Network Packet Broker Application Identification Baserat på DPI – Deep Packet Inspection

Deep Packet Inspection (DPI)är en teknik som används i Network Packet Brokers (NPB) för att inspektera och analysera innehållet i nätverkspaket på en granulär nivå.Det innebär att undersöka nyttolasten, rubrikerna och annan protokollspecifik information i paket för att få detaljerade insikter om nätverkstrafik.

DPI går utöver enkel rubrikanalys och ger en djup förståelse av data som flödar genom ett nätverk.Det möjliggör en djupgående inspektion av applikationslagerprotokollen, såsom HTTP, FTP, SMTP, VoIP eller videoströmningsprotokoll.Genom att undersöka det faktiska innehållet i paket kan DPI upptäcka och identifiera specifika applikationer, protokoll eller till och med specifika datamönster.

Förutom den hierarkiska analysen av källadresser, destinationsadresser, källportar, destinationsportar och protokolltyper, lägger DPI även till applikationslageranalys för att identifiera olika applikationer och deras innehåll.När 1P-paketet, TCP- eller UDP-data flödar genom bandbreddshanteringssystemet baserat på DPI-teknik, läser systemet innehållet i 1P-paketbelastningen för att omorganisera applikationslagerinformationen i OSI Layer 7-protokollet, för att få innehållet i hela applikationsprogrammet, och sedan forma trafiken enligt den hanteringspolicy som definieras av systemet.

Hur fungerar DPI?

Traditionella brandväggar saknar ofta processorkraft för att utföra noggranna realtidskontroller av stora trafikvolymer.Allt eftersom tekniken går framåt kan DPI användas för att utföra mer komplexa kontroller för att kontrollera rubriker och data.Brandväggar med intrångsdetekteringssystem använder vanligtvis DPI.I en värld där digital information är avgörande, levereras varje bit digital information över Internet i små paket.Detta inkluderar e-post, meddelanden som skickas via appen, besökta webbplatser, videokonversationer och mer.Utöver de faktiska uppgifterna innehåller dessa paket metadata som identifierar trafikkällan, innehållet, destinationen och annan viktig information.Med paketfiltreringsteknik kan data kontinuerligt övervakas och hanteras för att säkerställa att den vidarebefordras till rätt plats.Men för att säkerställa nätverkssäkerhet är traditionell paketfiltrering långt ifrån tillräckligt.Några av de viktigaste metoderna för djup paketinspektion i nätverkshantering listas nedan:

Matchningsläge/signatur

Varje paket kontrolleras för en matchning mot en databas med kända nätverksattacker av en brandvägg med intrångsdetekteringssystem (IDS).IDS söker efter kända skadliga specifika mönster och inaktiverar trafik när skadliga mönster hittas.Nackdelen med signaturmatchningspolicyn är att den bara gäller signaturer som uppdateras ofta.Dessutom kan denna teknik bara försvara sig mot kända hot eller attacker.

Protokollundantag

Eftersom protokollundantagstekniken inte helt enkelt tillåter all data som inte matchar signaturdatabasen, har protokollundantagstekniken som används av IDS-brandväggen inte de inneboende bristerna i mönster/signaturmatchningsmetoden.Istället antar den standardpolicyn för avvisning.Enligt protokolldefinition bestämmer brandväggar vilken trafik som ska tillåtas och skyddar nätverket från okända hot.

Intrångsskyddssystem (IPS)

IPS-lösningar kan blockera överföringen av skadliga paket baserat på deras innehåll och därigenom stoppa misstänkta attacker i realtid.Detta innebär att om ett paket representerar en känd säkerhetsrisk kommer IPS proaktivt att blockera nätverkstrafik baserat på en definierad uppsättning regler.En nackdel med IPS är behovet av att regelbundet uppdatera en databas för cyberhot med detaljer om nya hot och möjligheten till falska positiva resultat.Men denna fara kan mildras genom att skapa konservativa policyer och anpassade trösklar, etablera lämpligt baslinjebeteende för nätverkskomponenter och regelbundet utvärdera varningar och rapporterade händelser för att förbättra övervakning och varning.

1- DPI (Deep Packet Inspection) i Network Packet Broker

Den "djupa" är nivå och vanlig paketanalys jämförelse, "vanlig paketinspektion" endast följande analys av IP-paket 4 lager, inklusive källadress, destinationsadress, källport, destinationsport och protokolltyp, och DPI förutom med den hierarkiska analys, ökade också applikationslageranalys, identifiera de olika applikationerna och innehållet, för att förverkliga huvudfunktionerna:

1) Tillämpningsanalys -- analys av nätverkstrafikens sammansättning, prestandaanalys och flödesanalys

2) Användaranalys -- användargruppsdifferentiering, beteendeanalys, terminalanalys, trendanalys, etc.

3) Nätverkselementanalys -- analys baserad på regionala attribut (stad, distrikt, gata, etc.) och basstationsbelastning

4) Trafikkontroll -- P2P-hastighetsbegränsning, QoS-säkring, bandbreddssäkring, nätverksresursoptimering, etc.

5) Säkerhetsgaranti -- DDoS-attacker, datasändningsstorm, förhindrande av skadliga virusattacker, etc.

2- Allmän klassificering av nätverksapplikationer

Idag finns det otaliga applikationer på Internet, men de vanliga webbapplikationerna kan vara uttömmande.

Så vitt jag vet är det bästa företaget för appigenkänning Huawei, som påstår sig känna igen 4 000 appar.Protokollanalys är grundmodulen för många brandväggsföretag (Huawei, ZTE, etc.), och det är också en mycket viktig modul som stödjer förverkligandet av andra funktionella moduler, exakt applikationsidentifiering och avsevärt förbättrar produkternas prestanda och tillförlitlighet.Vid modellering av identifiering av skadlig programvara baserad på nätverkstrafikegenskaper, som jag gör nu, är korrekt och omfattande protokollidentifiering också mycket viktig.Exklusive nätverkstrafiken för vanliga applikationer från företagets exporttrafik, kommer den återstående trafiken att stå för en liten andel, vilket är bättre för skadlig programvara analys och larm.

Baserat på min erfarenhet klassificeras de befintliga vanliga applikationerna efter deras funktioner:

PS: Enligt personlig förståelse av applikationsklassificeringen har du några bra förslag, välkommen att lämna ett meddelandeförslag

1).E-post

2).Video

3).Spel

4).Office OA klass

5).Programuppdatering

6).Finansiella (bank, Alipay)

7).Lager

8).Social kommunikation (IM-programvara)

9).Webbläsning (förmodligen bättre identifierad med webbadresser)

10).Ladda ner verktyg (webbdisk, P2P-nedladdning, BT-relaterat)