Elérhető az nDPI 3.0 mély csomagellenőrző rendszer

Projekt ntop, fejlesztve forgalomszerző és elemző eszközök, közzétett a csomagok mélyreható ellenőrzésére szolgáló eszközkészlet kiadása nDPI 3.0, amely folytatja a könyvtár fejlesztését OpenDPI. Az nDPI projekt az OpenDPI módosításaira tett sikertelen kísérlet után jött létre, amely már nem kapott támogatást. Az nDPI kódja C nyelven íródott tárhely és LGPLv3 licenc alatt áll. terjesztésre kerül a használt alkalmazásprotokollok azonosítására a forgalomban, elemezve a hálózati aktivitás jellegét, függetlenül a hálózati portoktól (képes az ismert protokollok azonosítására, amelyek kapcsolódnak nem szabványos hálózati portokon, például ha a http nem a 80-as portról érkezik, vagy éppen ellenkezőleg, ha más hálózati tevékenységet próbálnak elrejteni http használata közben a 80-as porton).

Projekt MMM-DD-YYYY A OpenDPI-hoz képest a különbségek kiterjednek a további protokollok támogatására, a Windows platformra való portolásra, a teljesítmény optimalizálására, a valós idejű forgalom figyelésére alkalmas alkalmazásokra való alkalmazásra (bizonyos specifikus lehetőségek eltávolítása, amelyek lelassították a motort),

a Linux kernel modul formájában történő összeállítási lehetőségre és a szubprotokollok azonosításának támogatására.
Összesen 238 protokoll és alkalmazás azonosítása támogatott, a

OpenVPN, Tor, QUIC, SOCKS, BitTorrent és IPsec protokollokon át a Telegram,
Viber, WhatsApp, PostgreSQL és a GMail, Office365
GoogleDocs és YouTube elérésekig. Továbbá rendelkezésre áll egy SSL tanúsítványok dekóder, amely lehetővé teszi a protokoll (például Citrix Online és Apple iCloud) azonosítását a titkosító tanúsítvány felhasználásával. A pcap dumpok vagy a jelenlegi forgalom tartalmának elemzésére az nDPIreader segédprogram áll rendelkezésre.
$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10"

Észlelt protokollok:

DNS csomagok: 57 bájtok: 7904 folyamatok: 28
SSL_No_Cert csomagok: 483 bájtok: 229203 folyamatok: 6
FaceBook csomagok: 136 bájtok: 74702 folyamatok: 4
DropBox csomagok: 9 bájtok: 668 folyamatok: 3
Skype csomagok: 5 bájtok: 339 folyamatok: 3
Google csomagok: 1700 bájtok: 619135 folyamatok: 34
Google csomagok: 1700 bájt: 619135 folyamatok: 34

Az új kiadásban:

• A protokollal kapcsolatos információk mostantól közvetlenül a meghatározás során megjelennek, anélkül, hogy meg kellene várni a teljes metaadatok beszerzését (még akkor is, ha a specifikus mezők még mindig nincsenek elemezve a megfelelő hálózati csomagok meg nem érkezése miatt), ami fontos a forgalom elemzőknek, akiknek azonnal reagálniuk kell bizonyos típusú forgalmakra. Azok számára az alkalmazásokhoz, amelyeknek szükségük van a protokoll teljes elemzésére, javasolt egy API: ndpi_extra_dissection_possible(), amely lehetővé teszi a protokoll összes metaadatának ellenőrzését.
• Megvalósították a TLS mélyebb elemzését, amely tartalmazza a tanúsítvány helyességéről és a tanúsítvány SHA-1 hash-jéről szóló információk kinyerését.
• Az nDPIreader alkalmazáshoz hozzáadták a „-C” zászlót CSV formátumba történő exportáláshoz, ami lehetővé teszi az ntop kiegészítő eszközének használatát. alkalmazni eléggé összetett statisztikai minták kiválasztására. Például egy IP cím meghatározásához, amely a leghosszabb ideig nézte a NetFlix filmjeit:

  $ ndpiReader -i netflix.pcap -C /tmp/netflix.csv
  $ q -H -d ‘,’ „select src_ip,SUM(src2dst_bytes+dst2src_bytes) from /tmp/netflix.csv where ndpi_proto like ‘%NetFlix%’ group by src_ip”

  192.168.1.7,6151821

• A támogatás bővítésre került, amelyet a Cisco Joy technika a titkosított forgalomban rejtett rosszindulatú tevékenységek azonosítására, csomagok méretének és küldési időzítések / késleltetések elemzésével. Az ndpiReader módszer aktiválása a „-J” opcióval történik.
• A protokollok kategóriákba sorolása biztosítva van.
• Hozzáadták az IAT (Inter-Arrival Time) kiszámításának támogatását a protokoll használatában tapasztalható anomáliák azonosítására, például a protokoll használatának felderítésére DoS-támadások során.
• Az adatelemzési lehetőségek bővítése megtörtént, számított metrikák, mint például entrópia, átlag, szórás és variancia alapján.
• Elkészült egy kezdeti verzió a Python nyelvhez készült bindekről.
• Hozzáadták az olvasható karakterláncok azonosításának módját az adatfolyamban az adatlopások felderítésére. Az ndpiReader-ben a mód aktiválása a „-e” opcióval történik.
  Hozzáadták a TLS-klienseket azonosító módszer támogatását,
• JA3 , amely lehetővé teszi, hogy a kapcsolódási jellemzők és a megadott paraméterek alapján meghatározzák, milyen szoftvert használnak a kapcsolat létrehozásához (például lehetővé teszi a Tor és más típusú alkalmazások használatának meghatározását).Hozzáadták az SSH (
• ) és a DHCP implementációk azonosításának módszereinek támogatását.HASSHFunkciókat adtak hozzá az adatok sorosítására és desorozására
• a Type-Length-Value (TLV) és JSON formátumokban.
  Type-Length-Value (TLV) és JSON formátumokban.
• Támogatott protokollok és szolgáltatások hozzáadva: DTLS (TLS UDP-n keresztül),
  Hulu,
  TikTok/Musical.ly,
  WhatsApp Video,
  DNS over HTTPS,
  Adatmentő,
  Line,
  Google Duo, Hangout,
  WireGuard VPN,
  IMO,
  Zoom.us.
• Javított TLS, SIP, STUN elemzési támogatás,
  Viber,
  WhatsApp,
  AmazonVideo,
  SnapChat,
  FTP,
  QUIC
  OpenVPN UDP,
  Facebook Messenger és Hangout.

Forrás: opennet.ru