„ntop“ projektas, kuriame kuriami srauto fiksavimo ir analizės įrankiai, paskelbė įrankių rinkinį, skirtą giliam paketų tikrinimui nDPI 6.0, kuris tęsia OpenDPI bibliotekos kūrimą. nDPI projektas buvo įkurtas po nesėkmingo bandymo pakeisti OpenDPI saugyklą, kuri liko neprižiūrima. nDPI kodas parašytas C ir yra licencijuotas pagal LGPLv3 licenciją.
Sistema leidžia nustatyti sraute naudojamus taikomosios programos lygio protokolus, analizuojant tinklo veiklos pobūdį, neprisijungus prie tinklo prievadų (gali nustatyti gerai žinomus protokolus, kurių tvarkytojai priima ryšius su nestandartiniais tinklo prievadais, pvz., jei http nėra siunčiama iš 80 prievado arba, atvirkščiai, kai jie bando užmaskuoti kitą tinklo veiklą kaip http, paleisdami ją 80 prievade).
Skirtumai nuo „OpenDPI“ priklauso nuo papildomų protokolų palaikymo ir perkėlimo į platformą. Windows, našumo optimizavimas, pritaikymas naudoti realaus laiko eismo stebėjimo programose (pašalinant kai kurias specifines funkcijas, kurios sulėtino variklį) ir galimybė kompiliuoti kaip branduolio modulį Linux ir palaikymas subprotokolų apibrėžimui.
Palaiko 56 tipų tinklo grėsmių (srauto rizikos) ir daugiau nei 450 protokolų bei programų (nuo OpenVPN, „Tor“, „QUIC“, „SOCKS“, „BitTorrent“ ir „IPsec“ į „Telegram“, „Viber“, „WhatsApp“, „PostgreSQL“ ir užklausas į „Gmail“, „Office 365“, „Google“ dokumentus ir „YouTube“). Yra serverio ir kliento dekoderis. SSL- sertifikatai, leidžiantys aptikti protokolus (pvz., „Citrix Online“ ir „Apple iCloud“) naudojant šifravimo sertifikatą. „nDPIreader“ programa skirta „pcap“ išklotinių turiniui arba dabartiniam tinklo sąsajos srautui analizuoti.
Naujame leidime:
- Licencijavimo sąlygos buvo pakeistos. Pagrindinė nDPI biblioteka ir toliau licencijuojama pagal LGPLv3, tačiau kai kurie srauto analizės moduliai, pvz., DNS, QUIC ir TLS, buvo pakeisti į dvigubą licenciją: LGPLv3 – nekomerciniams projektams ir komercinė – pelno siekiantiems projektams.
- Pridėta galimybė aptikti ir blokuoti „Slowloris“, „Slow POST“ ir „Slow GET“ klasių DoS atakas, kurių metu klientas gauna atsakymą arba labai lėtai siunčia užklausą, neuždarant ryšio, bet taip pat neleidžiant jam pasibaigti, o tai leidžia išnaudoti aktyvių ryšių skaičiaus limitą.
- Patobulintas JA4 srauto pirštų atspaudų, padedančių nustatyti kenkėjišką veiklą, patikimumas. Siekiant sumažinti klaidingai teigiamų rezultatų tikimybę, įdiegtas selektyvus JA4 maišos skaičiavimas. Tai neapima tam tikrų nuo sesijos priklausančių TLS plėtinių, tokių kaip iš anksto bendrinamo rakto (PSK) sesijos atnaujinimo plėtinys, kuris sumažina JA4 maišos unikalumą.
- Pridėta USDT (vartotojo srities statiškai apibrėžto sekimo) sekimo mechanizmo, kuris yra integruotas į programą ir nesukuria papildomos apkrovos, kai yra išjungtas, palaikymas. USDT leidžia tikrinti nDPI veikimą naudojant „bpftrace“ ir „perf“ programas gamybinėse mašinose. serveriai nenaudojant atskirų derinimo versijų.
- Pridėta „Meshtastic“, „libp2p“, „YGGDRASIL“ ir „Nebula“ protokolų, naudojamų perdangos ir tinklo tinkluose, tikrinimo palaikymas.
- Įdiegta galimybė klasifikuoti duomenis JSON ir MsgPack formatais, taip pat atskirta veikla, susijusi su skirtingomis „GitHub“ paslaugomis („Copilot“, „Packages“, „Actions“) ir „Proton“ („Mail“, „Pass“, „Drive“, „Calendar“, „Docs“, „Wallet“, „Lumo“, „Meet“).
- Pridėta balso ir vaizdo skambučių paryškinimo eismo sraute palaikymas.
- Pasiūlytos naujos turinio valdymo kategorijos: vaikai, paieškos sistemos, smurtas, narkotikai ir ginklai.
Šaltinis: opennet.ru
