שחרור מערכת בדיקת מנות עמוקה nDPI 4.4

פרויקט ntop, המפתח כלים ללכידת וניתוח תעבורה, פרסם את שחרורו של ערכת הכלים לבדיקת מנות עמוקה nDPI 4.4, אשר ממשיכה בפיתוח ספריית OpenDPI. פרויקט nDPI הוקם לאחר ניסיון לא מוצלח לדחוף שינויים במאגר OpenDPI, שנותר ללא תחזוקה. קוד nDPI כתוב ב-C והוא מורשה תחת LGPLv3.

המערכת מאפשרת לך לקבוע את הפרוטוקולים ברמת היישום המשמשים בתעבורה, לנתח את אופי פעילות הרשת מבלי להיות קשורה ליציאות רשת (היא יכולה לקבוע פרוטוקולים ידועים שהמטפלים שלהם מקבלים חיבורים ביציאות רשת לא סטנדרטיות, למשל, אם http לא נשלח מיציאה 80, או להיפך, כאשר הם מנסים להסוות פעילות רשת אחרת כ-http על ידי הפעלתה על יציאה 80).

ההבדלים מ-OpenDPI כוללים תמיכה בפרוטוקולים נוספים, העברה לפלטפורמת Windows, אופטימיזציה של ביצועים, התאמה לשימוש ביישומי ניטור תעבורה בזמן אמת (הוסרו כמה תכונות ספציפיות שהאטו את המנוע), יכולת לבנות בצורה של מודול ליבת לינוקס, ותמיכה בהגדרת תת-פרוטוקולים.

בסך הכל נתמכות הגדרות של כ-300 פרוטוקולים ויישומים, החל מ-OpenVPN, Tor, QUIC, SOCKS, BitTorrent ו-IPsec ועד לטלגרם, Viber, WhatsApp, PostgreSQL ושיחות ל-GMail, Office365, GoogleDocs ויוטיוב. קיים מפענח אישור SSL של שרת ולקוח המאפשר לקבוע את הפרוטוקול (לדוגמה, Citrix Online ו- Apple iCloud) באמצעות תעודת ההצפנה. תוכנית השירות nDPIreader מסופקת כדי לנתח את תוכן ה-pcap dumps או תעבורה נוכחית דרך ממשק הרשת.

במהדורה החדשה:

• נוספו מטא נתונים עם מידע על הסיבה להתקשרות למטפל עבור איום מסוים.
• נוספה הפונקציה ndpi_check_flow_risk_exceptions() לחיבור מטפלי איומים ברשת.
• בוצעה חלוקה לפרוטוקולי רשת (לדוגמה, TLS) ולפרוטוקולים של יישומים (לדוגמה, שירותי גוגל).
• נוספו שתי רמות פרטיות חדשות: NDPI_CONFIDENCE_DPI_PARTIAL ו-NDPI_CONFIDENCE_DPI_PARTIAL_CACHE.
• נוספה תבנית להגדרת השימוש בשירות Cloudflare WARP
• יישום ה-hashmap הפנימי הוחלף ב-uthash.
• כריכות שפת Python מעודכנות.
• כברירת מחדל, יישום ה-gcrypt המובנה מופעל (האפשרות --with-libgcrypt ניתנת לשימוש ביישום המערכת).
• מגוון האיומים והבעיות ברשת שזוהו הקשורים לסיכון של פשרה (סיכון זרימה) הורחב. נוספה תמיכה עבור סוגי איומים חדשים: NDPI_PUNYCODE_IDN, NDPI_ERROR_CODE_DETECTED, NDPI_HTTP_CRAWLER_BOT ו-NDPI_ANONYMOUS_SUBSCRIBER.
• נוספה תמיכה לפרוטוקולים ושירותים:
  • אולטרה סורף
  • i3D
  • משחקי מהומות
  • צאן
  • VPN של TunnelBear
  • נאסף
  • PIM (Protocol Independent Multicast)
  • Pragmatic General Multicast (PGM)
  • RSH
  • מוצרי GoTo כגון GoToMeeting
  • דאזן
  • MPEG-DASH
  • Agora Software Defined Network Time Real (SD-RTN)
  • טוקה בוקה
  • VXLAN
  • DMNS/LLMNR
• ניתוח וזיהוי פרוטוקול משופרים:
  • SMTP/SMTPS (נוספה תמיכה ב-STARTTLS)
  • OCSP
  • TargusDataspeed
  • Usenet
  • DTLS
  • TFTP
  • SOAP דרך HTTP
  • השפעת גנשין
  • IPSec/ISAKMP
  • DNS
  • syslog
  • DHCP
  • NATS
  • Viber
  • Xiaomi
  • רקנט
  • גנוטלה
  • Kerberos
  • QUIC (נוספה תמיכה למפרט v2drft 01)
  • SSDP
  • SNMP
  • DGA
  • AES-NI

מקור: OpenNet.ru