Налична е nDPI 3.0 Deep Packet Inspection

Проект ntop, разработване на инструменти за улавяне и анализ на трафика, опубликовал освобождаване на инструменти за дълбока проверка на опаковката nDPI 3.0, продължавайки развитието на библиотеката OpenDPI. Проектът nDPI е основан след неуспешен опит за прехвърляне на промени в хранилище OpenDPI, който беше оставен непридружен. Кодът nDPI е написан на C и разпространява се от лицензиран под LGPLv3.

Проект Тя позволява на определят протоколите на ниво приложение, използвани в трафика, анализирайки естеството на мрежовата активност, без да са обвързани с мрежови портове (може да идентифицира добре познати протоколи, чиито манипулатори приемат връзки на нестандартни мрежови портове, например, ако http не се изпраща от порт 80 или, обратно, когато някои се опитват да маскират друга мрежова активност като http, като я изпълняват на порт 80).

Разликите от OpenDPI се свеждат до поддръжка на допълнителни протоколи, портиране за платформата Windows, оптимизиране на производителността, адаптиране за използване в приложения за наблюдение на трафика в реално време (премахнати са някои специфични функции, които забавят двигателя),
възможности за асемблиране под формата на модул на ядрото на Linux и поддръжка за дефиниране на подпротоколи.

Поддържат се общо 238 дефиниции на протоколи и приложения от
OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec към Telegram,
Viber, WhatsApp, PostgreSQL и разговори към GMail, Office365
GoogleDocs и YouTube. Има декодер на SSL сертификат за сървър и клиент, който ви позволява да определите протокола (например Citrix Online и Apple iCloud), като използвате сертификата за криптиране. Помощната програма nDPIreader се предоставя за анализиране на съдържанието на pcap дъмпове или текущия трафик през мрежовия интерфейс.

$ ./nDPIreader -i eth0 -s 20 -f "хост 192.168.1.10"

Открити протоколи:
DNS пакети: 57 байта: 7904 потоци: 28
SSL_No_Cert пакети: 483 байта: 229203 потоци: 6
FaceBook пакети: 136 байта: 74702 потоци: 4
DropBox пакети: 9 байта: 668 потоци: 3
Skype пакети: 5 байта: 339 потока: 3
Google пакети: 1700 байта: 619135 потоци: 34

В новата версия:

• Информацията за протокола вече се показва незабавно при дефинирането, без да се чака получаването на пълни метаданни (дори когато конкретни полета все още не са анализирани поради неуспешно получаване на съответните мрежови пакети), което е важно за анализаторите на трафик, които трябва незабавно отговарят на определени видове трафик. За приложения, които изискват пълна дисекция на протокола, се предоставя API ndpi_extra_dissection_possible(), за да се гарантира, че всички метаданни на протокола са дефинирани.
• Внедрено по-задълбочено парсване на TLS, извличане на информация за коректността на сертификата и SHA-1 хеша на сертификата.
• Флагът "-C" е добавен към приложението nDPIreader за експортиране в CSV формат, което прави възможно използването на допълнителния инструментариум ntop извършвам доста сложни статистически извадки. Например, за да определите IP на потребителя, който е гледал най-дълго филми в NetFlix:

  $ ndpiReader -i netflix.pcap -C /tmp/netflix.csv
  $ q -H -d ',' "изберете src_ip,SUM(src2dst_bytes+dst2src_bytes) от /tmp/netflix.csv, където ndpi_proto като '%NetFlix%' група от src_ip"

  192.168.1.7,6151821

• Добавена е поддръжка за предложеното в Cisco Joy оборудване идентифициране на злонамерена дейност, скрита в криптиран трафик, с помощта на размера на пакета и анализ на време/закъснение на изпращане. В ndpiReader методът се активира чрез опцията “-J”.
• Осигурена е класификация на протоколите по категории.
• Добавена е поддръжка за изчисляване на IAT (време между пристигане) за идентифициране на аномалии в използването на протокола, например за идентифициране на използването на протокола по време на DoS атаки.
• Добавени са възможности за анализ на данни въз основа на изчислени показатели като ентропия, средна стойност, стандартно отклонение и дисперсия.
• Предложена е първоначална версия на свързвания за езика Python.
• Добавен е режим за откриване на четливи низове в трафика за откриване на изтичане на данни. IN
  Режимът ndpiReader е активиран с опцията „-e“.

• Добавена е поддръжка за TLS метод за идентификация на клиента JA3, което ви позволява да определите, въз основа на характеристиките на координацията на връзката и зададените параметри, кой софтуер се използва за установяване на връзка (например ви позволява да определите използването на Tor и други стандартни приложения).
• Добавена е поддръжка за методи за идентифициране на реализации на SSH (ХАШ) и DHCP.
• Добавени функции за сериализиране и десериализиране на данни в
  Тип-дължина-стойност (TLV) и JSON формати.

• Добавена поддръжка за протоколи и услуги: DTLS (TLS през UDP),
  хулу,
  TikTok/Musical.ly,
  WhatsApp видео,
  DNS през HTTPS
  Datasaver
  линия,
  Google Duo, Hangout,
  WireGuard VPN,
  ИМО,
  Zoom.us.

• Подобрена поддръжка за TLS, SIP, STUN анализ,
  Вайбър,
  WhatsApp,
  Amazon Video,
  SnapChat
  ftp,
  QUIC
  OpenVPN UDP,
  Facebook Messenger и Hangout.

Източник: opennet.ru