DPI（ディープパケットインスペクション）とは？仕組み・SPIとの違い・HTTPS対応・メリットを徹底解説｜サイバーセキュリティ.com

  1. ホーム /
  2. コラム /
  3. DPI（ディープパケットインスペクション）とは？仕組み・SPIとの違い・HTTPS対応・メリットを徹底解説
             

DPI（ディープパケットインスペクション）とは？仕組み・SPIとの違い・HTTPS対応・メリットを徹底解説



「ファイアウォールを設定しているのにマルウェアに感染した」「通信の中身まで検査できるセキュリティが必要」——こうした課題の解決策として注目されているのがDPI（ディープパケットインスペクション）です。

ディープパケットインスペクション（Deep Packet Inspection：DPI）とは、ネットワーク上を流れるデータパケットの「ヘッダ情報」だけでなく「ペイロード（データ本体）」まで解析し、不正通信・マルウェア・違法コンテンツを検出・ブロックする技術です。

従来のパケットフィルタリング（SPI）では「誰から誰へ」しか確認できませんでしたが、DPIは「何を運んでいるか」まで検査します。本記事では、DPIの仕組み・SPIとの違い・OSI参照モデルとの関係・3種類の検査手法・暗号化通信への対応・メリット・デメリット・用途・被害事例・FAQまで初心者にもわかりやすく解説します。

DPIとは？

DPI（Deep Packet Inspection：ディープパケットインスペクション）とは、ネットワーク上を流れるデータパケットの中身（ペイロード）まで深く検査し、不正通信・マルウェア・違法コンテンツを検出・ブロックする技術です。「パケットスニフィング」とも呼ばれます。

「荷物の中身まで調べる税関検査」のたとえ
従来のパケット検査（SPI）は「荷物の送り主と宛先・大きさだけ確認する」税関のようなものです。悪意ある中身（マルウェア）が入っていても、外側（ヘッダ情報）が正常に見えれば通過してしまいます。DPIは荷物を開けて「中身まで検査する」税関です。ヘッダが正常でも、データ本体に不正なコードが仕込まれていれば検出・ブロックできます。

ヘッダとペイロードの違い

データパケットは2つの部分から構成されています。

部分 内容 例え
ヘッダ情報 送信元・送信先IPアドレス、ポート番号、プロトコルの種類 封筒の「差出人・宛先・切手」
ペイロード 実際の通信内容・データ本体 封筒の「中に入っている手紙・荷物」

従来のパケット検査（SPI）はヘッダのみ確認します。DPIはペイロード（データ本体）まで検査します。

DPIとSPI（ステートフルパケットインスペクション）の違い

項目 SPI（従来のパケット検査） DPI（ディープパケットインスペクション）
検査範囲 ヘッダ情報のみ（IPアドレス・ポート番号） ヘッダ＋ペイロード（データ本体）
OSI参照モデルの層 第3〜4層（ネットワーク・トランスポート層） 第5〜7層（セッション・プレゼンテーション・アプリケーション層）まで
検出できる脅威 不正なIPアドレス・ポート番号からのアクセス マルウェア・フィッシング・不正コード・データ漏洩の試みなど
ポート偽装への対応 対応困難（ポート番号を変えれば通過） 対応可能（データ本体でアプリを識別）
処理速度への影響 軽い 処理負荷が高い（大規模環境で遅延リスク）
OSI参照モデルとDPIの関係
従来のSPIはOSI参照モデルの第4層（トランスポート層）までを検査対象とし、TCPポート番号80番ならHTTP通信と判断していました。DPIは第5〜7層（アプリケーション層）のデータ本体まで参照するため、悪意のあるユーザーがポート番号80番でファイル共有アプリを動作させるような「偽装」も検出できます。

