Az ntop projekt, amely forgalomfogó és elemző eszközöket fejleszt, közzétette az nDPI 5.0 csomagot, amely a nyílt forrású OpenDPI könyvtár továbbfejlesztését jelenti. Az nDPI projekt a változtatások OpenDPI tárolóba való átadásának sikertelen kísérlete után jött létre, amely támogatás nélkül maradt. Az nDPI kódja C nyelven íródott és LGPLv3 licenc alatt terjesztik.
A rendszer lehetővé teszi az alkalmazási szintű protokollok azonosítását a forgalomban, elemezve a hálózati aktivitás jellegét, függetlenül a hálózati portoktól (képes az ismert protokollok azonosítására, amelyeket nem szabványos portokon fogadnak, például amikor a http nem a 80-as portról szolgáltat, vagy amikor más hálózati aktivitásokat próbálnak http alatt álcázni a 80-as porton).
A különbségek az OpenDPI-hez képest a további protokollok támogatásában, Windows platformra történő portolásban, teljesítményoptimalizálásban, a valós idejű forgalomfigyelő alkalmazásokra való alkalmazkodásban (néhány specifikus funkció eltávolításra került, amelyek lelassították a motort), a Linux kernel modul formájában történő összeállítás lehetőségében és a szubprotokollok azonosításának támogatásában rejlenek.
Támogatja a 56 féle hálózati fenyegetés (flow risk) és több mint 450 protokoll és alkalmazás (OpenVPN, Tor, QUIC, SOCKS, BitTorrent és IPsec-től kezdve a Telegram, Viber, WhatsApp, PostgreSQL-on át a Gmail, Office 365, Google Docs és YouTube lekérésekig) azonosítását. Van dekódoló a szerver- és kliensoldali. SSL tanúsítványok, amely lehetővé teszi a protokoll azonosítását (például Citrix Online és Apple iCloud) az encryption certificate segítségével. A pcap dump-ok vagy a nyitott forgalom elemzésére egy nDPIreader segédprogram érkezik.
Az új kiadásban:
- Megvalósították az univerzális mechanizmust a forgalom azonosítására, amely egyetlen forgalomjelzőben (fingerprint) ötvözi a TCP nyomokkal, TLS tanúsítvány hash-ekkel és JA4 azonosítókkal (hálózati protokollok és alkalmazások azonosításához) kapcsolatos metainformációkat. Az új mechanizmus lehetővé teszi a titkosított vagy obfuszkált forgalom pontosabb azonosítását és párosítását.
- Bevezetésre került a TLS, QUIC és HTTP folyamatok azonosításának lehetősége, amelyekben gazdagépek nevei szerepelnek (például SNI a TLS/QUIC számára és a Host fejléc HTTP-ben), amelyek korábban nem végeztek feloldást DNS-en keresztül. Az ilyen tevékenység segíthet az anomáliák, rejtett adatszállító csatornák és szűrési kerülési módszerek felfedésében.
- A 2^16-ra emelték a meghatározott protokollok és forgalmi kategóriák számának korlátját, lehetővé téve szinte korlátlan számú protokoll azonosítását a forgalom ellenőrzése során. Minden elérhető protokoll most alapértelmezés szerint be van kapcsolva.
- Új opciók kerültek be az irányelvekbe a forgalom osztályozásához ujjlenyomatok, JA4-alkalmazás és protokoll azonosítók, HTTP URL és kategóriák alapján.
- Javították a FPC (Első csomag osztályozás) technológia támogatását, amely a protokollok, alkalmazások és szolgáltatások azonosítására összpontosít a kapcsolat létesítésekor elküldött első csomag alapján. A FPC jelentősen csökkenti a CPU terhelését a forgalom ellenőrzésekor.
- Eltávolították a például ADULT_CONTENT, LLM és ADS_ANALYTICS_TRACK olyan álkategóriák támogatását, helyette a kategóriák alapján történő osztályozást alkalmazzák.
- Új protokollok, például a Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN és Akamai támogatása és elemzési lehetősége került bevezetésre.
- Új alkategóriák kerültek be, és bővült az Amazon/AWS szolgáltatások osztályozása.
- Körülbelül 30 új kategória került hozzáadásra, és javult a forgalom elemzése során a részletezés.
- Hozzáadva a TLS-kapcsolatok blokkméret-elemzője.
- Lehetőség nyílt protokolltömbök létrehozására, amelyek két vagy több protokollt ölelnek fel a forgalom osztályozásakor.
- Új API-k kerültek bevezetésre a forgalom rangsorolásához és a hexadecimális sorozatok kódolásához/dekódolásához.
- Frissített botok, hálózati szkennerek és bányászó csoportok listáit.
- Frissült a HTTP, TLS és STUN protokollok elemzésére szolgáló kód.
- Gyorsabbá vált az inicializálás és javult a memória kezelése.
Forrás: opennet.ru
