Das Projekt ntop, das Werkzeuge zur Erfassung und Analyse von Datenverkehr entwickelt, hat das Toolkit für die tiefgehende Paketinspektion nDPI 4.10 veröffentlicht, das die Entwicklung der OpenDPI-Bibliothek fortsetzt. Das nDPI-Projekt wurde nach einem gescheiterten Versuch gegründet, Änderungen in das OpenDPI-Repository einzufügen, das nicht mehr betreut wird. Der nDPI-Code ist in der Programmiersprache C geschrieben und wird unter der LGPLv3-Lizenz vertrieben.
Das System ermöglicht die Identifizierung von verwendeten Anwendungsprotokollen im Datenverkehr, indem es die Art der Netzwerkaktivität analysiert, ohne an Netzwerkports gebunden zu sein (es kann bekannte Protokolle erkennen, deren Handler Verbindungen an nicht-standardisierten Netzwerkports akzeptieren, zum Beispiel wenn http nicht über Port 80 bereitgestellt wird oder umgekehrt, wenn versucht wird, eine andere Netzwerkaktivität als http zu tarnen, indem sie auf Port 80 gestartet wird).
Die Unterschiede zu OpenDPI liegen in der Unterstützung zusätzlicher Protokolle, der Portierung für die Windows-Plattform, der Leistungsoptimierung und der Anpassung für die Verwendung in Anwendungen zur Echtzeit-Netzwerküberwachung (einige spezifische Funktionen, die den Motor verlangsamt haben, wurden entfernt), der Möglichkeit, als Modul für den Linux-Kernel kompiliert zu werden, und der Unterstützung von Subprotokoll-Erkennung.
Es werden 55 Arten von Netzwerkbedrohungen (flow risk) und über 420 Protokolle und Anwendungen unterstützt (von OpenVPN, Tor, QUIC, SOCKS, BitTorrent und IPsec bis hin zu Telegram, Viber, WhatsApp, PostgreSQL sowie Zugriffen auf Gmail, Office 365, Google Docs und YouTube). Es gibt einen Dekodierer für Server- und Client-Protokolle, SSL-Zertifikate, der es ermöglicht, das Protokoll (z. B. Citrix Online und Apple iCloud) mithilfe eines Verschlüsselungszertifikats zu identifizieren. Für die Analyse von Inhalten in pcap-Dumps oder von aktuellem Netzwerkverkehr über die Netzwerkschnittstelle wird das Tool nDPIreader mitgeliefert.
In der neuen Version:
- Die anfängliche Unterstützung für die Technologie FPC (First Packet Classification) wurde hinzugefügt, die darauf abzielt, Protokolle, Anwendungen und Dienste anhand des ersten beim Verbindungsaufbau gesendeten Pakets zu identifizieren. FPC wird nur für einen Teil der Protokolle implementiert und ermöglicht eine wesentliche Reduzierung der CPU-Belastung bei der Verkehrsinspizierung.
- Unterstützung und Parsing von mehr als 70 neuen Protokollen und Diensten hinzugefügt, darunter:
- Adobe Connect
- ANSI C12.22
- Apache Kafka
- Beckhoff ADS
- BFCP
- BFD
- Bluesky
- Call of Duty Mobile
- CAN über Ethernet
- Ceph
- ClickHouse
- DLE
- DTLS 1.3
- Elder Scrolls Online Unterstützung (#2376)
- ElectronicArts
- Ethereum-Protokoll-Dissektor
- Ethernet Global Data
- Ether-S-Bus
- Ether-S-I/O
- FB-Threads
- FLUTE
- Gearman
- Google Chat
- Google Protobuf
- HART-IP
- HiSLIP
- HL7
- HLS.
- IEC62056 (DLMS/COSEM)
- IEEE 1588-2008 (PTPv2)
- IEEE C37.118
- ISO 9506-1 MMS
- JSON-RPC
- KCP
- KNXnet/IP
- Label Distribution Protocol
- Mastodon
- Monero
- Mumble
- Nano (XNO)
- Naraka Bladepoint
- NetEase
- NoMachine NX
- Omron FINS
- OPC UA
- OpenFlow
- OpenWire
- Path of Exile
- PFCP
- PIA (Private Internet Access) Unterstützung (#2250)
- PROFINET/IO
- Radmin
- Raft
- Ripe Atlas Protokoll.
- Roughtime
- RTPS
- S7Comm
- Schneider Electric UMAS
- STOMP
- TencentGames
- Twitter Bot
- UFTP
- Viber (VoIP)
- WebDAV
- Yojimbo (Netcode)
- ZUG
- Die Analyse und Definition von Protokollen und Services wurde optimiert:
- Bittorrent
- Cloudflare WARP
- CORBA
- CryNetwork
- DNS
- Dropbox
- eDonkey
- H323
- Kafka
- MySQL
- PrimeVideo
- Protobuf
- QUIC
- Telegram
- TFTP
- Twitter/X (#2482)
- Wireguard
- Zoom
- Neue Protokoll-IDs wurden hinzugefügt, die mit Inhalten für Erwachsene, Werbung, Web-Analyse und der Verfolgung von Bewegungen verbunden sind.
- Die Bandbreite der erkannten Netzwerkbedrohungen und Probleme im Zusammenhang mit dem Risiko einer Kompromittierung (flow risk) wurde erweitert.
- Ein Skript zum Laden und Aktualisieren der Liste der Domain-Endungen wurde hinzugefügt.
- Die Identifizierung des Huawei-Verkehrs wurde sichergestellt.
- Die Leistung wurde optimiert.
- Die Unterstützung wurde erweitert IPv6.
Quelle: opennet.ru
