Projekt ntop, který vyvíjí nástroje pro zachytávání a analýzu provozu, publikoval nástroj pro důkladné inspekce paketů nDPI 5.0, který pokračuje v rozvoji knihovny OpenDPI. Projekt nDPI vznikl po neúspěšném pokusu o předání změn do repozitáře OpenDPI, který zůstal bez údržby. Kód nDPI je napsán v jazyce C a je distribuován pod licencí LGPLv3.
Systém umožňuje rozpoznávat v provozu používané aplikační protokoly analýzou charakteru síťové aktivity bez vazby na síťové porty (může identifikovat známé protokoly, jejichž zpracovatelé přijímají připojení na nestandardních síťových portech, například pokud je http poskytováno z jiného portu než 80, nebo naopak, když se nějaká jiná síťová aktivita snaží maskovat pod http spuštěním na portu 80).
Rozdíly oproti OpenDPI spočívají v podpoře dalších protokolů, portování pro platformu Windows, optimalizaci výkonu, přizpůsobení pro použití v aplikacích pro monitoring provozu v reálném čase (byly odstraněny některé specifické možnosti, které zpomalovaly engine), možnosti sestavení ve formě modulu jádra Linux a podpoře určování subprotokolů.
Podporuje identifikaci 56 typů síťových hrozeb (flow risk) a více než 450 protokolů a aplikací (od OpenVPN, Tor, QUIC, SOCKS, BitTorrent a IPsec po Telegram, Viber, WhatsApp, PostgreSQL a dotazy na Gmail, Office 365, Google Docs a YouTube). Disponuje dekodérem serverových a klientských, SSL certifikátů, který umožňuje identifikaci protokolu (například Citrix Online a Apple iCloud) pomocí šifrovacího certifikátu. Pro analýzu obsahu pcap dumpů nebo aktuálního provozu přes síťové rozhraní je dodáván nástroj nDPIreader.
V novém vydání:
- Byl implementován univerzální mechanismus pro identifikaci provozu, který kombinuje v jednom otisku provozu (fingerprint) metadata o otiscích TCP, hashe TLS certifikátu a JA4 (identifikátory pro určení síťových protokolů a aplikací). Nový mechanismus umožňuje přesněji identifikovat a přiřazovat šifrovaný nebo obfuskovaný provoz.
- Byla přidána možnost identifikace toků TLS, QUIC a HTTP, ve kterých se objevují názvy hostitelů (například v SNI pro TLS/QUIC a v hlavičce Host pro HTTP), pro které dříve nedocházelo k rozlišení prostřednictvím DNS. Tato aktivita může být použita k odhalování anomálií, skrytých kanálů přenosu dat a způsobů obcházení filtrování.
- Limit na počet identifikovaných protokolů a kategorií provozu byl zvýšen na 2^16, což umožňuje odhalit prakticky neomezený počet protokolů při inspekci provozu. Všechny dostupné protokoly jsou nyní ve výchozím nastavení zahrnuty.
- Do pravidel byly přidány nové možnosti pro klasifikaci provozu podle otisků (fingerprint), JA4 identifikátorů aplikací a protokolů, HTTP URL a kategorií.
- Byla vylepšena podpora technologie FPC (First Packet Classification), zaměřené na identifikaci protokolů, aplikací a služeb podle prvního paketu odeslaného při navazování spojení. FPC výrazně snižuje zátěž CPU při inspekci provozu.
- Byla odstraněna podpora pseudoprotokolů, jako jsou ADULT_CONTENT, LLM a ADS_ANALYTICS_TRACK, místo kterých se nyní používá klasifikace na základě kategorií.
- Byla přidána podpora a možnost analýzy nových protokolů, mezi které patří Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN a Akamai.
- Byly přidány nové podkategorie a rozšířena klasifikace služeb Amazon/AWS.
- Bylo přidáno přibližně 30 nových kategorií a zvýšena detailnost při analýze provozu.
- Byl přidán analyzátor velikosti bloků dat pro TLS spojení.
- Byla přidána možnost vytváření protokolových zásobníků pokrývajících dva a více protokolů při klasifikaci provozu.
- Byly přidány nové API pro hodnocení provozu a kódování/dekódování hexadecimálních sekvencí.
- Byly aktualizovány seznamy botů, síťových skenerů a těžebních poolů.
- Byl aktualizován kód pro analýzu protokolů HTTP, TLS a STUN.
- Byla zrychlena inicializace a zvýšena efektivita správy paměti.
Zdroj: opennet.ru
