Utgivelse av nDPI 4.4 dyppakkeinspeksjonssystem

ntop-prosjektet, som utvikler verktøy for å fange og analysere trafikk, har publisert utgivelsen av nDPI 4.4 deep packet inspection toolkit, som fortsetter utviklingen av OpenDPI-biblioteket. nDPI-prosjektet ble grunnlagt etter et mislykket forsøk på å presse endringer i OpenDPI-depotet, som ikke ble vedlikeholdt. nDPI-koden er skrevet i C og er lisensiert under LGPLv3.

Systemet lar deg bestemme applikasjonsnivåprotokollene som brukes i trafikken, analysere innholdet av nettverksaktivitet uten å være knyttet til nettverksporter (det kan bestemme velkjente protokoller hvis behandlere aksepterer tilkoblinger på ikke-standard nettverksporter, for eksempel, hvis http ikke sendes fra port 80, eller omvendt, når som De prøver å kamuflere annen nettverksaktivitet som http ved å kjøre den på port 80).

Forskjeller fra OpenDPI inkluderer støtte for tilleggsprotokoller, portering til Windows-plattformen, ytelsesoptimalisering, tilpasning for bruk i sanntids trafikkovervåkingsapplikasjoner (noen spesifikke funksjoner som bremset motoren ble fjernet), muligheten til å bygge i form av en Linux-kjernemodul, og støtte for å definere underprotokoller.

Всего поддерживается определения около 300 протоколов и приложений, от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и обращений к GMail, Office365, GoogleDocs и YouTube. Имеется декодировщик серверных и клиентских SSL-сертификатов, позволяющий определить протокол (например, Citrix Online и Apple iCloud), используя сертификат шифрования. Для анализа содержимого pcap-дампов или текущего трафика через сетевой интерфейс поставляется утилита nDPIreader.

I den nye utgivelsen:

• Добавлены метаданные с информацией о причине вызова обработчика для той или иной угрозы.
• Добавлена функция ndpi_check_flow_risk_exceptions() для подключения обработчиков сетевых угроз.
• Выполнено разделение на сетевые протоколы (например, TLS) и прикладные протоколы (например, сервисы Google).
• Добавлены два новых уровня конфиденциальности: NDPI_CONFIDENCE_DPI_PARTIAL и NDPI_CONFIDENCE_DPI_PARTIAL_CACHE.
• Добавлен шаблон для определения использования сервиса Cloudflare WARP
• Внутренняя реализация hashmap заменена на uthash.
• Обновлены привязки для языка Python.
• По умолчанию задействована встроенная реализация gcrypt (для использования системной реализации предложена опция —with-libgcrypt).
• Расширен спектр выявляемых сетевых угроз и проблем, связанных с риском компрометации (flow risk). Добавлена поддержка новых типов угроз: NDPI_PUNYCODE_IDN, NDPI_ERROR_CODE_DETECTED, NDPI_HTTP_CRAWLER_BOT и NDPI_ANONYMOUS_SUBSCRIBER.
• Lagt til støtte for protokoller og tjenester:
  • Ultrasurf
  • i3D
  • opprørsspill
  • tsan
  • TunnelBear VPN
  • samlet
  • PIM (Protocol Independent Multicast)
  • Pragmatic General Multicast (PGM)
  • HSR
  • Продукты GoTo, такие как GoToMeeting
  • dazn
  • MPEG-DASH
  • Agora-programvaredefinert sanntidsnettverk (SD-RTN)
  • Toca Boca
  • VXLAN
  • DMNS/LLMNR
• Улучшен разбор и определение протоколов:
  • SMTP/SMTPS (добавлена поддержка STARTTLS)
  • OCSP
  • TargusDataspeed
  • Usenet
  • DTLS
  • TFTP
  • SOAP via HTTP
  • Genshin-påvirkning
  • IPSec/ISAKMP
  • DNS
  • syslog
  • DHCP
  • NATS
  • Viber
  • Xiaomi
  • Raknet
  • gnutella
  • Kerberos
  • QUIC (добавлена поддержка спецификации v2drft 01)
  • SSDP
  • SNMP
  • DGA
  • AES-NI

Kilde: opennet.ru