Proyek ntop, yang mengembangkan alat untuk menangkap dan menganalisis lalu lintas, telah menerbitkan perangkat untuk inspeksi paket mendalam nDPI 6.0, yang melanjutkan pengembangan perpustakaan OpenDPI. Proyek nDPI didirikan setelah upaya yang gagal untuk mendorong perubahan pada repositori OpenDPI, yang tidak dikelola. Kode nDPI ditulis dalam C dan dilisensikan di bawah LGPLv3.
Sistem ini memungkinkan Anda untuk menentukan protokol tingkat aplikasi yang digunakan dalam lalu lintas, menganalisis sifat aktivitas jaringan tanpa terikat pada port jaringan (dapat menentukan protokol terkenal yang penangannya menerima koneksi pada port jaringan non-standar, misalnya, jika http tidak dikirim dari port 80, atau, sebaliknya, ketika mereka mencoba menyamarkan aktivitas jaringan lain sebagai http dengan menjalankannya pada port 80).
Perbedaan dari OpenDPI terletak pada dukungan untuk protokol tambahan dan porting ke platform tersebut. Windows, optimasi kinerja, adaptasi untuk penggunaan dalam aplikasi pemantauan lalu lintas waktu nyata (menghapus beberapa fitur spesifik yang memperlambat mesin), dan kemampuan untuk dibangun sebagai modul kernel. Linux dan dukungan untuk definisi subprotokol.
Mendukung deteksi 56 jenis ancaman jaringan (risiko aliran) dan lebih dari 450 protokol dan aplikasi (dari OpenVPN(Tor, QUIC, SOCKS, BitTorrent dan IPsec ke Telegram, Viber, WhatsApp, PostgreSQL dan permintaan ke Gmail, Office 365, Google Docs dan YouTube). Terdapat dekoder untuk server dan klien. SSL- Sertifikat, yang memungkinkan deteksi protokol (misalnya, Citrix Online dan Apple iCloud) menggunakan sertifikat enkripsi. Utilitas nDPIreader disediakan untuk menganalisis isi dump pcap atau lalu lintas antarmuka jaringan saat ini.
Dalam rilis baru:
- Ketentuan lisensi telah diubah. Pustaka inti nDPI tetap dilisensikan di bawah LGPLv3, tetapi beberapa modul penguraian lalu lintas, seperti DNS, QUIC, dan TLS, telah dialihkan ke lisensi ganda: LGPLv3 untuk proyek non-komersial dan lisensi komersial untuk proyek yang menghasilkan keuntungan.
- Menambahkan kemampuan untuk mendeteksi dan memblokir serangan DoS dari kelas Slowloris, Slow POST, dan Slow GET, di mana klien menerima respons atau mengirim permintaan dengan sangat lambat, tanpa menutup koneksi tetapi juga tanpa membiarkannya habis waktu (timeout), yang memungkinkan batas jumlah koneksi aktif terlampaui.
- Keandalan sidik jari lalu lintas JA4, yang membantu mengidentifikasi aktivitas berbahaya, telah ditingkatkan. Untuk mengurangi kemungkinan positif palsu, perhitungan hash JA4 selektif telah diimplementasikan. Ini tidak mencakup ekstensi TLS yang bergantung pada sesi tertentu, seperti ekstensi pemulihan sesi Kunci Pra-Berbagi (PSK), yang mengurangi keunikan hash JA4.
- Menambahkan dukungan untuk mekanisme pelacakan USDT (Userland Statically Defined Tracing), yang terintegrasi ke dalam aplikasi dan tidak menimbulkan beban tambahan saat dinonaktifkan. USDT memungkinkan pemeriksaan operasi nDPI menggunakan utilitas bpftrace dan perf pada mesin produksi. server tanpa menggunakan build debug terpisah.
- Menambahkan dukungan untuk inspeksi protokol Meshtastic, libp2p, YGGDRASIL, dan Nebula yang digunakan dalam jaringan overlay dan mesh.
- Kemampuan untuk mengklasifikasikan data dalam format JSON dan MsgPack telah diimplementasikan, serta pemisahan aktivitas yang terkait dengan berbagai layanan GitHub (Copilot, Packages, Actions) dan Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- Menambahkan dukungan untuk menyoroti panggilan suara dan video dalam lalu lintas.
- Kategori manajemen konten baru telah diusulkan: anak-anak, mesin pencari, kekerasan, narkoba, dan senjata.
Sumber: opennet.ru
