Inspección de contenido profundo

Las redes informáticas envían información a través de una red de un punto a otro; los datos (a veces denominados carga útil) están "encapsulados" dentro de un paquete IP , que tiene el siguiente aspecto:

_{*El encabezado IP proporciona información de dirección: las direcciones del remitente y del destino, mientras que el encabezado TCP/UDP proporciona otra información pertinente, como el número de puerto, etc.}

A medida que las redes evolucionan, las técnicas de inspección también lo hacen; todas ellas con el objetivo de comprender la carga útil. A lo largo de la última década se han producido grandes mejoras, entre las que se incluyen:

Históricamente, la tecnología de inspección analizaba únicamente la cabecera IP y la cabecera TCP/UDP. Conocido como «filtrado de paquetes», estos dispositivos descartaban los paquetes de secuencia, es decir, los paquetes no permitidos en la red. Este método de inspección del tráfico de red fue utilizado inicialmente por los cortafuegos para protegerse contra los ataques de paquetes.

La inspección de paquetes con estado se desarrolló para examinar la información de la cabecera y el contenido de los paquetes, con el fin de mejorar la comprensión del origen y el destino. En lugar de permitir el paso de los paquetes en función de sus direcciones y puertos, estos permanecían en la red si el contexto era apropiado para el estado actual de la misma. Este esquema fue utilizado inicialmente por los firewalls de Check Point y, posteriormente, por los sistemas de prevención y detección de intrusiones.

La inspección profunda de paquetes es la herramienta de inspección predominante que se utiliza para analizar los paquetes de datos que circulan por la red, incluyendo las cabeceras y las estructuras del protocolo de datos. Estas tecnologías analizan los flujos de paquetes y buscan patrones sospechosos.

Para ser efectivos, los sistemas de inspección profunda de paquetes deben comparar las cargas útiles de los paquetes con las firmas de malware y las firmas de especificación (que dictan cómo debe ser la solicitud/respuesta) a velocidades de línea. Para ello, las FPGA (matrices de puertas programables en campo), los procesadores de red o incluso las unidades de procesamiento gráfico (GPU) ^{[ 4 ]} se programan para que estén cableadas con estas firmas y, como resultado, el tráfico que pasa a través de dichos circuitos se compara rápidamente.

Si bien el uso de hardware permite coincidencias rápidas y en línea, los sistemas DPI tienen las siguientes limitaciones, entre ellas:

Limitaciones de hardware: Dado que los sistemas DPI implementan su coincidencia de patrones (o búsquedas de patrones "ofensivos") a través de hardware, estos sistemas suelen estar limitados por:

• El número de circuitos que puede tener un chip DPI de gama alta; a partir de 2011, un sistema DPI de gama alta puede procesar, de forma óptima, alrededor de 512 solicitudes/respuestas por sesión.
• Memoria disponible para la detección de patrones; a partir de 2011, los sistemas DPI de gama alta son capaces de detectar hasta 60.000 firmas únicas.

Limitaciones de la carga útil: Las aplicaciones web comunican contenido mediante codificación binaria a texto , compresión (ZIP, archivado, etc.), ofuscación e incluso cifrado . Por lo tanto, la estructura de la carga útil se está volviendo más compleja, de modo que la simple coincidencia de cadenas de las firmas ya no es suficiente. La solución habitual consiste en codificar o comprimir las firmas de forma similar, lo que, dadas las limitaciones de búsqueda mencionadas, no permite escalar para admitir todos los tipos de aplicaciones ni archivos comprimidos o archivados anidados .

Se han implementado servidores proxy para proporcionar servicios de almacenamiento en caché de internet, recuperar objetos y luego reenviarlos. En consecuencia, todo el tráfico de red es interceptado y potencialmente almacenado. Estos evolucionaron hasta convertirse en lo que hoy se conoce como pasarelas web seguras ; las inspecciones basadas en proxy recuperan y analizan objetos, scripts e imágenes.

Los proxies, que se basan en obtener primero el contenido si no está en caché y luego reenviarlo al destinatario, introdujeron una forma de inspección de archivos ya en 1995 con el lanzamiento de MAILsweeper por Content Technologies (ahora Clearswift ), que fue reemplazado por MIMEsweeper en 2005. En 2006 se lanzó el software antivirus multiplataforma de código abierto ClamAV, que ofrecía soporte para proxies de caché, Squid y NetCache . Mediante el Protocolo de Adaptación de Contenido de Internet (ICAP) , un proxy pasa el contenido descargado para su análisis a un servidor ICAP que ejecuta un software antivirus. Dado que se pasaban archivos completos u "objetos" para su análisis, las soluciones antivirus basadas en proxies se consideran la primera generación de inspección de contenido de red.

