Projekt ntop, koji razvija alate za snimanje i analizu prometa, objavio je alat za duboku inspekciju paketa nDPI 6.0, koji nastavlja razvoj OpenDPI biblioteke. Projekt nDPI osnovan je nakon neuspješnog pokušaja unošenja promjena u OpenDPI repozitorij, koji je ostao neodržavan. nDPI kod je napisan u C-u i licenciran je pod LGPLv3.
Sustav vam omogućuje određivanje protokola na razini aplikacije koji se koriste u prometu, analizirajući prirodu mrežne aktivnosti bez vezivanja za mrežne priključke (može odrediti dobro poznate protokole čiji rukovatelji prihvaćaju veze na nestandardnim mrežnim priključcima, na primjer, ako se http ne šalje s priključka 80, ili, obrnuto, kada pokušavaju zakamuflirati drugu mrežnu aktivnost kao http pokretanjem na priključku 80).
Razlike u odnosu na OpenDPI svode se na podršku za dodatne protokole i prenošenje na platformu. Windows, optimizacije performansi, prilagodba za korištenje u aplikacijama za praćenje prometa u stvarnom vremenu (uklanjanje nekih specifičnih značajki koje su usporavale engine) i mogućnost izgradnje kao kernel modula Linux i podršku za definiciju podprotokola.
Podržava detekciju 56 vrsta mrežnih prijetnji (rizika protoka) i više od 450 protokola i aplikacija (od OpenVPN, Tor, QUIC, SOCKS, BitTorrent i IPsec za Telegram, Viber, WhatsApp, PostgreSQL i zahtjeve za Gmail, Office 365, Google dokumente i YouTube). Postoji dekoder za poslužitelj i klijent. SSL- certifikati koji omogućuju otkrivanje protokola (na primjer, Citrix Online i Apple iCloud) pomoću certifikata za šifriranje. Uslužni program nDPIreader namijenjen je za analizu sadržaja pcap dumpova ili trenutnog prometa mrežnog sučelja.
U novom izdanju:
- Uvjeti licenciranja su promijenjeni. Osnovna nDPI biblioteka ostaje licencirana pod LGPLv3 licencom, ali neki moduli za parsiranje prometa, kao što su DNS, QUIC i TLS, prebačeni su na dvostruku licencu: LGPLv3 za nekomercijalne projekte i komercijalnu licencu za profitne projekte.
- Dodana je mogućnost otkrivanja i blokiranja DoS napada klasa Slowloris, Slow POST i Slow GET, kod kojih klijent vrlo sporo prima odgovor ili šalje zahtjev, bez zatvaranja veze, ali i bez isteka vremena, što omogućuje iscrpljivanje ograničenja broja aktivnih veza.
- Poboljšana je pouzdanost JA4 otisaka prstiju prometa, koji pomaže u identificiranju zlonamjernih aktivnosti. Kako bi se smanjila vjerojatnost lažno pozitivnih rezultata, implementiran je selektivni izračun JA4 hash-a. To ne pokriva određena TLS proširenja ovisna o sesiji, kao što je proširenje za nastavak sesije Pre-Shared Key (PSK), koje smanjuje jedinstvenost JA4 hash-ova.
- Dodana je podrška za mehanizam praćenja USDT (Userland Statically Defined Tracing), koji je integriran u aplikaciju i ne stvara dodatno opterećenje kada je onemogućen. USDT omogućuje pregled nDPI rada pomoću uslužnih programa bpftrace i perf na produkcijskim računalima. poslužitelji bez korištenja zasebnih debug buildova.
- Dodana je podrška za pregled protokola Meshtastic, libp2p, YGGDRASIL i Nebula koji se koriste u prekrivajućim i mrežnim mrežama.
- Implementirana je mogućnost klasifikacije podataka u JSON i MsgPack formatima, kao i odvajanje aktivnosti povezanih s različitim GitHub uslugama (Copilot, Paketi, Akcije) i Protonom (Mail, Pass, Drive, Kalendar, Dokumenti, Novčanik, Lumo, Meet).
- Dodana je podrška za isticanje glasovnih i videopoziva u prometu.
- Predložene su nove kategorije upravljanja sadržajem: djeca, tražilice, nasilje, droge i oružje.
Izvor: opennet.ru
