O projeto ntop, que desenvolve ferramentas para captura e análise de tráfego, publicou a versão da ferramenta para inspeção profunda de pacotes nDPI 4.8, dando continuidade ao desenvolvimento da biblioteca OpenDPI. O projeto nDPI foi criado após uma tentativa fracassada de transferir alterações para o repositório OpenDPI, que ficou sem manutenção. O código do nDPI é escrito em C e é distribuído sob a licença LGPLv3.
O sistema permite identificar os protocolos de nível de aplicação no tráfego, analisando a natureza da atividade de rede sem a necessidade de dependência de portas de rede (pode identificar protocolos conhecidos, cujos manipuladores aceitam conexões em portas de rede não padrão, por exemplo, se o http é fornecido não na porta 80, ou, inversamente, quando alguma outra atividade de rede tenta se camuflar como http, operando na porta 80).
As diferenças em relação ao OpenDPI resumem-se ao suporte para protocolos adicionais, portabilidade para a plataforma Windows, otimização de desempenho, adaptação para uso em aplicações de monitoramento de tráfego em tempo real (algumas funcionalidades específicas que retardavam o motor foram removidas), a possibilidade de compilação como módulo do kernel Linux e suporte para identificação de subprotocólos.
Suporta a detecção de 53 tipos de ameaças à rede (fluxo de risco) e mais de 350 protocolos e aplicações (desde OpenVPN, Tor, QUIC, SOCKS, BitTorrent e IPsec até Telegram, Viber, WhatsApp, PostgreSQL e acessos ao Gmail, Office 365, Google Docs e YouTube). Possui um decodificador para servidores e clientes. de certificados SSL, que permite identificar o protocolo (por exemplo, Citrix Online e Apple iCloud), utilizando o certificado de criptografia. Para a análise de conteúdo de arquivos pcap ou tráfego atual através da interface de rede, é fornecida a ferramenta nDPIreader.
No novo lançamento:
- O consumo de memória foi reduzido drasticamente, graças à reformulação na implementação de listas.
- Expandido suporte a IPv6.
- Novos identificadores de protocolos relacionados a conteúdo adulto, publicidade, web análise e rastreamento de movimentos foram adicionados.
- Suporte adicionado para protocolos e serviços:
- HAProxy
- Apache Thrift
- RMCP (Protocolo de Controle de Gerenciamento Remoto)
- SLP (Protocolo de Localização de Serviço)
- Bitcoin
- HTTP/2 sem criptografia
- SRTP (Transporte Seguros em Tempo Real)
- BACnet
- OICQ (mensageiro chinês)
- Adicionada a detecção do OperaVPN e ProtonVPN. Melhorada a detecção do Wireguard.
- Implementada heurística para identificação de fluxos de tráfego totalmente criptografados.
- Adicionada a detecção de serviços Yandex e VK.
- Adicionada a detecção de reels e stories do Facebook.
- Adicionada a detecção da plataforma de jogos Roblox, do serviço em nuvem NVIDIA GeForceNow, dos jogos da Epic Games, e do jogo 'Heroes of the Storm'.
- Melhorada a detecção de tráfego de bots de busca.
- Melhorada a análise e a identificação de protocolos e serviços:
- Gnutella
- H323
- HTTP
- Hangout
- MS Teams
- Alibaba
- MGCP
- Steam
- MySQL
- Zabbix
- Ampliado o espectro de ameaças à rede detectadas e problemas relacionados ao risco de comprometimento (fluxo de risco). Adicionada suporte a novos tipos de ameaças: NDPI_MALWARE_HOST_CONTACTED e NDPI_TLS_ALPN_SNI_MISMATCH.
- Organizado teste de fuzzing para identificação de problemas de confiabilidade.
- Resolvidos problemas de compilação no FreeBSD.
Fonte: opennet.ru
