Het ntop-project, dat tools ontwikkelt voor het vastleggen en analyseren van verkeer, heeft versie 4.0 van de nDPI-pakketinspector gepubliceerd, waarmee de ontwikkeling van de OpenDPI-bibliotheek wordt voortgezet. Het nDPI-project is ontstaan na een mislukte poging om wijzigingen naar de OpenDPI-repository te brengen, die geen ondersteuning meer ontvangt. De nDPI-code is geschreven in C en wordt verspreid onder de LGPLv3-licentie.
Het project maakt het mogelijk om de gebruikte applicatieniveaus in het verkeer te identificeren door het karakter van netwerkactiviteit te analyseren, zonder afhankelijk te zijn van netwerkpoorten (het kan bekende protocollen identificeren waarvan de handlers verbindingen aanvaarden op niet-standaard netwerkpoorten, bijvoorbeeld als http niet op poort 80 wordt aangeboden, of omgekeerd, wanneer andere netwerkactiviteiten als http worden gecamoufleerd door ze op poort 80 te starten).
De verschillen met OpenDPI omvatten ondersteuning voor extra protocollen, portering naar het Windows-platform, prestatieoptimalisatie, adaptatie voor gebruik in applicaties voor het monitoren van verkeer in real-time (bepaalde specifieke functies die de engine vertraagden zijn verwijderd), de mogelijkheid om te worden samengesteld als een Linux-kernelmodule en ondersteuning voor het identificeren van subprotocollen.
In totaal worden 247 protocollen en applicaties ondersteund, van OpenVPN, Tor, QUIC, SOCKS, BitTorrent en IPsec tot Telegram, Viber, WhatsApp, PostgreSQL en aanvragen naar GMail, Office365, GoogleDocs en YouTube. Er is een decoder voor server- en clientcommunicatie. SSL-certificatendie het mogelijk maakt om het protocol te identificeren (bijvoorbeeld Citrix Online en Apple iCloud) met behulp van een encryptiecertificaat. Voor de analyse van de inhoud van pcap-dumps of huidige verkeer via een netwerkinterface wordt de nDPIreader-tool geleverd.
$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" Geïdentificeerde protocollen: DNS pakketten: 57 bytes: 7904 flows: 28 SSL_No_Cert pakketten: 483 bytes: 229203 flows: 6 FaceBook pakketten: 136 bytes: 74702 flows: 4 DropBox pakketten: 9 bytes: 668 flows: 3 Skype pakketten: 5 bytes: 339 flows: 3 Google pakketten: 1700 bytes: 619135 flows: 34
In de nieuwe release:
- De ondersteuning voor methoden voor het analyseren van versleuteld verkeer (ETA — Encrypted Traffic Analysis) is verbeterd.
- Er is ondersteuning gerealiseerd voor de verbeterde methode voor het identificeren van TLS-klanten, JA3+, waarmee op basis van de kenmerken van verbindingsovereenkomsten en gespecificeerde parameters kan worden bepaald welke software wordt gebruikt voor het tot stand brengen van verbindingen (bijvoorbeeld, het maakt het mogelijk Tor en andere typische applicaties te identificeren). In tegenstelling tot de eerder ondersteunde methode JA3, heeft JA3+ een lager aantal valse positieven.
- Het aantal geïdentificeerde netwerkaanvallen en problemen met het risico op compromittering (flowrisk) is uitgebreid naar 33. Nieuwe dreigingsindicatoren zijn toegevoegd met betrekking tot het delen van desktops en bestanden, verdachte HTTP-verkeer, kwaadaardige JA3 en SHA1, toegang tot problematische domeinen en autonome systemen, en het gebruik van TLS-certificaten met verdachte extensies of een te lange geldigheidsduur.
- Er is aanzienlijke prestatie-optimalisatie doorgevoerd; vergeleken met tak 3.0 is de verwerkingssnelheid van verkeer met 2,5 keer toegenomen.
- Ondersteuning voor GeoIP toegevoegd voor locatiebepaling via het IP-adres.
- API toegevoegd voor het berekenen van RSI (Relative Strength Index).
- Beheermiddelen voor fragmentatie zijn geïmplementeerd.
- API toegevoegd voor het berekenen van stroomhomogeniteit (jitter).
- Ondersteuning toegevoegd voor protocollen en services: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtual Assistant (Alexa, Siri), Z39.50.
- De parsing en identificatie van de protocollen is verbeterd: AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook/MicrosoftMail, QUIC, RTSP, RTSP via HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.
Bron: opennet.ru
