Пускане на система за дълбока проверка на пакети nDPI 4.4

Проектът ntop, който разработва инструменти за улавяне и анализ на трафик, публикува изданието на инструментариума за дълбока инспекция на пакети nDPI 4.4, който продължава развитието на библиотеката OpenDPI. Проектът nDPI беше основан след неуспешен опит за натискане на промени в хранилището на OpenDPI, което беше оставено неподдържано. nDPI кодът е написан на C и е лицензиран под LGPLv3.

Системата ви позволява да определите протоколите на ниво приложение, използвани в трафика, като анализирате естеството на мрежовата активност, без да сте обвързани с мрежови портове (тя може да определи добре известни протоколи, чиито манипулатори приемат връзки на нестандартни мрежови портове, например, ако http не се изпраща от порт 80 или, обратно, когато Те се опитват да замаскират друга мрежова дейност като http, като я изпълняват на порт 80).

Разликите от OpenDPI включват поддръжка на допълнителни протоколи, пренасяне към платформата Windows, оптимизиране на производителността, адаптиране за използване в приложения за наблюдение на трафика в реално време (някои специфични функции, които забавяха двигателя, бяха премахнати), възможност за изграждане под формата на Модул на ядрото на Linux и поддръжка за дефиниране на подпротоколи.

Общо се поддържат дефиниции на около 300 протокола и приложения, от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и разговори към GMail, Office365, GoogleDocs и YouTube. Има декодер на SSL сертификат за сървър и клиент, който ви позволява да определите протокола (например Citrix Online и Apple iCloud), като използвате сертификата за шифроване. Помощната програма nDPIreader се предоставя за анализиране на съдържанието на pcap дъмпове или текущия трафик през мрежовия интерфейс.

В новата версия:

• Добавени са метаданни с информация за причината за извикване на манипулатора за определена заплаха.
• Добавена е функцията ndpi_check_flow_risk_exceptions() за свързване на манипулатори на мрежови заплахи.
• Направено е разделение на мрежови протоколи (например TLS) и протоколи за приложения (например услуги на Google).
• Добавени са две нови нива на поверителност: NDPI_CONFIDENCE_DPI_PARTIAL и NDPI_CONFIDENCE_DPI_PARTIAL_CACHE.
• Добавен шаблон за дефиниране на използването на услугата Cloudflare WARP
• Вътрешната реализация на hashmap е заменена с uthash.
• Актуализирани езикови обвързвания на Python.
• По подразбиране вградената реализация на gcrypt е активирана (осигурена е опцията --with-libgcrypt за използване на системната реализация).
• Обхватът на идентифицираните мрежови заплахи и проблеми, свързани с риска от компрометиране (риск на потока), е разширен. Добавена е поддръжка за нови типове заплахи: NDPI_PUNYCODE_IDN, NDPI_ERROR_CODE_DETECTED, NDPI_HTTP_CRAWLER_BOT и NDPI_ANONYMOUS_SUBSCRIBER.
• Добавена поддръжка за протоколи и услуги:
  • UltraSurf
  • i3D
  • игри на безредици
  • ЦАН
  • TunnelBear VPN
  • събрани
  • PIM (протоколно независимо мултикаст)
  • Pragmatic General Multicast (PGM)
  • RSH
  • GoTo продукти като GoToMeeting
  • Дазн
  • MPEG-DASH
  • Софтуерно дефинирана мрежа в реално време на Agora (SD-RTN)
  • Тока Бока
  • VXLAN
  • DMNS/LLMNR
• Подобрено анализиране и откриване на протоколи:
  • SMTP/SMTPS (добавена поддръжка на STARTTLS)
  • OCSP
  • TargusDataspeed
  • Usenet
  • DTLS
  • TFTP
  • SOAP чрез HTTP
  • Genshin Impact
  • IPSec/ISAKMP
  • DNS
  • Syslog
  • DHCP
  • NATS
  • Viber
  • Xiaomi
  • Raknet
  • гнутела
  • Kerberos
  • QUIC (добавена поддръжка за спецификация v2drft 01)
  • SSDP
  • SNMP
  • DGA
  • AES-NI

Източник: opennet.ru