Издаден е система за задълбочена инспекция на пакети nDPI 4.10

Проектът ntop, който развива инструменти за улавяне и анализ на трафика, публикува инструментарий за дълбочинно инспектиране на пакети nDPI 4.10, продължаващ развитието на библиотеката OpenDPI. Проектът nDPI е основан след неуспешен опит за предаване на промени в репозитория OpenDPI, който остана без поддръжка. Кодът на nDPI е написан на C и се разпространява под лиценз LGPLv3.

Системата позволява да се определят в трафика използваните протоколи от нивото на приложенията, анализирайки характера на мрежовата активност без привързване към мрежови портове (може да определя известни протоколи, чиито обработчици приемат връзки на нестандартни мрежови портове, например, когато http не идва от порт 80, или обратно, когато някаква друга мрежова активност се опитва да се маскира като http, стартирайки на порт 80).

Разликите с OpenDPI се свеждат до поддръжка на допълнителни протоколи, преносимост за платформата Windows, оптимизация на производителността, адаптация за употреба в приложения за наблюдение на трафика в реално време (премахнати са някои специфични функции, забавящи двигателя), възможност за компилация под формата на модул на ядрото на Linux и поддръжка на определяне на субпротоколи.

Поддържа се определянето на 55 типа мрежови заплахи (flow risk) и над 420 протокола и приложения (от OpenVPN, Tor, QUIC, SOCKS, BitTorrent до Telegram, Viber, WhatsApp, PostgreSQL и заявки към Gmail, Office 365, Google Docs и YouTube). Има декодер за серверни и клиентски SSL сертификати, позволяващ да се определи протокол (например, Citrix Online и Apple iCloud), използвайки сертификат за криптиране. За анализ на съдържанието на pcap файлове или текущ трафик през мрежов интерфейс се предоставя утилита nDPIreader.

В новото издание:

• Добавена е начален поддръжка на технологията FPC (First Packet Classification), насочена към определяне на протоколи, приложения и услуги по първия пакет, изпратен при установяване на връзка. FPC е реализируем само за част от протоколите и позволява значително намаляване на натоварването на CPU при инспектиране на трафика.
• Добавена е поддръжка и разбиране на над 70 нови протокола и услуги, сред които:
  • Adobe Connect
  • ANSI C12.22
  • Apache Kafka
  • Beckhoff ADS
  • BFCP
  • BFD
  • Bluesky
  • Call of Duty Mobile
  • CAN over Ethernet
  • Ceph
  • ClickHouse
  • DLE
  • DTLS 1.3
  • Поддръжка на Elder Scrolls Online (#2376)
  • ElectronicArts
  • декодер на протокола ethereum
  • Ethernet Global Data
  • Ether-S-Bus
  • Ether-S-I/O
  • FB-Threads
  • FLUTE
  • Gearman
  • Google Chat
  • Google Protobuf
  • HART-IP
  • HiSLIP
  • HL7
  • HLS
  • IEC62056 (DLMS/COSEM)
  • IEEE 1588-2008 (PTPv2)
  • IEEE C37.118
  • ISO 9506-1 MMS
  • JSON-RPC
  • KCP
  • KNXnet/IP
  • Протокол раздачи меток
  • Mastodon
  • Monero
  • Mumble
  • Nano (XNO)
  • Naraka Bladepoint
  • NetEase
  • NoMachine NX
  • Omron FINS
  • OPC UA
  • OpenFlow
  • OpenWire
  • Path of Exile
  • PFCP
  • Поддержка PIA (Private Internet Access) (#2250)
  • PROFINET/IO
  • Radmin
  • Raft
  • Протокол проверки Ripe Atlas.
  • Roughtime
  • RTPS
  • S7Comm
  • Schneider Electric UMAS
  • STOMP
  • TencentGames
  • Twitter бот
  • UFTP
  • Viber (voip)
  • WebDAV
  • Yojimbo (netcode)
  • ZUG
• Подобрено е разчитането и определянето на протоколи и услуги:
  • Bittorrent
  • Cloudflare WARP
  • CORBA
  • CryNetwork
  • DNS
  • Dropbox
  • eDonkey
  • H323
  • Kafka
  • MySQL
  • PrimeVideo
  • Protobuf
  • QUIC
  • Telegram
  • TFTP
  • Twitter/X (#2482)
  • Wireguard
  • Zoom
• Добавени са нови идентификатори на протоколи, свързани с информация за възрастни, реклама, уеб аналитика и проследяване на движения.
• Развернут спектр выявляемых сетевых угроз и проблем, связанных с риском компрометации (flow risk).
• Добавлен скрипт для загрузки и обновления списка суффиксов доменов.
• Обеспечена идентификация трафика Huawei.
• Оптимизирана е производителността.
• Расширена поддержка IPv6.

Източник: opennet.ru