Deep packet inspection ou em tradução livre de inspeção profunda de pacotes (DPI) é um tipo de processamento de dados que inspeciona em detalhes os dados enviados por uma rede de computadores e, em geral, realiza ações bloqueio, redirecionamento ou registro de maneira adequada.
A inspeção profunda de pacotes é frequentemente usada para garantir que os dados estejam no formato correto, para checar códigos maliciosos, espionagem e censura na Internet, entre outras finalidades. Existem vários cabeçalhos para pacotes IP; equipamento de rede só precisa usar o primeiro deles (o cabeçalho IP) para operação normal, mas o uso do segundo cabeçalho (como TCP ou UDP) é normalmente considerado inspeção de pacote superficial (geralmente chamada de inspeção de pacote de estado) apesar dessa definição.
Existem várias maneiras de adquirir pacotes para inspeção profunda de pacotes. Usar o espelhamento de portas (às vezes chamado de Span Port) é uma maneira muito comum, assim como um divisor óptico.
Contexto A tecnologia DPI tem uma história longa e tecnologicamente avançada, começando na década de 1990, antes de a tecnologia entrar no que é visto hoje como implantações comuns e convencionais. A tecnologia tem suas raízes há mais de 30 anos, quando muitos dos pioneiros contribuíram com suas invenções para uso entre os participantes do setor, como por meio de padrões comuns e inovações iniciais, tais como as seguintes:
RMON Sniffer Wireshark
A funcionalidade essencial da DPI inclui a análise de cabeçalhos de pacotes e campos de protocolo. Por exemplo, o Wireshark oferece a funcionalidade essencial de DPI por meio de seus numerosos dissectores que exibem nomes e conteúdos de campos e, em alguns casos, oferecem a interpretação dos valores dos campos.
Algumas soluções de segurança que oferecem DPI combinam a funcionalidade de um sistema de detecção de intrusão (IDS) e de um sistema de prevenção de intrusão (IPS) com um firewall com inspeção de estado tradicional. Essa combinação torna possível detectar certos ataques que nem o IDS/IPS nem o firewall com inspeção de estado conseguem interceptar sozinhos. Os firewalls com inspeção de estado, embora capazes de ver o início e o fim de um fluxo de pacotes, não conseguem capturar sozinhos eventos que estariam fora dos limites para um aplicativo específico. Embora os IDSs sejam capazes de detectar intrusões, eles têm pouca capacidade para bloquear tal ataque. As DPIs são usadas para prevenir ataques de vírus e worms em velocidade de linha (wire speeds). Mais especificamente, a DPI pode ser eficaz contra ataques de estouro de buffer, ataques de negação de serviço (DoS), intrusões sofisticadas e uma pequena porcentagem de worms que cabem em um único pacote.
Dispositivos habilitados para DPI têm a capacidade de olhar para a Camada 2 e além da Camada 3 do Modelo OSI. Em alguns casos, a DPI pode ser invocada para examinar da Camada 2 à Camada 7 do modelo OSI. Isso inclui cabeçalhos e estruturas de protocolo de dados, bem como a carga útil (payload) da mensagem. A funcionalidade DPI é invocada quando um dispositivo analisa ou realiza outra ação com base em informações além da Camada 3 do modelo OSI. A DPI pode identificar e classificar o tráfego com base em um banco de dados de assinaturas que inclui informações extraídas da parte de dados de um pacote, permitindo um controle mais refinado do que a classificação baseada apenas nas informações do cabeçalho. Em muitos casos, os pontos de extremidade (end points) podem utilizar técnicas de criptografia e ofuscação para burlar as ações de DPI.
Um pacote classificado pode ser redirecionado, marcado/etiquetado (veja qualidade de serviço), bloqueado, ter sua taxa limitada e, claro, ser relatado a um agente de relatórios na rede. Dessa forma, erros HTTP de diferentes classificações podem ser identificados e encaminhados para análise. Muitos dispositivos DPI conseguem identificar fluxos de pacotes (em vez de realizar uma análise pacote por pacote), permitindo ações de controle com base nas informações acumuladas do fluxo.Moscola, James, et al. "Implementation of a content-scanning module for an internet firewall." Field-Programmable Custom Computing Machines, 2003. FCCM 2003. 11th Annual IEEE Symposium on. IEEE, 2003.
No nível empresarial Inicialmente, a segurança no nível empresarial era apenas uma disciplina de perímetro, com uma filosofia dominante de manter usuários não autorizados do lado de fora e proteger os usuários autorizados do mundo exterior. A ferramenta mais frequentemente utilizada para conseguir isso tem sido o firewall com inspeção de estado (stateful firewall). Ele pode permitir um controle detalhado do acesso do mundo exterior a destinos predefinidos na rede interna, além de permitir o acesso de volta a outros hosts apenas se uma solicitação ao mundo exterior tiver sido feita previamente.
No entanto, existem vulnerabilidades nas camadas de rede que não são visíveis para um firewall com inspeção de estado. Além disso, o aumento no uso de notebooks nas empresas torna mais difícil prevenir que ameaças como vírus, worms e spyware penetrem na rede corporativa, já que muitos usuários conectam seus notebooks a redes menos seguras, como conexões de banda larga domésticas ou redes sem fio em locais públicos. Os firewalls também não distinguem entre usos permitidos e proibidos de aplicativos acessados legitimamente. A DPI (Inspeção Profunda de Pacotes) permite que administradores de TI e oficiais de segurança definam políticas e as apliquem em todas as camadas, incluindo a camada de aplicativo e de usuário, para ajudar a combater essas ameaças.
