Projekt ntop, vyvíjející nástroje pro zachytávání a analýzu trafficu, vydal verzi nástroje pro hlubokou inspekci paketů nDPI 4.4, která pokračuje ve vývoji knihovny OpenDPI. Projekt nDPI byl založen po neúspěšném pokusu o odeslání změn do repozitáře OpenDPI, který zůstal bez údržby. Kód nDPI je napsán v jazyce C a je distribuován pod licencí LGPLv3.
Systém umožňuje určovat v trafficu používané protokoly aplikační vrstvy, analyzováním charakteru síťové aktivity bez vazby na síťové porty (umí určit známé protokoly, jejichž zpracovatelé přijímají spojení na nestandardních síťových portech, například pokud http není poskytováno z portu 80, nebo naopak, když se nějaká jiná síťová aktivita snaží maskovat pod http spuštěním na portu 80).
Rozdíly oproti OpenDPI spočívají v podpoře dalších protokolů, portování pro platformu Windows, optimalizaci výkonu, přizpůsobení pro použití v aplikacích pro monitoring provozu v reálném čase (byly odstraněny některé specifické možnosti, které zpomalovaly engine), možnosti sestavení ve formě modulu jádra Linux a podpoře určování subprotokolů.
Celkem je podporováno rozpoznávání přibližně 300 protokolů a aplikací, od OpenVPN, Tor, QUIC, SOCKS, BitTorrent a IPsec po Telegram, Viber, WhatsApp, PostgreSQL a přístupy k GMail, Office365, GoogleDocs a YouTube. Je k dispozici dekodér serverových a klientských. SSL certifikátů, který umožňuje identifikaci protokolu (například Citrix Online a Apple iCloud) pomocí šifrovacího certifikátu. Pro analýzu obsahu pcap dumpů nebo aktuálního provozu přes síťové rozhraní je dodáván nástroj nDPIreader.
V novém vydání:
- Byly přidány metadata s informacemi o důvodu vyvolání zpracovatele pro určitá ohrožení.
- Byla přidána funkce ndpi_check_flow_risk_exceptions() pro připojení zpracovatelů síťových hrozeb.
- Bylo provedeno rozlišení na síťové protokoly (např. TLS) a aplikační protokoly (např. služby Google).
- Byly přidány dvě nové úrovně důvěrnosti: NDPI_CONFIDENCE_DPI_PARTIAL a NDPI_CONFIDENCE_DPI_PARTIAL_CACHE.
- Byla přidána šablona pro určování používání služby Cloudflare WARP.
- Interní implementace hashmapy byla nahrazena uthash.
- Byly aktualizovány vazby pro jazyk Python.
- Ve výchozím nastavení je aktivována vestavěná implementace gcrypt (pro použití systémové implementace byla nabízena možnost —with-libgcrypt).
- Byl rozšířen rozsah identifikovaných síťových hrozeb a problémů souvisejících s rizikem kompromitace (flow risk). Byla přidána podpora nových typů hrozeb: NDPI_PUNYCODE_IDN, NDPI_ERROR_CODE_DETECTED, NDPI_HTTP_CRAWLER_BOT a NDPI_ANONYMOUS_SUBSCRIBER.
- Byla přidána podpora protokolů a služeb:
- UltraSurf
- i3D
- RiotGames
- TSAN
- TunnelBear VPN
- collectd
- PIM (Protocol Independent Multicast)
- Pragmatic General Multicast (PGM)
- RSH
- Produkty GoTo, jako je GoToMeeting
- Dazn
- MPEG-DASH
- Agora Software Defined Real-time Network (SD-RTN)
- Toca Boca
- VXLAN
- MDNS/LLMNR
- Bylo vylepšeno rozpoznávání a určení protokolů:
- SMTP/SMTPS (byla přidána podpora STARTTLS)
- OCSP
- TargusDataspeed
- Usenet
- DTLS
- TFTP
- SOAP přes HTTP
- GenshinImpact
- IPSec/ISAKMP
- . Vytvořte A-záznam blog a určete pro něj nějakou fiktivní IP (to je oficiální
- Syslog
- DHCP
- NATS
- Viber
- Xiaomi
- Raknet
- gnutella
- Kerberos
- QUIC (byla přidána podpora specifikace v2drft 01)
- SSDP
- SNMP
- DGA
- AES-NI
Zdroj: opennet.ru
