پروژه ntop که ابزارهایی را برای ضبط و تجزیه و تحلیل ترافیک توسعه می دهد، یک جعبه ابزار برای بازرسی بسته های عمیق nDPI 6.0 منتشر کرده است که توسعه کتابخانه OpenDPI را ادامه می دهد. پروژه nDPI پس از یک تلاش ناموفق برای ایجاد تغییرات در مخزن OpenDPI، که حفظ نشده بود، تأسیس شد. کد nDPI به زبان C نوشته شده است و تحت مجوز LGPLv3 مجوز دارد.
این سیستم به شما امکان می‌دهد پروتکل‌های سطح برنامه مورد استفاده در ترافیک را تعیین کنید، ماهیت فعالیت شبکه را بدون اتصال به پورت‌های شبکه تجزیه و تحلیل کنید (مثلاً می‌تواند پروتکل‌های معروفی را تعیین کند که کنترل‌کننده‌های آن اتصالات را روی پورت‌های غیر استاندارد شبکه می‌پذیرند، اگر http از پورت 80 ارسال نشده باشد، یا برعکس، زمانی که آنها سعی می کنند با اجرای آن در پورت 80، فعالیت های دیگر شبکه را به عنوان http استتار کنند.
تفاوت‌ها با OpenDPI به پشتیبانی از پروتکل‌های اضافی و انتقال به پلتفرم مربوط می‌شود. Windows، بهینه‌سازی عملکرد، سازگاری برای استفاده در برنامه‌های نظارت بر ترافیک در لحظه (حذف برخی از ویژگی‌های خاص که باعث کند شدن موتور می‌شدند) و قابلیت ساخت به عنوان یک ماژول هسته Linux و پشتیبانی از تعریف زیرپروتکل‌ها.
پشتیبانی از تشخیص ۵۶ نوع تهدید شبکه (ریسک جریان) و بیش از ۴۵۰ پروتکل و برنامه (از OpenVPN، Tor، QUIC، SOCKS، BitTorrent و IPsec به Telegram، Viber، WhatsApp، PostgreSQL و درخواست‌ها به Gmail، Office 365، Google Docs و YouTube). یک رمزگشا برای سرور و کلاینت وجود دارد SSL- گواهی‌نامه‌ها، که امکان تشخیص پروتکل (به عنوان مثال، Citrix Online و Apple iCloud) را با استفاده از گواهی رمزگذاری فراهم می‌کنند. ابزار nDPIreader برای تجزیه و تحلیل محتوای نسخه‌های pcap یا ترافیک فعلی رابط شبکه ارائه شده است.
در نسخه جدید:
- شرایط صدور مجوز تغییر کرده است. کتابخانه اصلی nDPI همچنان تحت مجوز LGPLv3 باقی می‌ماند، اما برخی از ماژول‌های تجزیه ترافیک، مانند DNS، QUIC و TLS، به یک مجوز دوگانه تغییر یافته‌اند: LGPLv3 برای پروژه‌های غیرتجاری و یک مجوز تجاری برای پروژه‌های انتفاعی.
- قابلیت شناسایی و مسدود کردن حملات DoS کلاس‌های Slowloris، Slow POST و Slow GET اضافه شده است که در آنها کلاینت پاسخی را دریافت می‌کند یا درخواستی را بسیار آهسته ارسال می‌کند، بدون اینکه اتصال بسته شود، بلکه بدون اینکه به آن اجازه timeout داده شود، که امکان اتمام محدودیت تعداد اتصالات فعال را فراهم می‌کند.
- قابلیت اطمینان اثر انگشت ترافیک JA4، که به شناسایی فعالیت‌های مخرب کمک می‌کند، بهبود یافته است. برای کاهش احتمال مثبت کاذب، محاسبه هش انتخابی JA4 پیاده‌سازی شده است. این شامل برخی از افزونه‌های TLS وابسته به جلسه، مانند افزونه از سرگیری جلسه Pre-Shared Key (PSK) نمی‌شود که منحصر به فرد بودن هش‌های JA4 را کاهش می‌دهد.
- پشتیبانی از مکانیزم ردیابی USDT (ردیابی استاتیک تعریف‌شده‌ی کاربر) اضافه شده است، که در برنامه ادغام شده و در صورت غیرفعال بودن، هیچ بار اضافی ایجاد نمی‌کند. USDT امکان بررسی عملیات nDPI را با استفاده از ابزارهای bpftrace و perf در دستگاه‌های تولیدی فراهم می‌کند. سرورها بدون استفاده از نسخه‌های اشکال‌زدایی جداگانه.
- پشتیبانی از بازرسی پروتکل‌های Meshtastic، libp2p، YGGDRASIL و Nebula که در شبکه‌های overlay و mesh استفاده می‌شوند، اضافه شد.
- قابلیت طبقه‌بندی داده‌ها در قالب‌های JSON و MsgPack پیاده‌سازی شده است، همچنین جداسازی فعالیت مرتبط با سرویس‌های مختلف GitHub (Copilot، Packages، Actions) و Proton (Mail، Pass، Drive، Calendar، Docs، Wallet، Lumo، Meet) نیز انجام شده است.
- پشتیبانی از هایلایت کردن تماس‌های صوتی و تصویری در ترافیک اضافه شد.
- دسته بندی های جدید مدیریت محتوا پیشنهاد شده است: کودکان، موتورهای جستجو، خشونت، مواد مخدر و سلاح.
منبع: opennet.ru
