Az ntop projekt, amely forgalomfigyelő és elemző eszközöket fejleszt, kiadta az nDPI 4.0 mélycsomag-ellenőrző eszközkészletét, folytatva az OpenDPI könyvtár fejlesztését. Az nDPI projekt akkor indult, amikor nem sikerült a változtatások áthelyezése az OpenDPI távirányítóra, amely már nem volt karbantartva. Az nDPI kódja C nyelven íródott, és LGPLv3 licenc alatt terjesztik.
A projekt lehetővé teszi az alkalmazás szintű protokollok azonosítását a forgalomban, elemezve a hálózati aktivitás jellegét, anélkül hogy a hálózati portokhoz kötné (képes a jól ismert protokollok azonosítására, amelyek kezelői nem szabványos hálózati portokon fogadják a kapcsolatokat, például ha a http nem a 80-as portról van kiszolgálva, vagy éppen ellenkezőleg, ha valamilyen más hálózati aktivitást próbálnak elrejteni a http alatt a 80-as port indításával).
Az OpenDPI-vel való különbségek kiterjednek a további protokollok támogatására, a Windows platformra való portolásra, a teljesítmény optimalizálására, a valós idejű forgalomfigyelő alkalmazásokhoz való alkalmazásra (eltávolították a lassító, specifikus funkciókat), a Linux kernel modul formájában való összegzés lehetőségére és a szubprotokollok azonosításának támogatására.
Összesen 247 protokoll és alkalmazás azonosítását támogatja, az OpenVPN, Tor, QUIC, SOCKS, BitTorrent és IPsec-től a Telegram, Viber, WhatsApp, PostgreSQL és a GMail, Office365, GoogleDocs és YouTube kérésein keresztül. Van elérhető dekóder szerver- és kliensoldali protokollokhoz, SSL tanúsítványok, amely lehetővé teszi a protokoll azonosítását (például Citrix Online és Apple iCloud) az encryption certificate segítségével. A pcap dump-ok vagy a nyitott forgalom elemzésére egy nDPIreader segédprogram érkezik.
$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" Azonosított protokollok: DNS csomagok: 57 bájt: 7904 folyamok: 28 SSL_No_Cert csomagok: 483 bájt: 229203 folyamok: 6 FaceBook csomagok: 136 bájt: 74702 folyamok: 4 DropBox csomagok: 9 bájt: 668 folyamok: 3 Skype csomagok: 5 bájt: 339 folyamok: 3 Google csomagok: 1700 bájt: 619135 folyamok: 34
Az új kiadásban:
- Javították a titkosított forgalom elemzési módszereinek támogatását (ETA — Titkosított Forgalom Elemzése).
- Megvalósult a JA3+ TLS-kliens azonosítási módszer támogatása, amely lehetővé teszi a kapcsolatkezelés és a megadott paraméterek alapján a használt szoftver azonosítását (például lehetővé teszi a Tor és más tipikus alkalmazások használatának azonosítását). A korábban támogatott JA3 módszerhez képest a JA3+ kevesebb hamis pozitív eredménnyel jár.
- A felfedezett hálózati fenyegetések és a kompromittálódás kockázatával kapcsolatos problémák (flow risk) száma 33-ra nőtt. Új fenyegetésmeghatározók kerültek hozzáadásra, amelyek az asztal és a fájlok megosztásával, gyanús HTTP-forgalommal, rosszindulatú JA3 és SHA1 használatával, problémás domainekhez és autonóm rendszerekhez való kapcsolódással, valamint gyanús kiterjesztésekkel rendelkező TLS tanúsítványok használatával vagy túl hosszú érvényességgel kapcsolatosak.
- Jelentős teljesítményoptimalizálás történt, a 3.0 verzióhoz képest a forgalom feldolgozási sebessége 2,5-szeresére növekedett.
- Hozzáadva a GeoIP támogatásának lehetősége, amely a IP-cím alapján határozza meg a helyet.
- API került hozzáadásra az RSI (Relative Strength Index) kiszámításához.
- A töredezettség kezelésére szolgáló eszközök kerültek bevezetésre.
- API került hozzáadásra az áramlat homogénitásának (jitter) kiszámításához.
- Támogatott protokollok és szolgáltatások: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtuális Asszisztens (Alexa, Siri), Z39.50.
- Fejlesztettük a következő protokollok észlelését és értelmezését: AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook/MicrosoftMail, QUIC, RTSP, RTSP HTTP-n keresztül, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.
Forrás: opennet.ru
