Projekt ntop, který vyvíjí nástroje pro zachycování a analýzu provozu, zveřejnil sadu nástrojů pro hloubkovou kontrolu paketů nDPI 6.0, která pokračuje ve vývoji knihovny OpenDPI. Projekt nDPI byl založen po neúspěšném pokusu protlačit změny do úložiště OpenDPI, které zůstalo bez údržby. Kód nDPI je napsán v jazyce C a je licencován pod LGPLv3.
Systém umožňuje určit protokoly na aplikační úrovni používané v provozu, analyzovat povahu síťové aktivity, aniž by byl vázán na síťové porty (dokáže určit dobře známé protokoly, jejichž handlery přijímají připojení na nestandardních síťových portech, např. pokud http není odesláno z portu 80, nebo naopak, kdy se snaží zakamuflovat jinou síťovou aktivitu jako http spuštěním na portu 80).
Rozdíly oproti OpenDPI spočívají v podpoře dalších protokolů a portování na platformu. Windows, optimalizace výkonu, adaptace pro použití v aplikacích pro monitorování provozu v reálném čase (odstranění některých specifických funkcí, které zpomalovaly engine) a možnost sestavení jako modul jádra Linux a podpora pro definici podprotokolů.
Podporuje detekci 56 typů síťových hrozeb (riziko toku dat) a více než 450 protokolů a aplikací (od OpenVPN, Tor, QUIC, SOCKS, BitTorrent a IPsec do Telegramu, Viberu, WhatsAppu, PostgreSQL a požadavky do Gmailu, Office 365, Dokumentů Google a YouTube). K dispozici je dekodér pro server i klienta. SSL- certifikáty, které umožňují detekci protokolů (například Citrix Online a Apple iCloud) pomocí šifrovacího certifikátu. Pro analýzu obsahu výpisů z PCAP nebo aktuálního provozu síťového rozhraní je k dispozici nástroj nDPIreader.
V novém vydání:
- Licenční podmínky byly změněny. Základní knihovna nDPI zůstává licencována pod licencí LGPLv3, ale některé moduly pro analýzu provozu, jako například DNS, QUIC a TLS, byly převedeny na duální licenci: LGPLv3 pro nekomerční projekty a komerční licenci pro ziskové projekty.
- Přidána možnost detekce a blokování DoS útoků tříd Slowloris, Slow POST a Slow GET, u kterých klient obdrží odpověď nebo odešle požadavek velmi pomalu, aniž by musel ukončit spojení, ale také bez vypršení časového limitu, což umožňuje vyčerpat limit počtu aktivních spojení.
- Byla vylepšena spolehlivost otisků prstů JA4, které pomáhají identifikovat škodlivou aktivitu. Pro snížení pravděpodobnosti falešně pozitivních výsledků byl implementován selektivní výpočet hashů JA4. Toto se nevztahuje na některá rozšíření TLS závislá na relaci, jako je například rozšíření pro obnovení relace Pre-Shared Key (PSK), které snižuje jedinečnost hashů JA4.
- Přidána podpora pro mechanismus trasování USDT (Userland Statically Defined Tracing), který je integrován do aplikace a při zakázání nevytváří žádnou další zátěž. USDT umožňuje kontrolu provozu nDPI pomocí utilit bpftrace a perf na produkčních počítačích. servery bez použití samostatných ladicích sestavení.
- Přidána podpora pro kontrolu protokolů Meshtastic, libp2p, YGGDRASIL a Nebula používaných v překryvných a mesh sítích.
- Byla implementována možnost klasifikace dat ve formátech JSON a MsgPack a také oddělení aktivit spojených s různými službami GitHub (Copilot, Packages, Actions) a Protonu (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- Přidána podpora pro zvýraznění hlasových a videohovorů v dopravní zácpě.
- Byly navrženy nové kategorie správy obsahu: děti, vyhledávače, násilí, drogy a zbraně.
Zdroj: opennet.ru
