Projekt ntop, který vyvíjí nástroje pro zachycení a analýzu provozu, zveřejnil verzi nástroje pro hlubokou inspekci paketů nDPI 4.8, pokračující ve vývoji knihovny OpenDPI. Projekt nDPI byl založen po neúspěšné snaze o předání změn do repozitáře OpenDPI, který zůstal bez údržby. Kód nDPI je napsán v jazyce C a je distribuován pod licencí LGPLv3.
Systém umožňuje určovat v trafficu používané protokoly aplikační vrstvy, analyzováním charakteru síťové aktivity bez vazby na síťové porty (umí určit známé protokoly, jejichž zpracovatelé přijímají spojení na nestandardních síťových portech, například pokud http není poskytováno z portu 80, nebo naopak, když se nějaká jiná síťová aktivita snaží maskovat pod http spuštěním na portu 80).
Rozdíly oproti OpenDPI spočívají v podpoře dalších protokolů, portování pro platformu Windows, optimalizaci výkonu, přizpůsobení pro použití v aplikacích pro monitoring provozu v reálném čase (byly odstraněny některé specifické možnosti, které zpomalovaly engine), možnosti sestavení ve formě modulu jádra Linux a podpoře určování subprotokolů.
Podporováno je 53 typů síťových hrozeb (flow risk) a více než 350 protokolů a aplikací (od OpenVPN, Tor, QUIC, SOCKS, BitTorrent a IPsec po Telegram, Viber, WhatsApp, PostgreSQL a přístupy k Gmailu, Office 365, Google Docs a YouTube). Je zde dekodér pro serverové a klientské SSL certifikátů, který umožňuje identifikaci protokolu (například Citrix Online a Apple iCloud) pomocí šifrovacího certifikátu. Pro analýzu obsahu pcap dumpů nebo aktuálního provozu přes síťové rozhraní je dodáván nástroj nDPIreader.
V novém vydání:
- Spotřeba paměti byla výrazně snížena díky přepracování implementace seznamů.
- Rozšířena podpora IPv6.
- Přidány nové identifikátory protokolů související s obsahem pro dospělé, reklamou, webovou analytikou a sledováním pohybu.
- Byla přidána podpora protokolů a služeb:
- Dále klientský dotaz vcházel do HAProxy, které řešilo následující úkoly:
- Apache Thrift
- RMCP (Remote Management Control Protocol)
- SLP (Service Location Protocol)
- Bitcoin
- HTTP/2 bez šifrování
- SRTP (Secure Real-time Transport)
- BACnet
- OICQ (čínský messenger)
- Bylo přidáno rozpoznání OperaVPN a ProtonVPN. Vylepšeno rozpoznání Wireguard.
- Byla implementována heuristika pro identifikaci plně šifrovaných proudů provozu.
- Bylo přidáno rozpoznání služeb Yandex a VK.
- Bylo přidáno rozpoznání příběhů a rolí na Facebooku.
- Bylo přidáno rozpoznání herní platformy Roblox, cloudové služby NVIDIA GeForceNow, her společnosti Epic Games a hry 'Heroes of the Storm'.
- Vylepšeno rozpoznání provozu od vyhledávacích robotů.
- Zlepšeno zpracování a identifikace protokolů a služeb:
- Gnutella
- H323
- HTTP
- Hangout
- MS Teams
- Alibaba
- MGCP
- Steam
- MySQL
- Zabbix
- Byl rozšířen rozsah identifikovaných síťových hrozeb a problémů spojených s rizikem kompromitace (flow risk). Byla přidána podpora nových typu hrozeb: NDPI_MALWARE_HOST_CONTACTED a NDPI_TLS_ALPN_SNI_MISMATCH.
- Bylo zorganizováno fuzzingové testování k identifikaci problémů s spolehlivostí.
- Byly vyřešeny problémy se sestavením ve FreeBSD.
Zdroj: opennet.ru