DPIの仕組み：パケット検査の4ステップ

1. パケットの受信と分解

DPI機器がネットワーク上を流れるすべてのデータパケットを受信し、ヘッダ情報とペイロードに分解する

2. ヘッダ情報の解析

送信元・送信先IPアドレス・プロトコルの種類を確認し、不正なIPアドレスや異常なプロトコルを検出する

3. ペイロードの深い検査

データ本体に不正なコード・マルウェア・フィルタリングルール違反がないかを確認する。シグネチャマッチング・プロトコル異常検知・ヒューリスティック分析などを使用する

4. フィルタリングとアクションの実行

検査結果に応じてパケットを「許可・ブロック・転送・優先通過」などのアクションを実行する

DPIの3種類の検査手法

プロトコル異常検知（Protocol Anomaly）

「デフォルト拒否（Default Deny）」アプローチを採用します。あらかじめ定義された正常なプロトコルの仕様に合致するパケットのみを通過させ、それ以外はすべてブロックします。未知の攻撃にも対応できる点が強みですが、設定が複雑になる場合があります。

シグネチャ・パターンマッチング（Signature Matching）

既知の脅威のシグネチャ（特徴パターン）データベースとパケットの内容を比較して脅威を検出します。ウイルス対策ソフトウェアと同様の仕組みです。シグネチャが常に最新に更新されていれば非常に効果的ですが、新種・ゼロデイ攻撃には対応できません。DPI製品の多くは月に複数回シグネチャを更新しています。

IPSソリューション（Intrusion Prevention System）

侵入防止システム（IPS）の機能をDPIに組み込み、脅威をリアルタイムでブロックします。高速なレスポンスが特徴ですが、保守的なポリシー設定によって誤検知が発生することがあります。

ファイアウォールとDPIの違い

項目 従来のファイアウォール DPI
主な機能 IPアドレス・ポート番号でのアクセス制御 パケットの内容まで検査して脅威を検出
防げる脅威 不正なIPアドレス・ポートからのアクセス マルウェア・データ漏洩・アプリ層の攻撃
弱点 正規ポートを使った攻撃・暗号化通信 処理負荷・暗号化通信（追加設定が必要）
現代での位置づけ 必要だが単体では不十分 次世代ファイアウォール（NGFW）に統合
 現代の次世代ファイアウォール（NGFW）はファイアウォールとDPIを統合した機器です。IPアドレス・ポート番号によるアクセス制御に加え、アプリケーションの識別・マルウェア検出・コンテンツフィルタリングを一体で実行します。

HTTPS（暗号化通信）へのDPI対応

現代のWeb通信の多くはHTTPS（TLS/SSL暗号化）で保護されており、従来のDPIではペイロードが暗号化されているため検査が困難です。

暗号化通信への対応方法

  • SSL/TLS通信のメタデータ分析：暗号化されたデータ本体ではなく、TLSハンドシェイク中の情報・パケット長・通信パターンをシグネチャ化して識別する
  • SSLインスペクション（SSLデクリプション）：DPI装置がSSL/TLS通信を一度終端して復号化し、内容を検査してから再暗号化して送信する方式。ユーザーの明示的な同意・プライバシーポリシーの整備が不可欠
SSLインスペクション導入時の注意点
SSLインスペクションを実施する場合、従業員・ユーザーへの事前説明と同意取得、適切なプライバシーポリシーの整備が必要です。医療・金融など機密性の高い通信のSSLインスペクション除外設定（バイパス設定）も検討してください。

DPIの主な用途

セキュリティ対策（IDS・IPS）

マルウェア検出・フィッシング遮断・DoS/DDoS攻撃防止・スパム遮断をリアルタイムで実行します。侵入検知システム（IDS）・侵入防止システム（IPS）にDPIが組み込まれ、次世代ファイアウォール（NGFW）の中核技術となっています。

トラフィック管理と帯域制御

通信の種類・アプリケーションを識別し、ビジネスクリティカルな通信（VoIP・ビデオ会議）を優先し、動画ストリーミング・P2Pダウンロードを制限するQoS（Quality of Service）制御を実現します。

