Издаване на системата за дълбочинно инспектиране на пакети nDPI 6.0

Проект ntop, разработващ инструменти за улавяне и анализ на трафика, публикува инструментарий за задълбочена инспекция на пакети nDPI 6.0, продължавайки развитието на библиотеката OpenDPI. Проектът nDPI е основан след неуспешен опит за предаване на промените в репозитория OpenDPI, който остана без поддръжка. Кодът nDPI е написан на езика C и се разпространява под лицензия LGPLv3.

Системата позволява определяне на използваните протоколи на приложен уровень в трафика, анализирайки характера на мрежовата активност без свързване с мрежови портове (може да определя известни протоколи, обработчиците на които приемат свързвания на нестандартни мрежови портове, например, ако http идва не от порт 80, или обратно, когато някаква друга мрежова активност се опитва да се камуфлира под http чрез стартиране на порт 80).

Разликите от OpenDPI свързани с поддръжката на допълнителни протоколи, портироването за платформата Windows, оптимизацията на производителността, адаптацията за приложение в реално време (премахнати са някои специфични възможности, които забавяха двигателя), възможността за компилиране като модул на ядрото на Linux и поддръжка на определянето на субпротоколи.

Поддържа се определяне на 56 типа мрежови заплахи (flow risk) и над 450 протоколи и приложения (от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и достъпи до Gmail, Office 365, Google Docs и YouTube). Има декодер за сървърни и клиентски SSL-сертификати, позволяващ определяне на протокол (например, Citrix Online и Apple iCloud), използвайки сертификат за криптиране. За анализ на съдържанието на pcap дампове или текущ трафик през мрежов интерфейс се предоставя утилита nDPIreader.

В новото издание:

• Променени са условията за лицензиране. Основната библиотека nDPI продължава да се предоставя под лицензия LGPLv3, но някои модули за анализ на трафика, като DNS, QUIC и TLS, са преминали на двойна лицензия: LGPLv3 за некомерчески проекти и комерсиална лицензия за проекти, използвани за генериране на печалба.
• Добавена е възможност за откриване и блокиране на DoS атаки от клас Slowloris, Slow POST и Slow GET, при които клиентът получава отговор или изпраща заявка много бавно, без да затваря връзката, но също така и без да допуска прекъсване по таймаут, което позволява изчерпване на лимита на активните връзки.
• Повишена надеждност при формиране на отпечатъци на трафика JA4, което позволява откриване на злонамерена активност. За да се намали вероятността от фалшиви сработвания, е реализирано селективно изчисляване на хешове JA4, което не обхваща някои от зависимите от сесията разширения на TLS, например, разширението за възобновяване на сесии чрез предварително съгласувани ключове (PSK), което намалява уникалността на хешовете JA4.
• Добавена е поддръжка на механизма за проследяване USDT (Userland Statically Defined Tracing), който може да се интегрира в приложението и не създава допълнителна натовареност в изключено състояние. USDT позволява инспектиране на работа nDPI чрез утилитите bpftrace и perf в работна среда сървъри без използване на отделни отладъчни версии.
• Добавена е поддръжка за инспектиране на протоколите Meshtastic, libp2p, YGGDRASIL и Nebula, използвани в оверлейни и mesh мрежи.
• Реализирана е възможност за класификация на данни във форматите JSON и MsgPack, както и разделяне на активността, свързана с различни услуги на GitHub (Copilot, Packages, Actions) и Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
• Добавена е поддръжка за отделяне в трафика на гласови и видео разговори.
• Предложени са нови категории за управление на съдържанието: деца, търсачки, насилие, наркотици и оръжие.

Източник: opennet.ru