Systemet til dybdeinspektion af pakker nDPI 3.0 er tilgængeligt

Projekt ntop, der udvikler værktøjer til at fange og analysere trafik, udgav udvikling af værktøjer til dybdeinspektion af pakker nDPI 3.0, som fortsætter udviklingen af biblioteket OpenDPI. Projektet nDPI blev startet efter en mislykket forsøg på at overføre ændringer til repository OpenDPI, som ikke længere er vedligeholdt. nDPI-koden er skrevet i C-sprog og distribueres under LGPLv3-licensen.

Projekt det muligt definere de anvendte protokoller på applikationsniveau i trafikken ved at analysere karakteren af netværksaktiviteten uden at være bundet til netværksporte (kan identificere kendte protokoller, hvis håndtere tager forbindelser på ikke-standardiserede netværksporte, for eksempel hvis http serveres fra en port, der ikke er 80, eller omvendt, når en anden netværksaktivitet forsøges camoufleret som http ved at køre på port 80).

Forskellene fra OpenDPI omfatter understøttelse af ekstra protokoller, portering til Windows-platformen, præstationsoptimering, tilpasning til brug i applikationer til trafikovervågning i realtid (fjerne nogle specifikke funktioner, der gjorde motoren langsommere),
muligheden for at bygge i form af et Linux-kernemodul og understøttelse af identifikation af subprotokoller.

I alt understøtter det identifikation af 238 protokoller og applikationer, fra
OpenVPN, Tor, QUIC, SOCKS, BitTorrent og IPsec til Telegram,
Viber, WhatsApp, PostgreSQL og anmodninger til GMail, Office365,
GoogleDocs og YouTube. Der er en dekoder til server- og klient-SSL-certifikater, der gør det muligt at identificere protokollen (for eksempel Citrix Online og Apple iCloud), ved at bruge krypteringscertifikatet. For analyse af indholdet af pcap-dumps eller aktuel trafik gennem netværksgrænsefladen leveres værktøjet nDPIreader.

$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10"

Registrerede protokoller:
DNS pakker: 57 bytes: 7904 flows: 28
SSL_No_Cert pakker: 483 bytes: 229203 flows: 6
FaceBook pakker: 136 bytes: 74702 flows: 4
DropBox pakker: 9 bytes: 668 flows: 3
Skype pakker: 5 bytes: 339 flows: 3
Google pakker: 1700 bytes: 619135 flows: 34

I den nye version:

• Protokoloplysninger vises nu straks ved identifikation, uden at det er nødvendigt at vente på at modtage de fulde metadata (selv når specifikke felter stadig ikke er blevet analyseret på grund af manglende netværkspakker), hvilket er relevant for trafikanalysatorer, der skal reagere hurtigt på bestemte typer trafik. For applikationer, der kræver en fuld protokolanalyse, er API'en ndpi_extra_dissection_possible() introduceret, som muliggør bekræftelse af, at alle protokolmetadata er defineret.
• En dybere analyse af TLS er implementeret med udtrækning af information om certifikatets gyldighed og SHA-1 hash af certifikatet.
• Flaget «-C» er tilføjet til nDPIreader-applikationen for eksport i CSV-format, hvilket giver mulighed for at udføre tilstrækkeligt komplekse statistiske udtræk. For eksempel, for at bestemme den IP-adresse, der har set film på Netflix i længst tid: $ ndpiReader -i netflix.pcap -C /tmp/netflix.csv

  $ q -H -d ‘,’ «select src_ip,SUM(src2dst_bytes+dst2src_bytes) from /tmp/netflix.csv where ndpi_proto like ‘%NetFlix%’ group by src_ip»
  Understøttelse af den i

  192.168.1.7,6151821

• Cisco Joy foreslåede teknik til at identificere ondsindet aktivitet, skjult i krypteret trafik, er tilføjet, hvilket bruger analyse af pakke størrelse og tidsforskydninger. I ndpiReader aktiveres metoden med indstillingen «-J». Klassificering af protokoller efter kategorier er blevet implementeret.
• Understøttelse af beregning af IAT (Inter-Arrival Time) er tilføjet for at identificere anomalier i anvendelsen af protokollen, f.eks. til at opdage protokolanvendelse ved udførelse af DoS-angreb.
• Der er tilføjet muligheder for dataanalyse baseret på beregnede metrikker som entropi, gennemsnit, standardafvigelse og varians.
• En indledende version af bindinger til Python-sproget er blevet foreslået.
• Funktion til at bestemme læsbare strenge i trafik for at identificere datalækager er tilføjet. I
• ndpiReader aktiveres tilstand med indstillingen «-e».
  Understøttelse af metoden til identifikation af TLS-klienter
• JA3 , som baserer sig på særlige egenskaber ved forbindelsesforhandlinger og angivne parametre til at identificere, hvilket software der anvendes til at etablere forbindelsen (f.eks. kan det identificere brugen af Tor og andre standardapplikationer), er blevet tilføjet.Understøttelse af identifikationsmetoder for SSH-implementeringer (
• ) og DHCP er tilføjet.HASSHFunktioner til serialisering og deserialisering af data i
• formaterne Type-Length-Value (TLV) og JSON er blevet tilføjet.
  форматах Type-Length-Value (TLV) и JSON.
• Tilføjet support til protokoller og tjenester: DTLS (TLS over UDP),
  Hulu,
  TikTok/Musical.ly,
  WhatsApp Video,
  DNSoverHTTPS,
  Datasaver,
  Line,
  Google Duo, Hangout,
  WireGuard VPN,
  IMO,
  Zoom.us.
• Forbedret support til analyse af TLS, SIP, STUN,
  Viber,
  WhatsApp,
  AmazonVideo,
  SnapChat,
  FTP,
  QUIC
  OpenVPN UDP,
  Facebook Messenger og Hangout.

Kilde: opennet.ru