Il progetto ntop, che sviluppa strumenti per la cattura e l'analisi del traffico, ha pubblicato la versione 4.10 degli strumenti per l'ispezione profonda dei pacchetti nDPI, continuando lo sviluppo della libreria OpenDPI. Il progetto nDPI è nato dopo un tentativo infruttuoso di trasferire le modifiche nel repository di OpenDPI, che è rimasto senza supporto. Il codice di nDPI è scritto in C e distribuito con licenza LGPLv3.
Il sistema consente di identificare i protocolli di livello applicazione nel traffico, analizzando il comportamento dell'attività di rete senza legami con le porte di rete (può identificare protocolli noti, i cui gestori accettano connessioni su porte di rete non standard, ad esempio, se http viene fornito da una porta diversa dalla 80, o viceversa, quando qualche altra attività di rete viene mascherata come http tramite l'esecuzione sulla porta 80).
Le differenze rispetto a OpenDPI riguardano il supporto di protocolli aggiuntivi, il porting per la piattaforma Windows, l'ottimizzazione delle prestazioni, l'adattamento per l'uso in applicazioni di monitoraggio del traffico in tempo reale (alcune funzionalità specifiche sono state rimosse poiché rallentavano il motore), la possibilità di compilazione come modulo del kernel Linux e il supporto per l'identificazione dei subprotocolli.
Supporta l'identificazione di 55 tipi di minacce alla rete (flow risk) e oltre 420 protocolli e applicazioni (da OpenVPN, Tor, QUIC, SOCKS, BitTorrent e IPsec fino a Telegram, Viber, WhatsApp, PostgreSQL e richieste a Gmail, Office 365, Google Docs e YouTube). È presente un decoder per server e client dei certificati SSL, che consente di identificare il protocollo (ad esempio, Citrix Online e Apple iCloud) utilizzando il certificato di crittografia. Per l'analisi del contenuto dei dump pcap o del traffico attuale attraverso l'interfaccia di rete, è fornuto lo strumento nDPIreader.
Nel nuovo rilascio:
- È stato aggiunto il supporto iniziale per la tecnologia FPC (First Packet Classification), mirato a identificare protocolli, applicazioni e servizi in base al primo pacchetto inviato all'instaurarsi di una connessione. FPC è implementabile solo per alcuni protocolli e permette di ridurre notevolmente il carico sul CPU durante l'ispezione del traffico.
- Aggiunto il supporto e l'analisi di oltre 70 nuovi protocolli e servizi, tra cui:
- Adobe Connect
- ANSI C12.22
- Apache Kafka
- Beckhoff ADS
- BFCP
- BFD
- Bluesky
- Call of Duty Mobile
- CAN over Ethernet
- Ceph
- ClickHouse
- DLE
- DTLS 1.3
- Supporto per Elder Scrolls Online (#2376)
- ElectronicArts
- Dissettore del protocollo ethereum
- Ethernet Global Data
- Ether-S-Bus
- Ether-S-I/O
- FB-Threads
- FLUTE
- Gearman
- Google Chat
- Google Protobuf
- HART-IP
- HiSLIP
- HL7
- HLS
- IEC62056 (DLMS/COSEM)
- IEEE 1588-2008 (PTPv2)
- IEEE C37.118
- ISO 9506-1 MMS
- JSON-RPC
- KCP
- KNXnet/IP
- Protocollo di distribuzione delle etichette
- Mastodon
- Monero
- Mumble
- Nano (XNO)
- Naraka Bladepoint
- NetEase
- NoMachine NX
- Omron FINS
- OPC UA
- In Statista
- OpenWire
- Path of Exile
- PFCP
- Supporto PIA (Private Internet Access) (#2250)
- PROFINET/IO
- Radmin
- Raft
- Protocollo della sonda Ripe Atlas.
- Roughtime
- RTPS
- S7Comm
- Schneider Electric UMAS
- STOMP
- TencentGames
- Bot di Twitter
- UFTP
- Viber (voip)
- WebDAV
- Yojimbo (netcode)
- ZUG
- Migliorata l'analisi e la definizione di protocolli e servizi:
- Bittorrent
- Cloudflare WARP
- CORBA
- CryNetwork
- DNS
- Dropbox
- eDonkey
- H323
- Kafka
- MySQL
- PrimeVideo
- Protobuf
- QUIC
- Telegram
- TFTP
- Twitter/X (#2482)
- Wireguard
- Zoom
- Aggiunti nuovi identificatori di protocolli relativi a contenuti per adulti, pubblicità, web analytics e tracciamento dei movimenti.
- L'ampliamento del range di minacce e problemi di rete rilevati, connessi al rischio di compromissione (flow risk).
- Aggiunto uno script per caricare e aggiornare l'elenco dei suffissi dei domini.
- Identificazione del traffico Huawei garantita.
- È stata effettuata un'ottimizzazione delle prestazioni.
- Supporto ampliato IPv6.
Fonte: opennet.ru
