Il progetto ntop, che sviluppa strumenti per la cattura e l'analisi del traffico, ha pubblicato una nuova versione degli strumenti per l'ispezione approfondita dei pacchetti nDPI 4.4, continuando lo sviluppo della libreria OpenDPI. Il progetto nDPI è nato dopo un tentativo infruttuoso di trasferire le modifiche nel repository OpenDPI, che è rimasto senza supporto. Il codice nDPI è scritto in linguaggio C e viene distribuito con licenza LGPLv3.
Il sistema consente di determinare i protocolli di livello applicativo nel traffico, analizzando la natura dell'attività di rete senza legami con le porte di rete (può identificare protocolli noti i cui gestori accettano connessioni su porte di rete non standard, ad esempio, se http viene servito non dalla porta 80, o viceversa, quando si cerca di camuffare un'altra attività di rete sotto http avviandola sulla porta 80).
Le differenze rispetto a OpenDPI si riducono al supporto di protocolli aggiuntivi, porting per la piattaforma Windows, ottimizzazione delle prestazioni, adattamento per l'uso in applicazioni di monitoraggio del traffico in tempo reale (rimosse alcune funzionalità specifiche che rallentavano il motore), possibilità di compilazione come modulo del kernel Linux e supporto per la rilevazione di subprotocolli.
Sono supportate definizioni di circa 300 protocolli e applicazioni, da OpenVPN, Tor, QUIC, SOCKS, BitTorrent e IPsec a Telegram, Viber, WhatsApp, PostgreSQL e richieste a GMail, Office365, GoogleDocs e YouTube. È disponibile un decodificatore per server e client. dei certificati SSL, che consente di determinare il protocollo (ad esempio, Citrix Online e Apple iCloud), utilizzando il certificato di crittografia. Per l'analisi del contenuto dei dump pcap o del traffico attuale attraverso l'interfaccia di rete viene fornuto lo strumento nDPIreader.
Nel nuovo rilascio:
- Aggiunti metadati con informazioni sul motivo di attivazione del gestore per una determinata minaccia.
- Aggiunta la funzione ndpi_check_flow_risk_exceptions() per connettere gestori di minacce di rete.
- Eseguita la separazione tra protocolli di rete (ad esempio, TLS) e protocolli applicativi (ad esempio, servizi Google).
- Aggiunti due nuovi livelli di riservatezza: NDPI_CONFIDENCE_DPI_PARTIAL e NDPI_CONFIDENCE_DPI_PARTIAL_CACHE.
- Aggiunto un modello per identificare l'uso del servizio Cloudflare WARP.
- L'implementazione interna dell'hashmap è stata sostituita con uthash.
- Aggiornati i binding per il linguaggio Python.
- Per impostazione predefinita è attivata l'implementazione integrata di gcrypt (per utilizzare l'implementazione di sistema è disponibile l'opzione —with-libgcrypt).
- Ampliate le minacce di rete e i problemi legati al rischio di compromissione individuabili (flow risk). Aggiunto supporto per nuovi tipi di minacce: NDPI_PUNYCODE_IDN, NDPI_ERROR_CODE_DETECTED, NDPI_HTTP_CRAWLER_BOT e NDPI_ANONYMOUS_SUBSCRIBER.
- Aggiunto supporto per protocolli e servizi:
- UltraSurf
- i3D
- RiotGames
- TSAN
- TunnelBear VPN
- collectd
- PIM (Protocol Independent Multicast)
- Pragmatic General Multicast (PGM)
- RSH
- I prodotti GoTo, come GoToMeeting
- Dazn
- MPEG-DASH
- Agora Software Defined Real-time Network (SD-RTN)
- Toca Boca
- VXLAN
- MDNS/LLMNR
- Migliorata l'analisi e l'identificazione dei protocolli:
- SMTP/SMTPS (aggiunto supporto per STARTTLS)
- OCSP
- TargusDataspeed
- Usenet
- DTLS
- TFTP
- SOAP via HTTP
- GenshinImpact
- IPSec/ISAKMP
- DNS
- syslog
- DHCP
- NATS
- Viber
- Xiaomi
- Raknet
- gnutella
- Kerberos
- QUIC (aggiunto supporto per le specifiche v2drft 01)
- SSDP
- SNMP
- DGA
- AES-NI
Fonte: opennet.ru
