Das ntop-Projekt, das Werkzeuge zur Erfassung und Analyse von Netzwerktraffic entwickelt, hat das Tool für die tiefgehende Paketinspektion nDPI 5.0 veröffentlicht, das die Entwicklung der OpenDPI-Bibliothek fortsetzt. Das nDPI-Projekt entstand nach einem gescheiterten Versuch, Änderungen in das OpenDPI-Repository zu übertragen, das nicht mehr betreut wird. Der nDPI-Code ist in C geschrieben und wird unter der LGPLv3-Lizenz veröffentlicht.
Das System ermöglicht die Identifikation der verwendeten Protokolle auf Anwendungsebene im Traffic, indem es die Art der Netzwerkaktivität analysiert, ohne an Netzwerkknoten gebunden zu sein (es kann bekannte Protokolle identifizieren, deren Handler Verbindungen an nicht-standardisierten Ports annehmen, zum Beispiel wenn HTTP nicht über Port 80 bereitgestellt wird, oder umgekehrt, wenn andere Netzwerkaktivitäten als HTTP getarnt werden, indem sie auf Port 80 ausgeführt werden).
Die Unterschiede zu OpenDPI liegen in der Unterstützung zusätzlicher Protokolle, der Portierung für die Windows-Plattform, der Leistungsoptimierung und der Anpassung für die Nutzung in Anwendungen zur Echtzeit-Traffic-Überwachung (einige spezifische Funktionen, die den Motor verlangsamt haben, wurden entfernt), der Möglichkeit der Module-Bereitstellung im Kernel von Linux sowie der Unterstützung zur Identifikation von Subprotokollen.
Es werden 56 Arten von Netzwerkbedrohungen (flow risk) und über 450 Protokolle und Anwendungen unterstützt (von OpenVPN, Tor, QUIC, SOCKS, BitTorrent und IPsec bis hin zu Telegram, Viber, WhatsApp, PostgreSQL und Zugriffen auf Gmail, Office 365, Google Docs und YouTube). Ein Decoder für Server- und Clientanfragen ist ebenfalls vorhanden. SSL-Zertifikateder das Protokoll identifizieren kann (z. B. Citrix Online und Apple iCloud) unter Verwendung von Verschlüsselungszertifikaten. Zur Analyse von pcap-Dumps oder laufendem Traffic über Netzwerkschnittstellen wird das Tool nDPIreader bereitgestellt.
In der neuen Version:
- Ein universeller Mechanismus zur Identifizierung von Datenverkehr wurde implementiert, der in einem einzigen Traffic-Marker (Fingerprint) Metadaten über TCP-Schnappschüsse, TLS-Zertifikathashes und JA4 (Identifikatoren zur Bestimmung von Netzwerkprotokollen und Anwendungen) kombiniert. Der neue Mechanismus ermöglicht eine genauere Bestimmung und Zuordnung von verschlüsseltem oder obfuskiertem Datenverkehr.
- Die Möglichkeit zur Erkennung von TLS-, QUIC- und HTTP-Streams wurde hinzugefügt, in denen Hostnamen vorkommen (zum Beispiel im SNI für TLS/QUIC und im Host-Header für HTTP), für die zuvor kein DNS-Resolving durchgeführt wurde. Solche Aktivitäten können zur Erkennung von Anomalien, versteckten Datenübertragungswegen und Methoden zur Umgehung von Filtern verwendet werden.
- Das Limit für die Anzahl der ermittelbaren Protokolle und Verkehrskategorien wurde auf bis zu 2^16 angehoben, was die Identifizierung nahezu unbegrenzter Protokolle bei der Verkehrsinspektion ermöglicht. Alle verfügbaren Protokolle sind jetzt standardmäßig enthalten.
- Neue Optionen zur Klassifizierung von Datenverkehr basierend auf Fingerprints, JA4-Anwendungen und Protokollidentifikatoren, HTTP-URLs und Kategorien wurden in die Regeln aufgenommen.
- Die Unterstützung der FPC-Technologie (First Packet Classification) wurde verbessert, die darauf abzielt, Protokolle, Anwendungen und Dienste anhand des ersten Pakets, das beim Verbindungsaufbau gesendet wird, zu identifizieren. FPC ermöglicht eine deutliche Reduzierung der CPU-Belastung bei der Inspektion des Verkehrs.
- Die Unterstützung von Pseudoprotokollen wie ADULT_CONTENT, LLM und ADS_ANALYTICS_TRACK wurde entfernt, stattdessen wird jetzt eine klassifikationsbasierte Kategorisierung verwendet.
- Die Unterstützung und die Möglichkeit zur Analyse neuer Protokolle wurden hinzugefügt, darunter Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN und Akamai.
- Neue Unterkategorien wurden hinzugefügt und die Klassifizierung der Amazon/AWS-Dienste erweitert.
- Ungefähr 30 neue Kategorien wurden hinzugefügt und die Detailgenauigkeit bei der Verkehrsanalyse erhöht.
- Ein Blockgrößenanalysator für TLS-Verbindungen wurde hinzugefügt.
- Die Möglichkeit zur Erstellung von Protokollstacks, die zwei oder mehr Protokolle bei der Verkehrscla wiederum erreichen, wurde hinzugefügt.
- Neue APIs für die Traffic-Rangierung sowie die Kodierung/Dekodierung hexadezimaler Sequenzen wurden hinzugefügt.
- Die Listen von Bots, Netzwerkscannern und Mining-Pools wurden aktualisiert.
- Der Code zur Analyse der Protokolle HTTP, TLS und STUN wurde aktualisiert.
- Beschleunigte Initialisierung und verbesserte Speichermanagement-Effizienz.
Quelle: opennet.ru
