Projek ntop, yang membangunkan alat untuk menangkap dan menganalisis trafik, telah menerbitkan kit alat untuk pemeriksaan paket dalam nDPI 5.0, yang meneruskan pembangunan perpustakaan OpenDPI. Projek nDPI diasaskan selepas percubaan yang tidak berjaya untuk menolak perubahan pada repositori OpenDPI, yang tidak diselenggara. Kod nDPI ditulis dalam C dan dilesenkan di bawah lesen LGPLv3.
Sistem ini membolehkan anda menentukan protokol peringkat aplikasi yang digunakan dalam trafik, menganalisis sifat aktiviti rangkaian tanpa terikat pada port rangkaian (ia boleh menentukan protokol terkenal yang pengendalinya menerima sambungan pada port rangkaian bukan standard, contohnya, jika http tidak dihantar dari port 80, atau, sebaliknya, apabila mereka cuba menyamarkan aktiviti rangkaian lain sebagai http dengan menjalankannya pada port 80).
Perbezaan daripada OpenDPI bergantung kepada sokongan untuk protokol tambahan dan pemindahan ke platform Windows, pengoptimuman prestasi, penyesuaian untuk kegunaan dalam aplikasi pemantauan trafik masa nyata (mengalih keluar beberapa ciri khusus yang memperlahankan enjin), dan keupayaan untuk dibina sebagai modul kernel Linux dan sokongan untuk definisi subprotokol.
Menyokong pengesanan 56 jenis ancaman rangkaian (risiko aliran) dan lebih daripada 450 protokol dan aplikasi (daripada OpenVPN, Tor, QUIC, SOCKS, BitTorrent dan IPsec ke Telegram, Viber, WhatsApp, PostgreSQL dan permintaan ke Gmail, Office 365, Google Docs dan YouTube). Terdapat penyahkod untuk pelayan dan klien sijil SSL, yang membolehkan anda mengenal pasti protokol (contohnya, Citrix Online dan Apple iCloud) menggunakan sijil penyulitan. Utiliti nDPIreader disediakan untuk menganalisis kandungan lambakan pcap atau trafik antara muka rangkaian semasa.
Dalam keluaran baharu:
- Mekanisme pengenalan trafik universal telah dilaksanakan, menggabungkan metadata tentang cap jari TCP, cincang sijil TLS dan JA4 (pengecam untuk mengenal pasti protokol dan aplikasi rangkaian) ke dalam satu penanda trafik tunggal (cap jari). Mekanisme baharu ini membolehkan pengenalpastian dan pemadanan trafik yang disulitkan atau dikelirukan dengan lebih tepat.
- Kami telah menambahkan keupayaan untuk mengesan aliran TLS, QUIC dan HTTP yang mengandungi nama hos (cth., dalam SNI untuk TLS/QUIC dan dalam pengepala Hos untuk HTTP) yang tidak diselesaikan sebelum ini melalui DNS. Aktiviti ini boleh digunakan untuk mengenal pasti anomali, saluran penghantaran data tersembunyi dan kaedah pintasan penapis.
- Had bilangan protokol yang boleh dikesan dan kategori trafik telah dinaikkan kepada 2^16, membolehkan pengesanan bilangan protokol yang hampir tidak terhad semasa pemeriksaan trafik. Semua protokol yang tersedia kini didayakan secara lalai.
- Pilihan baharu telah ditambahkan pada peraturan untuk mengklasifikasikan trafik mengikut cap jari, aplikasi JA4 dan pengecam protokol, URL HTTP dan kategori.
- Sokongan yang dipertingkatkan untuk teknologi FPC (First Packet Classification), yang mengenal pasti protokol, aplikasi dan perkhidmatan berdasarkan paket pertama yang dihantar semasa membuat sambungan. FPC mengurangkan beban CPU dengan ketara semasa pemeriksaan trafik.
- Sokongan untuk pseudo-protocol seperti ADULT_CONTENT, LLM dan ADS_ANALYTICS_TRACK telah dialih keluar dan klasifikasi berasaskan kategori kini digunakan sebaliknya.
- Menambahkan sokongan dan penghuraian untuk protokol baharu, termasuk Pengoptimuman Penghantaran Microsoft, Permainan Rockstar, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN dan Akamai.
- Subkategori baharu telah ditambah dan klasifikasi perkhidmatan Amazon/AWS telah diperluaskan.
- Kira-kira 30 kategori baharu telah ditambah dan tahap perincian dalam analisis trafik telah ditingkatkan.
- Menambahkan penganalisis saiz blok data untuk sambungan TLS.
- Menambahkan keupayaan untuk mencipta susunan protokol yang merangkumi dua atau lebih protokol semasa mengklasifikasikan trafik.
- Menambahkan API baharu untuk kedudukan trafik dan pengekodan/penyahkodan jujukan heksadesimal.
- Senarai bot, pengimbas rangkaian dan kumpulan perlombongan yang dikemas kini.
- Kod dikemas kini untuk menghuraikan protokol HTTP, TLS dan STUN.
- Permulaan telah dipercepatkan dan kecekapan pengurusan memori telah dipertingkatkan.
Sumber: opennet.ru
