер зависит от класса защищенности и модели угроз. Для криптошлюза соответствие подтверждает сертификат ФСБ России на класс средства криптографической защиты (КС1, КС2 или КС3), а для межсетевого экрана и средств обнаружения вторжений ФСТЭК выдает сертификат на конкретную модель и версию. Сертификат не подтверждает наличие глубокой инспекции в продукте.

Для объектов КИИ действует Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Перечень обязательных мер берут из текста приказов.

Как выбрать DPI-решение для компании

Проект начинается с описания сети: схема подключений, объем трафика в часы пик и доля шифрованных соединений. Объем трафика задает пропускную способность, а доля шифрованных соединений показывает, понадобится ли расшифровка.

Требования разных поставщиков сравнивают по одному набору параметров. Список показывает четыре параметра, которые стоит прописать в техническом задании на закупку:

• Пропускная способность измеряется при включенной инспекции на профиле нагрузки, близком к реальному, потому что паспортные значения для чистой фильтрации выше.
• Режим подключения выбирают по допустимому риску: встроенная система блокирует трафик, но при отказе может остановить канал, а пассивная система канал не затрагивает.
• Сертификаты ФСТЭК и ФСБ нужны на конкретную модель и версию, если средство ставят в защищаемую государственную систему.
• Сигнатуры обновляются регулярно, а для закрытых сегментов предусмотрена ручная загрузка обновлений.

Перед закупкой систему проверяют на пилоте: подключают к копии трафика и оценивают долю ложных срабатываний. Политики блокировки вводят поэтапно: сначала режим наблюдения, затем запрет приложений с наименьшими рисками для бизнеса.

Глубокая инспекция трафика: получите консультацию по DPI

Эксперты Solar помогут выбрать место установки системы анализа и подготовить пилот на копии трафика.

Получить консультацию

АПК «ЗАСТАВА»: ГОСТ VPN, фильтрация трафика и защита каналов связи

Защиту канала между площадками и анализ содержимого трафика часто выполняют разные устройства: криптошлюз шифрует канал, а анализатор работает в открытом сегменте сети. Аппаратно-программный комплекс (АПК) «ЗАСТАВА» относится к криптошлюзам: он шифрует каналы связи по ГОСТ и фильтрует трафик.

Состав и возможности АПК «ЗАСТАВА»

VPN комплекса строится на семействе протоколов IPsec с IKEv2 и ESP, а шифрование выполняют алгоритмы «Магма» и «Кузнечик». Комплекс защищает связь офисов и центров обработки данных.

По данным производителя, комплекс имеет сертификаты ФСБ по классам КС1 и КС3, а межсетевой экран сертифицирован ФСТЭК. Номера и сроки действия перед закупкой уточняют по реестрам регуляторов.

Преимущества АПК «ЗАСТАВА» для бизнеса и госсектора

Компании с филиалами важны управление из одной точки и предсказуемая стоимость, государственной организации важны криптография по ГОСТ и сертификаты. Четыре свойства из списка производитель выделяет в буклете.

• Совместимость с протоколами IPsec и IKEv2 упрощает встраивание в существующую сеть, в том числе с оборудованием других производителей.
• Централизованное управление позволяет обновлять и администрировать шлюзы и клиентов из одной точки.
• Отказоустойчивая схема автоматически распределяет клиентов между криптошлюзами и объединяет устройства в кластеры.
• Один шлюз одновременно поддерживает туннели уровней L2 и L3, а обратная совместимость сохраняется с ранее сертифицированными версиями.

По данным производителя, число туннелей и узлов управления на стоимость лицензий не влияет. Число внедрений превышает 50 тысяч за 30 лет. Для государственных организаций в линейке есть защищенный тонкий клиент «ЗАСТАВА ТК».

Внедрение АПК «ЗАСТАВА»: от демонстрации до обучения администраторов

Проект внедрения проходит четыре этапа: информирование, демонстрация, поставка с внедрением и сопровождение, — а стандартная техническая поддержка входит в стоимость продуктов. На первом этапе заказчик получает информацию по телефону или почте, на втором знакомится с комплексом на демонстрации или нагрузочном тестировании, а на третьем партнеры Solar поставляют комплекс, внедряют его и обучают администраторов.

Для сети, где нужны и шифрование каналов по ГОСТ, и распознавание приложений по содержимому, закупку делят на два контура: криптошлюз и средство инспекции. Обследование площадок и каналов показывает, где пройдет граница между ними.

Бесплатная демонстрация АПК «ЗАСТАВА» с экспертом Solar

Эксперт Solar покажет возможности комплекса в работе и ответит на вопросы по схеме вашей сети.

Оставить заявку

Частые вопросы и ответы