O projeto ntop, que desenvolve ferramentas para captura e análise de tráfego, publicou a ferramenta para inspeção aprofundada de pacotes nDPI 5.0, que continua o desenvolvimento da biblioteca OpenDPI. O projeto nDPI foi criado após uma tentativa malsucedida de transferir alterações para o repositório OpenDPI, que não recebeu manutenção. O código nDPI é escrito em C e é distribuído sob a licença LGPLv3.
O sistema permite identificar os protocolos de nível de aplicativo no tráfego, analisando a natureza da atividade da rede sem uma ligação aos ports de rede (pode identificar protocolos conhecidos cujos manipuladores aceitam conexões em ports de rede não padrão, por exemplo, se http não é enviado pela porta 80, ou, inversamente, quando alguma outra atividade de rede tenta se camuflar como http ao ser executada na porta 80).
As diferenças em relação ao OpenDPI resumem-se ao suporte para protocolos adicionais, portabilidade para a plataforma Windows, otimização de desempenho, adaptação para uso em aplicações de monitoramento de tráfego em tempo real (algumas funcionalidades específicas que retardavam o motor foram removidas), a possibilidade de compilação como módulo do kernel Linux e suporte para identificação de subprotocólos.
Suporta a definição de 56 tipos de ameaças de rede (risco de fluxo) e mais de 450 protocolos e aplicativos (desde OpenVPN, Tor, QUIC, SOCKS, BitTorrent e IPsec até Telegram, Viber, WhatsApp, PostgreSQL, e chamadas para Gmail, Office 365, Google Docs e YouTube). Existe um decodificador para servidores e clientes, de certificados SSL, que permite identificar o protocolo (por exemplo, Citrix Online e Apple iCloud), utilizando o certificado de criptografia. Para a análise de conteúdo de arquivos pcap ou tráfego atual através da interface de rede, é fornecida a ferramenta nDPIreader.
No novo lançamento:
- Foi implementado um mecanismo universal para a identificação de tráfego, combinando em uma única impressão digital (fingerprint) metadados sobre marcas TCP, hashes de certificados TLS e JA4 (identificadores para determinação de protocolos e aplicativos de rede). O novo mecanismo permite identificar e corresponder com mais precisão o tráfego criptografado ou ofuscado.
- Adicionada a capacidade de identificar fluxos TLS, QUIC e HTTP que contêm nomes de host (como SNI para TLS/QUIC e no cabeçalho Host para HTTP), os quais anteriormente não eram resolvidos via DNS. Essa atividade pode ser aplicada para detectar anomalias, canais de comunicação ocultos e métodos de contorno de filtragem.
- O limite de protocolos e categorias de tráfego identificáveis foi elevado para 2^16, permitindo a identificação de praticamente um número ilimitado de protocolos durante a inspeção de tráfego. Todos os protocolos disponíveis agora estão incluídos por padrão.
- Novas opções foram adicionadas às regras para classificar o tráfego por impressões digitais (fingerprints), identificadores JA4 de aplicativos e protocolos, URLs HTTP e categorias.
- Melhor suporte para a tecnologia FPC (Classificação do Primeiro Pacote), destinada a identificar protocolos, aplicativos e serviços com base no primeiro pacote enviado durante a configuração da conexão. O FPC permite reduzir significativamente a carga na CPU durante a inspeção do tráfego.
- O suporte a pseudoprotocolos como ADULT_CONTENT, LLM e ADS_ANALYTICS_TRACK foi removido, e agora é utilizada uma classificação baseada em categorias.
- Adicionado suporte e capacidade de análise para novos protocolos, incluindo Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN e Akamai.
- Novas subcategorias foram adicionadas e a classificação dos serviços da Amazon/AWS foi ampliada.
- Cerca de 30 novas categorias foram adicionadas e a detalhamento na análise de tráfego foi aprimorada.
- Um analisador de tamanho de blocos de dados para conexões TLS foi adicionado.
- Foi adicionada a capacidade de criar pilhas de protocolos que abrangem dois ou mais protocolos na classificação de tráfego.
- Novas APIs para classificação de tráfego e codificação/decodificação de sequências hexadecimais foram adicionadas.
- As listas de bots, scanners de rede e pools de mineração foram atualizadas.
- O código para análise de protocolos HTTP, TLS e STUN foi atualizado.
- A inicialização foi acelerada e a eficiência da gestão de memória foi aumentada.
Fonte: opennet.ru
