Het nDPI 3.0 pakket inspectiesysteem is beschikbaar.

Project ntop, ontwikkelende tools voor traffic capturing en analyse, gepubliceerd de uitgave van tools voor diep inspectie van pakketten nDPI 3.0, dat de ontwikkeling van de bibliotheek voortzet OpenDPI. Het nDPI-project is gebaseerd op een mislukte poging om wijzigingen te implementeren in repository OpenDPI, dat niet langer wordt ondersteund. De nDPI-code is geschreven in de programmeertaal C en wordt verspreid onder GPLv3-licentie.

Project toe het identificeren van de gebruikte applicatieniveauprotocollen in de traffic, door de karakteristieken van netwerkactiviteit te analyseren zonder afhankelijk te zijn van netwerkpoorten (kan bekende protocollen identificeren waarvan de handlers verbindingen op niet-standaard netwerkpoorten accepteren, bijvoorbeeld wanneer http niet vanaf poort 80 wordt afgeleverd, of omgekeerd, wanneer andere netwerkactiviteit wordt gecamoufleerd als http door op poort 80 te starten).

De verschillen met OpenDPI zijn dat het ondersteuning biedt voor extra protocollen, portering naar het Windows-platform, prestatieoptimalisatie, en aanpassing voor gebruik in realtime traffic monitoring toepassingen (bepaalde specifieke functionaliteiten die de engine vertraagden zijn verwijderd),
de mogelijkheid om te worden samengesteld als een Linux-kernelmodule en ondersteuning voor het identificeren van subprotocollen.

In totaal worden 238 protocollen en applicaties ondersteund, van
OpenVPN, Tor, QUIC, SOCKS, BitTorrent en IPsec tot Telegram,
Viber, WhatsApp, PostgreSQL en toegang tot GMail, Office365
GoogleDocs en YouTube. Er is een decoder voor server- en client-SSL-certificaten, waarmee het protocol kan worden geïdentificeerd (bijvoorbeeld, Citrix Online en Apple iCloud), met behulp van het encryptie-certificaat. Voor het analyseren van inhoud van pcap-dumps of actuele traffic via de netwerkinterface wordt de nDPIreader-tool meegeleverd.

$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10"

Gevonden protocollen:
DNS pakketten: 57 bytes: 7904 flows: 28
SSL_No_Cert pakketten: 483 bytes: 229203 flows: 6
FaceBook pakketten: 136 bytes: 74702 flows: 4
DropBox pakketten: 9 bytes: 668 flows: 3
Skype pakketten: 5 bytes: 339 flows: 3
Google pakketten: 1700 bytes: 619135 flows: 34

In de nieuwe release:

• Protocolinformatie wordt nu onmiddellijk weergegeven bij detectie, zonder te wachten op het ontvangen van volledige metadata (zelfs wanneer specifieke velden nog niet zijn ontleed vanwege ontbrekende netwerppakketten), wat relevant is voor verkeersanalysers die onmiddellijk moeten reageren op bepaalde soorten verkeer. Voor applicaties die een volledige protocolanalyse vereisen, is de API ndpi_extra_dissection_possible() toegevoegd, waarmee kan worden gecontroleerd of alle protocolmetadata zijn gedefinieerd.
• Diepere TLS-analyse is uitgevoerd met extractie van informatie over de geldigheid van certificaten en de SHA-1-hash van het certificaat.
• In de nDPIreader-applicatie is de vlag '-C' toegevoegd voor export in CSV-indeling, wat het mogelijk maakt om met behulp van aanvullende tools van ntop uit te voeren vrij complexe statistische steekproeven. Bijvoorbeeld, om het IP-adres van de gebruiker te bepalen die het langst films op Netflix heeft gekeken:

  $ ndpiReader -i netflix.pcap -C /tmp/netflix.csv
  $ q -H -d ',' "select src_ip,SUM(src2dst_bytes+dst2src_bytes) from /tmp/netflix.csv where ndpi_proto like '%NetFlix%' group by src_ip"

  192.168.1.7,6151821

• Ondersteuning voor de voorgestelde Cisco Joy techniek voor het identificeren van kwaadaardige activiteiten verborgen in versleuteld verkeer, gebruikmakend van de analyse van pakketgrootte en verzendtijd / vertragingen. In ndpiReader wordt de methode geactiveerd met de optie '-J'.
• Classificatie van protocollen naar categorieën is voorzien.
• Ondersteuning voor het berekenen van IAT (Inter-Arrival Time) is toegevoegd om anomalieën in het protocolgebruik te identificeren, bijvoorbeeld om het gebruik van het protocol tijdens DoS-aanvallen vast te stellen.
• Analysefuncties op basis van berekende metrics, zoals entropie, gemiddelde, standaarddeviatie en variantie, zijn toegevoegd.
• Een eerste versie van bindings voor de programmeertaal Python is voorgesteld.
• Een modus voor het identificeren van leesbare tekenreeksen in verkeer om datalekken te detecteren, is toegevoegd. In
  ndpiReader wordt deze modus geactiveerd met de optie '-e'.
• Ondersteuning voor de identificatiemethode voor TLS-clients JA3, die op basis van de kenmerken van de verbindingsovereenkomst en de gespecificeerde parameters kan bepalen welke software wordt gebruikt voor het tot stand brengen van de verbinding (bijvoorbeeld het gebruik van Tor en andere typische applicaties kan worden vastgesteld).
• Ondersteuning voor identificatiemethoden van SSH-implementaties (HASSH) en DHCP is toegevoegd.
• Functies voor serialisatie en deserialisatie van gegevens in
  Type-Length-Value (TLV) en JSON-formaten zijn toegevoegd.
• Ondersteuning toegevoegd voor protocollen en diensten: DTLS (TLS over UDP),
  Hulu,
  TikTok/Musical.ly,
  WhatsApp Video,
  DNS-over-HTTPS,
  Datasaver,
  Line ,
  Google Duo, Hangout,
  WireGuard VPN,
  IMO,
  Zoom.us.
• Verbeterde ondersteuning voor TLS-analyse, SIP, STUN,
  Viber,
  WhatsApp,
  Amazon Video,
  SnapChat,
  FTP,
  QUIC
  OpenVPN UDP,
  Facebook Messenger en Hangout.

Bron: opennet.ru