Projekt ntop, který vyvíjí nástroje pro zachycování a analýzu síťového provozu, zveřejnil nástroj pro hluboké inspektování paketů nDPI 6.0, což je pokračováním vývoje knihovny OpenDPI. Projekt nDPI vznikl po neúspěšné snaze o přenos změn do repozitáře OpenDPI, který zůstal bez údržby. Kód nDPI je napsán v jazyce C a je distribuován pod licencí LGPLv3.
Systém umožňuje rozpoznávat v provozu používané aplikační protokoly analýzou charakteru síťové aktivity bez vazby na síťové porty (může identifikovat známé protokoly, jejichž zpracovatelé přijímají připojení na nestandardních síťových portech, například pokud je http poskytováno z jiného portu než 80, nebo naopak, když se nějaká jiná síťová aktivita snaží maskovat pod http spuštěním na portu 80).
Rozdíly oproti OpenDPI spočívají v podpoře dalších protokolů, portování pro platformu Windows, optimalizaci výkonu, přizpůsobení pro použití v aplikacích pro monitoring provozu v reálném čase (byly odstraněny některé specifické možnosti, které zpomalovaly engine), možnosti sestavení ve formě modulu jádra Linux a podpoře určování subprotokolů.
Podporuje se definice 56 typů síťových hrozeb (flow risk) a více než 450 protokolů a aplikací (od OpenVPN, Tor, QUIC, SOCKS, BitTorrent a IPsec po Telegram, Viber, WhatsApp, PostgreSQL a přístupy k Gmailu, Office 365, Google Docs a YouTube). Je k dispozici dekodér serverových a klientských SSL-certifikátů, který umožňuje určit protokol (například Citrix Online a Apple iCloud) na základě certifikátu šifrování. Pro analýzu obsahu pcap dumpů nebo aktuálního provozu přes síťové rozhraní je dodávána utilita nDPIreader.
V novém vydání:
- Byly změněny podmínky licencování. Základní knihovna nDPI je nadále distribuována pod licencí LGPLv3, ale některé moduly pro analýzu provozu, jako jsou DNS, QUIC a TLS, byly převedeny na dvojí licenci: LGPLv3 pro nekomerční projekty a komerční licenci pro projekty určené k zisku.
- Byla přidána možnost detekce a blokování DoS útoků třídy Slowloris, Slow POST a Slow GET, při nichž klient přijímá odpověď nebo odesílá požadavek velmi pomalu, neuzavírá spojení, ale ani neumožňuje přerušení z důvodu vypršení časového limitu, což umožňuje vyčerpat limit na počet aktivních spojení.
- Byla zvýšena spolehlivost generování otisků provozu JA4, které umožňují identifikovat škodlivou aktivitu. Pro snížení pravděpodobnosti falešných pozitiv bylo implementováno selektivní vypočítávání hashů JA4, které nepokryje některá TLS rozšíření závislá na relaci, například rozšíření pro obnovení relací prostřednictvím předem dohodnutých klíčů (PSK), což snižuje jedinečnost hashů JA4.
- Byla přidána podpora mechanismu sledování USDT (Userland Statically Defined Tracing), který se integruje do aplikace a nevytváří dodatečné zatížení v nečinném stavu. USDT umožňuje inspekci provozu nDPI pomocí utilit bpftrace a perf na pracovních serverech bez nutnosti použít samostatné ladící sestavení.
- Byla přidána podpora inspekce protokolů Meshtastic, libp2p, YGGDRASIL a Nebula, které se používají v overlay a mesh sítích.
- Byla implementována možnost klasifikace dat ve formátech JSON a MsgPack, stejně jako rozdělení aktivity spojené s různými službami GitHub (Copilot, Packages, Actions) a Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- Byla přidána podpora pro vyčlenění v provozu hlasových a video hovorů.
- Byly navrženy nové kategorie správy obsahu: děti, vyhledávače, násilí, drogy a zbraně.
Zdroj: opennet.ru
