Projekat ntop, koji razvija alate za hvatanje i analizu saobraćaja, objavio je komplet alata za dubinsku inspekciju paketa nDPI 6.0, koji nastavlja razvoj OpenDPI biblioteke. nDPI projekat je osnovan nakon neuspješnog pokušaja unošenja promjena u OpenDPI repozitorijum, koji je ostao neodržavan. nDPI kod je napisan u C i licenciran je pod LGPLv3.
Sistem vam omogućava da odredite protokole na nivou aplikacije koji se koriste u prometu, analizirajući prirodu mrežne aktivnosti bez vezivanja za mrežne portove (može odrediti dobro poznate protokole čiji rukovaoci prihvataju veze na nestandardnim mrežnim portovima, na primjer, ako se http ne šalje sa porta 80, ili, obrnuto, kada pokušavaju da kamufliraju drugu mrežnu aktivnost kao http tako što ga pokreću na portu 80).
Razlike u odnosu na OpenDPI svode se na podršku za dodatne protokole i prenošenje na platformu. Windows, optimizacije performansi, prilagođavanje za upotrebu u aplikacijama za praćenje saobraćaja u realnom vremenu (uklanjanje nekih specifičnih funkcija koje su usporavale engine) i mogućnost izgradnje kao kernel modula Linux i podrška za definiciju podprotokola.
Podržava detekciju 56 vrsta mrežnih prijetnji (rizika protoka) i više od 450 protokola i aplikacija (od OpenVPN, Tor, QUIC, SOCKS, BitTorrent i IPsec za Telegram, Viber, WhatsApp, PostgreSQL i zahtjeve za Gmail, Office 365, Google dokumente i YouTube). Postoji dekoder za server i klijent SSL- certifikati, koji omogućavaju detekciju protokola (na primjer, Citrix Online i Apple iCloud) korištenjem certifikata za šifriranje. Uslužni program nDPIreader je obezbijeđen za analizu sadržaja pcap dumpova ili trenutnog prometa mrežnog interfejsa.
U novom izdanju:
- Uslovi licenciranja su promijenjeni. Osnovna nDPI biblioteka ostaje licencirana pod LGPLv3 licencom, ali neki moduli za parsiranje saobraćaja, kao što su DNS, QUIC i TLS, prebačeni su na dvostruku licencu: LGPLv3 za nekomercijalne projekte i komercijalnu licencu za profitne projekte.
- Dodata je mogućnost detekcije i blokiranja DoS napada klasa Slowloris, Slow POST i Slow GET, kod kojih klijent prima odgovor ili šalje zahtjev vrlo sporo, bez zatvaranja veze ali i bez isteka vremena, što omogućava iscrpljivanje ograničenja broja aktivnih veza.
- Pouzdanost JA4 otisaka prstiju, koji pomažu u identifikaciji zlonamjernih aktivnosti, je poboljšana. Kako bi se smanjila vjerovatnoća lažno pozitivnih rezultata, implementiran je selektivni izračun JA4 heša. Ovo ne pokriva određena TLS proširenja koja zavise od sesije, kao što je proširenje za nastavak sesije Pre-Shared Key (PSK), koje smanjuje jedinstvenost JA4 heševa.
- Dodana je podrška za USDT (Userland Statically Defined Tracing) mehanizam praćenja, koji je integriran u aplikaciju i ne stvara dodatno opterećenje kada je onemogućen. USDT omogućava pregled nDPI rada pomoću uslužnih programa bpftrace i perf na produkcijskim mašinama. serveri bez korištenja odvojenih debug buildova.
- Dodana je podrška za inspekciju protokola Meshtastic, libp2p, YGGDRASIL i Nebula koji se koriste u overlay i mesh mrežama.
- Implementirana je mogućnost klasifikacije podataka u JSON i MsgPack formatima, kao i odvajanje aktivnosti povezanih s različitim GitHub servisima (Copilot, Packages, Actions) i Protonom (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- Dodata je podrška za isticanje glasovnih i video poziva u saobraćaju.
- Predložene su nove kategorije upravljanja sadržajem: djeca, pretraživači, nasilje, droge i oružje.
izvor: opennet.ru
