トラフィックをキャプチャして分析するツールを開発する ntop プロジェクトは、OpenDPI ライブラリの開発を継続する nDPI 4.0 ディープ パケット インスペクション ツールキットのリリースを公開しました。 nDPI プロジェクトは、OpenDPI リポジトリに変更をプッシュする試みが失敗し、メンテナンスされずに放置された後に設立されました。 nDPI コードは C で書かれており、LGPLv3 に基づいてライセンスされています。
このプロジェクトを使用すると、ネットワーク ポートに縛られずにネットワーク アクティビティの性質を分析し、トラフィックで使用されるアプリケーション レベルのプロトコルを決定できます (たとえば、http が80 以外のポートから送信された場合、または逆に、ポート 80 で実行することで他のネットワーク アクティビティを http として偽装しようとしている場合）。
OpenDPI との違いには、追加プロトコルのサポート、Windows プラットフォームへの移植、パフォーマンスの最適化、リアルタイム トラフィック監視アプリケーションでの使用への適応 (エンジンの速度を低下させるいくつかの特定の機能が削除されました)、 Linux カーネル モジュール、およびサブプロトコルの定義のサポート。
OpenVPN、Tor、QUIC、SOCKS、BitTorrent、IPsec から Telegram、Viber、WhatsApp、PostgreSQL、GMail、Office247 GoogleDocs、YouTube への呼び出しまで、合計 365 のプロトコルとアプリケーション定義がサポートされています。 サーバーおよびクライアントの SSL 証明書デコーダがあり、暗号化証明書を使用してプロトコル (Citrix Online や Apple iCloud など) を決定できます。 nDPIreader ユーティリティは、pcap ダンプの内容やネットワーク インターフェイスを介した現在のトラフィックを分析するために提供されています。
$ ./nDPIreader -i eth0 -s 20 -f “host 192.168.1.10” 検出されたプロトコル: DNS パケット: 57 バイト: 7904 フロー: 28 SSL_No_Cert パケット: 483 バイト: 229203 フロー: 6 FaceBook パケット: 136 バイト: 74702 フロー: DropBox パケット 4: 9 バイト: 668 フロー: 3 Skype パケット: 5 バイト: 339 フロー: 3 Google パケット: 1700 バイト: 619135 フロー: 34
新しいリリースでは:
- 暗号化トラフィック分析方法 (ETA - 暗号化トラフィック分析) のサポートが向上しました。
- 改良された JA3+ TLS クライアント識別方法のサポートが実装されました。これにより、接続ネゴシエーション機能と指定されたパラメーターに基づいて、接続を確立するためにどのソフトウェアが使用されるかを決定できます (たとえば、Tor および TLS の使用を決定できます)。他の典型的なアプリケーション)。 以前にサポートされていた JA3 方式とは異なり、JA3+ では誤検知が少なくなります。
- 侵害のリスク (フロー リスク) に関連する、特定されたネットワークの脅威と問題の数が 33 に拡大されました。デスクトップとファイルの共有、不審な HTTP トラフィック、悪意のある JA3 と SHA1、および問題のあるファイルへのアクセスに関連する新しい脅威検出機能が追加されました。ドメインおよび自律システム、不審な拡張子または有効期間が長すぎる TLS 証明書の使用。
- 大幅なパフォーマンスの最適化が行われ、ブランチ 3.0 と比較してトラフィック処理速度が 2.5 倍向上しました。
- IP アドレスによって位置を特定するための GeoIP サポートが追加されました。
- RSI (相対強度指数) を計算するための API を追加しました。
- 断片化制御が実装されました。
- 流量均一性（ジッター）を計算するための API を追加しました。
- プロトコルとサービスのサポートを追加しました:AmongUs、AVAST SecureDNS、CPHA (CheckPoint High Availability Protocol)、DisneyPlus、DTLS、Genshin Impact、HP Virtual Machine Group Management (hpvirtgrp)、Mongodb、Pinterest、Reddit、Snapchat VoIP、Tumblr、Virtual Assistant (アレクサ、シリ）、Z39.50。
- AnyDesk、DNS、Hulu、DCE/RPC、dnscrypt、Facebook、Fortigate、FTP Control、HTTP、IEC104、IEC60870、IRC、Netbios、Netflix、Ookla Speedtest、openspeedtest.com、Outlook / MicrosoftMail、QUIC、RTSP の解析と検出の改善プロトコル、HTTP 経由の RTSP、SNMP、Skype、SSH、Steam、STUN、TeamViewer、TOR、TLS、UPnP、ワイヤーガード。
出所： オープンネット.ru