nDPI 4.0 심층 패킷 검사 시스템 출시

트래픽 캡처 및 분석 도구를 개발하는 ntop 프로젝트는 OpenDPI 라이브러리 개발을 계속하는 nDPI 4.0 심층 패킷 검사 도구 키트를 출시했습니다. nDPI 프로젝트는 유지 관리되지 않은 상태로 남아 있는 OpenDPI 저장소에 변경 사항을 푸시하려는 시도가 실패한 후에 설립되었습니다. nDPI 코드는 C로 작성되었으며 LGPLv3에 따라 라이센스가 부여됩니다.

이 프로젝트를 통해 트래픽에 사용되는 애플리케이션 수준 프로토콜을 결정하고 네트워크 포트에 묶이지 않고 네트워크 활동의 특성을 분석할 수 있습니다. 예를 들어 http가 80이 아닌 포트에서 전송되거나 반대로 다른 네트워크 활동을 포트 80에서 실행하여 http로 위장하려고 할 때).

OpenDPI와의 차이점에는 추가 프로토콜 지원, Windows 플랫폼으로 포팅, 성능 최적화, 실시간 트래픽 모니터링 애플리케이션에 사용하기 위한 적응(엔진 속도를 늦추는 일부 특정 기능이 제거됨), Linux 커널 모듈 및 하위 프로토콜 정의 지원.

OpenVPN, Tor, QUIC, SOCKS, BitTorrent 및 IPsec부터 Telegram, Viber, WhatsApp, PostgreSQL 및 GMail, Office247 GoogleDocs 및 YouTube 호출에 이르기까지 총 365개의 프로토콜 및 애플리케이션 정의가 지원됩니다. 암호화 인증서를 사용하여 프로토콜(예: Citrix Online 및 Apple iCloud)을 확인할 수 있는 서버 및 클라이언트 SSL 인증서 디코더가 있습니다. nDPIreader 유틸리티는 네트워크 인터페이스를 통해 pcap 덤프 내용이나 현재 트래픽을 분석하기 위해 제공됩니다.

$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" 감지된 프로토콜: DNS 패킷: 57바이트: 7904 흐름: 28 SSL_No_Cert 패킷: 483바이트: 229203 흐름: 6 FaceBook 패킷: 136바이트: 74702 흐름: DropBox 패킷 4개: 9바이트: 668 흐름: 3 Skype 패킷: 5바이트: 339 흐름: 3 Google 패킷: 1700바이트: 619135 흐름: 34

새 릴리스에서:

• 암호화된 트래픽 분석 방법(ETA - 암호화된 트래픽 분석)에 대한 지원이 향상되었습니다.
• 향상된 JA3+ TLS 클라이언트 식별 방법에 대한 지원이 구현되었습니다. 이를 통해 연결 협상 기능 및 지정된 매개변수를 기반으로 연결을 설정하는 데 사용되는 소프트웨어를 결정할 수 있습니다(예: Tor 및 다른 일반적인 응용 프로그램). 이전에 지원된 JA3 방법과 달리 JA3+는 거짓 긍정이 더 적습니다.
• 식별된 네트워크 위협 및 손상 위험(흐름 위험)과 관련된 문제의 수가 33개로 확장되었습니다. 데스크톱 및 파일 공유, 의심스러운 HTTP 트래픽, 악성 JA3 및 SHA1, 문제가 있는 액세스에 관련된 새로운 위협 탐지기가 추가되었습니다. 도메인 및 자율 시스템, 의심스러운 확장 기능이 있거나 유효 기간이 너무 긴 TLS 인증서 사용.
• 대폭적인 성능 최적화가 이루어졌으며, 브랜치 3.0에 비해 트래픽 처리 속도가 2.5배 향상되었습니다.
• IP 주소로 위치를 확인하기 위한 GeoIP 지원이 추가되었습니다.
• RSI(상대 강도 지수) 계산을 위한 API가 추가되었습니다.
• 조각화 제어가 구현되었습니다.
• 흐름 균일성(지터) 계산을 위한 API가 추가되었습니다.
• 프로토콜 및 서비스에 대한 지원 추가: BetweenUs, AVAST SecureDNS, CPHA(CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management(hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtual Assitant( 알렉사, 시리), Z39.50.
• AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook/MicrosoftMail, QUIC, RTSP의 구문 분석 및 감지 개선 프로토콜, HTTP를 통한 RTSP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.

출처 : opennet.ru