nDPI 5.0 심층 패킷 검사 시스템 출시

트래픽 캡처 및 분석 도구를 개발하는 ntop 프로젝트는 OpenDPI 라이브러리 개발을 계속하는 심층 패킷 검사 nDPI 5.0용 툴킷을 출시했습니다. nDPI 프로젝트는 유지 관리되지 않은 상태로 남아 있는 OpenDPI 저장소에 변경 사항을 푸시하려는 시도가 실패한 후에 설립되었습니다. nDPI 코드는 C로 작성되었으며 LGPLv3에 따라 라이센스가 부여됩니다.

시스템을 사용하면 네트워크 포트에 묶이지 않고 네트워크 활동의 특성을 분석하여 트래픽에 사용되는 애플리케이션 수준 프로토콜을 결정할 수 있습니다. 예를 들어 핸들러가 비표준 네트워크 포트에서 연결을 허용하는 잘 알려진 프로토콜을 결정할 수 있습니다. http가 포트 80에서 전송되지 않거나 반대로 포트 80에서 실행하여 다른 네트워크 활동을 http로 위장하려고 하는 경우).

OpenDPI와의 차이점은 추가 프로토콜 지원 및 플랫폼 포팅 여부에 있습니다. Windows성능 최적화, 실시간 교통 모니터링 애플리케이션에 사용하기 위한 적응(엔진 속도를 저하시키는 특정 기능 제거), 그리고 커널 모듈로 빌드할 수 있는 기능 등이 포함됩니다. Linux 또한 하위 프로토콜 정의에 대한 지원을 제공합니다.

56가지 유형의 네트워크 위협(흐름 위험) 및 450개 이상의 프로토콜 및 애플리케이션 탐지를 지원합니다. OpenVPN(Tor, QUIC, SOCKS, BitTorrent 및 IPsec을 사용하여 Telegram, Viber, WhatsApp, PostgreSQL에 접속하고 Gmail, Office 365, Google Docs 및 YouTube에 대한 요청을 보낼 수 있습니다.) 서버와 클라이언트용 디코더가 있습니다. SSL 인증서이 기능을 사용하면 암호화 인증서를 이용하여 프로토콜(예: Citrix Online 및 Apple iCloud)을 식별할 수 있습니다. nDPIreader 유틸리티는 pcap 덤프 또는 현재 네트워크 인터페이스 트래픽의 내용을 분석하는 데 사용됩니다.

새 릴리스에서:

• TCP 지문, TLS 인증서 해시, 그리고 JA4(네트워크 프로토콜 및 애플리케이션 식별 식별자)에 대한 메타데이터를 단일 트래픽 마커(지문)로 결합하는 범용 트래픽 식별 메커니즘이 구현되었습니다. 이 새로운 메커니즘을 통해 암호화되거나 난독화된 트래픽을 더욱 정확하게 식별하고 매칭할 수 있습니다.
• 이전에는 DNS를 통해 확인되지 않았던 호스트 이름(예: TLS/QUIC의 SNI 및 HTTP의 Host 헤더)이 포함된 TLS, QUIC 및 HTTP 흐름을 감지하는 기능을 추가했습니다. 이 기능은 이상 징후, 숨겨진 데이터 전송 채널, 필터링 우회 방법을 식별하는 데 사용할 수 있습니다.
• 탐지 가능한 프로토콜 및 트래픽 범주 수 제한이 2^16개로 확대되어 트래픽 검사 시 사실상 무제한의 프로토콜을 탐지할 수 있습니다. 이제 사용 가능한 모든 프로토콜이 기본적으로 활성화됩니다.
• 트래픽을 지문, JA4 애플리케이션 및 프로토콜 식별자, HTTP URL, 범주별로 분류하기 위한 규칙에 새로운 옵션이 추가되었습니다.
• 연결 설정 시 전송된 첫 번째 패킷을 기반으로 프로토콜, 애플리케이션 및 서비스를 식별하는 FPC(First Packet Classification) 기술에 대한 지원이 향상되었습니다. FPC는 트래픽 검사 시 CPU 부하를 크게 줄여줍니다.
• ADULT_CONTENT, LLM, ADS_ANALYTICS_TRACK 등의 가상 프로토콜에 대한 지원이 제거되었으며, 이제 카테고리 기반 분류로 대체되었습니다.
• Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN, Akamai를 포함한 새로운 프로토콜에 대한 지원과 구문 분석이 추가되었습니다.
• 새로운 하위 카테고리가 추가되었고 Amazon/AWS 서비스의 분류가 확장되었습니다.
• 약 30개의 새로운 카테고리가 추가되었고, 트래픽 분석의 세부 수준이 높아졌습니다.
• TLS 연결을 위한 데이터 블록 크기 분석기가 추가되었습니다.
• 트래픽을 분류할 때 두 개 이상의 프로토콜에 걸쳐 있는 프로토콜 스택을 생성하는 기능이 추가되었습니다.
• 트래픽 순위 지정 및 16진수 시퀀스 인코딩/디코딩을 위한 새로운 API가 추가되었습니다.
• 봇, 네트워크 스캐너 및 마이닝 풀 목록이 업데이트되었습니다.
• HTTP, TLS, STUN 프로토콜을 구문 분석하기 위한 코드가 업데이트되었습니다.
• 초기화가 가속화되고 메모리 관리 효율성이 향상되었습니다.

출처 : opennet.ru