Deep Packet Inspection (DPI) o Inspección a fondo de los paquetes, es el acto de inspección realizado por cualquier equipo de red de paquetes que no sea punto final de comunicación, utilizando con algún propósito el contenido (normalmente la parte útil) que no sea el encabezamiento del paquete. Esto se efectúa en el momento en que el paquete pasa un punto de inspección en la búsqueda de incumplimientos del protocolo, virus, spam, intrusiones o criterios predefinidos para decidir qué medidas tomar sobre el paquete, incluyendo la obtención de información estadística. Esto contrasta con la inspección superficial de paquetes (usualmente llamada Packet Inspection) que solo inspecciona el encabezamiento de los paquetes.

Como muchas tecnologías de red, el DPI (y el filtrado) permiten funciones avanzadas de seguridad así como minería de datos, escuchas ocultas y censura. Pese a que la tecnología DPI ha sido utilizada para administrar Internet durante muchos años, algunos defensores de la neutralidad de la red temen que la tecnología DPI pueda ser utilizada como competencia deshonesta o para restringir la apertura de Internet.

DPI está siendo utilizada actualmente por empresas, proveedores de servicios y gobiernos en una amplia gama de programas.

Trasfondo El DPI combina las funciones de un Sistema de detección de intrusos (IDS) y de un Sistema de prevención de intrusiones (IPS) con un tradicional cortafuegos de estado. Esta combinación permite detectar ciertos ataques que ni los sistemas de detección de intrusiones ni los sistemas de prevención de intrusiones ni los cortafuegos de estado pueden detectar por sí solos. Los cortafuegos de estado, que son capaces de ver el comienzo y el fin del flujo de paquetes no pueden por su cuenta descubrir eventos que estarían fuera de los límites de una determinada aplicación. Mientras que los IDS son capaces de detectar intrusiones, tienen muy poca capacidad de bloquear dicho ataque. Los DPI son utilizados para prevenir ataques de virus y gusanos a velocidades de conducción. Más específicamente, DPI pueden ser efectivos contra ataques de sobresaturación de búferes, ataques de negación de servicio, intrusiones sofisticadas y un pequeño porcentaje de gusanos que caben en un solo paquete.

Los dispositivos con habilitación DPI tienen la habilidad de mirar en la capa 2 y más allá de la capa 3 del modelo OSI en aquellos casos en que el DPI puede ser evocado para que mire a través de las capas 2-7 del modelo OSI. Esto incluye encabezados y estructuras de datos del protocolo así como la real carga útil del mensaje. La funcionalidad de DPI es evocada cuando un dispositivo mira o efectúa otras acciones basadas en información que está más allá de la capa 3 del modelo OSI. DPI puede identificar y clasificar el tráfico basado en una base de datos que incluya información extraída de la porción de datos del paquete, permitiendo un control más fino que la clasificación solo basada en el encabezado de la información. Las terminales pueden utilizar técnicas de cifrado y ofuscación para evadir en muchos casos las acciones DPI.

Un paquete clasificado puede ser re direccionado, marcado/rotulado (véase calidad de servicio), bloqueado, limitado y por supuesto denunciado a un agente receptor de la red. De esta manera, errores HTTP de diferentes clasificaciones pueden ser identificados y enviados para su análisis. Muchos dispositivos DPI pueden identificar flujo de paquetes (en lugar de análisis de paquete por paquete), permitiendo acciones de control basadas en información de flujo acumulada.

DPI en la empresa Hasta recientemente, la seguridad en la empresa era solamente una disciplina perimetral, con una filosofía dominante de mantener a los usuarios no autorizados fuera y proteger a los usuarios autorizados del mundo exterior. La herramienta más frecuentemente utilizada para conseguir esto ha sido un cortafuegos de estado. Puede permitir un control fino del acceso del mundo exterior a destinos predefinidos dentro de la red interna, así como permitir el retorno a otros anfitriones solo si se ha efectuado una solicitud del mundo exterior previamente.

Sin embargo, existen vulnerabilidades en las capas de la red que no son visibles a los cortafuegos de estado. Asimismo, el incremento de uso de portátiles en las empresas dificultan la prevención de ingresos en la red corporativa de amenazas como los virus y gusanos, ya que muchos usuarios conectarán el portátil a redes menos seguras tales como conexiones hogareñas de banda ancha o redes inalámbricas en sitios públicos. Los cortafuegos tampoco distinguen entre usos permitidos y prohibidos de programas legítimamente accedidos. DPI permite a los administradores de IT y a los oficiales de seguridad fijar políticas que ayuden a combatir esos ataques y obligar a que se cumplan en todos los niveles, incluyendo los niveles de aplicaciones y de usuario.

Deep Packet Inspection es capaz de detectar un pequeño número de ataques por desbordamiento de buffer.

DPI puede ser utilizado por empresas para DLP (Data Leak Prevention = Prevención de escurrimiento de datos). Cuando un usuario de e-mail trata de enviar un archivo protegido puede recibir la información sobre cómo obtener la compensación apropiada para enviar el archivo.

DPI en los proveedores de servicios de Internet Además de utilizar los DPI para asegurar las redes internas, los Proveedores de Servicios de Internet también aplican esta tecnología en las redes públicas que sirven a los clientes. DPI es usada por los ISP comúnmente como intercepción legal, definición de políticas y cumplimiento de políticas, publicidad dirigida, calidad de servicio, oferta de niveles de servicio y cumplimiento de derechos de autor.

