Издание на системата за дълбочинно инспектиране на пакети nDPI 4.8

Проект ntop, който развива инструменти за прихващане и анализ на трафик, публикува нова версия на инструмента за дълбочинно инспектиране на пакети nDPI 4.8, който продължава развитието на библиотеката OpenDPI. Проектът nDPI е създаден след неуспешен опит да се предадат изменения в репозиторий OpenDPI, който не е поддържан. Кодът на nDPI е написан на C и е разпространяван под лиценз LGPLv3.

Системата позволява определяне на протоколите на ниво приложение в трафика, анализирайки характера на мрежовата активност без привръзка към мрежови портове (може да определя известни протоколи, обработващи връзки на нестандартни мрежови портове, например, ако http се предоставя не от 80-ти порт, или обратното, когато някаква друга мрежова активност се опитва да се маскира като http чрез стартиране на 80-ти порт).

Разликите от OpenDPI включват поддръжка на допълнителни протоколи, портироване за платформата Windows, оптимизация на производителността, адаптация за използване в приложения за мониторинг на трафика в реално време (някои специфични функции, забавящи двигателя, са премахнати), възможност за компилиране под формата на ядрено модул на Linux и поддръжка за определяне на субпротоколи.

Подкрепя се определянето на 53 типа мрежови заплахи (flow risk) и над 350 протоколи и приложения (от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и молби за Gmail, Office 365, Google Docs и YouTube). Наличен е декодер за сървърни и клиентски SSL сертификати, позволяващ идентифициране на протокола (например, Citrix Online и Apple iCloud), използвайки сертификат за криптиране. За анализ на съдържанието на pcap дампове или текущ трафик през мрежов интерфейс е предоставена утилита nDPIreader.

В новото издание:

• Консумацията на памет е значително намалена благодарение на преработка на имплементацията на списъците.
• Разширена е поддръжка на IPv6.
• Добавени са нови идентификатори на протоколи, свързани с информация за възрастни, реклама, уеб аналитика и проследяване на движения.
• Добавена е поддръжка на протоколи и услуги:
  • HAProxy
  • Apache Thrift
  • RMCP (Remote Management Control Protocol)
  • SLP (Service Location Protocol)
  • Bitcoin
  • HTTP/2 без криптиране
  • SRTP (Secure Real-time Transport)
  • BACnet
  • OICQ (китайски мессенджер)
• Добавено е определение за OperaVPN и ProtonVPN. Подобрено е определението за Wireguard.
• Реализирана е евристика за откриване на напълно криптирани трафични потоци.
• Добавено е определение за услугите на Yandex и VK.
• Добавено е определение за рилсове и истории във Facebook.
• Добавлено определение игровой платформы Roblox, облачного сервиса NVIDIA GeForceNow, игр компании Epic Games, игры «Heroes of the Storm».
• Подобрено е определянето на трафика от търсачки.
• Подобрено е разчитането и определянето на протоколи и услуги:
  • Gnutella
  • H323
  • HTTP
  • Hangout
  • MS Teams
  • Alibaba
  • MGCP
  • Steam
  • MySQL
  • Zabbix
• Разширен е обхватът на откритите мрежови заплахи и проблеми, свързани с риска от компрометиране (flow risk). Добавена е поддръжка на нови типове заплахи: NDPI_MALWARE_HOST_CONTACTED и NDPI_TLS_ALPN_SNI_MISMATCH.
• Организирано е fuzzing-тестиране за откриване на проблеми с надеждността.
• Решени проблеми с компилацията на FreeBSD.

Източник: opennet.ru