Издаване на системата за дълбочинно инспектиране на пакети nDPI 5.0

Проектът ntop, който разработва инструменти за захващане и анализ на трафика, публикува инструменти за дълбочинна инспекция на пакети nDPI 5.0, който продължава развитието на библиотеката OpenDPI. Проектът nDPI е основан след неуспешен опит за прехвърляне на промени в репозитория на OpenDPI, който е останал без поддръжка. Кодът на nDPI е написан на C и се разпространява под лиценз LGPLv3.

Системата позволява да се определят в трафика използваните приложения на ниво протокол, анализирайки характера на мрежовата активност без привързаност към мрежови портове (може да идентифицира известни протоколи, обработващи съединения на нестандартни мрежови портове, например, ако http се предоставя не от 80 порта, или обратно, когато се опитват да маскират друга мрежова активност под http чрез стартиране на 80 порта).

Разликите от OpenDPI включват поддръжка на допълнителни протоколи, портироване за платформата Windows, оптимизация на производителността, адаптация за използване в приложения за мониторинг на трафика в реално време (някои специфични функции, забавящи двигателя, са премахнати), възможност за компилиране под формата на ядрено модул на Linux и поддръжка за определяне на субпротоколи.

Поддържа се идентифициране на 56 типа мрежови заплахи (flow risk) и над 450 протоколи и приложения (от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и заявки към Gmail, Office 365, Google Docs и YouTube). Има декодер за сървърни и клиентски SSL сертификати, позволяващ идентифициране на протокола (например, Citrix Online и Apple iCloud), използвайки сертификат за криптиране. За анализ на съдържанието на pcap дампове или текущ трафик през мрежов интерфейс е предоставена утилита nDPIreader.

В новото издание:

• Реализиран е универсален механизъм за идентификация на трафика, комбиниращ в един маркер на трафика (fingerprint) метаданни за TCP отпечатъци, хешове на TLS сертификати и JA4 (идентификатори за определяне на мрежови протоколи и приложения). Новият механизъм позволява по-точно определяне и сравняване на криптиран или обфусциран трафик.
• Добавена е възможността за определяне на TLS, QUIC и HTTP потоци, в които присъстват имена на хостове (например, в SNI за TLS/QUIC и в заглавието Host за HTTP), за които преди това не се е извършвало резолвиране чрез DNS. Подобна активност може да се използва за откриване на аномалии, скрити канали за предаване на данни и методи за заобикаляне на филтрирането.
• Ограничението на броя на определените протоколи и категории трафик е увеличено до 2^16, което позволява откриването на практически неограничен брой протоколи при инспектиране на трафика. Всички налични протоколи сега са включени по подразбиране.
• В правилата са добавени нови опции за класификация на трафика по fingerprint, JA4 идентификатори на приложения и протоколи, HTTP URL и категории.
• Подобрена е поддръжката на технологията FPC (First Packet Classification), насочена към определяне на протоколи, приложения и услуги по първия пакет, изпратен при установяване на връзка. FPC позволява значително намаляване на натоварването на CPU при инспектиране на трафика.
• Поддръжката на псевдопротоколи, като ADULT_CONTENT, LLM и ADS_ANALYTICS_TRACK, е премахната, като вместо това сега се използва класификация на базата на категории.
• Добавена е поддръжка и възможност за анализ на нови протоколи, сред които Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN и Akamai.
• Нови подкатегории са добавени и класификацията на услугите Amazon/AWS е разширена.
• Добавени са около 30 нови категории и е повишена детайлността при анализа на трафика.
• Добавен е анализатор за размера на блоковете данни за TLS връзки.
• Добавена е възможността за създаване на стекове от протоколи, обхващащи два или повече протокола при класификация на трафика.
• Нови API са добавени за класификация на трафика и кодиране/декодиране на шестнадесетични последователности.
• Обновени са списъците с ботове, мрежови скенери и пулове за добив.
• Кодът за анализ на протоколите HTTP, TLS и STUN е обновен.
• Ускорена е инициализацията и е повишена ефективността на управлението на паметта.

Източник: opennet.ru