A inspeção profunda de pacotes é capaz de detectar alguns tipos de ataques de transbordamento de buffer.
A DPI pode ser usada por empresas para a Prevenção de Vazamento de Dados (DLP - Data Leak Prevention). Quando um usuário de e-mail tenta enviar um arquivo protegido, ele pode receber informações sobre como obter a autorização adequada para enviar o arquivo.
Em provedores de serviços de rede/Internet Além de utilizarem a DPI para proteger suas redes internas, os provedores de serviços de Internet (ISPs) também a aplicam nas redes públicas fornecidas aos clientes. Os usos comuns da DPI por parte dos provedores são a interceptação legal, a definição e aplicação de políticas, a publicidade direcionada, a qualidade de serviço (QoS), a oferta de planos de serviços em camadas e a aplicação de direitos autorais (direitos de autor).
Interceptação legal Quase todos os governos do mundo exigem que os provedores de serviços disponibilizem recursos de interceptação legal. Décadas atrás, no ambiente de telefonia convencional, isso era feito criando-se um ponto de acesso de tráfego (TAP) por meio de um servidor proxy de interceptação conectado aos equipamentos de vigilância do governo. O componente de aquisição dessa funcionalidade pode ser fornecido de várias maneiras, incluindo a DPI. Produtos habilitados para DPI que estejam em conformidade com as normas legais de interceptação podem ser usados – quando determinado por uma ordem judicial – para acessar o fluxo de dados de um usuário.
Definição e aplicação de políticas Os provedores de serviços, obrigados por acordos de nível de serviço (SLA) com seus clientes a fornecer um determinado nível de serviço e, ao mesmo tempo, aplicar uma política de uso aceitável, podem fazer uso da DPI para implementar políticas que cubram violações de direitos autorais, materiais ilegais e uso injusto de largura de banda. Em some países, os provedores são obrigados a realizar filtragem, dependendo das leis locais. A DPI permite que os provedores de serviços "saibam prontamente quais pacotes de informações você está recebendo online — desde e-mails e sites até compartilhamento de músicas, vídeos e downloads de softwares". As políticas podem ser definidas para permitir ou bloquear conexões de ou para um endereço IP, determinados protocolos ou até mesmo usar heurísticas para identificar um aplicativo ou comportamento específico.
Publicidade direcionada Como os provedores roteiam o tráfego de todos os seus clientes, eles são capazes de monitorar os hábitos de navegação na web de maneira extremamente detalhada. Isso permite obter informações sobre os interesses de seus clientes, que podem ser utilizadas por empresas especializadas em publicidade direcionada. Pelo menos 100.000 clientes nos Estados Unidos são monitorados dessa forma, e estima-se que até 10% dos usuários norte-americanos já tenham sido rastreados por esse método. Os fornecedores dessa tecnologia incluem a NebuAd, a Front Porch e a Phorm. Os provedores dos EUA que realizam o monitoramento de seus clientes incluem a Knology e a Wide Open West. Além disso, a British Telecom, provedora do Reino Unido, admitiu ter testado soluções da Phorm sem o conhecimento ou consentimento de seus clientes.
Qualidade de serviço A DPI pode ser usada contra a neutralidade da rede.
Aplicativos que geram tráfego ponto a ponto (P2P) apresentam problemas crescentes para os provedores de banda larga. Normalmente, o tráfego P2P é usado por aplicativos de compartilhamento de arquivos de qualquer tipo (documentos, músicas, vídeos ou softwares). Devido ao tamanho frequentemente grande dos arquivos de mídia transferidos, o P2P gera cargas de tráfego cada vez maiores, exigindo capacidade de rede adicional. Os provedores afirmam que uma minoria de usuários gera grandes quantidades de tráfego P2P, degradando o desempenho para a maioria dos assinantes de banda larga que utilizam aplicativos como e-mail ou navegação na Web, os quais consomem menos largura de banda. O mau desempenho da rede aumenta a insatisfação dos clientes e leva a uma queda nas receitas dos serviços.
A DPI permite que as operadoras vendam mais largura de banda do que a disponível (overselling), garantindo uma distribuição equitativa da banda para todos os usuários ao evitar o congestionamento da rede. Além disso, uma prioridade mais alta pode ser alocada para uma chamada de VoIP ou videoconferência, que exigem baixa latência, em comparação com a navegação na web, que não possui essa exigência. Essa é a abordagem que os provedores de serviços utilizam para alocar dinamicamente a largura de banda de acordo com o tráfego que passa por suas redes.
Serviços em camadas Provedores de serviços móveis e de banda larga utilizam a DPI como um meio para implementar planos de serviço em camadas, diferenciando serviços de "jardim murado" (walled garden) de serviços de "valor agregado", planos de dados ilimitados e pacotes de tamanho único. Ao cobrar por um "jardim murado", por aplicativo, por serviço ou por uso ilimitado, em vez de um pacote padronizado, a operadora pode adaptar suas ofertas ao assinante individual e aumentar sua receita média por usuário (ARPU). Uma política é criada por usuário ou grupo de usuários, e o sistema DPI, por sua vez, aplica essa política, permitindo ao usuário o acesso a diferentes serviços e aplicativos.
Aplicação de direitos autorais Os provedores às vezes são solicitados por detentores de direitos autorais ou obrigados por tribunais ou políticas oficiais a ajudar a coibir a pirataria. Em 2006, um dos maiores provedores da Dinamarca, o Tele2, recebeu uma liminar judicial determinando o bloqueio do acesso de seus clientes ao The Pirate Bay, um ponto de partida para o protocolo BitTorrent.