Издаден е системата за дълбочинно инспектиране на пакети nDPI 4.4

Проект ntop, който развива инструменти за улавяне и анализ на трафика, публикува версия на инструмента за дълбочинно инспектиране на пакети nDPI 4.4, продължаваща развитието на библиотеката OpenDPI. Проектът nDPI е създаден след неуспешен опит за предаване на промени в хранилището OpenDPI, което остана без поддръжка. Кодът nDPI е написан на езика C и се разпространява под лиценза LGPLv3.

Системата позволява определяне на протоколите на ниво приложение в трафика, анализирайки характера на мрежовата активност без привръзка към мрежови портове (може да определя известни протоколи, обработващи връзки на нестандартни мрежови портове, например, ако http се предоставя не от 80-ти порт, или обратното, когато някаква друга мрежова активност се опитва да се маскира като http чрез стартиране на 80-ти порт).

Разликите от OpenDPI включват поддръжка на допълнителни протоколи, портироване за платформата Windows, оптимизация на производителността, адаптация за използване в приложения за мониторинг на трафика в реално време (някои специфични функции, забавящи двигателя, са премахнати), възможност за компилиране под формата на ядрено модул на Linux и поддръжка за определяне на субпротоколи.

Поддържат се общо около 300 протокола и приложения, от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и заявки към GMail, Office365, GoogleDocs и YouTube. Осигурен е декодер за сървърни и клиентски. SSL сертификати, позволяващ идентифициране на протокола (например, Citrix Online и Apple iCloud), използвайки сертификат за криптиране. За анализ на съдържанието на pcap дампове или текущ трафик през мрежов интерфейс е предоставена утилита nDPIreader.

В новото издание:

• Добавени са метаданни с информация за причината за извикването на обработвача за всяка конкретна заплаха.
• Добавена функция ndpi_check_flow_risk_exceptions() за свързване на обработчици на мрежови заплахи.
• Извършено е разделение на мрежови протоколи (например, TLS) и приложни протоколи (например, услуги на Google).
• Добавени са два нови нива на конфиденциалност: NDPI_CONFIDENCE_DPI_PARTIAL и NDPI_CONFIDENCE_DPI_PARTIAL_CACHE.
• Добавен е шаблон за определяне на използването на услугата Cloudflare WARP.
• Вътрешната реализация на hashmap е заменена с uthash.
• Актуализирани са връзките за езика Python.
• По подразбиране е активирана вградена реализация на gcrypt (за използване на системна реализация е предложена опция —with-libgcrypt).
• Разширен е спектърът на разпознаваните мрежови заплахи и проблеми, свързани с риска от компрометация (flow risk). Добавена е поддръжка на нови типове заплахи: NDPI_PUNYCODE_IDN, NDPI_ERROR_CODE_DETECTED, NDPI_HTTP_CRAWLER_BOT и NDPI_ANONYMOUS_SUBSCRIBER.
• Добавена е поддръжка на протоколи и услуги:
  • UltraSurf
  • i3D
  • RiotGames
  • TSAN
  • TunnelBear VPN
  • collectd
  • PIM (Protocol Indipendent Multicast)
  • Pragmatic General Multicast (PGM)
  • RSH
  • Продукти GoTo, като GoToMeeting
  • Dazn
  • MPEG-DASH
  • Agora Software Defined Real-time Network (SD-RTN)
  • Toca Boca
  • VXLAN
  • MDNS/LLMNR
• Подобрено е анализирането и разпознаването на протоколите:
  • SMTP/SMTPS (добавена е поддръжка на STARTTLS)
  • OCSP
  • TargusDataspeed
  • Usenet
  • DTLS
  • TFTP
  • SOAP via HTTP
  • GenshinImpact
  • IPSec/ISAKMP
  • DNS
  • syslog
  • DHCP
  • NATS
  • Viber
  • Xiaomi
  • Raknet
  • gnutella
  • Kerberos
  • QUIC (добавена е поддръжка на спецификация v2drft 01)
  • SSDP
  • SNMP
  • DGA
  • AES-NI

Източник: opennet.ru