Intercepción legal Los proveedores de servicios son requeridos por varios gobiernos del mundo y por sus agencias que permiten la capacidad de intercepción legal. Hace unas décadas, dentro del antiguo marco telefónico, esto se lograba mediante la creación de un punto de acceso al tráfico (TAP) mediante un servidor proxy interceptador que se conectaba con el equipo gubernamental de control. Esto no es posible en las redes digitales de hoy día. El componente adquirido con esta funcionalidad puede ser provisto de varias maneras, incluyendo DPI, cuando una orden judicial lo habilita, pueden utilizarse productos habilitados DPI que cumplen con los requisitos LI ó CALEA, para acceder al flujo de datos del usuario.

Definición de políticas y cumplimiento Los proveedores de servicio obligados por el acuerdo de nivel de servicio con sus clientes para proveer un cierto nivel de servicio y al mismo tiempo para forzar una política aceptable de uso, pueden utilizar el DPI para implementar ciertas políticas que cubren infracciones al derecho de autor, materiales ilegales y uso injusto del ancho de banda. En algunos países, se requiere que los ISP efectúen un filtrado que está basado en las leyes de cada país. DPI permite a los proveedores de servicios “rápidamente conocer los paquetes de información que se están recibiendo en línea- desde e-mail, a sitios web, música compartida, descargas de videos y de programas”. Pueden definirse políticas que permiten o impiden la conexión hacia o desde una dirección IP, ciertos protocolos, o hasta la heurística que identifica ciertos programas o conductas.

Publicidad dirigida Porque los ISP dirigen todo el tráfico de sus clientes, también son capaces de monitorizar los hábitos de navegación de una manera muy detallada permitiéndoles obtener información de los intereses de sus clientes los cuales pueden ser utilizados por compañías especializadas en publicidad dirigida. Al menos 100.000 clientes de los Estados Unidos de Norte América (EUNA) han sido seguidos de esta forma y el nivel de clientes que en EUNA ha sido seguido de esta manera son tanto como el 10%. Los proveedores de tecnología incluyen a NebuAD, Front Porch y Phorm. Los proveedores de servicios de Internet de los Estados Unidos que monitorizan a sus clientes incluyen a Knology, Wide Open West y probablemente también a Embarq. Además el proveedor de servicios de Internet del Reino Unido British Telecom ha admitido haber probado tecnología de Phorm con el consentimiento o conocimiento de sus clientes.

Calidad de servicio Programas tales como tráfico peer-to-peer (P2P) presentan cada vez más problemas a los proveedores de servicios de banda ancha. El tráfico P2P es utilizado típicamente por programas que comparten archivos. Estos pueden ser documentos, música y videos. Debido al frecuente gran tamaño de los archivos que se utilizan, P2P incrementa la carga del tráfico lo cual requiere una capacidad de red adicional. Los proveedores de servicio dicen que una pequeña cantidad de usuarios general una gran cantidad de tráfico P2P y degradan el desempeño de la mayoría de los suscriptores de banda ancha que utilizan aplicaciones tales como e-mail y navegadores que utilizan mucho menos ancho de banda. El pobre desempeño de la banda ancha incrementa la insatisfacción del cliente y lleva a una declinación en la rentabilidad del servicio.

DPI permite a los operadores asegurar una distribución equitativa del ancho de la banda evitando congestión de la red. Adicionalmente, puede asignarse una prioridad más alta a VoIP o videoconferencias que requieren baja latencia en contraste con la navegación que no la requiere. Este es el enfoque que los proveedores de servicio utilizan para dinámicamente asignar ancho de banda de acuerdo con el tráfico que está pasando por sus redes.

Otros vendedores afirman que el DPI es inefectivo frente al P2P y que otros métodos de administración de banda ancha son más efectivos.

Tiered services (Servicios por niveles) Proveedores de servicios móviles o de banda ancha utilizan DPI como un medio para implementar planes de servicios con niveles, para diferenciar tecnologías de servicio de “jardín cercado” de servicios de “valor agregado”, “tenedor libre” y “talle único”. La capacidad de poder facturar por un “jardín cercado”, por programa, por servicio ó por “tenedor libre” en lugar de por un paquete de “talle único” permite al operador hacer ofertas a la medida del subscriptor individual e incrementar sus Ingresos Promedios Por Usuario (ARPU por las siglas en inglés). Se elabora una política por usuario o grupo de usuarios y el sistema DPI obliga a cumplir dicha política, permitiendo al usuario el acceso a diferentes tipos de servicios y aplicaciones.

Cumplimiento de derechos de autor Los ISP son a veces requeridos por propietarios de derechos de autor o por jueces o por la política oficial para que ayuden a hacer cumplir los derechos de autor. En el 2006, una de los mayores ISP de Dinamarca, Tele2, recibió una orden judicial por la que debía bloquear a sus clientes de acceder a The Pirate Bay, un punto de acceso a Bit Torrent. En lugar de demandar a los compartidores de archivos de a uno por vez, la Federación Internacional de la Industria Fonográfica (IFPI = siglas en inglés) y los 4 grandes marcas grabadoras EMI, Sony BMB, Universal Music y Warner Music han comenzado demandando a ISP tales como Eircom por no haber hecho lo suficiente para proteger sus derechos de autor. El IFPI quiere que los ISP filtren el tráfico para eliminar el material con derechos de autor que haya sido ilícitamente subido o bajado de su red, pese a la directiva Europea 2000/31/EC que claramente afirma que las ISP no pueden ser obligadas a monitorizar la información que transmiten y la 2002/58/EC que garantiza a los ciudadanos europeos el derecho a la privacidad de sus comunicaciones. La Motion Picture Association of América (MPAA) que obliga a cumplir los derechos de autor de las películas cinematográficas, por el otro lado, ha tomado posición junto con la Comisión de Comunicaciones Federal (FCC) en el sentido de que la neutralidad de la red podría lesionar la tecnología antipiratería tales como la DPI y otras formas de filtrado.

Estadísticas