Das Projekt ntop, das Werkzeuge zur Erfassung und Analyse von Datenverkehr entwickelt, hat das Toolkit für die tiefgehende Paketinspektion nDPI 5.0 veröffentlicht, das die Entwicklung der OpenDPI-Bibliothek fortsetzt. Das nDPI-Projekt wurde nach einem gescheiterten Versuch gegründet, Änderungen im OpenDPI-Repository vorzunehmen, das nicht länger betreut wird. Der nDPI-Code ist in C geschrieben und wird unter der LGPLv3-Lizenz verbreitet.
Das System ermöglicht die Identifizierung der in dem Datenverkehr verwendeten Anwendungsprotokolle, indem es die Art der Netzwerkaktivität analysiert, ohne an Netzwerkports gebunden zu sein (es kann bekannte Protokolle identifizieren, deren Handler Verbindungen an nicht standardmäßigen Netzwerkports annehmen, z. B. wenn HTTP nicht über Port 80 bereitgestellt wird oder umgekehrt, wenn eine andere Netzwerkaktivität versucht wird, unter HTTP getarnt zu werden, indem sie auf Port 80 gestartet wird).
Die Unterschiede zu OpenDPI bestehen in der Unterstützung zusätzlicher Protokolle, der Portierung für die Windows-Plattform, der Leistungsoptimierung, der Anpassung für Anwendungen zur Echtzeitüberwachung des Verkehrs (einige spezifische Funktionen, die die Engine verlangsamten, wurden entfernt), der Möglichkeit, als Modul für den Linux-Kernel zu bauen, und der Unterstützung zur Bestimmung von Subprotokollen.
Die Unterstützung umfasst die Identifizierung von 56 Arten von Netzwerkbedrohungen (flow risk) sowie mehr als 450 Protokollen und Anwendungen (von OpenVPN, Tor, QUIC, SOCKS, BitTorrent und IPsec bis hin zu Telegram, Viber, WhatsApp, PostgreSQL und Zugriffe auf Gmail, Office 365, Google Docs und YouTube). Ein Decoder für Server- und Clientinformationen ist vorhanden. SSL-Zertifikaten, mit dem das Protokoll (zum Beispiel Citrix Online und Apple iCloud) unter Verwendung des Verschlüsselungszertifikats bestimmt werden kann. Um den Inhalt von PCAP-Dumps oder aktuellem Verkehr über die Netzwerkschnittstelle zu analysieren, wird das Tool nDPIreader bereitgestellt.
In der neuen Version:
- Ein universeller Mechanismus zur Identifizierung von Datenverkehr wurde implementiert, der in einem einzigen Fingerprint Metadaten über TCP-Schnappschüsse, Hashes von TLS-Zertifikaten und JA4 (IDs zur Bestimmung von Netzwerkprotokollen und -anwendungen) kombiniert. Der neue Mechanismus ermöglicht eine genauere Identifizierung und Zuordnung von verschlüsseltem oder obfuskiertem Datenverkehr.
- Die Möglichkeit zur Identifizierung von TLS-, QUIC- und HTTP-Strömen, die Hostnamen enthalten (z. B. im SNI für TLS/QUIC und im Host-Header für HTTP), wurde hinzugefügt, für die zuvor kein DNS-Resolving durchgeführt wurde. Solche Aktivitäten können zur Aufdeckung von Anomalien, versteckten Datenkanälen und Filterumgehungsmethoden eingesetzt werden.
- Das Limit für die Anzahl der identifizierbaren Protokolle und Datenverkehrskategorien wurde auf 2^16 angehoben, was die nahezu unbegrenzte Erkennung von Protokollen bei der Datenverkehrsinspektion ermöglicht. Alle verfügbaren Protokolle sind jetzt standardmäßig aktiviert.
- Neue Optionen zur Klassifizierung von Datenverkehr nach Fingerprints, JA4-Anwendungs- und Protokollidentifikatoren, HTTP-URLs und Kategorien wurden zu den Regeln hinzugefügt.
- Die Unterstützung der FPC-Technologie (First Packet Classification) wurde verbessert, die sich auf die Bestimmung von Protokollen, Anwendungen und Diensten anhand des ersten gesendeten Pakets beim Verbindungsaufbau konzentriert. FPC ermöglicht eine signifikante Reduzierung der CPU-Belastung bei der Inspektion des Datenverkehrs.
- Die Unterstützung für Pseudoprotocolle wie ADULT_CONTENT, LLM und ADS_ANALYTICS_TRACK wurde entfernt, stattdessen kommt jetzt eine Klassifizierung auf Basis von Kategorien zum Einsatz.
- Die Unterstützung und die Möglichkeit der Analyse neuer Protokolle wurden hinzugefügt, darunter Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN und Akamai.
- Neue Unterkategorien wurden hinzugefügt und die Klassifizierung der Amazon/AWS-Dienste erweitert.
- Es wurden etwa 30 neue Kategorien hinzugefügt und die Detailgenauigkeit bei der Datenverkehrsanalyse erhöht.
- Ein Blockgrößenanalysator für TLS-Verbindungen wurde hinzugefügt.
- Die Möglichkeit zur Erstellung von Protokollstapeln, die zwei oder mehr Protokolle bei der Klassifizierung des Datenverkehrs abdecken, wurde hinzugefügt.
- Neue APIs zum Raten von Datenverkehr und zur Kodierung/Dekodierung von Hexadezimalfolgen wurden hinzugefügt.
- Die Listen für Bots, Netzwerkscanner und Mining-Pools wurden aktualisiert.
- Der Code zur Analyse der Protokolle HTTP, TLS und STUN wurde aktualisiert.
- Die Initialisierung wurde beschleunigt und die Effizienz des Speichermanagements verbessert.
Quelle: opennet.ru
