Пускането на системата за дълбочинно инспектиране на пакети nDPI 5.0

Проект ntop, развивающий инструменти за улавяне и анализ на трафика, публикува инструментариум за дълбочинна инспекция на пакети nDPI 5.0, който продължава развитието на библиотеката OpenDPI. Проектът nDPI е основан след неуспешен опит за предаване на изменения в репозиторий OpenDPI, който остана без поддръжка. Кодът на nDPI е написан на езика C и се разпространява под лиценз LGPLv3.

Системата позволява определяне на използваните протоколи на приложен уровень в трафика, анализирайки характера на мрежовата активност без свързване с мрежови портове (може да определя известни протоколи, обработчиците на които приемат свързвания на нестандартни мрежови портове, например, ако http идва не от порт 80, или обратно, когато някаква друга мрежова активност се опитва да се камуфлира под http чрез стартиране на порт 80).

Разликите от OpenDPI свързани с поддръжката на допълнителни протоколи, портироването за платформата Windows, оптимизацията на производителността, адаптацията за приложение в реално време (премахнати са някои специфични възможности, които забавяха двигателя), възможността за компилиране като модул на ядрото на Linux и поддръжка на определянето на субпротоколи.

Поддържа се определянето на 56 типа мрежови заплахи (flow risk) и над 450 протоколи и приложения (от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и заявки към Gmail, Office 365, Google Docs и YouTube). Налице е декодер за сървърни и клиентски SSL сертификати, позволяващ определянето на протокол (например, Citrix Online и Apple iCloud), използвайки сертификат за шифроване. За анализ на съдържанието на pcap дампове или текущ трафик през мрежов интерфейс се предоставя утилитата nDPIreader.

В новото издание:

• Реализиран е универсален механизъм за идентификация на трафика, комбиниращ в един маркер на трафика (fingerprint) метаданни за слепките TCP, хешовете на TLS сертификати и JA4 (идентификатори за определяне на мрежови протоколи и приложения). Новият механизъм позволява по-точно определяне и съпоставяне на криптиран или обфускиран трафик.
• Добавена е възможност за определяне на потоци TLS, QUIC и HTTP, в които фигурира името на хостовете (например в SNI за TLS/QUIC и в заглавкия Host за HTTP), за които преди не е извършвано резолвинг чрез DNS. Подобна активност може да се използва за откриване на аномалии, скрити канали за предаване на данни и методи за заобикаляне на филтрацията.
• Повишено е ограничението до 2^16 на числото на определяните протоколи и категории трафик, което позволява откриване на практически неограничено число протоколи при инспекция на трафика. Всички налични протоколи сега са включени по подразбиране.
• В правилата са добавени нови опции за класификация на трафика по слепки (fingerprint), JA4 идентификатори на приложения и протоколи, HTTP URL и категории.
• Поддръжката на технологията FPC (First Packet Classification) е подобрена, целяща определяне на протоколи, приложения и услуги по първия пакет, изпратен при установяването на връзка. FPC позволява значително намаляване на натоварването на CPU при инспекция на трафика.
• Поддръжката на псевдопротоколи, като ADULT_CONTENT, LLM и ADS_ANALYTICS_TRACK, е премахната, а вместо тях вече се използва класификация на базата на категории.
• Добавена е поддръжка и възможност за разбиране на нови протоколи, сред които Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN и Akamai.
• Добавени нови подкатегории и разширена класификация на услугите Amazon/AWS.
• Добавени около 30 нови категории и повишена детайлност при анализа на трафика.
• Добавен анализатор на размерите на блоковете данни за TLS връзките.
• Добавена възможност за създаване на стекове от протоколи, обхващащи два и повече протокола при класификацията на трафика.
• Добавени нови API за класификация на трафика и кодиране/декодиране на шестнадесетични последователности.
• Актуализирани списъци с ботове, мрежови скенери и пулове за копаене.
• Актуализиран код за парсиране на протоколите HTTP, TLS и STUN.
• Ускорена инициализация и подобрена ефективност на управлението на паметта.

Източник: opennet.ru