DPI (Deep Packet Inspection)

general

Définition

La Deep Packet Inspection (DPI — Inspection Approfondie des Paquets) est une méthode d'analyse du trafic réseau qui examine le contenu complet des paquets IP — y compris le payload applicatif (la charge utile), pas uniquement les en-têtes réseau (IP source/destination, ports). Contrairement au filtrage de paquets stateless (qui ne regarde que les en-têtes), la DPI comprend le contenu des applications et peut prendre des décisions basées sur ce contenu. La DPI opère à la couche 7 du modèle OSI (couche applicative), analysant les protocoles applicatifs (HTTP, HTTPS via SSL inspection, DNS, SMTP, FTP, P2P, VoIP). Elle permet d'identifier les applications (peu importe le port utilisé — un outil comme BitTorrent peut utiliser le port 443 pour contourner le filtrage par port), détecter des malwares dans le trafic réseau (analyse du contenu des fichiers en transit), appliquer des politiques QoS (Quality of Service) en priorisant certains types de trafic, et détecter des violations DLP (Data Loss Prevention — numéros de carte bancaire, données personnelles dans le trafic sortant). Les applications de sécurité de la DPI incluent les IDS/IPS (détection de signatures malveillantes dans le trafic), les NGFW (Next-Generation Firewalls qui utilisent la DPI pour l'identification applicative — Application Control), les proxies web (analyse du contenu des pages web), et les solutions DLP réseau (détecter des exfiltrations de données sensibles). Le cas particulier du trafic HTTPS (chiffré avec TLS) pose un défi pour la DPI : le payload est chiffré et illisible sans SSL Inspection (SSL Interception). L'SSL Inspection implique que l'appliance DPI agit comme un MITM (Man-In-The-Middle) légitime : elle termine la connexion TLS du client avec un certificat de proxy, inspecte le contenu déchiffré, puis rétablit une connexion TLS vers le serveur. Pour que cela fonctionne sans alertes navigateur, le certificat CA du proxy doit être installé sur les clients (via GPO/MDM). Plus de 80-90% du trafic web étant aujourd'hui HTTPS, la DPI sans SSL Inspection a une visibilité très limitée.

DPI vs Stateful Inspection vs Stateless Filtering

Les trois générations de filtrage réseau se distinguent par leur niveau d'analyse. Le filtrage stateless (firewall de première génération) analyse uniquement les en-têtes des paquets individuels (IP source/destination, protocole, port) — chaque paquet est évalué indépendamment. Le filtrage stateful (firewall de deuxième génération) maintient l'état des connexions TCP — il sait qu'un paquet fait partie d'une connexion établie et peut détecter les paquets hors contexte. La DPI / Application-layer filtering (NGFW, troisième génération) analyse le contenu complet du paquet à la couche applicative — peut détecter les violations de protocole, les malwares dans les fichiers, et identifier les applications quel que soit le port utilisé. Le coût de la DPI est significatif : une inspection DPI complète avec SSL inspection peut diviser le débit d'un appliance par 3 à 10x comparé au filtrage stateful seul.

Application Identification avec la DPI

L'une des applications les plus utiles de la DPI dans les NGFW est l'identification des applications (App-ID chez Palo Alto, Application Control chez Fortinet). Plutôt que de filtrer par port (port 443 = HTTPS — mais HTTPS peut être Teams, YouTube, ou un tunnel malveillant), la DPI identifie l'application réelle : Teams, Zoom, Salesforce, BitTorrent, TOR. Cette identification permet des politiques granulaires : "Autoriser Teams mais bloquer les fichiers P2P, même sur le port 443". Les signatures d'identification d'applications sont mises à jour régulièrement (nouvelles applications, nouvelles versions changeant leurs patterns de trafic). Cette granularité est la raison principale pour laquelle les NGFW ont largement remplacé les firewalls traditionnels basés sur les ports dans les environnements enterprise.

Vie privée et DPI — cadre légal

La DPI soulève des questions légales et éthiques. Dans les entreprises, la DPI du trafic des employés (y compris le trafic personnel sur les appareils de l'employeur) est généralement légale sous conditions : information préalable des employés (mention dans le règlement intérieur ou la charte informatique), proportionnalité (pas de surveillance disproportionnée), et consultation du CSE (Comité Social et Économique en France). La CNIL a publié des recommandations sur la surveillance du réseau des employés qui encadrent la DPI. La SSL Inspection est particulièrement sensible : examiner le contenu des connexions HTTPS personnelles (banque, médecin, messagerie personnelle) peut violer le droit à la vie privée. La bonne pratique : exclure explicitement les catégories de sites personnels sensibles de l'inspection SSL et en informer clairement les employés.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis