Пускане на система за дълбока проверка на пакети nDPI 4.0

Проектът ntop, който разработва инструменти за улавяне и анализ на трафик, публикува изданието на инструментариума за дълбока инспекция на пакети nDPI 4.0, който продължава развитието на библиотеката OpenDPI. Проектът nDPI беше основан след неуспешен опит за натискане на промени в хранилището на OpenDPI, което беше оставено неподдържано. nDPI кодът е написан на C и е лицензиран под LGPLv3.

Проектът ви позволява да определите протоколите на ниво приложение, използвани в трафика, като анализирате естеството на мрежовата активност, без да сте обвързани с мрежови портове (той може да определи известни протоколи, чиито манипулатори приемат връзки на нестандартни мрежови портове, например, ако http е изпратени от порт, различен от порт 80, или, обратно, когато се опитват да замаскират друга мрежова дейност като http, като я изпълняват на порт 80).

Разликите от OpenDPI включват поддръжка на допълнителни протоколи, пренасяне към платформата на Windows, оптимизиране на производителността, адаптиране за използване в приложения за наблюдение на трафика в реално време (някои специфични функции, които забавяха двигателя, бяха премахнати), възможност за изграждане под формата на Модул на ядрото на Linux и поддръжка за дефиниране на подпротоколи.

Поддържат се общо 247 дефиниции на протоколи и приложения, от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и разговори към GMail, Office365 GoogleDocs и YouTube. Има декодер на SSL сертификат за сървър и клиент, който ви позволява да определите протокола (например Citrix Online и Apple iCloud), като използвате сертификата за криптиране. Помощната програма nDPIreader се предоставя за анализиране на съдържанието на pcap дъмпове или текущия трафик през мрежовия интерфейс.

$ ./NDPIREADER -I ETH0 -S 20 -F „хост 192.168.1.10” Открити протоколи: DNS пакети: 57 байта: 7904 потоци: 28 SSL_NO_CERT пакети: 483 байта: 229203 Потоци: 6 Facebook пакети: 136 байта: 74702 FLOWS: 4 DropBox пакета: 9 байта: 668 потока: 3 Skype пакета: 5 байта: 339 потока: 3 Google пакета: 1700 байта: 619135 потока: 34

В новата версия:

• Подобрена поддръжка за криптирани методи за анализ на трафика (ETA - Encrypted Traffic Analysis).
• Внедрена е поддръжка за подобрения метод за идентификация на клиента JA3+ TLS, който позволява, въз основа на функциите за договаряне на връзката и определени параметри, да се определи кой софтуер се използва за установяване на връзка (например, позволява ви да определите използването на Tor и други типични приложения). За разлика от поддържания преди това метод JA3, JA3+ има по-малко фалшиви положителни резултати.
• Броят на идентифицираните мрежови заплахи и проблеми, свързани с риска от компрометиране (риск от потока), е разширен до 33. Добавени са нови детектори за заплахи, свързани с десктоп и споделяне на файлове, подозрителен HTTP трафик, злонамерени JA3 и SHA1 и достъп до проблемни домейни и автономни системи, използването на TLS сертификати със съмнителни разширения или твърде дълъг период на валидност.
• Извършена е значителна оптимизация на производителността, в сравнение с клон 3.0 скоростта на обработка на трафика се е увеличила 2.5 пъти.
• Добавена е GeoIP поддръжка за определяне на местоположението по IP адрес.
• Добавен API за изчисляване на RSI (индекс на относителна сила).
• Въведени са контроли за фрагментиране.
• Добавен API за изчисляване на равномерност на потока (трептене).
• Добавена поддръжка за протоколи и услуги: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtual Assistant ( Alexa, Siri), Z39.50.
• Подобрено анализиране и откриване на AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook / MicrosoftMail, QUIC, RTSP протоколи, RTSP през HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.

Източник: opennet.ru