BlueCoat, WebWasher y Secure Computing Inc. (ahora McAfee, que a su vez es una división de Intel) proporcionaron implementaciones comerciales de proxies, que con el tiempo se convirtieron en un elemento de red estándar en la mayoría de las redes empresariales.

Limitaciones: Si bien los proxies (o pasarelas web seguras) proporcionan una inspección exhaustiva del tráfico de red, su uso es limitado ya que:

• requiere una reconfiguración de la red que se logra a través de: a) los dispositivos finales para que sus navegadores apunten a estos proxies; o b) en los enrutadores de la red para que el tráfico se enrute a través de estos dispositivos.
• Se limitan a los protocolos web (http) y ftp; no pueden escanear otros protocolos como el correo electrónico.
• y, por último, las arquitecturas proxy, que normalmente se basan en Squid, las cuales no pueden escalar con sesiones concurrentes, lo que limita su implementación a las empresas.

La segunda generación de soluciones de inspección de tráfico de red se implementó en firewalls y/o UTM. Dado que el tráfico de red se restringe a través de estos dispositivos, además de la inspección DPI, es posible realizar inspecciones tipo proxy. Este enfoque fue desarrollado inicialmente por NetScreen Technologies Inc. (adquirida por Juniper Networks Inc. ). Sin embargo, debido al elevado coste de dicha operación, esta función se aplicó junto con un sistema DPI y solo se activaba según fuera necesario o cuando el contenido no superaba la validación del sistema DPI.

La tercera y actual generación de inspección de contenido de red, conocida como soluciones de inspección profunda de contenido (DPI), se implementa como un dispositivo totalmente transparente que realiza una inspección completa del contenido a nivel de aplicación a velocidad de línea. Para comprender la intención de la sesión de comunicación en su totalidad, un sistema de inspección profunda de contenido debe analizar tanto el protocolo de enlace como la carga útil. Una vez que se construyen los objetos digitales (ejecutables, imágenes, JavaScript, PDF, etc., también conocidos como datos en tránsito) que contiene la carga útil, se puede realizar un análisis de usabilidad, cumplimiento y amenazas de esta sesión y su carga útil. Dado que la secuencia del protocolo de enlace y la carga útil completa de la sesión están disponibles para el sistema DCI, a diferencia de los sistemas DPI donde solo es posible la coincidencia de patrones simples y la búsqueda de reputación, es posible un análisis exhaustivo de objetos. La inspección que proporcionan los sistemas DCI puede incluir la coincidencia de firmas, el análisis de comportamiento, el análisis normativo y de cumplimiento, y la correlación de la sesión bajo inspección con el historial de sesiones anteriores. Debido a la disponibilidad de todos los objetos de la carga útil y a estos esquemas de inspección, los sistemas de inspección profunda de contenido se suelen implementar donde se requiere un alto nivel de seguridad y cumplimiento normativo, o donde no es posible implementar soluciones de seguridad para los puntos finales, como en el caso de dispositivos personales en el trabajo o instalaciones en la nube.

Este enfoque de tercera generación de inspección profunda de contenido se desarrolló dentro de la comunidad de defensa e inteligencia, apareciendo primero en productos de seguridad como SyBard, ^{[ 5 ]} y posteriormente por Wedge Networks Inc. Los aspectos más destacados de la implementación del enfoque de esta empresa se pueden deducir de su patente USPTO# 7,630,379 ^{[ 6 ].}

Los principales elementos diferenciadores de la inspección profunda de contenido son:

Este tipo de inspección se ocupa de protocolos en tiempo real que no dejan de aumentar en complejidad y tamaño. Una de las principales barreras para proporcionar este nivel de inspección, es decir, examinar todo el contenido, es gestionar el rendimiento de la red. Las soluciones deben superar este problema sin introducir latencia en el entorno de red. También deben ser capaces de escalar eficazmente para satisfacer las demandas futuras y las demandas previstas por la creciente tendencia de la computación en la nube . Un enfoque es utilizar el escaneo selectivo; sin embargo, para no comprometer la precisión, los criterios de selección deben basarse en la recurrencia. La siguiente patente USPTO# 7,630,379 ^{[ 8 ]} proporciona un esquema sobre cómo se puede llevar a cabo una inspección profunda de contenido de manera efectiva utilizando un esquema de selección de recurrencia. La novedad introducida por esta patente es que aborda problemas como el contenido (por ejemplo, un archivo mp3) que podría haber sido renombrado antes de la transmisión.

Gestionar el volumen de tráfico e información y, posteriormente, aplicar servicios requiere búsquedas de alta velocidad para ser eficaz. Es necesario comparar con plataformas de servicios completas; de lo contrario, el tráfico no se aprovecha al máximo. Un ejemplo frecuente se encuentra en el manejo de virus y contenido malicioso, donde las soluciones solo comparan el contenido con una base de datos de virus reducida en lugar de una completa.