Projektet ntop, der udvikler værktøjer til indfangning og analyse af trafik, har offentliggjort værktøjet til dybdegående pakkeinspektion nDPI 4.10, som fortsætter udviklingen af biblioteket OpenDPI. nDPI-projektet blev grundlagt efter et mislykket forsøg på at overføre ændringer til OpenDPI-repositoriet, som ikke længere blev vedligeholdt. nDPI-koden er skrevet i C og distribueres under LGPLv3-licensen.
Systemet gør det muligt at identificere anvendte applikationsprotokoller i trafikken ved at analysere karakteren af netværksaktiviteten uden binding til netværksporte (det kan identificere kendte protokoller, hvis håndterere modtager forbindelser på ikke-standardiserede netværksporte, f.eks. hvis http leveres fra en anden port end 80, eller omvendt når en anden netværksaktivitet forsøges maskeret som http ved at køre på port 80).
Forskellene fra OpenDPI er, at der støttes flere protokoller, porteres til Windows-platformen, optimeres for ydeevne, tilpasses til anvendelse i applikationer til realtidsnetværksovervågning (nogle specifikke funktioner, der bremsede motoren, er fjernet), mulighed for at kompilere som et Linux-kernemodul samt støtte til identifikation af subprotokoller.
Der understøttes identifikation af 55 typer af netværkstrusler (flow risk) og over 420 protokoller og applikationer (fra OpenVPN, Tor, QUIC, SOCKS, BitTorrent og IPsec til Telegram, Viber, WhatsApp, PostgreSQL og forespørgsler til Gmail, Office 365, Google Docs og YouTube). Der er en dekoder til servere og klienter, SSL certificates, der gør det muligt at identificere protokollen (f.eks. Citrix Online og Apple iCloud) ved hjælp af krypteringscertifikatet. Til analyse af indholdet af pcap-dumps eller aktuel trafik via netværksgrænsefladen leveres værktøjet nDPIreader.
I den nye version:
- Der er tilføjet indledende støtte til FPC-teknologien (First Packet Classification), der sigter mod at identificere protokoller, applikationer og tjenester baseret på det første paket, der sendes under oprettelsen af forbindelsen. FPC kan kun implementeres for en del af protokollerne og kan betydeligt reducere CPU-belastningen under trafikinspektion.
- Støtte til og parsing af over 70 nye protokoller og tjenester er tilføjet, heriblandt:
- Adobe Connect
- ANSI C12.22
- Apache Kafka
- Beckhoff ADS
- BFCP
- BFD
- Bluesky
- Call of Duty Mobile
- CAN over Ethernet
- Ceph
- ClickHouse
- DLE
- DTLS 1.3
- Elder Scrolls Online support (#2376)
- ElectronicArts
- ethereum protocol dissector
- Ethernet Global Data
- Ether-S-Bus
- Ether-S-I/O
- FB-Threads
- FLUTE
- Gearman
- Google Chat
- Google Protobuf
- HART-IP
- HiSLIP
- HL7
- HLS
- IEC62056 (DLMS/COSEM)
- IEEE 1588-2008 (PTPv2)
- IEEE C37.118
- ISO 9506-1 MMS
- JSON-RPC
- KCP
- KNXnet/IP
- Label Distribution Protocol
- Mastodon
- Monero
- Mumble
- Nano (XNO)
- Naraka Bladepoint
- NetEase
- NoMachine NX
- Omron FINS
- OPC UA
- OpenFlow
- OpenWire
- Path of Exile
- PFCP
- PIA (Private Internet Access) support (#2250)
- PROFINET/IO
- Radmin
- Raft
- Ripe Atlas probe protocol.
- Roughtime
- RTPS
- S7Comm
- Schneider Electric UMAS
- STOMP
- TencentGames
- Twitter bot
- UFTP
- Viber (voip)
- WebDAV
- Yojimbo (netcode)
- ZUG
- Forbedret parsing og identifikation af protokoller og tjenester:
- Bittorrent
- Cloudflare WARP
- CORBA
- CryNetwork
- DNS
- Dropbox
- eDonkey
- H323
- Kafka
- MySQL
- PrimeVideo
- Protobuf
- QUIC
- Telegram
- TFTP
- Twitter/X (#2482)
- Wireguard
- Zoom
- Nye protokolidentifikatorer relateret til voksenindhold, reklame, webanalyse og sporingsaktiviteter er tilføjet.
- Udfordringer med netværkstrusler og problemer relateret til risiko for kompromittering (flow risk) er blevet udvidet.
- Oprettet et script til indlæsning og opdatering af liste over domænesuffikser.
- Sikret identifikation af Huawei-trafik.
- Ydelsesoptimering er udført.
- Udvidet support IPv6.
Kilde: opennet.ru
