Projektet ntop, der udvikler værktøjer til at indfange og analysere trafik, har offentliggjort værktøjerne til dyb pakkeinspektion nDPI 6.0, som fortsætter udviklingen af biblioteket OpenDPI. Projektet nDPI blev grundlagt efter et mislykket forsøg på at overføre ændringer til OpenDPI-repositoriet, som ikke længere blev vedligeholdt. Koden til nDPI er skrevet i C og distribueres under LGPLv3-licensen.
Systemet gør det muligt at bestemme de anvendte applikationslagprotokoller i trafikken ved at analysere karakteren af netværksaktiviteten uden at være bundet til netværksporte (det kan bestemme kendte protokoller, hvis håndterere modtager forbindelser på ikke-standard netværksporte, for eksempel hvis http ikke sendes fra port 80, eller omvendt, når en anden netværksaktivitet forsøges kamufleret som http ved at køre på port 80).
Forskellene fra OpenDPI ligger i understøttelsen af yderligere protokoller, porteringen til Windows-platformen, optimering af ydeevne, tilpasning til anvendelse i applikationer til realtids trafikovervågning (nogle specifikke funktioner, der sænkede motoren, er fjernet), muligheden for opsætning som et kernemodul til Linux og støtte til identifikation af subprotokoller.
Der understøttes identifikation af 56 typer netværks trusler (flow risk) og mere end 450 protokoller og applikationer (fra OpenVPN, Tor, QUIC, SOCKS, BitTorrent og IPsec til Telegram, Viber, WhatsApp, PostgreSQL og anmodninger til Gmail, Office 365, Google Docs og YouTube). Der er en decoder til server- og klientside SSL-certifikater, der gør det muligt at identificere protokollen (f.eks. Citrix Online og Apple iCloud), ved hjælp af krypteringscertifikatet. Til analysen af indholdet i pcap-dumps eller aktuel trafik gennem netværksinterfacet leveres værktøjet nDPIreader.
I den nye version:
- Licensbetingelserne er ændret. Den grundlæggende nDPI-bibliotek fortsætter med at blive leveret under LGPLv3-licensen, men nogle trafik parsing-moduler, såsom DNS, QUIC og TLS, er blevet overført til en duallicens: LGPLv3 for non-profit projekter og en kommerciel licens for projekter, der anvendes til at generere indtægter.
- Muligheden for at opdage og blokere DoS-angreb af typen Slowloris, Slow POST og Slow GET er blevet tilføjet. I disse tilfælde modtager klienten et svar eller sender en anmodning meget langsomt, uden at lukke forbindelsen, men heller ikke tillader timeout, hvilket gør det muligt at opbruge grænsen for antallet af aktive forbindelser.
- Pålideligheden ved generering af JA4 trafikaftryk, som gør det muligt at opdage ondsindet aktivitet, er blevet forbedret. For at reducere risikoen for falske positiver er der implementeret selektiv beregning af JA4 hashes, som ikke dækker visse session-afhængige TLS-udvidelser, såsom udvidelsen til genoptagelse af sessioner via præ-identificerede nøgler (PSK), som reducerer unikheden af JA4 hashes.
- Understøttelsen af USDT (Userland Statically Defined Tracing) tracing-mekanismen er blevet tilføjet, som integreres i applikationen og ikke skaber ekstra belastning i slukket tilstand. USDT gør det muligt at inspicere nDPI's arbejde med værktøjerne bpftrace og perf. servere uden anvendelse af separate debug-builds.
- Understøttelsen af inspektion af protokoller som Meshtastic, libp2p, YGGDRASIL og Nebula, der anvendes i overlay- og mesh-netværk, er blevet tilføjet.
- Muligheden for klassificering af data i JSON- og MsgPack-formater samt adskillelse af aktiviteter relateret til forskellige GitHub-tjenester (Copilot, Packages, Actions) og Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet) er blevet implementeret.
- Understøttelsen af at udtrække stemme- og videoopkald i trafikken er blevet tilføjet.
- Nye kategorier til indholdsadministration er foreslået: børn, søgemaskiner, vold, narko og våben.
Kilde: opennet.ru
