Die ntop-projek, wat gereedskap ontwikkel om verkeer vas te vang en te ontleed, het 'n gereedskapstel vir diep pakkie-inspeksie nDPI 6.0 gepubliseer, wat die ontwikkeling van die OpenDPI-biblioteek voortsit. Die nDPI-projek is gestig na 'n onsuksesvolle poging om veranderinge aan die OpenDPI-bewaarplek deur te voer, wat nie onderhou is nie. Die nDPI-kode is in C geskryf en is onder die LGPLv3-lisensie gelisensieer.
Die stelsel laat jou toe om die toepassingsvlak-protokolle wat in die verkeer gebruik word te bepaal, deur die aard van netwerkaktiwiteit te ontleed sonder om aan netwerkpoorte gekoppel te wees (dit kan bekende protokolle bepaal waarvan die hanteerders verbindings op nie-standaard netwerkpoorte aanvaar, byvoorbeeld, as http nie vanaf poort 80 gestuur word nie, of omgekeerd, wanneer wat Hulle probeer om ander netwerkaktiwiteit as http te kamoefleer deur dit op poort 80 uit te voer).
Verskille van OpenDPI kom neer op ondersteuning vir bykomende protokolle en portering na die platform. Windows, prestasie-optimalisering, aanpassing vir gebruik in intydse verkeersmoniteringstoepassings (verwydering van spesifieke kenmerke wat die enjin vertraag het), en die vermoë om as 'n kernmodule te bou Linux en ondersteuning vir die definisie van subprotokolle.
Ondersteun die opsporing van 56 tipes netwerkbedreigings (vloeirisiko) en meer as 450 protokolle en toepassings (vanaf OpenVPN, Tor, QUIC, SOCKS, BitTorrent en IPsec na Telegram, Viber, WhatsApp, PostgreSQL en versoeke na Gmail, Office 365, Google Docs en YouTube). Daar is 'n dekodeerder vir bediener en kliënt. SSL- sertifikate, wat protokolopsporing moontlik maak (byvoorbeeld Citrix Online en Apple iCloud) met behulp van 'n enkripsiesertifikaat. Die nDPIreader-hulpprogram word verskaf vir die ontleding van die inhoud van pcap-dumps of huidige netwerkkoppelvlakverkeer.
In die nuwe vrystelling:
- Lisensiëringsvoorwaardes is verander. Die kern nDPI-biblioteek bly gelisensieer onder die LGPLv3, maar sommige verkeersontledingsmodules, soos DNS, QUIC en TLS, is oorgeskakel na 'n dubbele lisensie: LGPLv3 vir nie-kommersiële projekte en 'n kommersiële lisensie vir winsgewende projekte.
- Die vermoë is bygevoeg om DoS-aanvalle van die Slowloris-, Slow POST- en Slow GET-klasse op te spoor en te blokkeer, waarin die kliënt 'n antwoord ontvang of 'n versoek baie stadig stuur, sonder om die verbinding te sluit, maar ook sonder om dit te laat uitloop, wat die limiet op die aantal aktiewe verbindings moontlik maak.
- Die betroubaarheid van JA4-verkeersvingerafdrukke, wat help om kwaadwillige aktiwiteit te identifiseer, is verbeter. Om die waarskynlikheid van vals positiewe te verminder, is selektiewe JA4-hashberekening geïmplementeer. Dit dek nie sekere sessie-afhanklike TLS-uitbreidings nie, soos die Pre-Shared Key (PSK) sessiehervattingsuitbreiding, wat die uniekheid van JA4-hashes verminder.
- Ondersteuning vir die USDT (Userland Statically Defined Tracing) nasporingsmeganisme is bygevoeg, wat in die toepassing geïntegreer is en geen bykomende las skep wanneer dit gedeaktiveer is nie. USDT maak voorsiening vir die inspeksie van nDPI-werking met behulp van die bpftrace- en perf-hulpprogramme op produksiemasjiene. bedieners sonder om aparte ontfoutingsboue te gebruik.
- Ondersteuning bygevoeg vir inspeksie van die Meshtastic-, libp2p-, YGGDRASIL- en Nebula-protokolle wat in oorleg- en gaasnetwerke gebruik word.
- Die vermoë om data in JSON- en MsgPack-formate te klassifiseer, is geïmplementeer, sowel as die skeiding van aktiwiteit wat verband hou met verskillende GitHub-dienste (Copilot, Packages, Actions) en Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- Ondersteuning bygevoeg vir die uitlig van stem- en video-oproepe in verkeer.
- Nuwe inhoudbestuurskategorieë is voorgestel: kinders, soekenjins, geweld, dwelms en wapens.
Bron: opennet.ru
