Издание на системата за дълбока инспекция на пакети nDPI 4.8

Проектът ntop, който развива инструменти за улавяне и анализ на трафик, публикува издание на инструмента за дълбока инспекция на пакети nDPI 4.8, продължаваща развитието на библиотеката OpenDPI. Проектът nDPI е основан след неуспешен опит да се предадат изменения в репозитория OpenDPI, който остана без поддръжка. Кодът на nDPI е написан на C и е разпространяван под лиценз LGPLv3.

Системата позволява да се определят протоколите на ниво приложение в трафика, анализирайки характера на мрежовата активност без свързване към мрежови портове (може да определя известни протоколи, обслужвани на нестандартни мрежови портове, например, ако http не се подава от порт 80 или, обратно, когато някаква друга мрежова активност се опитва да се камуфлира като http чрез стартиране на порт 80).

Разликите от OpenDPI свързани с поддръжката на допълнителни протоколи, портироването за платформата Windows, оптимизацията на производителността, адаптацията за приложение в реално време (премахнати са някои специфични възможности, които забавяха двигателя), възможността за компилиране като модул на ядрото на Linux и поддръжка на определянето на субпротоколи.

Поддържа се определяне на 53 типа мрежови заплахи (flow risk) и повече от 350 протокола и приложения (от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и запитвания към Gmail, Office 365, Google Docs и YouTube). Има декодер за сървърни и клиентски SSL сертификати, позволяващ определянето на протокол (например, Citrix Online и Apple iCloud), използвайки сертификат за шифроване. За анализ на съдържанието на pcap дампове или текущ трафик през мрежов интерфейс се предоставя утилитата nDPIreader.

В новото издание:

• Консумацията на памет е значително намалена благодарение на переработката на реализацията на списъци.
• Разширена поддръжка на IPv6.
• Добавени са нови протоколни идентификатори, свързани с съдържание за възрастни, реклама, уеб анализ и проследяване на местоположения.
• Добавена е поддръжка за протоколи и услуги:
  • HAProxy
  • Apache Thrift
  • RMCP (Remote Management Control Protocol)
  • SLP (Service Location Protocol)
  • Bitcoin
  • HTTP/2 без шифроване
  • SRTP (Secure Real-time Transport)
  • BACnet
  • OICQ (китайски мессенджер)
• Добавено е определяне на OperaVPN и ProtonVPN. Подобренo е определянето на Wireguard.
• Реализирана е хевристика за идентификация на напълно криптирани трафик потоци.
• Добавено е разпознаване на услугите на Yandex и VK.
• Добавено е разпознаване на reels и stories на Facebook.
• Добавено е разпознаване на игровата платформа Roblox, облачната услуга NVIDIA GeForce Now, игрите на компанията Epic Games, играта "Heroes of the Storm".
• Подобрено е разпознаването на трафик от търсещи роботи.
• Подобрен е анализът и разпознаването на протоколи и услуги:
  • Gnutella
  • H323
  • HTTP
  • Hangout
  • MS Teams
  • Alibaba
  • MGCP
  • Steam
  • MySQL
  • Zabbix
• Разширен е спектърът от откриваеми мрежови заплахи и проблеми, свързани с риска от компрометиране (flow risk). Добавена е поддръжка на нови типове заплахи: NDPI_MALWARE_HOST_CONTACTED и NDPI_TLS_ALPN_SNI_MISMATCH.
• Организирано е fuzzing-тестиране за идентифициране на проблеми с надеждността.
• Решени проблеми с компилацията под FreeBSD.

Източник: opennet.ru