ntop-prosjektet, som utvikler verktøy for å fange opp og analysere trafikk, har publisert et verktøysett for dyp pakkeinspeksjon nDPI 6.0, som fortsetter utviklingen av OpenDPI-biblioteket. nDPI-prosjektet ble grunnlagt etter et mislykket forsøk på å presse endringer i OpenDPI-depotet, som ikke ble vedlikeholdt. nDPI-koden er skrevet i C og er lisensiert under LGPLv3-lisensen.
Systemet lar deg bestemme applikasjonsnivåprotokollene som brukes i trafikken, analysere innholdet av nettverksaktivitet uten å være knyttet til nettverksporter (det kan bestemme velkjente protokoller hvis behandlere aksepterer tilkoblinger på ikke-standard nettverksporter, for eksempel, hvis http ikke sendes fra port 80, eller omvendt, når som De prøver å kamuflere annen nettverksaktivitet som http ved å kjøre den på port 80).
Forskjellene fra OpenDPI kommer ned til støtte for tilleggsprotokoller og portering til plattformen Windows, ytelsesoptimaliseringer, tilpasning for bruk i sanntids trafikkovervåkingsapplikasjoner (fjerning av noen spesifikke funksjoner som bremset motoren), og muligheten til å bygge som en kjernemodul Linux og støtte for definisjonen av underprotokoller.
Støtter deteksjon av 56 typer nettverkstrusler (flytrisiko) og mer enn 450 protokoller og applikasjoner (fra OpenVPN, Tor, QUIC, SOCKS, BitTorrent og IPsec til Telegram, Viber, WhatsApp, PostgreSQL og forespørsler til Gmail, Office 365, Google Docs og YouTube). Det finnes en dekoder for server og klient. SSL- sertifikater, som tillater protokolldeteksjon (for eksempel Citrix Online og Apple iCloud) ved hjelp av et krypteringssertifikat. nDPIreader-verktøyet brukes til å analysere innholdet i pcap-dumper eller gjeldende nettverksgrensesnitttrafikk.
I den nye utgivelsen:
- Lisensvilkårene er endret. Kjernebiblioteket for nDPI er fortsatt lisensiert under LGPLv3, men noen trafikkparseringsmoduler, som DNS, QUIC og TLS, er byttet til en dobbel lisens: LGPLv3 for ikke-kommersielle prosjekter og en kommersiell lisens for profittprosjekter.
- La til muligheten til å oppdage og blokkere DoS-angrep fra Slowloris-, Slow POST- og Slow GET-klassene, der klienten mottar et svar eller sender en forespørsel veldig sakte, uten å lukke forbindelsen, men også uten å la den gå på tidsavbrudd, noe som gjør at grensen for antall aktive forbindelser kan uttømmes.
- Påliteligheten til JA4-trafikkfingeravtrykk, som bidrar til å identifisere ondsinnet aktivitet, er forbedret. For å redusere sannsynligheten for falske positiver er selektiv JA4-hashberegning implementert. Dette dekker ikke visse øktavhengige TLS-utvidelser, for eksempel utvidelsen for gjenopptakelse av økter med forhåndsdelt nøkkel (PSK), som reduserer unikheten til JA4-hasher.
- La til støtte for sporingsmekanismen USDT (Userland Statically Defined Tracing), som er integrert i applikasjonen og ikke skaper noen ekstra belastning når den er deaktivert. USDT tillater inspeksjon av nDPI-drift ved hjelp av bpftrace- og perf-verktøyene på produksjonsmaskiner. servere uten å bruke separate feilsøkingsbygg.
- La til støtte for inspeksjon av Meshtastic-, libp2p-, YGGDRASIL- og Nebula-protokollene som brukes i overlay- og mesh-nettverk.
- Muligheten til å klassifisere data i JSON- og MsgPack-formater er implementert, samt separasjon av aktivitet knyttet til ulike GitHub-tjenester (Copilot, Packages, Actions) og Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- La til støtte for å utheve tale- og videosamtaler i trafikken.
- Nye kategorier for innholdshåndtering er foreslått: barn, søkemotorer, vold, narkotika og våpen.
Kilde: opennet.ru
