Het ntop-project, dat tools ontwikkelt voor het vastleggen en analyseren van verkeer, heeft een nieuwe versie van de toolkit voor diepe pakketinspectie nDPI 4.4 uitgebracht, die de ontwikkeling van de OpenDPI-bibliotheek voortzet. Het nDPI-project is ontstaan na een mislukte poging om wijzigingen in de OpenDPI-repository door te voeren, die geen ondersteuning meer heeft. De nDPI-code is geschreven in de programmeertaal C en wordt verspreid onder de LGPLv3-licentie.
Het systeem maakt het mogelijk om de gebruikte toepassingsniveauprotocollen in het verkeer te identificeren door de aard van de netwerkinactiviteit te analyseren, zonder dat deze aan netwerkpoorten is gebonden (het kan bekende protocollen identificeren waarvan de handelaars verbindingen op niet-standaard netwerkpoorten accepteren, bijvoorbeeld wanneer http niet op poort 80 wordt aangeboden, of andersom, wanneer andere netwerkactiviteit als http wordt gecamoufleerd door deze op poort 80 te starten).
De verschillen met OpenDPI bestaan uit ondersteuning voor extra protocollen, portering naar het Windows-platform, prestatieoptimalisatie, aanpassing voor gebruik in realtime verkeerbewakingsapplicaties (bepaalde specifieke mogelijkheden die de engine vertraagden zijn verwijderd), de mogelijkheid om te bouwen als een Linux-kernelmodule en ondersteuning voor het identificeren van subprotocollen.
Er worden in totaal ongeveer 300 protocollen en applicaties herkend, van OpenVPN, Tor, QUIC, SOCKS, BitTorrent en IPsec tot Telegram, Viber, WhatsApp, PostgreSQL en verzoeken aan GMail, Office365, GoogleDocs en YouTube. Een decoder voor server- en clientcommunicatie is beschikbaar. SSL-certificatendie het mogelijk maakt om het protocol te identificeren (bijvoorbeeld Citrix Online en Apple iCloud) met behulp van een encryptiecertificaat. Voor de analyse van de inhoud van pcap-dumps of huidige verkeer via een netwerkinterface wordt de nDPIreader-tool geleverd.
In de nieuwe release:
- Metadata met informatie over de reden voor het aanroepen van de handler voor een bepaalde bedreiging zijn toegevoegd.
- De functie ndpi_check_flow_risk_exceptions() is toegevoegd voor het aansluiten van netwerkbedreigingshandlers.
- Er is een scheiding gemaakt tussen netwerkprotocollen (zoals TLS) en applicatieprotocollen (zoals Google-diensten).
- Twee nieuwe niveaus van privacy zijn toegevoegd: NDPI_CONFIDENCE_DPI_PARTIAL en NDPI_CONFIDENCE_DPI_PARTIAL_CACHE.
- Een template voor het identificeren van het gebruik van de Cloudflare WARP-service is toegevoegd.
- De interne implementatie van hashmap is vervangen door uthash.
- Bindings voor de Python-taal zijn bijgewerkt.
- Standaard is de ingebouwde implementatie gcrypt ingeschakeld (voor gebruik van de systeemimplementatie is de optie —with-libgcrypt voorgesteld).
- Het scala aan gedetecteerde netwerkbedreigingen en problemen die verband houden met compromitteringsrisico's (flow risk) is uitgebreid. Ondersteuning voor nieuwe soorten bedreigingen is toegevoegd: NDPI_PUNYCODE_IDN, NDPI_ERROR_CODE_DETECTED, NDPI_HTTP_CRAWLER_BOT en NDPI_ANONYMOUS_SUBSCRIBER.
- Ondersteuning voor protocollen en diensten is toegevoegd:
- UltraSurf
- i3D
- RiotGames
- TSAN
- TunnelBear VPN
- collectd
- PIM (Protocol Independent Multicast)
- Pragmatic General Multicast (PGM)
- RSH
- GoTo-producten, zoals GoToMeeting
- Dazn
- MPEG-DASH
- Agora Software Defined Real-time Network (SD-RTN)
- Toca Boca
- VXLAN
- MDNS/LLMNR
- De parsing en identificatie van protocollen is verbeterd:
- SMTP/SMTPS (STARTTLS-ondersteuning is toegevoegd)
- OCSP
- TargusDataspeed
- Usenet
- DTLS
- TFTP
- SOAP via HTTP
- GenshinImpact
- IPSec/ISAKMP
- DNS
- syslog
- DHCP
- NATS
- Viber
- Xiaomi
- Raknet
- gnutella
- Kerberos
- QUIC (ondersteuning voor specificatie v2drft 01 is toegevoegd)
- SSDP
- SNMP
- DGA
- AES-NI
Bron: opennet.ru
