Het ntop-project, dat tools ontwikkelt voor het vastleggen en analyseren van verkeer, heeft de toolkit voor diepgaande pakketinspectie nDPI 4.10 gepubliceerd, die de ontwikkeling van de OpenDPI-bibliotheek voortzet. Het nDPI-project is opgericht na een onsuccesvolle poging om wijzigingen in de OpenDPI-repository over te dragen, die niet meer wordt ondersteund. De nDPI-code is geschreven in C en wordt verspreid onder de LGPLv3-licentie.
Het systeem maakt het mogelijk om de gebruikte applicatieniveaus in het verkeer te identificeren door de aard van de netwerkactiviteit te analyseren, zonder gebonden te zijn aan netwerpoorten (het kan bekende protocollen identificeren waarvan de handlers verbindingen accepteren op niet-standaard netwerpoorten, bijvoorbeeld wanneer http niet op poort 80 wordt aangeboden, of anderzijds wanneer een andere netwerkactiviteit wordt gecamoufleerd als http door deze op poort 80 te laten draaien).
De verschillen met OpenDPI zijn onder meer de ondersteuning van extra protocollen, de portering naar het Windows-platform, prestatieoptimalisatie, aanpassing voor gebruik in real-time netwerkverkeersmonitoringtoepassingen (bepaalde specifieke functies die de engine vertraagden zijn verwijderd), de mogelijkheid om te bouwen als een Linux-kernelmodule en ondersteuning voor de identificatie van subprotocols.
Er wordt ondersteuning geboden voor de identificatie van 55 soorten netwerkbedreigingen (flow risk) en meer dan 420 protocollen en applicaties (van OpenVPN, Tor, QUIC, SOCKS, BitTorrent en IPsec tot Telegram, Viber, WhatsApp, PostgreSQL en verzoeken naar Gmail, Office 365, Google Docs en YouTube). Er is een decoder voor server- en cliƫntside, SSL-certificaten, waarmee het protocol kan worden vastgesteld (bijvoorbeeld Citrix Online en Apple iCloud) met behulp van een versleutelingcertificaat. Voor de analyse van pcap-dumps of actuele verkeer via de netwerkinterface wordt het hulpprogramma nDPIreader meegeleverd.
In de nieuwe release:
- Eerste ondersteuning voor de FPC-technologie (First Packet Classification) is toegevoegd, die gericht is op het identificeren van protocollen, applicaties en services op basis van het eerste pakket dat wordt verzonden bij het opzetten van een verbinding. FPC is alleen implementeerbaar voor een deel van de protocollen en terwijl het de CPU-belasting bij het inspecteren van verkeer aanzienlijk kan verlagen.
- Ondersteuning en analyse van meer dan 70 nieuwe protocollen en services zijn toegevoegd, waaronder:
- Adobe Connect
- ANSI C12.22
- Apache Kafka
- Beckhoff ADS
- BFCP
- BFD
- Bluesky
- Call of Duty Mobile
- CAN over Ethernet
- Ceph
- ClickHouse
- DLE
- DTLS 1.3
- Elder Scrolls Online ondersteuning (#2376)
- ElectronicArts
- ethereum protocol dissector
- Ethernet Global Data
- Ether-S-Bus
- Ether-S-I/O
- FB-Threads
- FLUTE
- Gearman
- Google Chat
- Google Protobuf
- HART-IP
- HiSLIP
- HL7
- (HTTP Live Streaming), waarmee adaptief het streamen kan worden beheerd afhankelijk van de bandbreedte. Voor gebruik met HLS moet voor elke resolutie een apart videobestand worden geĆ¼pload. Ondersteund bij aanwezigheid van FFmpeg versie 4 of nieuwer;
- IEC62056 (DLMS/COSEM)
- IEEE 1588-2008 (PTPv2)
- IEEE C37.118
- ISO 9506-1 MMS
- JSON-RPC
- KCP
- KNXnet/IP
- Label Distribution Protocol
- Mastodon
- Monero
- Mumble
- Nano (XNO)
- Naraka Bladepoint
- NetEase
- NoMachine NX
- Omron FINS
- OPC UA
- OpenFlow
- OpenWire
- Path of Exile
- PFCP
- PIA (Private Internet Access) support (#2250)
- PROFINET/IO
- Radmin
- Raft
- Ripe Atlas probe protocol.
- Roughtime
- RTPS
- S7Comm
- Schneider Electric UMAS
- STOMP
- TencentGames
- Twitter bot
- UFTP
- Viber (voip)
- WebDAV
- Yojimbo (netcode)
- ZUG
- Verbeterde analyse en identificatie van protocollen en services:
- Bittorrent
- Cloudflare WARP
- CORBA
- CryNetwork
- DNS
- Dropbox
- eDonkey
- H323
- Kafka
- MySQL
- PrimeVideo
- Protobuf
- QUIC
- Telegram
- TFTP
- Twitter/X (#2482)
- Wireguard
- Zoom
- Nieuwe protocolidentificators toegevoegd voor volwassen inhoud, reclame, webanalyse en tracking.
- Bereik van ontdekte netwerkaanslagen en problemen met compromitteringsrisico's (flow risk) uitgebreid.
- Script toegevoegd voor het laden en bijwerken van de lijst met domeinsuffixen.
- Identificatie van Huawei-verkeer gegarandeerd.
- De prestatie is geoptimaliseerd.
- Ondersteuning uitgebreid IPv6.
Bron: opennet.ru
