Il progetto ntop, che sviluppa strumenti per la cattura e l'analisi del traffico, ha pubblicato un toolkit per l'ispezione approfondita dei pacchetti nDPI 5.0, che continua lo sviluppo della libreria OpenDPI. Il progetto nDPI è stato fondato dopo un tentativo non riuscito di trasferire modifiche nel repository di OpenDPI, che è rimasto senza supporto. Il codice nDPI è scritto in C e distribuito sotto licenza LGPLv3.
Il sistema consente di identificare nel traffico i protocolli di livello applicativo, analizzando la natura dell'attività di rete senza vincolarsi alle porte di rete (può identificare protocolli noti, i cui gestori accettano connessioni su porte di rete non standard, ad esempio, se http è servito non dalla porta 80, o viceversa, quando un'altra attività di rete tenta di nascondersi sotto http avviandosi sulla porta 80).
Le differenze rispetto a OpenDPI si riducono al supporto di protocolli aggiuntivi, porting per la piattaforma Windows, ottimizzazione delle prestazioni, adattamento per l'uso in applicazioni di monitoraggio del traffico in tempo reale (rimosse alcune funzionalità specifiche che rallentavano il motore), possibilità di compilazione come modulo del kernel Linux e supporto per la rilevazione di subprotocolli.
Supporta l'identificazione di 56 tipologie di minacce alla rete (flow risk) e oltre 450 protocolli e applicazioni (da OpenVPN, Tor, QUIC, SOCKS, BitTorrent e IPsec a Telegram, Viber, WhatsApp, PostgreSQL e richieste a Gmail, Office 365, Google Docs e YouTube). È disponibile un decodificatore per server e client. dei certificati SSL, che consente di determinare il protocollo (ad esempio, Citrix Online e Apple iCloud), utilizzando il certificato di crittografia. Per l'analisi del contenuto dei dump pcap o del traffico attuale attraverso l'interfaccia di rete viene fornuto lo strumento nDPIreader.
Nel nuovo rilascio:
- Implementato un meccanismo universale per l'identificazione del traffico, che combina in un unico fingerprint metadati sugli snapshot TCP, hash del certificato TLS e JA4 (identificatori per la determinazione di protocolli e applicazioni di rete). Il nuovo meccanismo consente di identificare e abbinare più accuratamente il traffico crittografato o offuscato.
- Aggiunta la possibilità di identificare flussi TLS, QUIC e HTTP, in cui figurano i nomi degli host (ad esempio, in SNI per TLS/QUIC e nell'intestazione Host per HTTP), per i quali in precedenza non era stata eseguita la risoluzione tramite DNS. Tale attività può essere utilizzata per identificare anomalie, canali di trasmissione dati nascosti e metodi di bypass della filtrazione.
- Portato a 2^16 il limite sul numero di protocolli e categorie di traffico identificabili, il che consente di rilevare un numero praticamente illimitato di protocolli durante l'ispezione del traffico. Tutti i protocolli disponibili sono ora inclusi per impostazione predefinita.
- Agli algoritmi sono state aggiunte nuove opzioni per classificare il traffico in base a fingerprint, identificatori JA4 di applicazioni e protocolli, URL HTTP e categorie.
- Migliorato il supporto per la tecnologia FPC (First Packet Classification), destinata a identificare protocolli, applicazioni e servizi basati sul primo pacchetto inviato durante l'instaurazione della connessione. FPC consente di ridurre significativamente il carico sulla CPU durante l'ispezione del traffico.
- Rimossa la supporto per pseudoprotocolli, come ADULT_CONTENT, LLM e ADS_ANALYTICS_TRACK, ai quali ora si sostituisce la classificazione basata su categorie.
- Aggiunto il supporto e la possibilità di analizzare nuovi protocolli, tra cui Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN e Akamai.
- Aggiunte nuove sottocategorie e ampliata la classificazione dei servizi Amazon/AWS.
- Aggiunte circa 30 nuove categorie e aumentata la granularità nell'analisi del traffico.
- Aggiunto un analizzatore delle dimensioni dei blocchi di dati per le connessioni TLS.
- Aggiunta la possibilità di creare stack di protocolli che coprano due o più protocolli durante la classificazione del traffico.
- Aggiunti nuovi API per la classificazione del traffico e per la codifica/decodifica di sequenze esadecimali.
- Aggiornati gli elenchi di bot, scanner di rete e pool di mining.
- Aggiornato il codice per l'analisi dei protocolli HTTP, TLS e STUN.
- Accelerata l'inizializzazione e migliorata l'efficienza nella gestione della memoria.
Fonte: opennet.ru
