Liikenteen kaappaamiseen ja analysointiin työkaluja kehittävä ntop-projekti on julkaissut syväpaketin tarkastuksen työkalupakin nDPI 6.0, joka jatkaa OpenDPI-kirjaston kehittämistä. nDPI-projekti syntyi sen jälkeen, kun OpenDPI-arkistoon yritettiin tehdä muutoksia, jotka jäivät yllättämättä. nDPI-koodi on kirjoitettu C-kielellä ja lisensoitu LGPLv3:lla.
Järjestelmän avulla voit määrittää liikenteessä käytetyt sovellustason protokollat analysoimalla verkkotoiminnan luonnetta olematta sidottu verkkoportteihin (se voi määrittää tunnetut protokollat, joiden käsittelijät hyväksyvät yhteydet epästandardeihin verkkoportteihin, esim. jos http:tä ei lähetetä portista 80, tai päinvastoin, jolloin he yrittävät naamioida muun verkon toiminnan http:llä suorittamalla sen portissa 80).
Erot OpenDPI:hin verrattuna rajoittuvat lisäprotokollien tukeen ja alustalle siirrettävyyteen Windows, suorituskyvyn optimoinnit, mukauttaminen reaaliaikaisiin liikenteenvalvontasovelluksiin (joidenkin moottoria hidastaneiden ominaisuuksien poistaminen) ja mahdollisuus rakentaa ydinmoduulina Linux ja tuki aliprotokollien määrittelylle.
Tukee 56 verkkouhkien (virtausriski) ja yli 450 protokollan ja sovelluksen (alkaen OpenVPN, Tor, QUIC, SOCKS, BitTorrent ja IPsec Telegramiin, Viberiin, WhatsAppiin, PostgreSQL:ään ja pyyntöihin Gmailiin, Office 365:een, Google Docsiin ja YouTubeen). Palvelimelle ja asiakkaalle on dekooderi. SSL- sertifikaatit, jotka mahdollistavat protokollien (esimerkiksi Citrix Online ja Apple iCloud) tunnistuksen salaussertifikaatin avulla. nDPIreader-apuohjelma on tarkoitettu pcap-vedosten sisällön tai nykyisen verkkoliikenneliikenteen analysointiin.
Uudessa julkaisussa:
- Lisenssiehtoja on muutettu. Ydin-nDPI-kirjasto on edelleen lisensoitu LGPLv3-lisenssillä, mutta jotkin liikenteen jäsennysmoduulit, kuten DNS, QUIC ja TLS, on vaihdettu kaksoislisenssiin: LGPLv3 ei-kaupallisiin projekteihin ja kaupallinen lisenssi voittoa tavoitteleviin projekteihin.
- Lisätty kyky havaita ja estää Slowloris-, Slow POST- ja Slow GET -luokkien DoS-hyökkäykset, joissa asiakas vastaanottaa vastauksen tai lähettää pyynnön hyvin hitaasti, sulkematta yhteyttä, mutta myös antamatta sen aikakatkaista, mikä mahdollistaa aktiivisten yhteyksien määrän rajan saavuttamisen.
- JA4-liikenteen sormenjälkien ottamisen luotettavuutta, joka auttaa tunnistamaan haitallista toimintaa, on parannettu. Väärien positiivisten tulosten todennäköisyyden vähentämiseksi on otettu käyttöön valikoiva JA4-tiivisteen laskenta. Tämä ei kata tiettyjä istunnosta riippuvia TLS-laajennuksia, kuten Pre-Shared Key (PSK) -istunnon jatkamislaajennusta, joka vähentää JA4-tiivisteiden ainutlaatuisuutta.
- Lisätty tuki USDT:n (Userland Statically Defined Tracing) jäljitysmekanismille, joka on integroitu sovellukseen eikä aiheuta lisäkuormitusta, kun se on poistettu käytöstä. USDT mahdollistaa nDPI-toiminnan tarkastamisen bpftrace- ja perf-apuohjelmilla tuotantokoneilla. palvelimet ilman erillisiä debug-koontiversioita.
- Lisätty tuki päällekkäis- ja mesh-verkoissa käytettyjen Meshtastic-, libp2p-, YGGDRASIL- ja Nebula-protokollien tarkastukselle.
- JSON- ja MsgPack-muotoisten tietojen luokittelu on otettu käyttöön, samoin kuin eri GitHub-palveluihin (Copilot, Packages, Actions) ja Protoniin (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet) liittyvien toimintojen erottelu.
- Lisätty tuki ääni- ja videopuheluiden korostamiseen liikenteessä.
- Uusia sisällönhallintaluokkia on ehdotettu: lapset, hakukoneet, väkivalta, huumeet ja aseet.
Lähde: opennet.ru
