Az ntop projekt, amely eszközöket fejleszt a forgalom rögzítésére és elemzésére, közzétette az nDPI 6.0 csomagot, amely a nyílt forráskódú OpenDPI könyvtár fejlesztését folytatja. Az nDPI projekt a változtatások OpenDPI tárolóba történő átvitelének sikertelen próbálkozása után jött létre, amely már nem kapott karbantartást. Az nDPI kódja C nyelven íródott, és LGPLv3 licenc alatt terjesztik.
A rendszer lehetővé teszi az alkalmazási szintű protokollok azonosítását a forgalomban, elemezve a hálózati aktivitás jellegét, függetlenül a hálózati portoktól (képes az ismert protokollok azonosítására, amelyeket nem szabványos portokon fogadnak, például amikor a http nem a 80-as portról szolgáltat, vagy amikor más hálózati aktivitásokat próbálnak http alatt álcázni a 80-as porton).
A különbségek az OpenDPI-hez képest a további protokollok támogatásában, Windows platformra történő portolásban, teljesítményoptimalizálásban, a valós idejű forgalomfigyelő alkalmazásokra való alkalmazkodásban (néhány specifikus funkció eltávolításra került, amelyek lelassították a motort), a Linux kernel modul formájában történő összeállítás lehetőségében és a szubprotokollok azonosításának támogatásában rejlenek.
56 hálózati fenyegetéstípust (flow risk) és több mint 450 protokollt és alkalmazást (az OpenVPN, Tor, QUIC, SOCKS, BitTorrent és IPsec-től a Telegram, Viber, WhatsApp, PostgreSQL-ig, valamint a Gmail, Office 365, Google Docs és YouTube hívásaiig) támogat. SSL-szolgáltatói és ügyféloldali tanúsítványok dekóderét, amely lehetővé teszi a protokoll (például Citrix Online és Apple iCloud) azonosítását a titkosítási tanúsítvány alapján. A pcap dumpok vagy aktuális forgalom tartalmának elemzéséhez az nDPIreader segédprogram kerül biztosításra a hálózati interfészen keresztül.
Az új kiadásban:
- Megváltoztak a licencelési feltételek. Az alap nDPI könyvtár továbbra is LGPLv3 licenc alatt kerül forgalomba, de néhány forgalomelemző modul, mint például a DNS, QUIC és TLS, dupla licencet kapott: LGPLv3 a nem kereskedelmi projektek számára és kereskedelmi licenc a nyereségtermelő projektek számára.
- Bevezetésre került a DoS-támadások, például Slowloris, Slow POST és Slow GET blokkolásának lehetősége, ahol az ügyfél nagyon lassan fogadja az adatokat vagy küldi el a kéréseket, nem zárja le a kapcsolatot, de a timeout miatt sem hagyja megszakadni, lehetővé téve a maximális aktív kapcsolatok számára vonatkozó limit kimerítését.
- Fokozott a JA4 forgalomujjlenyomatok megbízhatósága, amelyek lehetővé teszik a rosszindulatú tevékenységek azonosítását. A hamis pozitív jelzések valószínűségének csökkentése érdekében bevezetésre került a JA4 hash-ek szelektív számítása, amely nem foglalja magában a TLS bizonyos sessionfüggő kiterjesztéseit, például a korábban egyeztetett kulcsok (PSK) alkalmazásával történő ülések újraindítását, ezzel csökkentve a JA4 hash-ek egyediségét.
- Hozzáadva az USDT (Userland Statically Defined Tracing) nyomkövetési mechanizmus támogatása, amely integrálható az alkalmazásba, és nem generál további terhelést kikapcsolt állapotban. Az USDT lehetővé teszi az nDPI működésének ellenőrzését bpftrace és perf segédprogramokkal a munkahelyeken szervereken különálló hibakereső build-ök használata nélkül.
- A Meshtastic, libp2p, YGGDRASIL és Nebula protokollok vizsgálatának támogatása is hozzáadva, amelyeket overlay és mesh hálózatokban használnak.
- Megvalósult az adatok JSON és MsgPack formátumokba történő osztályozásának lehetősége, valamint a GitHub (Copilot, Packages, Actions) és a Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet) szolgáltatásokhoz kapcsolódó tevékenységek elkülönítése.
- Hozzáadva a hang- és videóhívások forgalmának kiemelésének támogatása.
- Új tartalomkezelési kategóriákat javasoltunk: gyermekek, keresőmotorok, erőszak, drogok és fegyverek.
Forrás: opennet.ru