コンテンツフィルタリングとアクセス制御

企業・教育機関でのSNS・動画サイト・違法コンテンツへのアクセス制限。アプリケーション単位での詳細な制御が可能です。

データ漏洩防止（DLP）

機密情報・個人情報を含むアウトバウンド通信を検出しブロックします。「社外への機密ファイル送信」「クレジットカード番号を含む通信」などを検知します。

ISPによる通信サービス管理

通信事業者（ISP）はDPIでトラフィックを管理し、IoTデバイスへのDDoS攻撃防止・帯域制限・特定アプリへのQoS適用などに利用します。

仮想化・クラウドDPI

従来のDPIは専用物理アプライアンスで提供されていましたが、ソフトウェア化・仮想化によりクラウド環境でもNFV（Network Functions Virtualization）として提供できるようになりました。

物理アプライアンスをクラウド基盤に集約することで、設置・管理コストが削減でき、スケールアップ・ダウンが柔軟になります。SASEやゼロトラストネットワークにも組み込まれる形で普及が進んでいます。

DPIのメリット

  • 高度なセキュリティ：ペイロードまで検査するため、通常のパケット検査では検出できないマルウェア・不正コードを発見できる
  • アプリケーション識別：ポート番号ではなくデータ本体でアプリを識別するため、ポート偽装による攻撃・不正利用を防止できる
  • トラフィック管理の最適化：通信の種類・優先度を判別し、重要な通信を優先させてネットワークパフォーマンスを改善できる
  • 詳細なログとネットワーク可視性：どのアプリケーションがどれだけ帯域を使っているかなど、詳細な通信状況の把握が可能
  • データ漏洩防止：アウトバウンド通信の検査により、機密情報の社外流出を防げる

DPIのデメリット・課題

  • 処理負荷・ネットワーク遅延：すべてのパケットの内容を解析するため処理負荷が高く、大規模ネットワークでは遅延が発生する可能性がある
  • プライバシーへの懸念：通信内容を深く検査する構造上、ユーザーのプライバシー侵害リスクがある。特にSSLインスペクションは慎重な運用が必要
  • 誤検知リスク：問題のない通信を脅威と誤検知し、業務に必要な通信がブロックされるケースがある
  • 暗号化通信への対応の難しさ：HTTPSなどの暗号化通信はデータ本体の直接検査が困難。追加設定（SSLインスペクション）が必要
  • 法的・規制上の制約：プライバシー保護が厳しい国や地域では、DPIの実施に法的制限がある。GDPRなどの規制に準拠した運用が必要

DPI導入時の注意点

  • プライバシーポリシーの整備と周知：DPIによりどのようなデータが検査・記録されるかをプライバシーポリシーに明記し、従業員・ユーザーに説明する
  • 法令遵守：日本では通信の秘密に関する電気通信事業法・個人情報保護法への対応が必要。各国の規制に準拠した運用を確認する
  • ネットワーク容量の事前見積もり：DPIの処理負荷を考慮し、導入前にネットワーク容量・ハードウェアリソースを適切に見積もる
  • シグネチャの定期更新：シグネチャが古いと新種の脅威を検出できない。ベンダーの更新スケジュールを確認し、常に最新の状態を維持する

DPIに関連する被害・注意事例2選

事例1：HTTPS通信を悪用したマルウェア通信

近年のマルウェアは、HTTPやHTTPSなど一般的なプロトコルを使ってC2サーバーと通信することがあります。サイバーセキュリティ.comのModernLoader解説記事でも、ModernLoaderはC&Cサーバーを通じて攻撃者と通信し、その通信にはHTTPやHTTPSなどの一般的なプロトコルが使われると説明されています。

このような通信は、ポート番号だけを見る従来型のファイアウォールでは正常なWeb通信に見える場合があります。DPIやNDR、次世代ファイアウォールを活用して、通信内容や通信パターン、C2サーバーとの不審な接続を監視することで、感染端末の早期発見や追加マルウェアのダウンロード防止につなげられます。

ModernLoader
2024.9.8
ModernLoaderは、サイバー攻撃で使用されるマルウェアの一種で、主にバックドア型の機能を持つマルウェアローダーとして知られています。このツールは、攻撃者がターゲット

