Издание системы глубокого инспектирования пакетов nDPI 4.4

Проект ntop, който развива инструменти за улавяне и анализ на трафик, публикува версии на инструментария за дълбока инспекция на пакети nDPI 4.4, което продължава развитието на библиотеката OpenDPI. Проектът nDPI е основан след неуспешен опит за прехвърляне на изменения в хранилището на OpenDPI, което е останало без поддръжка. Кодът на nDPI е написан на C и се разпространява под лиценз LGPLv3.

Системата позволява да се определят протоколите на ниво приложение в трафика, анализирайки характера на мрежовата активност без свързване към мрежови портове (може да определя известни протоколи, обслужвани на нестандартни мрежови портове, например, ако http не се подава от порт 80 или, обратно, когато някаква друга мрежова активност се опитва да се камуфлира като http чрез стартиране на порт 80).

Разликите от OpenDPI свързани с поддръжката на допълнителни протоколи, портироването за платформата Windows, оптимизацията на производителността, адаптацията за приложение в реално време (премахнати са някои специфични възможности, които забавяха двигателя), възможността за компилиране като модул на ядрото на Linux и поддръжка на определянето на субпротоколи.

Поддържат се определения на около 300 протоколи и приложения, от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и заявки към GMail, Office365, GoogleDocs и YouTube. Има декодер за сървърни и клиентски SSL сертификати, позволяващ определянето на протокол (например, Citrix Online и Apple iCloud), използвайки сертификат за шифроване. За анализ на съдържанието на pcap дампове или текущ трафик през мрежов интерфейс се предоставя утилитата nDPIreader.

В новото издание:

• Добавени са метаданни с информация за причината за извикването на обработвача за конкретна заплаха.
• Добавена е функция ndpi_check_flow_risk_exceptions() за свързване на обработвачи на мрежови заплахи.
• Извършено е разделяне на мрежови протоколи (например, TLS) и прикладни протоколи (например, услуги на Google).
• Добавени са два нови нива на конфиденциалност: NDPI_CONFIDENCE_DPI_PARTIAL и NDPI_CONFIDENCE_DPI_PARTIAL_CACHE.
• Добавен е шаблон за определяне на използването на услугата Cloudflare WARP
• Вътрешната реализация на hashmap е заменена с uthash.
• Актуализирани са свързванията за Python.
• По подразбиране е активирана вградена реализация gcrypt (за системна реализация е предложена опция —with-libgcrypt).
• Разширен е спектърът на разпознаваните мрежови заплахи и проблеми, свързани с риска от компрометиране (flow risk). Добавена е поддръжка за нови типове заплахи: NDPI_PUNYCODE_IDN, NDPI_ERROR_CODE_DETECTED, NDPI_HTTP_CRAWLER_BOT и NDPI_ANONYMOUS_SUBSCRIBER.
• Добавена е поддръжка за протоколи и услуги:
  • UltraSurf
  • i3D
  • RiotGames
  • TSAN
  • TunnelBear VPN
  • collectd
  • PIM (Protocol Independent Multicast)
  • Pragmatic General Multicast (PGM)
  • RSH
  • Продуктите GoTo, като GoToMeeting
  • Dazn
  • MPEG-DASH
  • Agora Software Defined Real-time Network (SD-RTN)
  • Toca Boca
  • VXLAN
  • MDNS/LLMNR
• Подобрено е разпознаването и идентификацията на протоколите:
  • SMTP/SMTPS (добавена е поддръжка за STARTTLS)
  • OCSP
  • TargusDataspeed
  • Usenet
  • DTLS
  • TFTP
  • SOAP чрез HTTP
  • GenshinImpact
  • IPSec/ISAKMP
  • DNS
  • syslog
  • DHCP
  • NATS
  • Viber
  • Xiaomi
  • Raknet
  • gnutella
  • Kerberos
  • QUIC (добавена е поддръжка за спецификация v2drft 01)
  • SSDP
  • SNMP
  • DGA
  • AES-NI

Източник: opennet.ru