Праект ntop, які развівае прылады для захопу і аналізу трафіку, апублікаваў інструментар для глыбокага інспектавання пакетаў nDPI 6.0, які працягвае развіццё бібліятэкі OpenDPI. Праект nDPI заснаваны пасля беспаспяховай спробы перадачы змен у рэпазітар OpenDPI, які застаўся без суправаджэння. Код nDPI напісаны на мове Сі і распаўсюджваецца пад ліцэнзіяй LGPLv3.
Сістэма дазваляе вызначаць у трафіку выкарыстоўваныя пратаколы ўзроўня прыкладанняў, аналізуючы характар сеткавай актыўнасці без прывязкі да сеткавых партоў (можа вызначаць вядомыя пратаколы, апрацоўшчыкі якіх прымаюць злучэнні на нестандартных сеткавых партах, напрыклад, калі http аддаецца не з 80 порта, ці, наадварот, калі якую -то іншую сеткавую актыўнасць спрабуюць закамуфляваць пад http праз запуск на 80 порце).
Адрозненні ад OpenDPI зводзяцца да падтрымкі дадатковых пратаколаў, партаванню для платформы. Windows, аптымізацыі прадукцыйнасці, адаптацыі для прымянення ў дадатках для маніторынгу трафіку ў рэжыме рэальнага часу (прыбраны некаторыя спецыфічныя магчымасці, якія запавольвалі рухавічок), магчымасці зборкі ў форме модуля ядра Linux і падтрымцы вызначэння субпратаколаў.
Падтрымліваецца вызначэнне 56 тыпаў сеткавых пагроз (flow risk) і больш за 450 пратаколаў і дадаткаў (ад OpenVPN, Tor, QUIC, SOCKS, BitTorrent і IPsec да Telegram, Viber, WhatsApp, PostgreSQL і зваротаў да Gmail, Office 365, Google Docs і YouTube). Маецца дэкадавальнік серверных і кліенцкіх SSL-сертыфікатаў, які дазваляе вызначыць пратакол (напрыклад, Citrix Online і Apple iCloud), выкарыстоўваючы сертыфікат шыфравання. Для аналізу змесціва pcap-дампаў ці бягучага трафіку праз сеткавы інтэрфейс пастаўляецца ўтыліта nDPIreader.
У новым выпуску:
- Зменены ўмовы ліцэнзавання. Базавая бібліятэка nDPI працягвае пастаўляцца пад ліцэнзіяй LGPLv3, але некаторыя модулі разбору трафіку, такія як DNS, QUIC і TLS, перакладзены на падвойную ліцэнзію: LGPLv3 для некамерцыйных праектаў і камерцыйная ліцэнзія для праектаў, якія выкарыстоўваюцца для атрымання прыбытку.
- Дададзена магчымасць выяўлення і блакаванні DoS-нападаў класа Slowloris, Slow POST і Slow GET, пры якіх кліент прымае адказ або адпраўляе запыт вельмі павольна, не зачыняючы злучэнні але і не дапушчаючы перапыненні па таймаўце, што дазваляе вычарпаць ліміт на лік актыўных злучэнняў.
- Падвышаная надзейнасць фармавання адбіткаў трафіку JA4, якія дазваляюць выяўляць шкоднасную актыўнасць. Для зніжэння верагоднасці ілжывых спрацоўванняў рэалізавана выбарачнае вылічэнне хэшаў JA4, якое не ахоплівае некаторыя якія залежаць ад сесіі пашырэння TLS, напрыклад, пашырэнне для аднаўлення сеансаў праз папярэдне ўзгодненыя ключы (PSK), якія зніжаюць унікальнасць хэшаў JA4.
- Дададзена падтрымка механізму трасіроўкі USDT (Userland Statically Defined Tracing), які інтэграваецца ў дадатак і не стварае дадатковай нагрузкі ў выключаным стане. USDT дазваляе інспектаваць працу nDPI пры дапамозе ўтыліт bpftrace і perf на працоўных серверах без ужывання асобных адладкавых зборак.
- Дададзена падтрымка інспектавання пратаколаў Meshtastic, libp2p, YGGDRASIL і Nebula, якія выкарыстоўваюцца ў оверлейных і mesh-сетках.
- Рэалізаваная магчымасць класіфікацыі дадзеных у фарматах JSON і MsgPack, а таксама падзел актыўнасці, злучанай з рознымі сэрвісамі GitHub (Copilot, Packages, Actions) і Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- Дададзена падтрымка вылучэння ў трафіку галасавых- і гутарку.
- Прапанаваны новыя катэгорыі кіравання кантэнтам: дзеці, пошукавыя сістэмы, гвалт, наркотыкі і зброю.
Крыніца: opennet.ru