事例2：暗号化通信に隠れたマルウェア・情報漏えいリスク

HTTPS通信が一般化したことで、攻撃者が暗号化通信を悪用してマルウェア通信や情報送信を隠すケースがあります。サイバーセキュリティ.comのSSL可視化の記事では、SSL可視化により、暗号化通信内での不正なファイルダウンロードやマルウェアの感染活動、機密情報や個人情報の外部送信を監視できると説明されています。

DPIをHTTPS通信に適用する場合、SSLインスペクションやSSL可視化によって暗号化通信を一時的に復号し、通信内容を検査する方法があります。ただし、通信内容を扱うため、従業員への説明、プライバシーポリシーの整備、医療・金融など機密性の高い通信のバイパス設定が必要です。DPIは導入すれば終わりではなく、対象範囲や除外設定の定期的な見直しが重要です。

SSL可視化
2024.9.8
SSL可視化（SSL Visibility）は、SSL/TLSで暗号化された通信の内容を一時的に復号し、セキュリティ監視や分析ができるようにする技術です。ネットワークにおける暗号化通信が増加する中、セキュリティ監視や脅威の検知が難しくなって

よくある質問（FAQ）

Q. DPIとファイアウォールの違いは何ですか？

ファイアウォールはIPアドレスとポート番号に基づいてアクセスを制御する技術で、通信の「外側」を見ます。DPIはデータの「中身（ペイロード）」まで検査し、マルウェアや不正コードを検出します。現代の次世代ファイアウォール（NGFW）はファイアウォールとDPIを統合した機器です。

Q. DPIはHTTPS通信にも対応できますか？

標準的なDPIはHTTPS（暗号化通信）のペイロード直接検査が困難です。対応策として①TLSハンドシェイクのメタデータや通信パターンによる識別、②SSLインスペクション（一度復号して検査後再暗号化）があります。SSLインスペクションは効果的ですが、ユーザーへの事前説明とプライバシー対応が必要です。

Q. DPIはプライバシーへの影響はありますか？

通信の内容まで検査する構造上、プライバシーへの影響は存在します。企業での導入時は「業務用端末の通信はモニタリング対象」であることを就業規則・利用ポリシーに明記し、従業員に周知することが重要です。個人データを扱う場合は個人情報保護法・GDPRなどの規制への対応も必要です。

Q. 中小企業でもDPIを導入できますか？

はい。クラウド型セキュリティサービス（SASE・クラウドファイアウォール）を利用することで、物理アプライアンスなしにDPI機能を導入できます。UTM（統合脅威管理）製品にDPI機能が含まれているケースも多く、中小企業でも比較的手軽に導入可能です。

Q. DPIとIDSの違いは何ですか？

IDS（侵入検知システム）はネットワーク上の不正なアクセスや攻撃を「検知して通知する」システムです。DPIはデータパケットの内容を検査する「技術」です。IDSはDPIを技術として組み込んで動作することが多く、DPIはIDSやIPS・NGFWなど多くのセキュリティ製品の基盤技術として使われています。

まとめ

DPI（ディープパケットインスペクション）は、ネットワークパケットのヘッダ情報だけでなくペイロード（データ本体）まで検査し、マルウェア・不正通信・違法コンテンツを検出・ブロックする技術です。OSI参照モデルの第5〜7層（アプリケーション層）まで検査するため、従来のSPIでは防げなかったポート偽装攻撃・アプリケーション層の脅威にも対応できます。

検査手法はプロトコル異常検知・シグネチャマッチング・IPSソリューションの3種類があり、HTTPS暗号化通信への対応にはSSLインスペクションや通信パターン分析が使われます。ファイアウォールの弱点を補う技術として、次世代ファイアウォール（NGFW）・IDS/IPS・UTMに統合されています。

課題はプライバシーへの懸念・処理負荷・暗号化通信への対応です。導入時はプライバシーポリシーの整備・法令遵守・シグネチャの定期更新・ネットワーク容量の事前見積もりが重要です。クラウド化・仮想化によって中小企業でも導入しやすくなっており、SASEやゼロトラストとの組み合わせで現代のセキュリティ基盤を支える技術として普及が進んでいます。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。