Projekt ntop, který vyvíjí nástroje pro zachytávání a analýzu provozu, publikoval vydání nástrojů pro hlubokou analýzu paketů nDPI 4.0, které pokračuje ve vývoji knihovny OpenDPI. Projekt nDPI byl založen po neúspěšné pokusu o předání změn do repozitáře OpenDPI, který zůstal bez podpory. Kód nDPI je napsán v jazyce C a je distribuován pod licencí LGPLv3.
Projekt umožňuje určit v provozu používané protokoly na úrovni aplikace, analýzou charakteru síťové aktivity bez vazby na síťové porty (může určit známé protokoly, jejichž zpracovatelé přijímají spojení na nestandardních síťových portech, například pokud je http poskytováno nikoli z portu 80, nebo naopak, kdy se nějaká jiná síťová aktivita snaží zakamuflovat pod http spuštěním na portu 80).
Rozdíly oproti OpenDPI spočívají v podpoře dalších protokolů, portaci pro platformu Windows, optimalizaci výkonu a přizpůsobení pro použití v aplikacích pro monitorování provozu v reálném čase (byly odstraněny některé specifické možnosti, které zpomalovaly engine), schopnosti sestavení ve formě jádra modulu Linux a podpoře identifikace subprotokolů.
Celkem je podporováno rozpoznání 247 protokolů a aplikací, od OpenVPN, Tor, QUIC, SOCKS, BitTorrent a IPsec po Telegram, Viber, WhatsApp, PostgreSQL a přístupy k GMail, Office365, GoogleDocs a YouTube. Existuje dekodér serverových a klientských. SSL certifikátů, který umožňuje identifikaci protokolu (například Citrix Online a Apple iCloud) pomocí šifrovacího certifikátu. Pro analýzu obsahu pcap dumpů nebo aktuálního provozu přes síťové rozhraní je dodáván nástroj nDPIreader.
$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" Detekované protokoly: DNS pakety: 57 bajty: 7904 toky: 28 SSL_No_Cert pakety: 483 bajty: 229203 toky: 6 FaceBook pakety: 136 bajty: 74702 toky: 4 DropBox pakety: 9 bajty: 668 toky: 3 Skype pakety: 5 bajty: 339 toky: 3 Google pakety: 1700 bajty: 619135 toky: 34
V novém vydání:
- Byla zlepšena podpora metod analýzy šifrovaného provozu (ETA — Encrypted Traffic Analysis).
- Byla implementována podpora vylepšené metody identifikace TLS klientů JA3+, která umožňuje na základě rysů vyjednávání spojení a nastavených parametrů určit, jaký software se používá pro vytvoření spojení (například umožňuje určit použití Tor a další typové aplikace). Na rozdíl od dříve podporované metody JA3, JA3+ se vyznačuje menším počtem falešných pozitiv.
- Počet zjištěných síťových hrozeb a problémů souvisejících s rizikem kompromitace (flow risk) byl rozšířen na 33. Byly přidány nové identifikátory hrozeb souvisejících s poskytováním sdíleného přístupu k pracovnímu stolu a souborům, podezřelým HTTP provozem, škodlivými JA3 a SHA1, požadavky na problémové domény a autonomní systémy, použitím certifikátů TLS s podezřelými rozšířeními nebo příliš dlouhou platností.
- Byla provedena významná optimalizace výkonu, ve srovnání s větví 3.0 se rychlost zpracování provozu zvýšila 2,5krát.
- Byla přidána podpora GeoIP pro určení polohy podle IP adresu.
- Bylo přidáno API pro výpočet RSI (Relative Strength Index).
- Byly implementovány prostředky pro řízení fragmentace.
- Bylo přidáno API pro výpočet homogenity toku (jitter).
- Byla přidána podpora protokolů a služeb: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtuální Asistent (Alexa, Siri), Z39.50.
- Bylo vylepšeno parsování a identifikace protokolů AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook/MicrosoftMail, QUIC, RTSP, RTSP přes HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.
Zdroj: opennet.ru
