Saadaval on süva pakettide kontrollimise süsteem nDPI 3.0

Projekt ntop, arendusvahendite pakkumine liikluse püüdmiseks ja analüüsimiseks, avaldas tööriistade väljatöötamine süvitsi minevaks pakettide inspekteerimiseks nDPI 3.0, mis jätkab teegi arendamist OpenDPI. Projekt nDPI on rajatud pärast ebaõnnestunud katset zmuda muudatusi repo OpenDPI-s, mis jäi hooldamata. nDPI kood on kirjutatud C keeles ja GNU Üldine Avaliku litsentsi alusel. on litsentsitud LGPLv3.

Projekt lubab tuvastama liikluses kasutatavaid rakendusprotokolle, analüüsides võrguaktiivsuse iseloomu sõltumatult võrguportidest (suudab tuvastada tuntud protokolle, mille töötlejad aktsepteerivad ühendusi mittenormaalsetelt võrguportidelt, näiteks juhul, kui http edastatakse mitte 80. porti kaudu, või kui mõnda muud võrguaktiivsust püütakse maskeerida http all 80. pordi kaudu).

Erinevused OpenDPI-ga seisnevad täiendavate protokollide toetamises, Windows platvormile portimises, jõudluse optimeerimises, kohandamises rakendustes, mis töötavad reaalajas liikluse jälgimisel (mõned spetsiifilised funktsioonid, mis aeglustasid mootorit, on eemaldatud),
Linuxi südamemooduli ja alaprotocolide tuvastamise toetuse kogumisvõimalused.

Kokku toetatakse 238 protokolli ja rakenduse tuvastamist, alates
OpenVPN, Tor, QUIC, SOCKS, BitTorrent ja IPsec kuni Telegrami,
Viber, WhatsApp, PostgreSQL ning GMaili, Office365,
GoogleDocs ja YouTube'i päringuteni. On olemas serveri ja kliendi SSL-sertifikaatide dekooder, mis võimaldab tuvastada protokolli (näiteks Citrix Online ja Apple iCloud), kasutades krüpteerimissertifikaati. Pcap-dumpide või aktiivse liikluse sisu analüüsimiseks on kaasas utiliit nDPIreader.

$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10"

Tuletatud protokollid:
DNS pakette: 57 baitide arv: 7904 voogude arv: 28
SSL_No_Cert pakette: 483 baitide arv: 229203 voogude arv: 6
FaceBook pakette: 136 baitide arv: 74702 voogude arv: 4
DropBox pakette: 9 baitide arv: 668 voogude arv: 3
Skype pakette: 5 baitide arv: 339 voogude arv: 3
Google pakette: 1700 baitide arv: 619135 voogude arv: 34

Uues väljaandes:

• Protokolli teave kuvatakse nüüd kohe määramisel, oodates täielike metaandmete saamist (isegi kui spetsiifilisi välju pole veel eraldatud seetõttu, et vastavaid võrgu pakette pole saadud), mis on olulised andmeliikluse analüsaatoritele, kes peavad kiiresti reageerima teatud tüüpi liiklusele. Rakendustele, mis vajavad protokolli täisanalüüsi, on ette nähtud API ndpi_extra_dissection_possible(), mis kinnitab, et kõik protokolli metaandmed on määratud.
• Töötatakse välja sügavam TLS analüüs koos sertifikaadi kehtivuse ja sertifikaadi SHA-1 räsimärgise teabega.
• Rakendusele nDPIreader on lisatud lipp „-C“ CSV formaadis eksportimiseks, mille abil on võimalik kasutada lisatööriistu ntop teostada küllalt keerulisi statistilisi valimisi. Näiteks kasutaja IP määramiseks, kes on kõige kauem filme NetFlixis vaadanud:

  $ ndpiReader -i netflix.pcap -C /tmp/netflix.csv
  $ q -H -d ‘,’ «select src_ip,SUM(src2dst_bytes+dst2src_bytes) from /tmp/netflix.csv where ndpi_proto like ‘%NetFlix%’ group by src_ip»

  192.168.1.7,6151821

• Lisatud tugi, mis on ette nähtud Cisco Joy tehnika kardinatiivse tegevuse tuvastamine, mis on peidetud krüpteeritud liikluses, kasutades pakettide suuruse ja saatmise viivituste analüüsi. NdpiReaderis aktiveeritakse meetod valiku "-J" abil.
• Protokollide kategooriate klassifitseerimine on tagatud.
• Kohandatud IAT (Inter-Arrival Time) arvutamise tugi protokolli kasutuse anomaaliate määramiseks, näiteks DoS-rünnakute käigus protokolli kasutamise tuvastamiseks.
• Lisatud andmeanalüüsi võimalused arvutatud mõõdikute põhjal, nagu entropia, aritmeetiline keskmine, standardhälve ja dispersioon.
• Pakutud algversioon Python'i keele bindimistest.
• Lisatud režiim loetavate stringide määramiseks liikluses andmelekkete äratundmiseks. NdpiReaderis aktiveeritakse režiim valiku "-e" abil.
  ndpiReader režiim aktiveeritakse valikuga «-e».
• Lisatud TLS-kliendi identifitseerimise meetodi tugi JA3, mis võimaldab tuvastada, millist tarkvara kasutatakse ühenduse loomisel, tuginedes ühenduse läbirääkimiste ja seadistatud parameetrite omadustele (näiteks võimaldab tuvastada Tor'i ja muid tüüpilisi rakendusi).
• Lisatud SSH (HASSH) ja DHCP rakenduste identifitseerimise meetodite tugi.
• Andmed serialiseerimise ja deserialiseerimise funktsioonid on lisatud
  Type-Length-Value (TLV) ja JSON formaatidesse.
• Toetatakse protokolle ja teenuseid: DTLS (TLS UDP üle),
  Hulu,
  TikTok/Musical.ly,
  WhatsApp Video,
  DNSoverHTTPS,
  Datasaver,
  Line,
  Google Duo, Hangout,
  WireGuard VPN,
  IMO,
  Zoom.us.
• Parandatud TLS, SIP, STUN analüüsi tuge,
  Viber,
  WhatsApp,
  AmazonVideo,
  SnapChat,
  FTP,
  QUIC
  OpenVPN UDP,
  Facebook Messenger ja Hangout.

Allikas: opennet.ru