Издание на системата за дълбочинно инспектиране на пакети nDPI 4.0

Проект ntop, който развива инструменти за улавяне и анализ на трафика, публикува версия на инструмента за дълбочинно инспектиране на пакети nDPI 4.0, който продължава развитието на библиотеката OpenDPI. Проектът nDPI е основан след неуспешен опит за предаване на изменения в репозитория OpenDPI, който е останал без поддръжка. Кодът на nDPI е написан на езика C и се разпространява под лиценз LGPLv3.

Проектът позволява да се определят използваните протоколи на ниво приложение в трафика, анализирайки характера на мрежовата активност без зависимост от мрежовите портове (може да идентифицира известни протоколи, обработчиците на които приемат връзки на нестандартни мрежови портове, например, когато http е на друг порт освен 80, или обратно, когато се опитват да маскират друга мрежова активност под http, като я стартират на порт 80).

Разликите с OpenDPI се свеждат до поддръжка на допълнителни протоколи, портируемост за платформата Windows, оптимизация на производителността, адаптация за приложение в реално време, за мониторинг на трафика (премахнати са някои специфични функции, които забавяха двигателя), възможността за компилиране като модул на ядрото на Linux и поддръжка на определяне на субпротоколи.

Общо се поддържат 247 протокола и приложения, от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и заявки към GMail, Office365, GoogleDocs и YouTube. Налице е декодер за сървърни и клиентски. SSL сертификати, позволяващ определянето на протокол (например, Citrix Online и Apple iCloud), използвайки сертификат за шифроване. За анализ на съдържанието на pcap дампове или текущ трафик през мрежов интерфейс се предоставя утилитата nDPIreader.

$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" Разпознати протоколи: DNS пакети: 57 байтове: 7904 потоци: 28 SSL_No_Cert пакети: 483 байтове: 229203 потоци: 6 FaceBook пакети: 136 байтове: 74702 потоци: 4 DropBox пакети: 9 байтове: 668 потоци: 3 Skype пакети: 5 байтове: 339 потоци: 3 Google пакети: 1700 байтове: 619135 потоци: 34

В новото издание:

• Подобрена е поддръжката на методите за анализ на криптиран трафик (ETA — Encrypted Traffic Analysis).
• Реализирана е поддръжка на подобрения метод за идентификация на TLS-клиенти JA3+, който на базата на особеностите на установяване на съединенията и зададените параметри позволява да се определи какъв софтуер се използва за установяване на връзка (например, позволява да се определи използването на Tor и други стандартни приложения). В отличие от преди поддържания метод JA3, JA3+ отличава с по-малко фалшиви сработвания.
• Броят на откритите мрежови заплахи и проблеми, свързани с риска от компрометиране (flow risk), е увеличен до 33. Добавени са нови индикатори на заплахи, свързани с предоставянето на достъп до работния плот и файлове, съмнителен HTTP трафик, злонамерени JA3 и SHA1, обращения към проблемни домейни и автономни системи, както и използването на сертификати в TLS с подозрителни разширения или с прекалено дълъг срок на действие.
• Извършена е значителна оптимизация на производителността, в сравнение с версия 3.0, скоростта на обработка на трафика е нараснала 2.5 пъти.
• Добавена е поддръжка на GeoIP за определяне на местоположението по IP адрес.
• Добавен е API за изчисляване на RSI (Индекс на относителна сила).
• Включени са средства за управление на фрагментацията.
• Добавен е API за изчисляване на хомогенността на потока (jitter).
• Добавена е поддръжка за протоколи и услуги: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtual Assistant (Alexa, Siri), Z39.50.
• Подобрено е разпознаването и определянето на протоколи: AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook / MicrosoftMail, QUIC, RTSP, RTSP чрез HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.

Източник: opennet.ru