Ntop-projektet, der udvikler værktøjer til trafikfangst og analyse, har udgivet et værktøjssæt til dybdegående pakkeinspektion nDPI 4.4, som fortsætter udviklingen af OpenDPI-biblioteket. NDPIs projekt blev grundlagt efter et mislykket forsøg på at overføre ændringer til OpenDPI-repositoriet, som ikke længere blev vedligeholdt. NDPIs kode er skrevet i C og distribueres under LGPLv3-licensen.
Systemet gør det muligt at identificere anvendte applikationsprotokoller i trafikken ved at analysere netværksaktivitetens karakter uden at være bundet til netværksporte (det kan identificere kendte protokoller, hvis håndtere er forbundet til ikke-standard netværksporte, for eksempel, hvis http ikke leveres fra port 80, eller omvendt, når en anden netværksaktivitet forsøges camoufleret som http ved at køre på port 80).
Forskellene fra OpenDPI ligger i understøttelsen af yderligere protokoller, porteringen til Windows-platformen, optimering af ydeevne, tilpasning til anvendelse i applikationer til realtids trafikovervågning (nogle specifikke funktioner, der sænkede motoren, er fjernet), muligheden for opsætning som et kernemodul til Linux og støtte til identifikation af subprotokoller.
Der understøttes i alt omkring 300 protokoller og applikationer, fra OpenVPN, Tor, QUIC, SOCKS, BitTorrent og IPsec til Telegram, Viber, WhatsApp, PostgreSQL og anmodninger til GMail, Office365, GoogleDocs og YouTube. Der er en afkodnings-enhed til server- og klientanmodninger. SSL certificates, der gør det muligt at identificere protokoller (for eksempel Citrix Online og Apple iCloud) ved hjælp af krypteringscertifikater. For analyse af indhold i pcap-dumps eller aktuel trafik gennem netværksinterfacet leveres nDPIreader-værktøjet.
I den nye version:
- Metadata er blevet tilføjet med oplysninger om årsagen til, at en behandler blev kaldt for en given trussel.
- Funktionen ndpi_check_flow_risk_exceptions() er blevet tilføjet for at forbinde netværkstrusselbehandlere.
- Opdelingen af netværksprotokoller (for eksempel TLS) og anvendelsesprotokoller (for eksempel Google-tjenester) er blevet udført.
- To nye fortrolighedsniveauer er blevet tilføjet: NDPI_CONFIDENCE_DPI_PARTIAL og NDPI_CONFIDENCE_DPI_PARTIAL_CACHE.
- Der er tilføjet en skabelon til at bestemme brugen af Cloudflare WARP-tjenesten.
- Den interne implementering af hashmap er blevet udskiftet med uthash.
- Bindings til Python-sprog er blevet opdateret.
- Den indbyggede gcrypt-implementering er som standard aktiveret (til brug af systemimplementeringen er der tilbudt en mulighed —with-libgcrypt).
- Omfanget af opdagede netværkstrusler og problemer relateret til komprimeringsrisiko (flow risk) er blevet udvidet. Der er tilføjet support til nye trusselstyper: NDPI_PUNYCODE_IDN, NDPI_ERROR_CODE_DETECTED, NDPI_HTTP_CRAWLER_BOT og NDPI_ANONYMOUS_SUBSCRIBER.
- Understøttelse af protokoller og tjenester tilføjet:
- UltraSurf
- i3D
- RiotGames
- TSAN
- TunnelBear VPN
- collectd
- PIM (Protocol Independent Multicast)
- Pragmatic General Multicast (PGM)
- RSH
- GoTo-produkter som GoToMeeting
- Dazn
- MPEG-DASH
- Agora Software Defined Real-time Network (SD-RTN)
- Toca Boca
- VXLAN
- MDNS/LLMNR
- Forbedret parsing og indstilling af protokoller:
- SMTP/SMTPS (tilføjet støtte til STARTTLS)
- OCSP
- TargusDataspeed
- Usenet
- DTLS
- TFTP
- SOAP via HTTP
- GenshinImpact
- IPSec/ISAKMP
- DNS
- syslog
- DHCP
- NATS
- Viber
- Xiaomi
- Raknet
- gnutella
- Kerberos
- QUIC (tilføjet support til specifikationen v2drft 01)
- SSDP
- SNMP
- DGA
- AES-NI
Kilde: opennet.ru
