Das ntop-Projekt, das Werkzeuge zur Erfassung und Analyse von Datenverkehr entwickelt, hat das Tool zur tiefen Paketinspektion nDPI 6.0 veröffentlicht, das die Entwicklung der OpenDPI-Bibliothek fortsetzt. Das nDPI-Projekt entstand nach dem gescheiterten Versuch, Änderungen im OpenDPI-Repository vorzunehmen, das ohne Wartung blieb. Der nDPI-Code ist in C geschrieben und wird unter der LGPLv3-Lizenz veröffentlicht.
Das System ermöglicht die Identifizierung der in dem Datenverkehr verwendeten Anwendungsprotokolle, indem es die Art der Netzwerkaktivität analysiert, ohne an Netzwerkports gebunden zu sein (es kann bekannte Protokolle identifizieren, deren Handler Verbindungen an nicht standardmäßigen Netzwerkports annehmen, z. B. wenn HTTP nicht über Port 80 bereitgestellt wird oder umgekehrt, wenn eine andere Netzwerkaktivität versucht wird, unter HTTP getarnt zu werden, indem sie auf Port 80 gestartet wird).
Die Unterschiede zu OpenDPI bestehen in der Unterstützung zusätzlicher Protokolle, der Portierung für die Windows-Plattform, der Leistungsoptimierung, der Anpassung für Anwendungen zur Echtzeitüberwachung des Verkehrs (einige spezifische Funktionen, die die Engine verlangsamten, wurden entfernt), der Möglichkeit, als Modul für den Linux-Kernel zu bauen, und der Unterstützung zur Bestimmung von Subprotokollen.
Es werden 56 Typen von Netzwerkbedrohungen (flow risk) und mehr als 450 Protokolle und Anwendungen unterstützt (von OpenVPN, Tor, QUIC, SOCKS, BitTorrent und IPsec bis hin zu Telegram, Viber, WhatsApp, PostgreSQL und Zugriffen auf Gmail, Office 365, Google Docs und YouTube). Es gibt einen Decoder für Server- und Client-Zertifikate, der es ermöglicht, das Protokoll (z.B. Citrix Online und Apple iCloud) mithilfe des Verschlüsselungszertifikats zu bestimmen. Um Inhalte von pcap-Dumps oder aktuellen Datenverkehr über ein Netzwerk-Interface zu analysieren, wird das Tool nDPIreader mitgeliefert. SSL-Zertifikate, die es ermöglichen, das Protokoll (z.B. Citrix Online und Apple iCloud) mit Hilfe des Verschlüsselungszertifikats zu bestimmen. Um den Inhalt von pcap-Dumps oder den aktuellen Verkehr über ein Netzwerk-Interface zu analysieren, wird das nDPIreader-Tool bereitgestellt.
In der neuen Version:
- Die Lizenzbedingungen wurden geändert. Die Basisbibliothek nDPI wird weiterhin unter der LGPLv3-Lizenz bereitgestellt, aber einige Module zur Datenanalyse, wie DNS, QUIC und TLS, wurden auf eine Doppellizenz umgestellt: LGPLv3 für nichtkommerzielle Projekte und eine kommerzielle Lizenz für Projekte, die für Gewinnzwecke verwendet werden.
- Die Fähigkeit zur Erkennung und Blockierung von DoS-Angriffen der Klassen Slowloris, Slow POST und Slow GET wurde hinzugefügt, bei denen der Client die Antwort erhält oder die Anfrage sehr langsam sendet, ohne die Verbindung zu schließen, aber auch keine Zeitüberschreitung auftritt, wodurch das Limit aktiver Verbindungen erschöpft wird.
- Die Zuverlässigkeit bei der Erstellung von JA4-Datenverkehrs-Fingerabdrücken, die schädliche Aktivitäten identifizieren, wurde erhöht. Um die Wahrscheinlichkeit von Fehlalarms zu verringern, wurde eine selektive Berechnung von JA4-Hashes implementiert, die einige sitzungsabhängige TLS-Erweiterungen, wie die Wiederherstellung von Sitzungen über vorab vereinbarte Schlüssel (PSK), nicht einbezieht, was die Einzigartigkeit der JA4-Hashes verringert.
- Die Unterstützung des USDT (Userland Statically Defined Tracing)-Tracking-Mechanismus wurde hinzugefügt, der in die Anwendung integriert werden kann und keinen zusätzlichen Aufwand im ausgeschalteten Zustand verursacht. USDT ermöglicht die Inspektion der Funktionsweise von nDPI mit den Tools bpftrace und perf auf Arbeitsstationen, ohne separate Debugging-Builds zu verwenden. Servern Die Unterstützung für die Inspektion der Protokolle Meshtastic, libp2p, YGGDRASIL und Nebula, die in Overlay- und Mesh-Netzwerken eingesetzt werden, wurde hinzugefügt.
- Добавлена поддержка инспектирования протоколов Meshtastic, libp2p, YGGDRASIL и Nebula, применяемых в оверлейных и mesh-сетях.
- Die Möglichkeit zur Klassifizierung von Daten in den Formaten JSON und MsgPack wurde umgesetzt, sowie die Trennung der Aktivität, die mit verschiedenen GitHub-Diensten (Copilot, Packages, Actions) und Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet) verbunden ist.
- Die Unterstützung für die Erkennung von Sprach- und Videoanrufen im Datenverkehr wurde hinzugefügt.
- Neue Kategorien für das Content-Management wurden vorgeschlagen: Kinder, Suchmaschinen, Gewalt, Drogen und Waffen.
Quelle: opennet.ru
