پروژه ntop که ابزارهایی را برای ضبط و تجزیه و تحلیل ترافیک توسعه می دهد، یک جعبه ابزار برای بازرسی بسته های عمیق nDPI 5.0 منتشر کرده است که توسعه کتابخانه OpenDPI را ادامه می دهد. پروژه nDPI پس از یک تلاش ناموفق برای ایجاد تغییرات در مخزن OpenDPI، که حفظ نشده بود، تأسیس شد. کد nDPI به زبان C نوشته شده است و تحت مجوز LGPLv3 مجوز دارد.
این سیستم به شما امکان میدهد پروتکلهای سطح برنامه مورد استفاده در ترافیک را تعیین کنید، ماهیت فعالیت شبکه را بدون اتصال به پورتهای شبکه تجزیه و تحلیل کنید (مثلاً میتواند پروتکلهای معروفی را تعیین کند که کنترلکنندههای آن اتصالات را روی پورتهای غیر استاندارد شبکه میپذیرند، اگر http از پورت 80 ارسال نشده باشد، یا برعکس، زمانی که آنها سعی می کنند با اجرای آن در پورت 80، فعالیت های دیگر شبکه را به عنوان http استتار کنند.
تفاوتها با OpenDPI به پشتیبانی از پروتکلهای اضافی و انتقال به پلتفرم مربوط میشود. Windows، بهینهسازی عملکرد، سازگاری برای استفاده در برنامههای نظارت بر ترافیک در لحظه (حذف برخی از ویژگیهای خاص که باعث کند شدن موتور میشدند) و قابلیت ساخت به عنوان یک ماژول هسته Linux و پشتیبانی از تعریف زیرپروتکلها.
پشتیبانی از تشخیص ۵۶ نوع تهدید شبکه (ریسک جریان) و بیش از ۴۵۰ پروتکل و برنامه (از OpenVPN، Tor، QUIC، SOCKS، BitTorrent و IPsec به Telegram، Viber، WhatsApp، PostgreSQL و درخواستها به Gmail، Office 365، Google Docs و YouTube). یک رمزگشا برای سرور و کلاینت وجود دارد گواهینامه های SSLکه به شما امکان میدهد یک پروتکل (به عنوان مثال، Citrix Online و Apple iCloud) را با استفاده از گواهی رمزگذاری شناسایی کنید. ابزار nDPIreader برای تجزیه و تحلیل محتوای نسخههای pcap یا ترافیک فعلی رابط شبکه ارائه شده است.
در نسخه جدید:
- یک مکانیزم شناسایی ترافیک جهانی پیادهسازی شده است که ابردادههای مربوط به اثر انگشت TCP، هشهای گواهی TLS و JA4 (شناسههایی برای شناسایی پروتکلها و برنامههای شبکه) را در یک نشانگر ترافیک واحد (اثر انگشت) ترکیب میکند. این مکانیزم جدید امکان شناسایی و تطبیق دقیقتر ترافیک رمزگذاری شده یا مبهمسازی شده را فراهم میکند.
- ما قابلیتی را اضافه کردهایم که جریانهای TLS، QUIC و HTTP حاوی نامهای میزبان (مثلاً در SNI برای TLS/QUIC و در هدر میزبان برای HTTP) را که قبلاً از طریق DNS حل نشده بودند، شناسایی کند. این فعالیت میتواند برای شناسایی ناهنجاریها، کانالهای انتقال داده پنهان و روشهای دور زدن فیلتر استفاده شود.
- محدودیت تعداد پروتکلهای قابل تشخیص و دستههای ترافیک به 2^16 افزایش یافته است که امکان تشخیص تعداد نامحدودی پروتکل را در طول بازرسی ترافیک فراهم میکند. اکنون همه پروتکلهای موجود به طور پیشفرض فعال هستند.
- گزینههای جدیدی به قوانین طبقهبندی ترافیک بر اساس اثر انگشت، شناسههای برنامه و پروتکل JA4، URLهای HTTP و دستهها اضافه شده است.
- پشتیبانی بهبود یافته از فناوری FPC (دستهبندی بسته اول) که پروتکلها، برنامهها و سرویسها را بر اساس اولین بسته ارسالی هنگام برقراری اتصال شناسایی میکند. FPC به طور قابل توجهی بار CPU را در هنگام بازرسی ترافیک کاهش میدهد.
- پشتیبانی از شبهپروتکلهایی مانند ADULT_CONTENT، LLM و ADS_ANALYTICS_TRACK حذف شده است و اکنون به جای آن از طبقهبندی مبتنی بر دستهبندی استفاده میشود.
- پشتیبانی و تجزیه پروتکلهای جدید، از جمله Microsoft Delivery Optimization، Rockstar Games، Kick.com، MELSEC، Hamachi، GLBP، Matter، TriStation، Samsung SDP، ESPN و Akamai، اضافه شد.
- زیرشاخههای جدیدی اضافه شده و طبقهبندی سرویسهای Amazon/AWS گسترش یافته است.
- حدود ۳۰ دسته جدید اضافه شده و سطح جزئیات در تحلیل ترافیک افزایش یافته است.
- تحلیلگر اندازه بلوک داده برای اتصالات TLS اضافه شد.
- قابلیت ایجاد پشتههای پروتکل که هنگام طبقهبندی ترافیک، دو یا چند پروتکل را در بر میگیرند، اضافه شد.
- API های جدیدی برای رتبه بندی ترافیک و رمزگذاری/رمزگشایی توالی های هگزادسیمال اضافه شد.
- فهرستهای بهروز شده از رباتها، اسکنرهای شبکه و استخرهای استخراج.
- کد مربوط به تجزیه پروتکلهای HTTP، TLS و STUN بهروزرسانی شد.
- مقداردهی اولیه تسریع شده و کارایی مدیریت حافظه بهبود یافته است.
منبع: opennet.ru
