Ntop-projektet, der udvikler værktøjer til trafikfangst og analyse, har offentliggjort en udgave af nDPI 4.8-værktøjssættet til dybdeinspektion af pakker, som fortsætter udviklingen af OpenDPI-biblioteket. NDPIs projekt blev grundlagt efter et mislykket forsøg på at overføre ændringer til OpenDPI-depotet, som er blevet forladt. nDPI-koden er skrevet i C og distribueres under LGPLv3-licensen.
Systemet gør det muligt at identificere anvendte applikationsprotokoller i trafikken ved at analysere netværksaktivitetens karakter uden at være bundet til netværksporte (det kan identificere kendte protokoller, hvis håndtere er forbundet til ikke-standard netværksporte, for eksempel, hvis http ikke leveres fra port 80, eller omvendt, når en anden netværksaktivitet forsøges camoufleret som http ved at køre på port 80).
Forskellene fra OpenDPI ligger i understøttelsen af yderligere protokoller, porteringen til Windows-platformen, optimering af ydeevne, tilpasning til anvendelse i applikationer til realtids trafikovervågning (nogle specifikke funktioner, der sænkede motoren, er fjernet), muligheden for opsætning som et kernemodul til Linux og støtte til identifikation af subprotokoller.
Det understøtter identifikation af 53 typer netværksbedrag (flow risk) og over 350 protokoller og applikationer (fra OpenVPN, Tor, QUIC, SOCKS, BitTorrent og IPsec til Telegram, Viber, WhatsApp, PostgreSQL og anmodninger til Gmail, Office 365, Google Docs og YouTube). Der er en dekoder til server- og klientprotokoller, SSL certificates, der gør det muligt at identificere protokoller (for eksempel Citrix Online og Apple iCloud) ved hjælp af krypteringscertifikater. For analyse af indhold i pcap-dumps eller aktuel trafik gennem netværksinterfacet leveres nDPIreader-værktøjet.
I den nye version:
- Hukommelsesforbruget er blevet betydeligt reduceret takket være en revidering af implementeringen af lister.
- Udvidet understøttelse af IPv6.
- Nye protokolidentifikatorer relateret til voksenindhold, reklame, webanalyse og sporingsaktiviteter er tilføjet.
- Understøttelse af protokoller og tjenester tilføjet:
- HAProxy
- Apache Thrift
- RMCP (Remote Management Control Protocol)
- SLP (Service Location Protocol)
- Bitcoin
- HTTP/2 uden kryptering
- SRTP (Secure Real-time Transport)
- BACnet
- OICQ (kinesisk messenger)
- Identifikation af OperaVPN og ProtonVPN er tilføjet. Forbedret identifikation af Wireguard.
- Der er implementeret heuristikker til at identificere helt krypterede trafikstrømme.
- Identifikation af Yandex og VK-tjenester er tilføjet.
- Identifikation af Facebooks reels og stories er tilføjet.
- Identifikation af spilplatformen Roblox, NVIDIA GeForceNow cloud service, Epic Games-spil, og 'Heroes of the Storm' er tilføjet.
- Forbedret identifikation af trafik fra søgemaskinerobotter.
- Forbedret parsing og identifikation af protokoller og tjenester:
- Gnutella
- H323
- HTTP
- Hangout
- MS Teams
- Alibaba
- MGCP
- Steam
- MySQL
- Zabbix
- Udvidelsen af detekterede netværksbedragerier og problemer relateret til kompromitteringsrisiko (flow risk) er blevet udvidet. Der er tilføjet støtte til nye trusler: NDPI_MALWARE_HOST_CONTACTED og NDPI_TLS_ALPN_SNI_MISMATCH.
- Fuzzing-testning er blevet organiseret for at identificere pålidelighedsproblemer.
- Problemerne med bygningen på FreeBSD er blevet løst.
Kilde: opennet.ru
