Projektet ntop, der udvikler værktøjer til indfangning og analyse af trafik, har udgivet en version af værktøjet til dybdeinspektion af pakker nDPI 4.0, som fortsætter udviklingen af biblioteket OpenDPI. nDPI-projektet blev etableret efter et mislykket forsøg på at overføre ændringer til OpenDPI-repositoriet, som er blevet forladt. nDPI-koden er skrevet i C og distribueres under LGPLv3-licensen.
Projektet gør det muligt at identificere de anvendte applikationsprotokoller i trafikken ved at analysere karakteren af netværksaktiviteten uden at være bundet til netværksporte (det kan identificere kendte protokoller, hvis moduler accepterer forbindelser på ikke-standardiserede netværksporte, for eksempel hvis http leveres fra en anden port end 80, eller omvendt, når en anden netværksaktivitet forsøges kamufleret som http ved at køre på port 80).
Forskellene fra OpenDPI ligger i understøttelsen af yderligere protokoller, portering til Windows-platformen, forbedringer af ydeevnen, tilpasning til brug i realtids trafikovervågningsapplikationer (nogle specifikke funktioner, der forsinkede motoren, er fjernet), muligheden for at kompileres som et Linux-kernemodul og støtte til identifikation af subprotokoller.
I alt understøttes identifikation af 247 protokoller og applikationer, fra OpenVPN, Tor, QUIC, SOCKS, BitTorrent og IPsec til Telegram, Viber, WhatsApp, PostgreSQL og anmodninger til GMail, Office365, GoogleDocs og YouTube. Der er en dekoder til server- og klientanmodninger. SSL certificates, der gør det muligt at identificere protokoller (for eksempel Citrix Online og Apple iCloud) ved hjælp af krypteringscertifikater. For analyse af indhold i pcap-dumps eller aktuel trafik gennem netværksinterfacet leveres nDPIreader-værktøjet.
$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" Detekterede protokoller: DNS pakker: 57 bytes: 7904 flows: 28 SSL_No_Cert pakker: 483 bytes: 229203 flows: 6 FaceBook pakker: 136 bytes: 74702 flows: 4 DropBox pakker: 9 bytes: 668 flows: 3 Skype pakker: 5 bytes: 339 flows: 3 Google pakker: 1700 bytes: 619135 flows: 34
I den nye version:
- Understøttelsen af metoder til analyse af krypteret trafik (ETA — Encrypted Traffic Analysis) er forbedret.
- Der er implementeret støtte til den forbedrede metode til identifikation af TLS-klienter JA3+, som gør det muligt at identificere, hvilket software der bruges til at etablere forbindelsen baseret på karakteristika ved forbindelsesforhandlinger og angivne parametre (for eksempel giver det mulighed for at identificere brugen af Tor og andre typiske applikationer). I modsætning til den tidligere støttede JA3-metode har JA3+ et lavere antal falske positiver.
- Antallet af identificerede netværks trusler og problemer relateret til kompromitteringsrisiko (flow risk) er udvidet til 33. Nye trusselsbestemmere er tilføjet vedrørende deling af skrivebord og filer, mistænkelig HTTP-trafik, skadelige JA3 og SHA1, henvendelse til problematiske domæner og autonome systemer samt brugen af TLS-certifikater med mistænkelige udvidelser eller en for lang gyldighedsperiode.
- Der er foretaget betydelig optimering af ydeevnen; i forhold til version 3.0 er hastigheden for trafikbehandling steget med 2,5 gange.
- Understøttelse af GeoIP til bestemmelse af placeringen er blevet tilføjet. IP-adressen.
- API til beregning af RSI (Relative Strength Index) er blevet tilføjet.
- Værktøjer til styring af fragmentering er blevet implementeret.
- API til beregning af jitter (ensartethed af flow) er blevet tilføjet.
- Understøttelse af protokoller og tjenester er tilføjet: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtual Assistant (Alexa, Siri), Z39.50.
- Forbedret parsing og identifikation af protokoller: AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook/MicrosoftMail, QUIC, RTSP, RTSP via HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.
Kilde: opennet.ru
