A forgalom rögzítésére és elemzésére szolgáló eszközöket fejlesztő ntop projekt kiadott egy eszközkészletet a mélyreható csomagvizsgálathoz, az nDPI 6.0-et, amely az OpenDPI könyvtár fejlesztését folytatja. Az nDPI projektet egy sikertelen kísérlet után hozták létre az OpenDPI repository módosítására, amely karbantartás nélkül maradt. Az nDPI kód C nyelven íródott, és az LGPLv3 licenc alatt van.
A rendszer lehetővé teszi a forgalomban használt alkalmazásszintű protokollok meghatározását, elemezve a hálózati tevékenység jellegét anélkül, hogy hálózati portokhoz kötődne (meg tudja határozni azokat a jól ismert protokollokat, amelyek kezelői elfogadják a nem szabványos hálózati portokon történő csatlakozást pl. ha a http-t nem a 80-as portról küldik, vagy fordítva, amikor a többi hálózati tevékenységet a 80-as porton futtatva http-ként próbálják álcázni).
Az OpenDPI-től való különbségek a további protokollok támogatásában és a platformra való portolásban rejlenek. Windows, teljesítményoptimalizálás, valós idejű forgalomfigyelő alkalmazásokhoz való adaptálás (a motort lassító egyes funkciók eltávolítása), valamint kernel modulként való fordítás lehetősége Linux és az alprotokollok definíciójának támogatása.
56 típusú hálózati fenyegetés (folyamati kockázat) és több mint 450 protokoll és alkalmazás észlelését támogatja (a OpenVPN, Tor, QUIC, SOCKS, BitTorrent és IPsec átvitele Telegram, Viber, WhatsApp, PostgreSQL felé, valamint kérések Gmail, Office 365, Google Dokumentumok és YouTube felé). Van dekóder a szerverhez és a klienshez. SSL- tanúsítványok, amelyek lehetővé teszik a protokollok (például Citrix Online és Apple iCloud) felismerését titkosítási tanúsítvány használatával. Az nDPIreader segédprogram a pcap dumpok tartalmának vagy az aktuális hálózati interfész forgalom elemzésére szolgál.
Az új kiadásban:
- A licencfeltételek megváltoztak. Az nDPI könyvtár magja továbbra is az LGPLv3 licenc alatt áll, de néhány forgalomelemző modul, például a DNS, a QUIC és a TLS, kettős licenccel rendelkezik: LGPLv3 a nem kereskedelmi projektekhez és kereskedelmi licenc a profitorientált projektekhez.
- Hozzáadva a Slowloris, Slow POST és Slow GET osztályok DoS-támadásainak észlelésének és blokkolásának képessége, amelyek során az ügyfél nagyon lassan kap választ vagy küld egy kérést, a kapcsolat lezárása nélkül, de anélkül is, hogy az időtúllépést engedélyezne, ami lehetővé teszi az aktív kapcsolatok számának korlátjának kimerítését.
- Javult a JA4 forgalmi ujjlenyomat-kezelés megbízhatósága, amely segít a rosszindulatú tevékenységek azonosításában. A téves riasztások valószínűségének csökkentése érdekében szelektív JA4 hash-számítást valósítottak meg. Ez nem vonatkozik bizonyos munkamenet-függő TLS-kiterjesztésekre, például az előre megosztott kulcs (PSK) munkamenet-folytatási kiterjesztésre, amely csökkenti a JA4 hash-ek egyediségét.
- Hozzáadott támogatás az USDT (Userland Statically Defined Tracing) nyomkövetési mechanizmushoz, amely integrálva van az alkalmazásba, és letiltás esetén nem okoz további terhelést. Az USDT lehetővé teszi az nDPI működésének vizsgálatát a bpftrace és perf segédprogramok használatával éles gépeken. szerverek különálló hibakeresési buildek használata nélkül.
- Hozzáadott támogatás a Meshtastic, libp2p, YGGDRASIL és Nebula protokollok vizsgálatához, amelyeket overlay és mesh hálózatokban használnak.
- Lehetőség nyílt az adatok JSON és MsgPack formátumú osztályozására, valamint elkülönítették a különböző GitHub szolgáltatásokhoz (Copilot, Packages, Actions) és a Protonhoz (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet) kapcsolódó tevékenységeket.
- Hozzáadott támogatás a hang- és videohívások kiemeléséhez a forgalomban.
- Új tartalomkezelési kategóriákat javasoltak: gyermekek, keresőmotorok, erőszak, drogok és fegyverek.
Forrás: opennet.ru
