Il progetto ntop, che sviluppa strumenti per la cattura e l'analisi del traffico, ha pubblicato la versione dello strumento per l'ispezione profonda dei pacchetti nDPI 4.8, continuando lo sviluppo della libreria OpenDPI. Il progetto nDPI è nato dopo un tentativo infruttuoso di trasferire modifiche nel repository OpenDPI, che è rimasto non mantenuto. Il codice nDPI è scritto in C e distribuito sotto la licenza LGPLv3.
Il sistema consente di identificare i protocolli di livello applicativo nel traffico, analizzando il carattere dell'attività di rete senza legarsi alle porte di rete (può identificare protocolli noti, i cui gestori accettano connessioni su porte di rete non standard, ad esempio se l'http non viene servito sulla porta 80, o, al contrario, quando si cerca di camuffare un certo comportamento di rete come http eseguendo sulla porta 80).
Le differenze rispetto a OpenDPI riguardano il supporto per protocolli aggiuntivi, la portabilità sulla piattaforma Windows, l'ottimizzazione delle prestazioni, l'adattamento per l'uso in applicazioni di monitoraggio del traffico in tempo reale (sono state rimosse alcune funzionalità specifiche che rallentavano il motore), la possibilità di essere compilato come modulo del kernel Linux e il supporto per la determinazione dei sottoprotocolli.
È supportata la definizione di 53 tipi di minacce di rete (flow risk) e oltre 350 protocolli e applicazioni (da OpenVPN, Tor, QUIC, SOCKS, BitTorrent e IPsec a Telegram, Viber, WhatsApp, PostgreSQL e richieste a Gmail, Office 365, Google Docs e YouTube). È disponibile un decodificatore per flussi di dati server e client. certificati SSL, che consente di identificare il protocollo (ad esempio, Citrix Online e Apple iCloud) utilizzando il certificato di crittografia. Per l'analisi dei contenuti dei dump pcap o del traffico attuale tramite l'interfaccia di rete, è fornuto l'utility nDPIreader.
Nel nuovo rilascio:
- Il consumo di memoria è stato notevolmente ridotto grazie alla ristrutturazione dell'implementazione delle liste.
- Ampliate supporto IPv6.
- Sono stati aggiunti nuovi identificatori di protocollo relativi ai contenuti per adulti, alla pubblicità, all'analisi web e al tracciamento delle movimenti.
- Aggiunto supporto per protocolli e servizi:
- HAProxy
- Apache Thrift
- RMCP (Remote Management Control Protocol)
- SLP (Service Location Protocol)
- Bitcoin
- HTTP/2 senza crittografia
- SRTP (Secure Real-time Transport)
- BACnet
- OICQ (messenger cinese)
- Aggiunta la definizione di OperaVPN e ProtonVPN. Migliorata la definizione di Wireguard.
- Implementata un'euristica per rilevare flussi di traffico completamente crittografati.
- Aggiunta la definizione dei servizi di Yandex e VK.
- Aggiunta la definizione di reels e stories di Facebook.
- Aggiunta la definizione della piattaforma di gioco Roblox, del servizio cloud NVIDIA GeForce Now, dei giochi della Epic Games e del gioco "Heroes of the Storm".
- Migliorata la definizione del traffico dai bot di ricerca.
- Migliorata l'analisi e identificazione di protocolli e servizi:
- Gnutella
- H323
- HTTP
- Hangout
- MS Teams
- Alibaba
- MGCP
- Steam
- MySQL
- Zabbix
- Ampliate le minacce e i problemi di rete rilevati, legati al rischio di compromissione (flow risk). Aggiunta la supporto a nuovi tipi di minacce: NDPI_MALWARE_HOST_CONTACTED e NDPI_TLS_ALPN_SNI_MISMATCH.
- Organizzato un testing di fuzzing per identificare problemi di affidabilità.
- Risolti problemi di compilazione su FreeBSD.
Fonte: opennet.ru
