Saadaval nDPI 3.0 sügava paketi inspekteerimise süsteem

Projekt ntop, arendav tööriistu liikluse salvestamiseks ja analüüsimiseks, avalikustas vabastades pakettide süvaintegraatorite tööriistu nDPI 3.0, jätkates teeki arendamist OpenDPI. Projekt nDPI loodi pärast ebaõnnestunud katsetust muuta hoidla OpenDPI, mis jäi uuendusteta. nDPI kood on kirjutatud C keeles ja levitatakse all LGPLv3 litsentsi.

Projekt kaugelt sulgeda vahekaarte, mis on avatud teistel seadmetel. tuvastama liikluses kasutatavaid rakendusprotokolle, analüüsides võrguaktiivsuse iseloomu ilma sideportide seotuse vajaduseta (suudab tuvastada tuntud protokolle, mille töötlejad aktsepteerivad ühendusi mittestandardsetel sideportidel, näiteks kui http edastatakse mitte 80-lt, või vastupidi, kui mingit muud võrguaktiivsust püütakse varjata http alla, käivitades selle 80-lt).

Erinevused OpenDPI-st tulenevad täiendavate protokollide toetamisest, Windowsi platvormile portimisest, jõudluse optimeerimisest ja kohandamisest reaalajas liikluse jälgimise rakendustes (mõned spetsiifilised funktsioonid, mis aeglustasid mootorit, on eemaldatud),
võimalusest koguda Linuxi tuumamooduli kujul ja alusprotokollide tuvastamise toetusest.

Kokku toetab 238 protokolli ja rakenduste tuvastamist, alates
OpenVPN, Tor, QUIC, SOCKS, BitTorrent ja IPsec kuni Telegrami,
Viber, WhatsApp, PostgreSQL ning GMaili, Office365
GoogleDocs ja YouTube'i kontaktid. On olemas serverite ja klientide SSL-sertifikaatide dekooder, mis võimaldab tuvastada protokolli (näiteks Citrix Online ja Apple iCloud), kasutades krüpteerimissertifikaati. Pakettide sisu analüüsimiseks pakutakse nDPIreader utiliiti pcap-dumpide või jooksva liikluse kaudu võrgu liidese kaudu.

$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10"

Tuvastatud protokollid:
DNS paketid: 57 baitid: 7904 vood: 28
SSL_No_Cert paketid: 483 baitid: 229203 vood: 6
FaceBook paketid: 136 baitid: 74702 vood: 4
DropBox paketid: 9 baitid: 668 vood: 3
Skype paketid: 5 baitid: 339 vood: 3
Google paketid: 1700 baitid: 619135 vood: 34

Uues väljaandes:

• Protokolli teave kuvatakse nüüd kohe määramisel, ilma et ootama jääks täielikke metaandmeid (isegi kui spetsiifilised väljad pole veel vastavate võrgupakettide saamise tõttu lahendatud), mis on asjakohane liikluse analüsaatorite jaoks, kes peavad viivitamatult reageerima teatud tüüpi liiklusele. Rakendustele, mis vajavad protokolli täielikku lahendamist, on pakutud API ndpi_extra_dissection_possible(), mis võimaldab veenduda, et kõik protokolli metaandmed on määratud.
• Töötatud välja sügavam TLS-i lahendus, mis sisaldab teavet sertifikaadi kehtivuse ja sertifikaadi SHA-1 kokkuvõtte kohta.
• Rakendusele nDPIreader on lisatud lipp «-C» CSV formaati eksportimiseks, mis võimaldab kasutada täiendavat tööriista ntop teostada väga keerulisi statistilisi valikuid. Näiteks kasutaja IP määramiseks, kes on Netflixis filme kõige kauem vaadanud:

  $ ndpiReader -i netflix.pcap -C /tmp/netflix.csv
  $ q -H -d ‘,’ «select src_ip,SUM(src2dst_bytes+dst2src_bytes) from /tmp/netflix.csv where ndpi_proto like ‘%NetFlix%’ group by src_ip»

  192.168.1.7,6151821

• Lisatud tugi soovitatud Cisco Joy tehnika kahjuliku tegevuse tuvastamiseks, mis on peidetud krüpteeritud liikluses, analüüsides pakettide suurust ja saatmis-/viivitusaja. nDPIreaderis aktiveeritakse meetod valikuga «-J».
• Tagatud protokollide klassifitseerimine kategooriatesse.
• Lisatud tugi IAT (Inter-Arrival Time) arvutamiseks, et tuvastada protokolli kasutamise anomaaliaid, näiteks DoS-rünnakute korral.
• Lisatud võimalused andmeanalüüsiks arvutatud metrikate, nagu entropia, keskmine, standardhälve ja dispersiooni, põhjal.
• Pakutud välja algversioon Python keelest sidumiste jaoks.
• Lisatud režiim loetavate stringide tuvastamiseks liikluses andmelekkete avastamiseks. nDPIreaderis aktiveeritakse režiim sildi «-e» abil.
  Lisatud tugi TLS-kliendi tuvastamise meetodile
• JA3 , mis võimaldab ühenduste loomise eriliste tunnuste ja seatud parameetrite põhjal määrata, millist tarkvara kasutatakse ühenduse loomiseks (näiteks võimaldab tuvastada Tor'i ja muid tüüpilisi rakendusi).Lisatud tugi SSH rakenduste tuvastamise meetoditele (
• ) ja DHCP.HASSHLisatud funktsioonid andmete serialiseerimiseks ja deserialiseerimiseks
• Type-Length-Value (TLV) ja JSON formaadid.
  formaadis Type-Length-Value (TLV) ja JSON.
• Lisatud protokollide ja teenuste tugi: DTLS (TLS UDP üle),
  Hulu,
  TikTok/Musical.ly,
  WhatsApp Video,
  DNSoverHTTPS,
  Datasaver,
  Line,
  Google Duo, Hangout,
  WireGuard VPN,
  IMO,
  Zoom.us.
• Parandatud TLS, SIP, STUN analüüsi tuge,
  Viber,
  WhatsApp,
  AmazonVideo,
  SnapChat,
  FTP,
  QUIC
  OpenVPN UDP,
  Facebook Messenger ja Hangout.

Allikas: opennet.ru