Projekts ntop, kas izstrādā rīkus trafika uztveršanai un analīzei, ir publicējis rīku komplektu dziļai pakešu pārbaudei nDPI 6.0, kas turpina OpenDPI bibliotēkas attīstību. nDPI projekts tika dibināts pēc neveiksmīga mēģinājuma virzīt izmaiņas OpenDPI repozitorijā, kas palika neapkopta. nDPI kods ir rakstīts C valodā un ir licencēts saskaņā ar LGPLv3 licenci.
Sistēma ļauj noteikt trafikā izmantotos lietojumprogrammu līmeņa protokolus, analizējot tīkla darbības raksturu bez piesaistes tīkla portiem (var noteikt labi zināmus protokolus, kuru apstrādātāji pieņem savienojumus nestandarta tīkla portos, piemēram, ja http netiek nosūtīts no 80. porta vai, gluži pretēji, kad viņi mēģina maskēt citu tīkla darbību kā http, palaižot to 80. portā).
Atšķirības no OpenDPI ir saistītas ar atbalstu papildu protokoliem un pārnešanu uz platformu. Windows, veiktspējas optimizācijas, pielāgošana lietošanai reāllaika satiksmes uzraudzības lietojumprogrammās (noņemot dažas specifiskas funkcijas, kas palēnināja dzinēja darbību), un iespēja veidot kā kodola moduli Linux un atbalsts apakšprotokolu definīcijai.
Atbalsta 56 tīkla apdraudējumu veidu (plūsmas riska) noteikšanu un vairāk nekā 450 protokolus un lietojumprogrammas (no OpenVPN, Tor, QUIC, SOCKS, BitTorrent un IPsec uz Telegram, Viber, WhatsApp, PostgreSQL un pieprasījumiem uz Gmail, Office 365, Google Docs un YouTube). Ir dekodētājs serverim un klientam. SSL- sertifikāti, kas ļauj noteikt protokolus (piemēram, Citrix Online un Apple iCloud), izmantojot šifrēšanas sertifikātu. nDPIreader utilīta ir paredzēta pcap izgāztuvju satura vai pašreizējās tīkla saskarnes datplūsmas analīzei.
Jaunajā laidienā:
- Licencēšanas noteikumi ir mainīti. Galvenā nDPI bibliotēka joprojām ir licencēta saskaņā ar LGPLv3, taču daži datplūsmas parsēšanas moduļi, piemēram, DNS, QUIC un TLS, ir pārslēgti uz divkāršu licenci: LGPLv3 nekomerciāliem projektiem un komerciāla licence peļņas gūšanas projektiem.
- Pievienota iespēja atklāt un bloķēt Slowloris, Slow POST un Slow GET klašu DoS uzbrukumus, kuros klients ļoti lēni saņem atbildi vai nosūta pieprasījumu, neaizverot savienojumu, bet arī neļaujot tam iestāties taimautam, kas ļauj izsmelt aktīvo savienojumu skaita ierobežojumu.
- Ir uzlabota JA4 datplūsmas pirkstu nospiedumu aprēķināšanas uzticamība, kas palīdz identificēt ļaunprātīgu darbību. Lai samazinātu kļūdaini pozitīvu rezultātu iespējamību, ir ieviesta selektīva JA4 jaucējkodu aprēķināšana. Tas neattiecas uz noteiktiem no sesijas atkarīgiem TLS paplašinājumiem, piemēram, iepriekš koplietotās atslēgas (PSK) sesijas atsākšanas paplašinājumu, kas samazina JA4 jaucējkodu unikalitāti.
- Pievienots atbalsts USDT (lietotāja zemes statiski definētas izsekošanas) izsekošanas mehānismam, kas ir integrēts lietojumprogrammā un nerada papildu slodzi, ja tas ir atspējots. USDT ļauj pārbaudīt nDPI darbību, izmantojot bpftrace un perf utilītas ražošanas iekārtās. serveriem neizmantojot atsevišķas atkļūdošanas versijas.
- Pievienots atbalsts pārklājuma un tīkla tīklos izmantoto Meshtastic, libp2p, YGGDRASIL un Nebula protokolu pārbaudei.
- Ir ieviesta iespēja klasificēt datus JSON un MsgPack formātos, kā arī ir nodalītas darbības, kas saistītas ar dažādiem GitHub pakalpojumiem (Copilot, Packages, Actions) un Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- Pievienots atbalsts balss un video zvanu izcelšanai satiksmē.
- Ir ierosinātas jaunas satura pārvaldības kategorijas: bērni, meklētājprogrammas, vardarbība, narkotikas un ieroči.
Avots: opennet.ru
