nDPI 3.0 בדיקת מנות עמוקה זמינה

פרויקט ntop, פיתוח כלים ללכידת וניתוח תנועה, פורסם שחרור כלים לבדיקת חבילה עמוקה nDPI 3.0, המשך פיתוח הספרייה OpenDPI. פרויקט nDPI הוקם לאחר ניסיון לא מוצלח להעביר שינויים ל מאגר OpenDPI, שנותר ללא מלווה. קוד nDPI כתוב ב-C ו מופץ על ידי מורשה תחת LGPLv3.

פרויקט היא מאפשרת לקבוע את הפרוטוקולים ברמת היישום המשמשים בתעבורה, תוך ניתוח אופי פעילות הרשת מבלי להיות קשור ליציאות רשת (יכול לזהות פרוטוקולים ידועים שהמטפלים שלהם מקבלים חיבורים ביציאות רשת לא סטנדרטיות, למשל, אם http לא נשלח מ- יציאה 80, או להיפך, כאשר חלקם מנסים להסוות פעילות רשת אחרת כ-http על ידי הפעלתה ביציאה 80).

ההבדלים מ-OpenDPI מסתכמים בתמיכה בפרוטוקולים נוספים, העברה לפלטפורמת Windows, אופטימיזציה של ביצועים, התאמה לשימוש באפליקציות לניטור תעבורה בזמן אמת (כמה תכונות ספציפיות שהאטו את המנוע הוסרו),
יכולות assembly בצורת מודול ליבת לינוקס ותמיכה בהגדרת תת-פרוטוקולים.

סה"כ 238 הגדרות פרוטוקול ואפליקציות נתמכות, מ
OpenVPN, Tor, QUIC, SOCKS, BitTorrent ו-IPsec לטלגרם,
Viber, WhatsApp, PostgreSQL ושיחות ל-GMail, Office365
GoogleDocs ו-YouTube. קיים מפענח אישור SSL של שרת ולקוח המאפשר לקבוע את הפרוטוקול (לדוגמה, Citrix Online ו- Apple iCloud) באמצעות תעודת ההצפנה. תוכנית השירות nDPIreader מסופקת כדי לנתח את תוכן ה-pcap dumps או תעבורה נוכחית דרך ממשק הרשת.

$ ./nDPIreader -i eth0 -s 20 -f "מארח 192.168.1.10"

פרוטוקולים שזוהו:
מנות DNS: 57 בתים: 7904 זרימות: 28
מנות SSL_No_Cert: 483 בתים: 229203 זרימות: 6
חבילות פייסבוק: 136 בתים: 74702 זרימות: 4
מנות DropBox: 9 בתים: 668 זרימות: 3
מנות סקייפ: 5 בתים: 339 זרימות: 3
מנות גוגל: 1700 בתים: 619135 זרימות: 34

במהדורה החדשה:

• מידע על הפרוטוקול מוצג כעת מיד עם ההגדרה, מבלי להמתין לקבלת מטא-נתונים מלאים (גם כאשר שדות ספציפיים עדיין לא נותחו עקב אי קבלת מנות הרשת המתאימות), מה שחשוב עבור מנתחי תעבורה שצריכים לבצע ניתוח מיידי להגיב לסוגים מסוימים של תעבורה. עבור יישומים הדורשים ניתוח פרוטוקול מלא, ה-API של ndpi_extra_dissection_possible() מסופק כדי להבטיח שכל המטא נתונים של הפרוטוקול מוגדרים.
• הטמיע ניתוח עמוק יותר של TLS, חילוץ מידע על נכונות האישור וה-Hash SHA-1 של האישור.
• הדגל "-C" נוסף לאפליקציית nDPIreader לייצוא בפורמט CSV, המאפשר להשתמש בערכת הכלים הנוספת של ntop לבצע מדגמים סטטיסטיים מורכבים למדי. לדוגמה, כדי לקבוע את ה-IP של המשתמש שצפה בסרטים ב-NetFlix הכי הרבה זמן:

  $ ndpiReader -i netflix.pcap -C /tmp/netflix.csv
  $ q -H -d ',' "בחר src_ip,SUM(src2dst_bytes+dst2src_bytes) מ-/tmp/netflix.csv שבו ndpi_proto כמו '%NetFlix%' מקבץ לפי src_ip"

  192.168.1.7,6151821

• הוספת תמיכה למה שהוצע ב סיסקו ג'וי טכנאים זיהוי פעילות זדונית המוסתרת בתעבורה מוצפנת באמצעות גודל מנות וניתוח זמן/השהיה שליחה. ב-ndpiReader, השיטה מופעלת על ידי האפשרות "-J".
• ניתן סיווג של פרוטוקולים לקטגוריות.
• נוספה תמיכה לחישוב IAT (זמן הגעה) לזיהוי חריגות בשימוש בפרוטוקול, למשל, לזיהוי השימוש בפרוטוקול במהלך התקפות DoS.
• נוספו יכולות ניתוח נתונים המבוססות על מדדים מחושבים כגון אנטרופיה, ממוצע, סטיית תקן ושונות.
• הוצעה גרסה ראשונית של כריכות לשפת Python.
• נוסף מצב לאיתור מחרוזות קריאות בתעבורה כדי לזהות דליפות נתונים. IN
  מצב ndpiReader מופעל עם האפשרות "-e".

• נוספה תמיכה בשיטת זיהוי לקוח TLS JA3, המאפשר לך לקבוע, בהתבסס על המאפיינים של תיאום חיבור ופרמטרים שצוינו, איזו תוכנה משמשת ליצירת חיבור (לדוגמה, היא מאפשרת לקבוע את השימוש ב- Tor ובאפליקציות סטנדרטיות אחרות).
• נוספה תמיכה בשיטות לזיהוי יישומי SSH (HASSH) ו-DHCP.
• נוספו פונקציות להעברת נתונים בסידרה ובסידריאליזציה
  פורמטים מסוג Type-Length-Value (TLV) ו-JSON.

• נוספה תמיכה לפרוטוקולים ושירותים: DTLS (TLS over UDP),
  Hulu,
  TikTok/Musical.ly,
  סרטון וואטסאפ,
  DNSoverHTTPS
  שומר נתונים
  קַו,
  Google Duo, Hangout,
  WireGuard VPN,
  IMO,
  Zoom.us.

• תמיכה משופרת בניתוח TLS, SIP, STUN,
  ויבר,
  WhatsApp,
  וידאו של אמזון,
  SnapChat
  ftp,
  QUIC
  OpenVPN UDP,
  פייסבוק מסנג'ר ו-Hangout.

מקור: OpenNet.ru