Издаване на система за дълбочинно инспектиране на пакети nDPI 4.0

Проект ntop, развивающий инструменти за улавяне и анализ на трафик, публикува нова версия на инструмента за дълбочинно инспектиране на пакети nDPI 4.0, който продължава развитието на библиотеката OpenDPI. Проектът nDPI е основан след неуспешен опит за предаване на изменения в репозитория OpenDPI, който остана без поддръжка. Кодът на nDPI е написан на езика C и се разпространява под лиценз LGPLv3.

Проектът позволява да се определят използваните протоколи на приложеното ниво в трафика, анализирайки характера на мрежовата активност без привязка към мрежовите портове (може да определя известни протоколи, обработките на които приемат свързвания на нестандартни мрежови портове, например, ако http не е на порт 80, или обратното, когато друга мрежова активност се опитва да се маскира като http чрез работа на порт 80).

Разликите от OpenDPI се състоят в поддръжка на допълнителни протоколи, пренос на платформата Windows, оптимизация на производителността, адаптация за прилагане в приложения за мониторинг на трафика в реално време (премахнати са някои специфични функции, забавящи движка), възможност за компилиране под формата на модул на ядрото на Linux и поддръжка на идентификация на субпротоколи.

Общо се поддържа идентификация на 247 протокола и приложения, от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и достъпа до GMail, Office365, GoogleDocs и YouTube. Има декодер за сървърни и клиентски. SSL сертификати, позволяващ идентифициране на протокола (например, Citrix Online и Apple iCloud), използвайки сертификат за криптиране. За анализ на съдържанието на pcap дампове или текущ трафик през мрежов интерфейс е предоставена утилита nDPIreader.

$ . /nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" Открити протоколи: DNS пакети: 57 байтове: 7904 потоци: 28 SSL_No_Cert пакети: 483 байтове: 229203 потоци: 6 FaceBook пакети: 136 байтове: 74702 потоци: 4 DropBox пакети: 9 байтове: 668 потоци: 3 Skype пакети: 5 байтове: 339 потоци: 3 Google пакети: 1700 байтове: 619135 потоци: 34

В новото издание:

• Подобрена поддръжка на методи за анализ на криптиран трафик (ETA — Encrypted Traffic Analysis).
• Реализирана е поддръжка на подобрения метод за идентификация на TLS-клиенти JA3+, позволяващ на базата на особеностите на преговорите на връзките и зададените параметри да определя какво софтуер се използва за установяване на връзка (например, позволява да се определи използването на Tor и други типични приложения). В отличие от преди поддържания метод JA3, JA3+ се отличава с по-малко фалшиви сработвания.
• Броят на откритите мрежови заплахи и проблеми, свързани с риска от компрометиране (flow risk), е разширен до 33. Добавени са нови детектори на заплахи, свързани с предоставяне на споделен достъп до работния плот и файлове, подозрителен HTTP трафик, злонамерени JA3 и SHA1, достъп до проблемни домейни и автономни системи, използване на TLS сертификати с подозрителни разширения или твърде дълъг срок на действие.
• Извършена е значителна оптимизация на производителността, в сравнение с версия 3.0, скоростта на обработка на трафика е увеличена 2.5 пъти.
• Добавена е поддръжка на GeoIP за определяне на местоположението по IP-адресу.
• Добавен е API за изчисляване на RSI (Индекс на относителна сила).
• Възможностите за управление на фрагментацията са реализирани.
• Добавен е API за изчисляване на хомогенността на потока (jitter).
• Добавена е поддръжка на протоколи и услуги: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtual Assistant (Alexa, Siri), Z39.50.
• Подобрено е анализа и определянето на протоколи AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook / MicrosoftMail, QUIC, RTSP, RTSP via HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.

Източник: opennet.ru