שחרור מערכת בדיקת מנות עמוקה nDPI 4.0

פרויקט ntop, המפתח כלים ללכידת וניתוח תעבורה, פרסם את שחרורו של ערכת הכלים לבדיקת מנות עמוקה nDPI 4.0, אשר ממשיכה בפיתוח ספריית OpenDPI. פרויקט nDPI הוקם לאחר ניסיון לא מוצלח לדחוף שינויים במאגר OpenDPI, שנותר ללא תחזוקה. קוד nDPI כתוב ב-C והוא מורשה תחת LGPLv3.

הפרויקט מאפשר לך לקבוע את הפרוטוקולים ברמת היישום המשמשים בתעבורה, לנתח את אופי פעילות הרשת מבלי להיות קשור ליציאות רשת (הוא יכול לקבוע פרוטוקולים ידועים שהמטפלים שלהם מקבלים חיבורים ביציאות רשת לא סטנדרטיות, למשל, אם http הוא נשלח מיציאה שאינה יציאה 80, או להיפך, כאשר הם מנסים להסוות פעילות רשת אחרת כ-http על ידי הפעלתה ביציאה 80).

ההבדלים מ-OpenDPI כוללים תמיכה בפרוטוקולים נוספים, העברה לפלטפורמת Windows, אופטימיזציה של ביצועים, התאמה לשימוש ביישומי ניטור תעבורה בזמן אמת (הוסרו כמה תכונות ספציפיות שהאטו את המנוע), יכולת לבנות בצורה של מודול ליבת לינוקס, ותמיכה בהגדרת תת-פרוטוקולים.

בסך הכל 247 הגדרות פרוטוקול ואפליקציות נתמכות, מ-OpenVPN, Tor, QUIC, SOCKS, BitTorrent ו-IPsec ועד לטלגרם, Viber, WhatsApp, PostgreSQL ושיחות ל-GMail, Office365 GoogleDocs ו-YouTube. קיים מפענח אישור SSL של שרת ולקוח המאפשר לקבוע את הפרוטוקול (לדוגמה, Citrix Online ו- Apple iCloud) באמצעות תעודת ההצפנה. תוכנית השירות nDPIreader מסופקת כדי לנתח את תוכן ה-pcap dumps או תעבורה נוכחית דרך ממשק הרשת.

$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" פרוטוקולים שזוהו: מנות DNS: 57 בתים: 7904 זרימות: 28 מנות SSL_No_Cert: 483 בתים: 229203 זרימות: 6 חבילות של Facebook: 136 חבילות של Facebook: 74702 חבילות 4 מנות DropBox: 9 בתים: 668 זרימות: 3 מנות סקייפ: 5 בתים: 339 זרימות: 3 מנות גוגל: 1700 בתים: 619135 זרימות: 34

במהדורה החדשה:

• תמיכה משופרת בשיטות ניתוח תעבורה מוצפנות (ETA - Encrypted Traffic Analysis).
• הוטמעה תמיכה בשיטת זיהוי הלקוח המשופרת JA3+ TLS, המאפשרת, בהתבסס על תכונות המשא ומתן על החיבור והפרמטרים שצוינו, לקבוע איזו תוכנה משמשת ליצירת חיבור (לדוגמה, היא מאפשרת לקבוע את השימוש ב- Tor ו יישומים טיפוסיים אחרים). בניגוד לשיטת JA3 שנתמכה בעבר, ל-JA3+ יש פחות תוצאות חיוביות שגויות.
• מספר איומי הרשת המזוהים ובעיות הקשורות לסיכון של פשרה (סיכון זרימה) הורחב ל-33. נוספו גלאי איומים חדשים הקשורים לשיתוף שולחן עבודה וקבצים, תעבורת HTTP חשודה, JA3 ו-SHA1 זדוניות, וגישה לבעייתיות דומיינים ומערכות אוטונומיות, שימוש בתעודות TLS עם הרחבות חשודות או תקופת תוקף ארוכה מדי.
• בוצעה אופטימיזציה משמעותית של ביצועים; בהשוואה לענף 3.0, מהירות עיבוד התעבורה עלתה פי 2.5.
• נוספה תמיכה ב-GeoIP לקביעת מיקום לפי כתובת IP.
• נוסף API לחישוב RSI (מדד חוזק יחסי).
• בקרות פיצול יושמו.
• נוסף API לחישוב אחידות הזרימה (ריצוד).
• נוספה תמיכה לפרוטוקולים ושירותים: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtual Assistant ( Alexa , Siri), Z39.50.
• ניתוח וזיהוי משופרים של AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook / MicrosoftMail, QUIC, RTSP פרוטוקולים, RTSP באמצעות HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.

מקור: OpenNet.ru