Ntopi projekt, mis arendab tööriistu liikluse püüdmiseks ja analüüsimiseks, on avaldanud nDPI 4.0 pakette süvaanalüüsi tööriistade komplekti, mis jätkab OpenDPI raamatukogu arendamist. nDPI projekt põhineb pärast ebaõnnestunud katsetust OpenDPI hoidla muudatuste üleviimiseks, mis jäi hooldamata. nDPI kood on kirjutatud C keeles ja seda levitatakse LGPLv3 litsentsi alusel.
Projekt võimaldab tuvastada rakenduse taseme protokollid liikluses, analüüsides võrguaktiivsuse iseloomu ilma võrguportide sidumiseta (see suudab tuvastada tuntud protokolle, mille käsitlejad võtavad ühendusi vastu standarditest erinevatel võrguportidel, näiteks kui http ei tule 80 portilt või vastupidi, kui mõnda muud võrguaktiivsust üritatakse maskeerida http alla, käivitades 80 porti kasutades).
Erinevused OpenDPI-st seisnevad täiendavate protokollide toe, Windowsi platvormile üleviimise, tootlikkuse optimeerimise, reaalajas liikluse jälgimise rakendustes kasutamiseks kohandamise (mõned erilised funktsioonid, mis aeglustasid mootorit, on eemaldatud), Linuxi tuumamooduli kujul koostamise võimaluse ja subprotokollide tuvastamise toe osas.
Kokku toetatakse 247 protokolli ja rakenduse tuvastamist, sealhulgas OpenVPN, Tor, QUIC, SOCKS, BitTorrent ja IPsec kuni Telegram, Viber, WhatsApp, PostgreSQL ning GMail, Office365 GoogleDocs ja YouTube päringuteni. On saadaval serveri ja kliendi dekooder. SSL-sertifikaadid, mis võimaldab kindlaks teha protokolli (näiteks Citrix Online ja Apple iCloud), kasutades krüptimissertifikaati. Pakettide uurimiseks pcap-dumpide või aktiivse liikluse kaudu võrgu liidese kaudu on kaasas tööriist nDPIreader.
$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" Tuvastatud protokollid: DNS paketid: 57 baitid: 7904 voogud: 28 SSL_No_Cert paketid: 483 baitid: 229203 voogud: 6 FaceBook paketid: 136 baitid: 74702 voogud: 4 DropBox paketid: 9 baitid: 668 voogud: 3 Skype paketid: 5 baitid: 339 voogud: 3 Google paketid: 1700 baitid: 619135 voogud: 34
Uues väljaandes:
- Parandatud on krüpteeritud liikluse analüüsimeetodite (ETA — Krüpteeritud Liikluse Analüüs) tuge.
- On rakendatud täiustatud TLS-klientide tuvastamise meetodi JA3+ tugi, mis võimaldab ühenduse loomise ja määratletud parameetrite omaduste põhjal tuvastada, millist tarkvara kasutatakse ühenduse loomiseks (näiteks võimaldab tuvastada Torn ja teised tüüpilised rakendused). Erinevalt varem toetatud JA3 meetodist, on JA3+ vähem valepositiividega.
- Tuletõrgete ja ohtudega seotud probleemide, mis on seotud riskiga, avastatavate arv on suurenenud 33-ni. Uued rünnakute määratlemise meetodid, mis on seotud töölaua ja failide jagamise, kahtlase HTTP-liikluse, pahatahtlike JA3 ja SHA1, probleemsete domeenide ja autonoomsete süsteemide kasutamisega, on lisatud TLS-i sertifikaatidesse, millel on kahtlased laiendused või liiga pikk kehtivusaeg.
- Toimunud on märkimisväärne jõudluse optimeerimine, võrreldes versiooniga 3.0 on liikluse töötlemise kiirus tõusnud 2,5 korda.
- GeoIP toe funktsionaalsus on lisatud asukoha määramiseks. IP-aadressiga.
- Lisatud on API RSI (Relative Strength Index) arvutamiseks.
- Fragmentatsiooni haldamise vahendid on rakendatud.
- Lisatud on API voolu ühtsuse (jitter) arvutamiseks.
- Toetatud on järgmised protokollid ja teenused: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtuaalmasina Grupi Halduse (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtuaalne Assistendi (Alexa, Siri), Z39.50.
- Parandatud on protokollide, sealhulgas AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook/MicrosoftMail, QUIC, RTSP, RTSP through HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard, analüüs ja määratlemine.
Allikas: opennet.ru
